為所有使用者全域停用所有 Microsoft Office 宏

Question

由於流行的“locky”和類似的惡意軟體，我需要禁用巨集對於所有已安裝的微軟辦公室軟體全球的產品（Word、Excel...）任何用戶誰登入執行 Windows Server 2012 R2 的特定伺服器。

怎麼做？

伺服器不是網域控制器，因此我沒有可用的管理模板，正如我讀過的一些資源所建議的那樣。

謝謝你！

Answer 1

這可以透過群組原則並使用適當的管理範本來完成。本 HOWTO 適用於沒有 GPO 中央儲存的機器 [1]。您可以使用經典範本 (ADM) [2] 或新範本 (ADMX)。我推薦 ADMX，不僅因為它更新且沒有過時，而且主要是因為它允許您All Settings立即瀏覽 GPO。

1. 下載模板：前往https://www.microsoft.com/en-us/download並蒐索“Office 20xx 管理範本文件”，其中 xx 是您安裝的 Office 版本。
2. 將檔案解壓縮到某個暫存位置（通常是自解壓縮 exe 或 msi 套件）。以下是如何從 msi 中提取檔案 [3]。
3. 將所有 ADMX 檔案複製到%systemroot%\PolicyDefinitions\並將包含的語言檔案複製到%systemroot%\PolicyDefinitions\<appropiate_language_directory>（可能en-US）
4. 設定 GPO：
   1. 在使用者設定 -> 管理範本 -> Microsoft Office 20xx -> 安全性設定 -> 啟用停用 Office 應用程式的 VBA。
   2. [可選]您可能還想啟用停用所有 ActiveX同一分支中的選項。
   3. 前往使用者設定 -> 管理範本 -> Microsoft 20xx -> 選項 -> 安全性 -> 信任中心 -> 啟用VBA 巨集通知設定作為“禁用全部而不通知”

提示：群組原則編輯器是“gpedit.msc”

[1]https://support.microsoft.com/en-us/help/929841/how-to-create-the-central-store-for-group-policy-administrative-template-files-in-windows-vista

[2]https://superuser.com/a/1073064/440382

[3]如何從 MSI 套件中提取文件？

Answer 2

這可以透過群組原則並安裝/匯入適當的管理範本來完成。

1. 下載模板：前往https://www.microsoft.com/en-us/download並蒐索“Office 20xx 管理範本文件”，其中 xx 是您安裝的 Office 版本。
2. 將它們匯入群組原則編輯器：右鍵單擊使用者配置 -> 管理模板，然後按一下「新增/刪除模板」 -> 新增 -> 瀏覽至已儲存範本的資料夾（瀏覽至 ADM 資料夾） -> 確定
3. 全部設定好：
   1. 在使用者設定 -> 管理範本 -> 經典管理範本 (ADM) -> Microsoft Office 20xx -> 安全性設定 -> 啟用停用 Office 應用程式的 VBA
   2. 在同一分支中，選擇要停用巨集的所有產品（通常是 Word、Excel 和 Powerpoint），然後前往 Microsoft 20xx -> 選項 -> 安全性 -> 信任中心 -> 啟用VBA 巨集通知設定作為“禁用所有通知”

提示：群組原則編輯器是“gpedit.msc”