Через 5 лет после выхода десятки решил я посмотреть, что это за зверь, и насколько он может быть полезен в нелегкой сисадминской работе. К тому же рано или поздно все равно придется ее ставить.

Сразу предупреждаю, что к винде я отношусь как к рабочему инструменту. На ней должны работать программы, которые мне (бизнесу) нужны и не должно быть программ, которые мне не нужны. Если избавиться от последних невозможно или трудозатратно, их нужно нейтрализовать. Обновления я сразу решил отключить, потому что считаю, что невозможно построить стабильную инфраструктуру на операционке, в которой сегодня работает / не работает что-то одно, а завтра - что-то другое. Надо брать наиболее стабильную версию и "замораживать" ее в этом самом стабильном состоянии.

Если кто-то хочет поспорить по поводу необходимости обновлений или по поводу "вырезания ненужного", пожалуйте в соответствующий топик 2076166 (осторожно, мат). Вопросы законности или допустимости нарушения ЕУЛЫ, которая неявно запрещает отключать обновления, можно обсуждать тут.

Для экспериментов я взял версию 1909 x64 Pro N. N означает, что в ней мультимедии и скайпа. Нашел для нее lang pack 1903 october 2019 в формате appx, накатил, часть интерфейса осталась английским, но все, что нужно обычному пользователю - перевелось.

Провод в сетевой адаптер во время установки не включал, про сеть позже будет.

При установке пришлось создать учетку Микрософт, потом из-под нее создал локальную учетку, старую удалил. Каталог профиля тоже удалил.

Активировал по телефону черезуже из-под локальной учетки. Мои циферки прослушал живой человек, потом переключил меня на робота, я заслушал их циферки, вбил, винда активировалась.

Из "Программ и компонентов" удалил OneDrive, больше ничего не было.

Из компонентов виндовс удалил Work Folders Client, установил самбу 1.0 (она мне пока нужна, хоть и не безопасна)

Затем приступил к очистке всяких предустановленных "магазинных" приложений. Это делается через PowerShell.

Список приложений смотрел такУдалял по одному вот такВыявил список приложений, которые хотелось бы удалить, да низя. Это не считая Кортаны.
CloudExperienceHost
AAD.brokerPlugin
XBoxGameCallableUI
PeopleExperienceHost
ParentalControls
BioEnrollment
Store.Engagement
Narrator.QuickStart
OfficeHub
Ну и хрен с ними.

Потом я взялся за службы. Службы есть полезные, есть бесполезные, есть вредные. Каждый сам для себя решает. Мне, например, служба для записи игр и прямых трансляций не нужна, я ее отключаю, чтоб ее ненароком какая-то прога не запустила без моего ведома. Кому-то она может быть нужна.

По способу отключения службы делятся на 4 типа.

1. Просто службы. Открываешь окно свойств, останавливаешь, если она запущена, меняешь тип запуска на "Отключена".

2. Есть службы, названия которых заканчиваются пятизначным шестнадцатеричным числом. Таким службам нельзя поменять тип запуска из консоли, да это и бессмысленно, через какое-то время число может поменяться, это будет уже другая служба с тем же функционалом. Можно просто удалить эти службы из реестра. Причем надо удалять саму службу и ее двойника (без циферок). Можно в реестре поставить ей тип запуска 4 (ей и ее двойнику). Дополнительно можно отобрать у SYSTEM полные права на раздел реестра.
Я не удалял. Циферки в названиях через несколько дней поменялись, но тип запуска остался таким, каким я его поставил руками.

3. Есть службы, которые даже остановить штатно нельзя, но можно опять же пойти в редактор реестра, поменять ей тип запуска на 4 и перезагрузить комп. Например, "Центр обеспечения безопасности".

4. Есть одна служба, которую нельзя даже из реестра остановить, это служба "Защитника Виндовс". Остановку этой службы я оставил на потом, когда буду устанавливать DrWeb. Может, ее и не придется останавливать.

В принципе, со службами все просто и предсказуемо. Даже как-то смешно стало от их детских потуг помешать админу отключить службу, которая ему не нужна.

Далее - планировщик заданий.

С заданиями интересно. Есть простые задания, которые отключаются штатно. Есть задания, для удаления которых опять пришлось лезть в реестр. Есть задания, у которых неизвестен триггер (Custom Trigger), есть задания, у которых вообще нет триггера, они запускаются другими заданиями или программами. Есть задания, которые неизвестно что выполняют (Custom Handler). Нашлось задание, которое выполняется при изменении параметров запуска службы. Прикольно, да.

Удаления "неудаляемого" задания:
Само задание ищем в реестре тутКопируем его гуид, ищем по гуиду параметры задания тутЯ не стал разбираться, как отключить задание, я штатно экспортировал ненужные задания из оснастки (для архива), а потом удалял их из реестра. Удалять надо в трех местах, помимо двух упомянутых - раздел Plain.
Задания из папки UpdateOrchestrator удалились успешно и пока "сами собой" не появились.

Теперь настала пора подключить компьютер к сети.

Подготовка окружения:
В настройках Ubiquiti изолировал комп от одной уже имеющейся, но необработанной десятки. На всякий.
В файрволе микротика разрешил для определенного адреса доступ к DNS и создал еще два правила для этого адреса: рубить весь не-TCP трафик, и подвешивать (tarpit) весь TCP трафик. И конечно, писать все это в лог.

Подготовка компа:
Отключил IPv6 протокол в настройках сетевушки, адрес IPv4 (см выше) задал руками. С шлюзом и ДНС.

Включил и начал смотреть, куда винда лезет. Ничего особо интересного не обнаружил. Всего десяток адресов, Azure и Акамай. Запустил на машине netstat, обнаружил среди активных (подвешенных) подключений smartscreen.exe и SearchUI.exe. Смартскрин отключил в групповых политиках, поиск решил не отключать, а просто запретить ему выход в инет штатным брэндмауэром.

В настройках брэндмауэра в первую очередь включил режим белого списка для исходящих подключений. В принципе, этого можно не делать, а просто имеющиеся разрешающие правила превращать в запрещающие. Но я сделал все по-взрослому. Надо только иметь в виду, что для новых приложений, которым нужен доступ в инет, надо будет создать разрешающие правила. Нашел правила, касающиеся Windows Search, сделал их запрещающими. Потом мне это все надоело, и я просто прошел по всем правилам и поотключал все, что мне не нравилось. В результате уже вторые сутки винда никуда не лезет. Все, что регистрирует микротик - это широковещательные пакеты на 137 и 138 порты.

Вроде, все. Установил стандартный набор пользовательских программ, убедился, что все работает. Теперь подожду месяцок-другой, пока служба обновления "сама собой" не включится (как мне рассказывали) или активация не слетит. Потом уберу изоляцию от имеющейся "грязной" винды, потом найду кому бы этот комп поставить.

Все пользовательские приложения, требующие доступа в инет, настраиваются на работу через прокси, так что в таком режиме винда может проработать не один год. Будем посмотреть.

Это приличный треп.

И не знаешь, что она втихую делает (годами).

А, ну да. Тут можно матюкаться?

Не дождутся. Сейчас еще можно собрать новый комп и поставить на него семерку.

У них план в каждую новую версию десятки добавлять какую-то новую фичу.

Я хочу сказать, что каждые пол-года в винде обязательно должна появиться новая фича.