Tiro

Nimm den Process Monitor aus der Sysinternals Suitem aktiviere das Boot-Logging und starte neu. Dann stellst Du die Ansicht auf "process tree" um und siehst was die meiste Zeit beim Bootvorgang verbraucht hat. Obacht: der Process Monitor muss nach dem Booten manuell angehalten werden, sonst läuft er "bis Platte voll".

Mit der Eigenschaft "LastAccessTime" unter PowerShell sollte es funktionieren. Ist dann ein Einzeiler. "Get-childItem, | Where-objec | Remove-Item"

Ich schätze das ist die Anlaufstelle für über Gruppenrichtlinien zugewiesene (published) Programme für Benutzer. Getestet habe ich das noch nie. Software übers AD habe ich stets nur für die frisch aufgenommenen Rechner zugewiesen. Aber auch das war mehr so eine Verzweiflungslösung gewesen. ;-)

Nur so nebenbei: In so ein Image macht man keine Antivirus-Software rein. Die zickt immer rum. Wenn die Rechner eh permanent neu aufgesetzt werden, dann würde ich noch nicht einmal Windows aktivieren. Ansonsten gehe ich mit Youkai zu 100% "D'accord" ;-)

Dann schau mal in der Ereignisanzeige, ob es zum Startzeitpunkt noch weitere Fehlermeldungen gibt. Besonders in den Anwendungs- und Dienstprotokollen unter "Backup".

Und was hast Du ausprobiert? Nicht das wir dir das nochmal vorschlagen. ;-) Evtl. ist der Index unter C:\ProgramData\Microsoft\Search\Data defekt?

where-object {$_.lastwritetime -lt $DatumVor7Tagen -and $_.psiscontainer} sollte das Problem lösen (ungetestet ;-) )

LAPS könnte Dein Problemchen lösen.

Da Du den WDS bereits hast erweitere ihn schlicht um das Microsoft Deployment Toolkit (kostenlos). Das erspart Dir auf lange Sicht Zeit und Nerven. ;-)

Aha, "bounderies" vergessen ;-)

Ich habe meine Testumgebung damals nach dieser Anleitung aufgesetzt.

ich würde es eher mit dem WDS Server probieren. ;-)

Ich halte es so: keine Personal-Vermittler in den Kontakten (mehr), denn weder will ich meinen Chef auf dumme Gedanken kommen lassen, wenn ich Headhunter als neue Kontakte habe, noch mich als potentielle "Ware" dieses Berufszweigs verwenden lassen. Melden dürfen die sich gern, aber auch bei Interesse meinerseits werden die kein Kontakt. Die besseren haben auch kein Problem damit, wenn ich mit dem "Chef"-Argument komme. ;-)

Dann versuche doch mal die telefonische Aktivierung über die kostenlose Nummer. Zu 99% hat das bei mir bisher stets funktioniert.

In einer Domäne brauchst Du prinzipiell gar nichts machen außerdem dem DC mit der PDC-Emulator-Rolle einen externen NTP-Server anzugeben. Für die weitere Synchronisation sorgen die DCs und das AD dann im Allgemeinen von selbst.

das MDT kann so einfach sein :-)

welches OS rollst Du aus? welche MDT-Version? für win10 benötigst Du MDT 2013 Update 2 und das aktuelle ADK stehen alle Treiber zur Verfügung? Nach welcher Anleitung hast Du Dein MDT aufgebaut?

Das von https://social.technet.microsoft.com/Forums/windows/en-US/2d03e17d-c2ea-4d19-bf32-7db2e9975251/how-make-sysprep-promt-to-enter-a-computer-name?forum=itprovistadeployment sollte tun: Ich empfehle weiterhin gebetsmühlenartig das MDT. ;-) Aber anscheinend stehen die ganzen WDS-Nutzer auf "Schmerzen" - LOL

Da die Rechner doch sicher eh der Domäne beitreten (?) würde ich das über die Gruppenrichtlinien umsetzen. Du kannst über Policy die Abfragezeit, wann sich der Client am WSUS melden soll, ja auf 1 h runtersetzen. Dann hast Du nicht den Standardzeitraum von 22h +- 20% (wenn mein Erinnerung nicht trügt)

Zu welchem Zeitpunkt willst Du die Updates installieren?

Danke für die Rückmeldung. Manchmal braucht es ja nur einen Schubs zur Lösung. *bg*

Ich interpretiere die zufällige Zuweisung der Standarddrucker mal als unterschiedliche schnelle Abarbeitung der GPOs gemäß: letzte GPO gilt. Als einzigen Weg sehe ich gegenwärtig nur ein VBS-Skript, welches als letzte GPO läuft und dort final den jeweiligen Standarddrucker setzt. (PowerShell bringt erst mit Windows 8 Commandlets für Drucker mit.) Die vielen If-then machen das Skript vermutlich die Verarbeitung auch langsam.

Manchmal ist man wie vernagelt: :-) mit Windows Server 2012 (R2) gibt es Dynamic Access Control (DAC). Damit kann man sogar den Zugriff nur von bestimmten Rechnern aus erlauben.

Man kann z.B. ein eigenes AD virtualisieren und das schrittweise ausbauen: Deployment aufbauen, Mailserver etc. Auch mal die Linux-Welt anschauen: Samba, LDAP. Wie kann einem langweilig sein? :-)))

Wie wäre es mit einem Veracrypt-Container?