Drucker-Zuordnung an verschiedenen Standorten

[sg08234 10]

Meine Domäne hat walking users (roaming profiles). Die Netzwerkdrucker ordne ich per GPP zu (Benutzerkonfiguration | Einstellungen | Systemsteuerungseinstellungen | Drucker). Der erste "Drucker" ist "Alle löschen".

 

Die Benutzer arbeiten an zwei Standorten (gleiche Domäne mit unterschiedlichen IP-Adressen (primary und secondary domain controller)) und sollen abhängig von dem Standort des Clients nur die Drucker zugeordnet bekommen, die an dem jeweiligen Standort verfügbar sind. Ich kann die Zuordnung zwar per Zielgruppenadressierung über die IP-Adressen steuern, aber beim Wechseln des Standortes haben die Benutzer die Drucker beider Standorte in der Drucker-Ansicht.

 

Ich nehme an, dass die GPP nicht "zieht": Nach einem gpupdate/force sind die Drucker wie gewünscht zugeordnet. Ich habe mir erst einmal beholfen, indem ich gpupdate/force in das Logon-Skript integriert habe, finde das aber nicht so elegant, weil dann während des Logons noch einmal alle GPOs/GPPs durchgeackert werden.

 

Gibt es einen besseren Weg?

 

Vielen Dank
Michael Rocholl

[lefg 276]

Moin,

 

in unserem Verwaltungsbereich, verteilt über 15 Standorte im Lande, werden die Drucker im AD veröffentlicht. Und die Benutzer müssen sich die benötigten Drucker selbst auswählen, das verlangt die Geschäftleitung ganz einfach von den intelligenten und hochbezahlten Mitarbeitern.  Die können auch die bebilderte Anleitung dazu lesen.

bearbeitet 22. Juli 2016 von lefg

[Sunny61 773]

Hast Du denn mal genau nachgelesen was /force macht? Nein? Dann hol das bitte nach.

 

Wie genau werden die Drucker zugeordnet? Aktualisieren oder Erstellen? Löscht du die falschen auch wieder?

[sg08234 10]

lefg: ich würde Ihnen gerne die Aufgabe übertragen, meine Geschäftsleitung zu überzeugen :-)

 

Sunny61:

 

Hast Du denn mal genau nachgelesen was /force macht? Nein? Dann hol das bitte nach.
gpupdate.exe wird häufig mit dem Schalter /force aufgerufen, der bewirkt, dass alle Einstellungen erneut angewandt werden, auch wenn sich im Active Directory nichts verändert hat. Diese Option führt außerdem dazu, dass zusätzlich ein Foreground Refresh ausgelöst wird. Wenn aber Aktionen wie die Installation von Software anstehen, die nur während des Systemstarts oder des Anmeldevorgangs ausgeführt werden können, dann verlangt gpupdate.exe nach einem Reboot bzw. einem erneuten Logon.

Welchen Denkfehler mache ich bei dem Einsatz von gpupdate /force?

 

Vielen Dank!

 

Wie genau werden die Drucker zugeordnet? Aktualisieren oder Erstellen?

Aktualisieren. Um ehrlich zu sein: Den Unterschied zwischen Aktualisieren oder Erstellen habe ich nicht wirklich verstanden

 

Löscht du die falschen auch wieder?

Das sollte nach meinem Verständnis der erste "Drucker" = "Alle löschen" machen

[NorbertFe 1.799]

Force ist oft überflüssig, weils eben falsche Erwartungen weckt. ;) hast du Änderungen am gpo vorgenommen werden die auch ohne Force angewandt. Hast du keine Änderungen vorgenommen bewirkt ein Force das erneute anwenden aller Gpos. Nur warum sollte man das im "Normalfall" wollen? Abgesehen davon verdeckt die Verwendung von /Force oft genug auch Probleme, die man ansonsten durchaus erkennen könnte. Deswegen nicht immer gleich wegen des martialischen namens /Force nutzen, wenn es im allgemeinen auch einfach ohne funktionieren muss.

[Sunny61 773]

Bei den Druckern kannst Du schön zuschauen. Geräte und Drucker öffnen, eine cmd.exe öffnen und ein gpupdate /target:user [ENTER] absetzen. Die Drucker sollte jetzt alle gelöscht werden, und die neuen sollten wieder installiert werden. All das siehst du live. ;)

 

Das GPO dürfen auch Computer lesen? http://www.gruppenrichtlinien.de/artikel/sicherheitsfilterung-neu-erfunden-ms16-072-patchday-14062016/

[sg08234 10]

Mein Verständnis: /force zwingt den Client, alle GPOs/GPPs auszuführen, auch wenn sie nicht verändert wurden. In meinem Fall also das erforderliche "Drucker löschen" als Erster in der Drucker-GPP, was sonst nicht geschieht, da die GPP nicht verändert wird.

 

Nach einigem (weiteren) Nachdenken nehme ich aber an, dass mein Kardinalfehler die Definition der Drucker-GPP als benutzerkonfigurierte Einstellung ist. Da mein Ziel aber ist/war, die Drucker standortspezifisch zuzuordnen, denke ich, dass ich die Drucker-GPP als computerkonfigurierte Einstellung definieren muss. Damit sollte auch das "künstliche" gpupdate/force entfallen können, da diese Einstellung dann dauerhaft für den Client gilt, unabhängig von dem eingewählten Benutzer. Richtig nachgedacht?

 

Danke!

[NorbertFe 1.799]

Gpps funktionieren anders an der Stelle. Probier's doch einfach aus, wie dir sunny schon schrieb.

[lefg 276]

 

lefg: ich würde Ihnen gerne die Aufgabe übertragen, meine Geschäftsleitung zu überzeugen :-)

 

Nun, in unserem Fall war der Leiter der zentralen Dienste der Überzezuger, die IT ist eine Nummer zu klein. Seine Methode. verfassen einer Besonderen Anweisung (BA), die veröffenlicht im Intranet. Damit geschehen, manchmal doch nützlich.

bearbeitet 23. Juli 2016 von lefg

[sg08234 10]

Der Tipp     http://www.gruppenri...chday-14062016/    war noch einmal Gold wert (auch wenn er mit meinem aktuellen Problem nichts zu tun hat) - Danke!

 

NorbetFe: Gpupdate/force bzw. gpupdate /target:user wirkt wie beschrieben. Aber: Das Benutzer-Objekt Drucker-GPO-/GPP wird nicht angewendet, wenn der Benutzer "roamt", da das Benutzer-Objekt nicht verändert wird und somit "Drucker löschen" nicht angewendetwird. Der Benutzer erhält / behält in Folge die Drucker beider Standorte. Das muss sich nach meinen Überlegungen ändern, wenn ich aus dem Benutzer-Objekt ein Computer-Objekt mache?

[Sunny61 773]

Wir haben hier auch solche Standortgeschichten und es funktioniert immer ohne /force. Wichtig ist dabei, dass die Computerobjekte auch das GPO lesen dürfen, übernehmen tut es das Benutzerobjekt. Arbeiten die Benutzer mit mobilen Geräten? Melden sie sich ab und wieder an  oder wird nur der Bildschirm gesperrt und am anderen Standort angemeldet?

 

Wie genau sieht denn deine Zielgruppenadressierung aus? Du kannst auch mit einem WMI-Filter an der Stelle arbeiten. Dann bräuchtest Du allerdings 2 GPOs, würde der Übersichtlichkeit auch nicht schaden.

bearbeitet 25. Juli 2016 von Sunny61

[daabm 1.184]

WMI filter klappt net - der kennt keine Standorte :-) Prinzipiell macht's der TO schon richtig, der Fehler wird irgendwo im Detail stecken. RSoP nach einem gpupdate (ohne /force) könnte schon helfen. Und wenn nicht: Debug Logging der GPP Printers aktivieren...

[sg08234 10]

Sunny61: Reicht es nicht, aus dem (heutigen) Benutzer-Objekt ein Computer-Objekt zu machn?

 

daabm: Was ist TO? Wie aktiviert man das Debug Logging der GPP Printers?

 

Danke

[Sunny61 773]

WMI filter klappt net - der kennt keine Standorte :-) Prinzipiell macht's der TO schon richtig, der Fehler wird irgendwo im Detail stecken. RSoP nach einem gpupdate (ohne /force) könnte schon helfen. Und wenn nicht: Debug Logging der GPP Printers aktivieren...

Aber der WMI-Filter kennt IP-Segmente, hatte schon vor ein paar Jahren erfolgreich im Einsatz.

 

 

Sunny61: Reicht es nicht, aus dem (heutigen) Benutzer-Objekt ein Computer-Objekt zu machn?

Du willst aus dem Benutzerobjekt Müller das Computerobjekt Müller machen? Nein, das geht nicht.

 

 

daabm: Was ist TO? Wie aktiviert man das Debug Logging der GPP Printers?

Thread Opener, also Du in diesem Fall.

 

Wie aktiviert man das Debug Logging? Das herauszufinden wäre eigentlich deine Aufgabe. Suchmaschine anwerfen, Begriff eingeben, ENTER drücken.

 

http://terrytlslau.tls1.cc/2012/05/enable-logging-and-tracing-for-group.html

[sg08234 10]

Ich will aus dem Benutzerobjekt Müller das Computerobjekt Client01 machen (die Drucker soll ja standortabhängig zugeordnet werden, und der Client hat einen festern Standort).

 

Danke für den Trace-Hinweis!