Groepsbeleid zoekenGroepsbeleid
Nederlands

Opdrachtprompt beperken voor Windows-gebruikers

Op een gedeelde Windows-pc kan het nodig zijn opdrachten voor bepaalde gebruikers te beperken. Een school kan bijvoorbeeld de toegang voor leerlingen beperken en tegelijk batchscripts toestaan die nodig zijn voor normaal gebruik. Toegang tot de opdrachtprompt voorkomen regelt interactieve toegang tot Cmd.exe en biedt een aparte keuze voor batchbestanden.

Problemen die dit beleid kan oplossen

Dit beleid helpt voorkomen dat gebruikers, zoals leerlingen op een beheerde pc, ongewenste opdrachten uitvoeren in de interactieve opdrachtprompt. Het garandeert niet dat alle schadelijke activiteiten of andere shells worden geblokkeerd. Na inschakeling verschijnt bij het openen een melding dat de beheerder de prompt heeft uitgeschakeld; dat is een gevolg van de instelling, geen eerdere fout.

Stappen

  1. Open de Groepsbeleid-editor voor de beoogde gebruikers en ga naar Gebruikersconfiguratie › Beheersjablonen › Systeem. Koppel in een domein het groepsbeleidsobject aan de organisatie-eenheid met deze gebruikers.
  2. Open het beleid en selecteer Ingeschakeld. Kies of de verwerking van batchbestanden wordt uitgeschakeld en pas de instelling toe.
  3. Werk het beleid bij en test met een betrokken gebruikersaccount. Kies Uitgeschakeld of Niet geconfigureerd om het beleid terug te draaien.

Blokkeer batchverwerking niet als gebruikers afhankelijk zijn van batchscripts bij aanmelden, afmelden, opstarten of afsluiten, of als zij Extern bureaublad-services gebruiken. Het blokkeren van Cmd.exe kan ook de communicatie van de Power Automate-browserextensie verstoren.

Registerinstellingen

Meld u aan met het account van de beoogde gebruiker en open de Register-editor met regedit. Exporteer vóór de wijziging de onderstaande sleutel en noteer of de waarde bestaat en wat de oorspronkelijke gegevens zijn. Maak of wijzig in die sleutel de getoonde DWORD-waarde:

HKCU\Software\Policies\Microsoft\Windows\System
DisableCMD (REG_DWORD)

Stel de waarde in op 2 om interactieve Cmd.exe te blokkeren en batchverwerking toe te staan, of op 1 om beide te blokkeren. Pas de wijziging toe en test met de beoogde gebruiker. Herstel voor de vorige toestand de genoteerde waarde of verwijder alleen deze waarde als die oorspronkelijk ontbrak. Beheerd beleid kan de waarde bij vernieuwen opnieuw toepassen.

Basis: beleidssjablonen voor Windows 11 versie 26H2.

Officiële bronnen