Windows Group Policies Probleme

[pulsargranular]

Es treten bei Windows-Usern typischerweise bei gemanagten Maschinen (PAW=Privileged Access Workstations) immer wieder Berechtigungsprobleme («Group Policies error») auf.

• Python Skripte von externen Modulen, z.B. pytest oder jupyter können nicht ausgeführt werden
• deswegen funktionieren auch gewisse Jupyter-Magics nicht (etwa %%pytest)
• eine manuelle Anpassung der PATH Environment-Variable ist ebenfalls nicht möglich

Das führt dazu, dass die Kursteilnehmer keine brauchbare Entwicklungsumgebung aufbauen können.

[pulsargranular]

Zur Beantwortung dieser Frage wurde ein Ticket erstellt: [ID#18864993] Group-Policies blockieren die Ausführung von Python

Stand der Dinge:

• Die zuständige Group-Policy heisst: ID-ZO-CLIENT-PRD-AppLocker
• Sie wurde im Rahmen von PAW auf zahlreichen gemanagten Rechnern aktiviert.
• Standardmässig ist nur das Verzeichnis c:\APPS für eigene Applikationen freigeschaltet.
• Wenn man Python mit dem Windows Store installiert, werden Skripte sandbox-mässig in dieses Verzeichnis geschrieben:

c:\users\username\appdata\local\packages\pythonsoftwarefoundation.python.3.11_qbz5n2kfra8p0\localcache\local-packages\python311\scripts

• die PATH Variable lässt sich auf User-Ebene (nicht auf System-Ebene) anpassen.
• Wenn man Python mit dem Installer von python.org installiert (nur mit Admin-Rechten), werden Skripte standardmässig hier installiert:

C:\Users\username\AppData\Local\Programs\Python\Python313\Scripts

• die PATH Variable kann bei der Installation direkt angepasst werden

• mit Baramundi wird Python in C:\Program Files geschrieben. Also eigentlich am falschen Ort.

• pip ist nicht ausführbar (nur als Administrator)

FAZIT bisher

PAW stellt beim aktuellen Stand der Dinge die Entwicklung und Verteilung von eigenen Skripts ganz grundsätzlich in Frage.

[pulsargranular]

Mittlerweile haben sich endich ein paar Dinge getan:

• Python (latest) per Baramundi installieren
• damit lassen sich jetzt auch moderne Tools wie uv installieren
• Python-Skripts lassen sich generell mit pip auch global installieren
• globale Skripts werden standardmässig unter C:\Program Files\Python313\Scripts abgelegt. Dieser Ordner ist nun freigegeben
• unter \Users\[username]\dev kann frei entwickelt werden, die Ausführung aller Skripts ist unter diesem Verzeichnis ebenfalls freigegeben (analog zu C:\APPS)
• virtuelle environments und andere Python Versionen lassen sich so installieren
• virtuelle environments lassen sich unter CMD-shell aktivieren (.venv\Scripts\activate.bat)
• keine manuelle Anpassung von PATH oder PYTHONPATH notwendig, alles läuft wie erwartet

Momentan ausstehende Blocker (wird hoffentlich am 4.2.2026 gelöst):

• virtuelle environments können noch nicht unter PowerShell aktiviert werden (Ausführung von .venv\Scripts\activate.ps1 wird von PAW GroupPolicies verhindert)
• typischerweise geschieht dies, wenn in VS Code in einem Projekt mit einer virtuellen Umgebung ein Terminalfenster geöffnet wird
• noch unklar, ob die angepassten Policies bereits ID-weit aktiviert wurden oder ob noch «politische» Diskussionen notwendig sind

Abgesehen davon scheint es mit den geplanten Änderungen möglich, auch mit PAW-aktivierten Maschinen mit wenigen Einschränkungen eine Entwicklungsumgebung aufzubauen.