Как я могу редактировать локальные параметры групповой политики с помощью командной строки?

Question

Я пытаюсь собрать сценарий для работы, который позволяет BitLocker без совместимого TPM. Это Configuration \ Administrative Templates \ Windows Components \ Bit Locker Drive Encryption \ Operating System Drives and Require additional authentication at startup под gpedit.

Это просто нужно включить. Я использовал Process Monitor, чтобы посмотреть, какие параметры реестра изменяются при ручном включении, в том числе HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{5C0CD1B3-C6CC-448-AFA7-B69059CFF648}Machine\SOFTWARE\Policies\Microsoft\FVE EnableBDEWithNoTPM Данные Microsoft\FVE EnableBDEWithNoTPM изменены на 1 .

Сначала я подумал, что мне просто нужно как-то компенсировать уникальный идентификатор в фигурных скобках, но после просмотра на другом компьютере с Windows 8.1 Pro и "объектов групповой политики" даже не было в реестре.

Так что у меня нет идей. Кто-нибудь знает, как это можно сделать с помощью сценария?

Answer 1

Нет способа автоматизировать групповую политику из командной строки. Для этого и нужны контроллеры домена. Единственное, что вы можете сделать, - это записать изменение реестра, которое затронет объект групповой политики. Местоположение, которое вы наблюдали в Process Monitor, - это просто копия самого объекта групповой политики, а не его приложение. Фактическое местоположение в реестре, которое вам нужно изменить, находится в последней части строки.

Чтобы включить это с помощью скрипта, просто используйте команду REG:

REG ADD HKLM\SOFTWARE\Policies\Microsoft\FVE /v EnableBDEWithNoTPM /t REG_DWORD /d 1

Это позволит получить значение, которое вы ищете.

Answer 2

Как я отметил на https://superuser.com/a/1140638/459921, вы можете использовать следующую утилиту командной строки для изменения локальной групповой политики на компьютере, не присоединенном к домену:

https://blogs.technet.microsoft.com/secguide/2016/01/21/lgpo-exe-local-group-policy-object-utility-v1-0/