Lokale Richtlinien

[wonder]

Hi,
ich habe einen Terminalserver und möchte mit den lokalen Richtlinien die Benutzerrechte einschränken. (z.B. nicht alle Desktopicons sehen usw.). Das Problem ist, das mich das als Admin genauso betrifft.

Ich habe nun gelesen, das ich nur die Registry.pol Datei im Pfad Winnt\System32\GroupPolicy\User austauschen muss (von Orginal zu veränderter bzw. umgekehrt). Das geht vom Prinzip auch, das Problem ist nur, dass ich mich nach dem Tauschen der Datei wieder ab- und anmelden muss. Unter XP soll es einen Befehl gpupdate /force geben, wo die Änderungen sofort ausgeführt werden. Mein Server ist aber Windows2000. Ich hatte nämlich gedacht, mir einfach ein Skript zu schreiben, dass mir bei meiner Anmeldung die Ursprungs-Registry.pol zuweist, und bei der Normaluser-Anmeldung die veränderte Registry.pol. Das geht aber nur wenn ich einen Befehl habe der das sofort ausführt und nicht erst bei Ab- und Anmeldung.

Hat jemand eine Lösung, bzw. eine bessere Lösung ?

[caleb79]

wieso legst du nicht einfach eine neue OU an, in der du all deine anderen Nutzer anlegst und denen du dann bestimmte Rechte gibst. Somit wird es dich dann nicht betreffen.

damit du die neuen Richtlinien schneller übernehmen kannst, gibt es den Befehl : Secedit /refreshpolicy machine_policy /enforce und Secedit /refreshpolicy machine_policy /enforce.

[wonder]

Wenn ich wüsste was eine OU ist hätte ich das eventuell getan. Kannst du mir den Begriff erklären?

Wenn das was mit Organisational units zu tun hat, dann muss man doch ein Activ Directory haben, oder? Das habe ich jedenfalls nicht.

[caleb79]

eine OU ist eine Organisationseinheit, sowas ähnliches wie eine Gruppe. Anbei eine andere Frage, hast du eigentlich ActiveDirectory(ADS) oder nur lokale Benutzer und Gruppen? Du solltest (wenn kein ADS) ActiveD. machen.

Diese OU sieht so wie die "Domain Controllers" aus, im ADS.

[wonder]

Activ Directory haben wir nicht. Das soll auch vorerst nicht eingeführt werden, das wir überwiegend noch NT-Server haben. Ein Activ Directory ist da denke ich nicht so schnell aufgesetzt, da das sicherlich reiflich geplant werden muss.

Den Befehl secedit /refreshpolicy USER_POLICY habe ich mal getestet, aber irgendwie sehe ich nicht dass etwas passiert.
Ich habe eine registry.pol in der ich alle Desktopicons ausblende und eine wo die Desktopicons eingeblendet sind. Wenn ich die Dateien tausche und im Anschluss secedit /refreshpolicy USER_POLICY /enforce eingebe bekomme ich nur eine Meldung:
Die Gruppenrichtlinien-Übermittlung wurde von der Domäne für diesen Computer iniiiert. Es dauert ein paar Minuten....

Was fordert er da wo an? Ich möchte doch nur die registry.pol nochmal ausführen.

[caleb79]

Also ohne ActiveDirectory weiss ich es gar nich wie es funzt. ich hab halt grad einen neuen Terminalserver aufgesetzt mit ADS aber nur 6 Usern, da geht das recht flink.

Sorry

[flaery]

Hallo,

Du öffnest Poledit (Start-> Ausführen-> poledit)
Dann machst du einen neue Richtlinie und erstellst alle Benutzer die du einschränken möchtest.
Nachdem du das getan hast Speicherst du die Richtlinie ab (am besten im Winnt\system32)
Anschließend klickst du auf Datei -> Registrierung öffen und gehts dort in lokalen Computer -> Netzwerk-> Aktualisierung von Systemrichtlinien-> Remoteaktualisierung und gibts dort die vorher erstellt Datei an.
Das müsste es schon gewesen sein.

Gruß Flori

[wonder]

Soweit so gut .... aber noch werden die eingestellten Einschränkungnen nicht übernommen. Ich habe die Konfigurationsschritte wie beschriben mit poledit durchgeführt. Ich habe eine neue Policy für einen Domänen-user erstellt und ihn in diesem die Desktopicons ausgeblendet. Dann habe ich die Datei unter c:\Winnt\system32\gruppenrichtlinie.pol gespeichert. Im Anschluß habe ich unter File-->open Registry --> local Computer---> Network--> Systempolicies update-->Remoteupdate-->Den Pfad c:\winnt\system32\gruppenrichtlinie.pol eingestellt. Der Update mode steht auf Automatic (Wann wird der durchgeführt?).

Was muss ich noch aktivieren?

[wonder]

Fehler gefunden: Ich mußte den Updatepfad auf manual setzen, dann gehts.

Danke