Selektive Nutzung von OneDrive in einer Domänenumgebung

Hallo Leute,
falls sonst noch jemand die Anforderung hat die Nutzung von OneDrive nur selektiv zu ermöglichen, hier eine kurze Beschreibung wie wir es mit GPOs umgesetzt haben:

Computerrichtlinie "OneDrive erlauben", hier geht es um die Integration in die Explorer.exe, die Nutzung des Sync-Clients und der Cloud-Suche. Verbieten ist in der default policy mit gegenteiligen Einstellungen, die allow policy hat eine höhere Priorität, damit sie die deny policy ggf. overrulen kann, dieses Schema gilt auch für die nachfolgenden Richtlinien. Die allow policy gilt für eine AD-Gruppe mit ausgewählten Rechnern per Sicherheitsfilterung.


Benutzerrichtlinie "OneDrive erlauben", hier geht es um die angezeigten Speicherorte in Microsoft Office Apps, durch die Bitmaske 129 werden Drittanbieterdienste und OneDrive Personal ausgeblendet, Sharepoint und OneDrive for Business sind erlaubt. Durch den EnableAppsInOutlook Registry-Key mit Wert 1 in HKCU werden Apps wie OneDrive in Outlook erlaubt. Die allow policy gilt für eine Gruppe von AD-Usern per Sicherheitsfilterung.


Die standardmäßige Benutzerrichtlinie "OneDrive verbieten" verwendet die Bitmaske 3, um nur lokale Speicherung in MS-Office Apps zu erlauben:


So können Apps wie OneDrive in Outlook (Classic) pro Benutzer abgeschaltet werden:


Zu bedenken ist, dass es die Teams App nur in Kombination mit modernen Apps wie OneDrive gibt, diese auf Streaming-Technologien basierenden Microsoft Apps können nicht mit Boardmitteln effektiv beschränkt werden, es bleibt nur die Installation bzw. Ausführung von Teams selbst zu blockieren. Auch der Zugriff über URLs wie my.sharepoint.com, *.cloud.microsoft,... ermöglicht die Nutzung von OneDrive über Umwege.