Benutzer daran hindern, Hyper-V und VMware-VMs auf Computern der Arbeitsstationsklasse auszuführen

Dieser Artikel enthält Anleitungen zum Verwenden von Windows PowerShell oder Gruppenrichtlinien, um zu verhindern, dass Benutzer Virtualisierungssoftware ausführen, z. B. Hyper-V und VMware, auf Computern der Arbeitsstationsklasse. Diese Verfahren gelten für Szenarien, in denen Sie verhindern möchten, dass Virtualisierungssoftware sowohl auf Computern ausgeführt wird, die in die Domäne eingebunden sind als auch nicht in die Domäne eingebunden sind, unabhängig von den Administratorberechtigungen eines Benutzers.

Gilt für: Hyper-V Server 2019

So blockieren Sie Virtualisierungsdienste

Von Bedeutung

• Bevor Sie diese Änderungen in einer Produktionsumgebung vornehmen, testen Sie sie in einer Laborumgebung. Dieser Schritt trägt dazu bei, sicherzustellen, dass die Änderungen (insbesondere Gruppenrichtlinienänderungen) die beabsichtigten Ergebnisse erzeugen und keine betrieblichen Probleme verursachen.
• Stellen Sie sicher, dass Sie über Administratorberechtigungen auf den Arbeitsstationscomputern verfügen.

So wird's ausgeführt: Blockieren der Hyper-V-Funktion auf einem einzelnen Computer

1. Öffnen Sie auf dem Computer ein Windows PowerShell-Verwaltungsfenster.

2. Führen Sie die folgenden Cmdlets in Sequenz aus:

   Disable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V-All
   bcdedit /set hypervisorlaunchtype off
   

   Das erste Cmdlet entfernt Hyper-V aus der Gruppe der verfügbaren optionalen Features. Das zweite Cmdlet verhindert, dass Hyper-V ausgeführt wird.

Verwenden von Gruppenrichtlinien zum Blockieren von Hyper-V Diensten auf mehreren Computern

Führen Sie die folgenden Schritte aus, um eine entsprechende Richtlinie zu konfigurieren:

1. Navigieren Sie in der Gruppenrichtlinien-Verwaltungskonsole (Group Policy Management Console, GPMC) zu einem bestehenden oder erstellen Sie ein neues Gruppenrichtlinienobjekt (Group Policy Object, GPO), das für die betroffenen Computer gilt.
2. Klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinienobjekt, und wählen Sie dann "Bearbeiten" aus. Wählen Sie im Gruppenrichtlinien-Editor Computerkonfiguration>Windows-Einstellungen>Sicherheitseinstellungen>Systemdienste aus.
3. Konfigurieren Sie jeden Dienst, der sich auf Hyper-V bezieht (z. B. Hyper-V Verwaltung virtueller Computer). Führen Sie für jeden dieser Dienste die folgenden Schritte aus:
   1. Klicken Sie mit der rechten Maustaste auf den Dienst, und wählen Sie dann "Eigenschaften" aus.
   2. Wählen Sie im Dialogfeld "Eigenschaften " die Option " Diese Richtlinieneinstellung definieren" aus, wählen Sie "Deaktiviert" und dann "OK" aus.
4. Um die Richtlinienänderung zu verteilen, starten Sie alle Zielcomputer neu.

Weitere Informationen zur Verwendung von Gruppenrichtlinien finden Sie unter "Erweiterte Gruppenrichtlinienverwaltung".

Verwenden von Gruppenrichtlinien zum Blockieren von VMware Workstation-Diensten

Führen Sie die folgenden Schritte aus, um eine entsprechende Richtlinie zu konfigurieren:

1. Navigieren Sie in der Gruppenrichtlinienverwaltungskonsole zu einem Gruppenrichtlinienobjekt oder erstellen Sie eines, das für die betroffenen Computer gilt.
2. Klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinienobjekt, und wählen Sie dann "Bearbeiten" aus. Wählen Sie im Gruppenrichtlinien-Editor "Computerkonfiguration>Richtlinien>Windows-Einstellungen>Sicherheitseinstellungen>Systemdienste" aus.

Führen Sie die folgenden Schritte aus, um zu verhindern, dass Benutzer VMware Workstation ausführen:

1. Erstellen einer Pfadregel in Softwareeinschränkungsrichtlinien:

   1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole, und wechseln Sie zu >Computerkonfiguration>Richtlinien>, dann Windows-Einstellungen>Softwareeinschränkungsrichtlinien.
   2. Wenn keine Softwareeinschränkungsrichtlinien vorhanden sind, klicken Sie mit der rechten Maustaste auf "Softwareeinschränkungsrichtlinien", und wählen Sie dann "Neue Softwareeinschränkungsrichtlinien" aus.
   3. Klicken Sie mit der rechten Maustaste auf "Zusätzliche Regeln", und wählen Sie dann " Neue Pfadregel" aus.
   4. Geben Sie im Feld "Pfad " den Pfad zu den ausführbaren VMware-Dateien an (z. B. "C:\Programme (x86)\VMware\", oder geben Sie den Pfad zu bestimmten .exe Dateien ein).
   5. Wählen Sie "Sicherheitsstufe" und dann " Nicht zulässig" aus.
   6. Wählen Sie OK aus.

2. Um die Richtlinienänderung zu verteilen, starten Sie alle Zielcomputer neu.

Weitere Informationen zur Verwendung von Gruppenrichtlinien finden Sie unter "Erweiterte Gruppenrichtlinienverwaltung".