Cách tốt nhất để thêm khóa và giá trị HKCU cho tất cả người dùng hiện tại và tất cả người dùng mới?

Tôi cần thêm các khóa và giá trị HKCU cho tất cả các máy trong OU cụ thể, cho tất cả các cấu hình người dùng hiện có và cấu hình mặc định. Cách tốt nhất để tiếp cận điều này là gì?

Tôi có thể liệt kê và lặp đi lặp lại qua tất cả các NTUSER.DAT, tải tổ ong, thêm các phím và dỡ tổ ong, nhưng đó có vẻ là một cách khó khăn để làm điều đó.

Bất cứ ai có một ý tưởng tốt hơn? Tôi muốn kịch bản này (tốt nhất là PowerShell) và đẩy các thay đổi nếu có thể, nhưng các kịch bản đăng nhập chính sách nhóm cũng sẽ hoạt động.

Phương pháp ưa thích của tôi là sử dụng Active Setup. Những gì nó làm, là kiểm tra khi người dùng đăng nhập vào máy nếu họ đã chạy một tập lệnh hoặc lệnh cụ thể (Chẳng hạn như tập lệnh bạn sẽ có) và nếu không, hãy thực thi nó. Vì vậy, bạn sẽ chỉ chạy một tập lệnh cụ thể cho người dùng một lần trên máy trạm của họ. Tôi thấy điều này là hoàn hảo để viết thư cho HKCU, vì bạn không phải tải từng tổ ong và chỉ những tài khoản mà mọi người đăng nhập mới được sửa đổi.

Không phải để tự quảng cáo, nhưng tôi đã viết một bài đăng blog về việc này. Giải pháp cơ bản như sau:

Thêm các mục đăng ký sau:

[HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components\UniqueID]
"Version"=""
"Stubpath"=""
@=""

• Bạn có thể chọn bất kỳ ID duy nhất nào bạn muốn. GUID thường được sử dụng, nhưng bạn có thể sử dụng bất cứ thứ gì độc đáo.
• Version là bất cứ số phiên bản nào bạn muốn sử dụng.
• Stubpathlà lệnh sẽ được thực thi. Các cuộc gọi MSI, EXE và VBS dường như đều ổn.
• Đây @là những gì sẽ được hiển thị khi lệnh đang chạy.

Với giải pháp này, ngôn ngữ kịch bản là không liên quan. Bạn có thể thực hiện một tệp VBScript, Powershell, Batch. Bất cứ điều gì cho phép bạn viết thư cho HKCU với tư cách là người dùng đã đăng nhập. Sử dụng reg.exetrực tiếp hoạt động tốt là tốt.

Mặt khác, tùy chọn cuối cùng bạn có thể thực hiện là tải và sửa đổi Hive người dùng mặc định. Điều đó sẽ đặt giá trị đăng ký cho bất kỳ người dùng mới nào đăng nhập lần đầu tiên vào hệ thống cụ thể đó.

Bạn có thể thêm khóa reg tùy chỉnh bằng cách tạo tệp adm tùy chỉnh và nhập nó dưới dạng mẫu vào phần Mẫu quản trị của Đối tượng chính sách nhóm. Sau đó liên kết GPO đó với OU của bạn. Có những tài liệu tại MS về cách thực hiện điều này hoặc bạn có thể xem các tệp adm đã tồn tại trên máy chủ (tôi nghĩ ở đâu đó dưới Sysvol).

Quá trình này được gọi là "xăm sổ đăng ký" và điều đó có nghĩa là bạn nằm ngoài tầm kiểm soát xóa chính sách nhóm, tức là các mục reg sẽ vẫn còn ngay cả khi chính sách bị xóa. Bạn cần tạo một khóa reg "đảo ngược" và triển khai nó (hoặc chỉ xóa nó).