Verteilen von Microsoft Office 2016 MAK über Gruppenrichtlinien

Bevor es losgeht

Nicht jeder hat eine professionelle Softwareverteilung im Einsatz, manche müssen sich noch auf altem Wege behelfen und Software über Gruppenrichtlinien verteilen. Auch wenn ich schon lange nichts mehr gepostet habe, habe ich mir doch gedacht, dass ich das Stück Arbeit und meine Erkenntnisse doch mal wieder teilen könnte. Was ich so gesehen habe, gibt es noch nicht allzuviele Dokumentationen, die sich mit dem Thema befassen, Office 2016 per GPO-Script zu installieren.

Dabei gibt es doch einige Stolpersteine, die man erkennen muss, damit Office korrekt installiert. Um diese Stolpersteine für mich auszumachen, musste ich einige Testläufe durchgehen. Hier nun das Ergebnis. Sammeln wir ersteinmal eine Bestandliste, was haben wir und was brauchen wir?

• Das Setup mit der Setup.exe von Microsoft aus dem Lizenz-Portal: https://www.microsoft.com/Licensing/servicecenter/default.aspx
• Ebenfalls aus diesem Portal benötigen wir den MAK (Multi-Activation-Key), also einen Volumenlizenz-Key, der für alle Installationen verwendet werden soll
• Wir benötigen die Deinstallations-Skripte, da in meinen Testläufen die Deinstallation über die Setup.exe (alle alten Office Versionen entfernen) nicht immer vollständig funktioniert hat. Dafür gibt es extra Sammlungen: https://support.office.com/en-us/article/Uninstall-Office-2016-Office-2013-or-Office-365-from-a-PC-9dd49b83-264a-477a-8fcc-2fdf5dbf61d8?ui=en-US&rs=en-US&ad=US&fromAR=1
• Office 2016 Administrative Template files (ADMX/ADML) and Office Customization Tool https://www.microsoft.com/en-us/download/details.aspx?id=49030 > Laden und Entpacken für x64 und x86, in meinem Fall 32bit also x86

Was natürlich ebenfalls vorhanden sein muss, ist eine Windows-Domäne, in der die erfolgreich Gruppenrichtlinien verarbeitet werden und eine Netzwerkfreigabe, in der das Setup abgelegt wird und somit vom Computerkonto erreichbar sein muss. Ein paar Fähigkeiten im Schreiben oder wenigstens im Verstehen von Batch-Scripten wäre hilfreich um ggf. Anpassungen vorzunehmen.

Setup vorbereiten

Wir legen das 32-Bit-Setup für Office 2016 in unserem Share ab, z. B.
\\Server\Share$\Office2016\32bit

Darin enthalten  sein sollte die "Setup.exe", viele Ordner die im deutschen z. B. "outlook.de-de" und "word.de-de" heißen und zudem ein anderer wichtiger Ordner namens "admin".

Anschließend entpacken wir die x86-EXE vom OCT (s. oben) in einen temporären Ordner. Darin enthalten sind die aktuellsten ADMX-Dateien (meine haben das Bearbeitungsdatum 12.05.2016, also wirklich relativ aktuell), die man auf dem DC platzieren kann, um später in den GPOs Office 2016 zu konfigurieren. Zudem befindest sich wieder ein Ordner namens "admin" darin.
Diesen Ordner "admin" kopieren wir und ersetzen den Ordner \\Server\Share$\Office2016\32bit\admin und dessen Inhalte".


Somit haben wir die neueste Version des Office-Anpassungstools (OCT) hinterlegt.
Dieses rufen wir nun auch auf, um eine .MSP-Datei zu erzeugen, die die jeweiligen Einstellungen, Keys usw. im Setup mit einpflegt. Das geht so:

Wir starten ein CMD mit erweiterten Adminrechten. Im Explorerfenster unter \\Server\Share$\Office2016\32bit klicken wir "Shift + Rechte Maustaste" auf die "Setup.exe" und wählen im Kontextmenü "als Pfad kopieren" und fügen diesen in der Admin-CMD ein. Wir erweitern den Pfad um den Schalter "/admin", so dass es in der CMD in etwa so aussieht:

"\\Server\Share$\Office2016\32bit\setup.exe" /admin

 Mit Enter Bestätigen und es sollte das OCT aufgehen und man kann eine neue "Setupanpassungsdatei" erstellen.


Die meisten Seiten sind selbsterklärend. Ich gehe die wichtigen Optionenim Schnelldurchgang durch:

• Standarddateitypen > Würde ich auf Office Open XML-Formate stellen, dieses Setting kann man im Nachhinein nicht per GPO verteilen/ändern, soweit ich das weiß, d. h. jeder User würde beim ersten Start gefragt werden, was er da möchte
• Name der Organisation und Programmpfade erklären sich von selbst.
• Nächste interessante Seite ist die Lizenzierung. Hier geben wir unseren MAK ein, stimmen den Lizenzbedingungen zu und stellen die Anzeigeebene auf "Keine".
• Frühere Installationen entfernen  > das will man als Admin in der Regel eigentlich. Im Netz habe ich gelesen, man sollte hier nicht das "Standardinstallationsverhalten" auswählen, sondern manuell jedes Programm einzeln auf Entfernen setzen. Ich warne hier bereits vor, dass jedoch auch diese Routine nicht sehr zuverlässig arbeitet!
• In den Setup-Eigenschaften fügen wir folgende Werte hinzu "HIDEUPDATEUI" mit dem Wert "True" und "SETUP_REBOOT" mit dem Wert "NEVER". Wir steuern den Reboot später selber
• Den Rest könnt Ihr machen wie ihr wollt, speichert nach Abschluss die MSP im Hauptverzeichnis der Installation unter dem Namen "setup32bit.MSP", also da wo auch die Setup.exe liegt ab.

Hinweis, wer später die Antwortdatei ändern möchte, kann das Setup wieder mit "/admin" starten und danach einfach die vorhandene MSP-Datei auswählen und die Einstellungen verändern.

Damit könnten wir theoretisch schon das Setup "silent" durchlaufen lassen, d. h. ohne Userinteraktion. Leider gibt es wie erwähnt Stolperstellen:

• Früher konnte man mit der MSP auch die Aktivierung der Office Installation durchführen. Das klappt in Office 2016 leider nicht mehr. Viele andere Wege führen aber zum selben Ergebnis, ich habe mich nach mehreren Fehlversuchen dazu entschieden, es manuell im Installationsscript zu starten. Das funktioniert garantiert und zwar durch den Aufruf der Datei "OSPP.VBS", die Microsoft von Hause aus mit ausliefert. In der Theorie sollte man dieses Script auch innerhalb der MSP aufrufen können, hat aber bei mir ebenfalls nicht funktionieren wollen. Deswegen der händische Aufruf und den kann ich nur jedem ans Herz legen!
• Die Deinstallation alter Office-Versionen hat in meinen Tests nicht zuverlässig geklappt, manchmal blieben Dateileichen übrig, ich wollte aber eine saubere Bereinigung, ohne dabei die Einstellungen der User zu verlieren

Deinstallation alter Versionen vorbereiten

Bei mir ist der interne Entfernungsautomatismus für alte Office-Versionen einige Male auf die Nase gefallen, deswegen habe ich ihn manuell im Script angestoßen. Dafür gibt es, wie oben bereits angesprochen diese Seite von Microsoft:
https://support.office.com/en-us/article/Uninstall-Office-2016-Office-2013-or-Office-365-from-a-PC-9dd49b83-264a-477a-8fcc-2fdf5dbf61d8?ui=en-US&rs=en-US&ad=US&fromAR=1

Dazu muss man aber abschätzen können: von welchem Betriebssystem möchte ich welche Version von Office deinstallieren. Je nachdem unterscheiden sich die Scripte. Bei uns gab es im Haus bislang nur die Office 2010 Home and Business Versionen (ein Key pro Computer), sowie die Home and Business von Office 2013, welche sich aber extrem von ihrem Vorgänger unterscheidet.

Ab 2013 liefen diese Installationen nämlich als sog. "Click-to-Run"-Setups. Man hatte als Admin keine Möglichkeit die Updates für diese Versionen zu steuern, das machte das System im Hintergrund automatisch per "Stream". Für kleine Unternehmen ganz toll, für mich als Admin nicht. Das war einer von vielen Gründen zu den teueren Volumenlizenzen zu welchseln.

Diese beiden Versionen muss ich nun also bei meiner Deinstallationsroutine beachten. Für Office 2010 kann man die Deinstallationsroutine hier beziehen bzw. hier der Direktlink: http://go.microsoft.com/?linkid=9824112. Für Office 2013 bitte das "Easy fix tool" beziehen, sollte auch direkt hier gehen: http://aka.ms/diag_officeuninstall. In beiden Fällen sollte dabei eine sog. .Diagcab herauskommen. Diese Diagcab kann man entweder doppelklicken oder mit einem Zip-Programm entpacken. Dann sieht man auch, dass das eigentlich eine Art Scriptsammlung ist, die man wiederum hervorragend in einem Installations/Deinstallationsscript einbinden kann.


Wir erzeugen im Hauptordner mit der Setup.exe einen neuen Ordner namens "remove-auto" und packen den Inhalt dort hinein. Für Office 2013 in der Click-to-run-Ausführung ist das das Script "OffScrubc2r.vbs" zuständig, für die "normale" MSI-Installation ist es "OffScrub_O15msi.vbs".

Welche Version ihr habt, seht ihr daran, dass Click-to-run z. B. seine EXE-Dateien unter "C:\Program Files\Microsoft Office 15\root\office15\" (bzw. im Program Files (x86)) liegen hat, während eine normale Installation den Pfad "C:\Program Files\Microsoft Office\Office15\" (bzw. Program Files (x86)) nutzt.


Wer Office 2010 auch entfernen will, sollte sich im Ordner "remove-auto" einen Unterordner erzeugen, bei mir heißt er einfach "2010". Dort kommen die Scripte aus der entzippten Diagcab von 2010 (s. Link oben) rein. Das verwendete Script lautet hier "OffScrub10.vbs". Dieses Script auf dem PC nach ggf. vorhandenen Verknüpfungen zum alten Office 2010 zu suchen und diese zu entfernen. Das dauert aber ewig und ich habe deswegen folgende Zeilen entfernt:
Zeile 1571 (If NOT fSkipSD Then) bis inkl.
Zeile 1615 (Err.Clear).  Ihr findet das überarbeitete Script im Download unter "remove-auto".

Verteilung über das Installationsscript (Erklärung)

Das Script seht ihr hier, ihr könnt es natürlich auch downloaden. Kopiert es in eine leere Text-Datei, speichert diese als "InstallOffice2016silent.bat" ab und öffnet sie am besten mit Notepad++, damit ihr eine Syntax-Hilfe habt. Ich gehe die Punkte Schritt für Schritt durch und halte mich an die Zeilennummerierung.

1:  :: Installationsscript für Microsoft Office 2016 32Bit inkl. Aktivierung  
2:  :: (C) by Snakerl (https://snakerl.blogspot.com)  
3:    
4:  :: ==============================================================  
5:  :: Folgende Variablen müssen in der Regel NICHT verändert werden  
6:  :: ==============================================================  
7:  :: Pfad zum Setup  
8:  set OfficeDir=\\Server\Share$\Office2016\32bit  
9:    
10:  :: Setup für x86 oder x64 (entscheidet auch, welches Programmverzeichnis verwendet wird)  
11:  set SetupEnv=x86  
12:    
13:  :: ==============================================================  
14:  :: Beginne Prüfroutine  
15:  :: ==============================================================  
16:    
17:  :: Prüfe ob Netzwerkverbindung erreichbar ist, wenn nicht, breche ab  
18:  if not exist "%OfficeDir%" goto Ausgang  
19:    
20:  :: Wenn Setup x64 ist, soll es auf Nicht-64bit-Rechnern nicht angestoßen werden  
21:  if %SetupEnv%==x64 if %PROCESSOR_ARCHITECTURE%==x86 goto Ausgang  
22:    
23:  :: Finde heraus, welches Verzeichnis relevant ist ("Programme" oder "Programme (x86)")  
24:  if %PROCESSOR_ARCHITECTURE%==x86 if %SetupEnv%==x86 (set "ProgFiles=%ProgramFiles%")  
25:  if %PROCESSOR_ARCHITECTURE% NEQ x86 if %SetupEnv%==x86 (set "ProgFiles=%ProgramFiles(x86)%")  
26:  if %PROCESSOR_ARCHITECTURE% NEQ x86 if %SetupEnv%==x64 (set "ProgFiles=%ProgramFiles%")  
27:    
28:  :: Skippe das Script, sofern bereits Office aktiviert ist  
29:  if exist "%ProgFiles%\Microsoft Office\Office16\Lizenzstatus.txt" goto Ausgang  
30:    
31:  :: Prüfe ob Microsoft Office 2016 bereits installiert ist (Word, Excel, Powerpoint ODER Outlook)  
32:  :Precheck  
33:  if exist "%ProgFiles%\Microsoft Office\Office16\WINWORD.EXE" goto Aktivierung  
34:  if exist "%ProgFiles%\Microsoft Office\Office16\EXCEL.EXE" goto Aktivierung  
35:  if exist "%ProgFiles%\Microsoft Office\Office16\POWERPNT.EXE" goto Aktivierung  
36:  if exist "%ProgFiles%\Microsoft Office\Office16\OUTLOOK.EXE" goto Aktivierung  
37:    
38:  :: Entferne Office 2013 Click-to-run silent  
39:  if exist "%ProgramFiles%\Microsoft Office 15\root\office15\WINWORD.EXE" ("%SystemRoot%\System32\cscript.exe" "%OfficeDir%\remove-auto\OffScrubc2r.vbs" ALL)  
40:  if exist "%ProgramFiles(x86)%\Microsoft Office 15\root\office15\WINWORD.EXE" ("%SystemRoot%\System32\cscript.exe" "%OfficeDir%\remove-auto\OffScrubc2r.vbs" ALL)  
41:    
42:  :: Entferne Office 2010 MSI silent  
43:  if exist "%ProgFiles%\Microsoft Office\Office14" ("%SystemRoot%\System32\cscript.exe" "%OfficeDir%\remove-auto\2010\OffScrub10.vbs" ALL)  
44:    
45:  :Install  
46:  "%OfficeDir%\setup.exe" /adminfile "%OfficeDir%\setup32bit.MSP"  
47:  Timeout 5  
48:  shutdown /r /t 10 /c "Neustart zum Abschluss der Installation von Microsoft Office 2016 (32 Bit)" /d P:4:2  
49:  timeout 60  
50:    
51:  :Aktivierung  
52:  :: Prüfen ob Aktivierungs-Datei vorhanden ist  
53:  if exist "%ProgFiles%\Microsoft Office\Office16\Lizenzstatus.txt" goto Ausgang  
54:  if not exist "%ProgFiles%\Microsoft Office\Office16" goto Ausgang  
55:    
56:  :: Aktivierung über VBS  
57:  "%SystemRoot%\System32\cscript.exe" "%ProgFiles%\Microsoft Office\Office16\OSPP.VBS" /ACT  
58:  timeout 5  
59:    
60:  :: Lese Lizenzstatus aus und schreibe in Temp die lic.txt  
61:  "%SystemRoot%\System32\cscript.exe" "%ProgFiles%\Microsoft Office\Office16\OSPP.VBS" /dstatus > "%temp%\lic.txt"  
62:  for /f "tokens=3" %%f in ('find "---LICENSED---" "%temp%\lic.txt"') do set lic=%%f  
63:  if %lic%==---LICENSED--- echo AKTIVIERT > "%ProgFiles%\Microsoft Office\Office16\Lizenzstatus.txt"  
64:  DEL /F /Q "%temp%\lic.txt"  
65:    
66:  :Ausgang  
67:  exit  

Zeile 8: Hier wird die Variable für den Setuppfad gesetzt, gebt hier den Pfad zur Setup.exe an, ohne abschließendes "\".

Zeile 11: definiert ob es eine 32-Bit-Installation oder eine "x64" also 64-Bit-Installation von Office ist.

Zeile 17 - 26: das Setup versucht herauszufinden, welche Pfade die jeweilige Installation und das aktuelle Betriebssystem das Richtige ist. Da gibt es viel zu beachten, ich habe aber hoffentlich den Großteil aller Varianten abgedeckt (x64 OS und 64 Bit Office, x64 OS und 32 Bit Office und x86 OS mit 32 Bit Office)

Zeile 29: Später im Script, wenn Office korrekt aktiviert wurde, wird im Programmverzeichnis eine Lizenzstatus.txt geschrieben. Das ist auch der Indikator, ob das Setupscript überhaupt weiter ausgeführt werden soll oder gleich beendet werden kann.

Zeile 33 - 36: Etwas schwammig, aber leider fällt mir im Moment keine besser Möglichkeit ein: Sofern das Setup durchgelaufen ist und seine EXE-Dateien abgelegt hat, gehe ich davon aus, dass es erfolgreich war. Nur die Aktivierung muss noch erledigt werden, also springt das Script bei Erfüllung der Kriterien zur Sprungmarke "Aktivierung".

Zeile 38 - 40: Office 2013 Click-to-run Uninstall-VBS-Script wird aufgerufen. Ich habe hier für mich diese Pfade hinterlegt, wer z. B. keine Office 2013 Click-to-run hat, muss das ggf. anpassen, z. B. bei einer normalen MSI-Installation von Office 2013 wäre das wie folgt:
"C:\Program Files\Microsoft Office\Office15\" (wenn OS und Office mit x64 oder OS und Office mit x86) und "C:\Program Files (x86)\Microsoft Office\Office15\" (wenn OS mit x64 und Office unter 32 Bit). Etwas tricky, ich weiß, ich hoffe ihr wisst was gemeint ist.

Zeile 43: Office 2010 MSI-Uninstall-VBS-Script wird aufgerufen

Zeile 45 - 49: Der Schlüsselmoment: die Installation wird gestartet, indem die Setup.exe mit dem Schalter /adminfile setup32bit.MSP aufgerufen wird. Die Installtion läuft, die Timeouts sind nur zur Sicherheit da. Anschließend kommt hier der Neustart, den ich in der MSP noch unterdrückt habe. Ein Neustart ist für die volle Funktionalität von erforderlich. Der Shutdown meldet sich korrekt im Eventviewer mit einem geplanten Neustart wegen der Installation einer Anwendung.

Zeile 51 - 58: Nach dem Neustart steigt man sofort wieder an dieser Sprungmarke "Aktivierung" bei Zeile 51 ein (s. Zeile 33 - 36). Es wird nochmal überprüft ob die benötigte "Lizenzstatus.txt" schon vorhanden ist und sicherheitshalber auch nochmal ob überhaupt das Verzeichnis für Office 2016 existiert. Anschließend wird mit cscript.exe das von Microsoft mitgelieferte Aktivierungsscript "OSPP.VBS" aufgerufen.

Zeile 60 - 64: Noch einmal rufen wir OSPP.VBS auf, diesmal mit /dstatus um zu gucken, ob Office aktiviert wurde. Dafür wird der Status in die Datei "%Temp%\lic.txt" geschrieben und anschließend darin nach "---LICENSED---" gesucht. Wenn das erfolgreich war, wird die Lizenzstatus.txt in das Office 2016 Verzeichnis kopiert.

Leider ist das ebenfalls eine sehr schwammige Geschichte. Es könnte sein, dass Altlasten wie Visio noch auf dem Rechner verbleiben müssen

Um einen erfolgreichen Durchlauf des Scripts zu überprüfen, gucke ich deswegen immer, ob die Lizenzstatus.txt vorhanden ist und alte Office-Pfade gelöscht wurden.

Einrichten der GPO

Am Ende, wenn man das Ganze erst einmal händisch getestet hat, kann man es per GPO auf seine Test-Clients loslassen. Das geht z. B. so:

• Gruppenrichtlinienverwaltung in der MMC öffnen
• Neues Gruppenrichtlinienobjekt erzeugen z. B. mit dem Namen "InstallMSOffice2016"
• Die GPO bearbeiten, unter "Computerkonfiguration > Richtlinien > Windows-Einstellungen > Skripts (Start/Herunterfahren)" den "Start" auswählen, im Reiter "Skripts"auf "Hinzufügen", Skriptname auf "Durchsuchen" und im nun erscheinenden Explorerfenster "\\domain.local\SysVol\domain.local\Policies\{GPO-ID}\Machine\Scripts\Startup" das Script hinverschieben und anschließend Doppelklicken. Nun ist es als Startup-Script hinterlegt.
• WICHTIG: Im Gegensatz zu anderen kleinen Installationen dauert die Deinstallation und Installation von Office relativ lange. Deswegen bitte unbedingt die Wartezeit für Gruppenrichtlinienskripts erweitern. Das geht unter "Computerkonfiguration > Richtlinien > Administrative Vorlagen > Maximale Wartezeit für die Gruppenrichtlinienskripts angeben". Für unsere PCs sind hier 20 Minuten ausreichend, also der Wert "1200". Ggf. muss dieser aber noch hochgesetzt werden, bitte testen!
• GPO auf die OU mit meinen Test-Rechnern verlinken
• Unter "Bereich" der Install-GPO würde ich eine neue AD-Gruppe hinterlegen, mit Clients, die Office 2016 installiert bekommen sollen.
• Neue GPO für die User-Einstellungen (falls benötigt und gewünscht, die Konfiguration für die Benutzer werde ich hier aber nicht beschreiben).

Das wars auch schon, ging doch schnell oder? ;) Und hier noch das Ganze als Download:

Download ZIP