Jump to content

daabm

Expert Member
  • Content Count

    3,573
  • Joined

  • Last visited

Community Reputation

295 Excellent

6 Followers

About daabm

  • Rank
    Expert Member
  • Birthday 01/16/1967

Webseite

Recent Profile Visitors

3,490 profile views
  1. "Not enforced" ist genauso Standard wie "gpupdate" ohne /force... Edit: Da werden gerne auch mal alle GPOs erzwungen, und dann wundert man sich über die umgedrehte Vererbungsreihenfolge...
  2. GPOs unwirksam zu machen ist das eine. Die zugehörigen Reg-Keys zu überprüfen ist das andere - wenn die nicht per GPO gesetzt wurden, verschwinden sie durch das Entfernen der GPO auch nicht wieder... Da ist Forensik angesagt, und da kann ich per Forum nicht wirklich helfen. Dein Event hat damit eher nichts zu tun.
  3. Der Explorer verhält sich da nicht hanebüchen, sondern "as designed". Kann man umgehen mit der Elevated-unelevated-factory (dann läuft er fröhlich durchaus als Admin), aber das ist dann eine Support-Grauzone. Oder man verwendet generell nicht die Builtin-Admins, sondern erstellt passende Delegationsgruppen mit entsprechenden Rechten - dann ist UAC auch raus. UAC ist eh kein Security Feature, sondern nur "Convenience" (behauptet MSFT)...
  4. Ich würde das nie per Batch machen - zu unflexibel Wir haben mal ein Skriptframework gebaut, das über firmeneigene AD-Attribute und Kontaktobjekte im AD IP- und Netzwerkdrucker konfiguriert (in jede erdenkliche Richtung - inkl. benutzerdefinierter Templates für Standarddruckeinstellungen bei IP-Direktdruck). Mit WMI geht das alles recht problemlos. Nur ist das Verarbeiten der WMI-Ausgaben in Batch eher "Krampf", das geht besser in VBS und noch besser in Powershell. Und wenn Du nicht so viel selbst skripten willst, lohnt sich vielleicht mal ein Blick in C:\WINDOWS\System32\Printing_Admin_Scripts - kann man auch kopieren und adaptieren.
  5. Warum sollte da jemand Schindluder treiben können? Wir haben ein Multimandaten-AD mit über 1000 Mandanten, die können da natürlich auch per dsa.msc/gpmc.msc zugreifen. Jeder sieht nur, was er sehen soll, und er kann nur ändern, was er ändern können soll. Wenn ein Nicht-Admin Schreibzugriff auf AD-Objekte hat, dann habt ihr ganz am Anfang schon was falsch gemacht
  6. "Ich habe keine globalen User-GPOs" wäre hier - siehe Jan - eine Aussage, die ich erst mal überprüfen würde. rsop.msc würde ich allerdings nicht verwenden, das ist seit 16 Jahren "deprecated"
  7. Ich kenne das Format Deines Inputs nicht - aber Export-Csv ist nur dann geeignet, wenn es Objekte erhält mit Properties, die "einfache" Inhalte haben. Einfach heißt "keine Arrays, keine embedded Objects" etc. Dazu solltest Du analysieren, was am Ende Deiner Pipe-Rutsche nach "Select-Object -ExpandProperty innerText" herauskommt. Das muß vermutlich erst mal etwas aufbereitet werden.
  8. Wer auf Nummer Sicher gehen will, ändert den DefaultSD für groupPolicyContainer https://sdmsoftware.com/tips-tricks/modifying-default-gpo-permissions-creation-time/
  9. Ich frage mich, ob "Unterordner von Projekt 1 lesen, aber das Projekt 1 selbst nicht" sinnvoll zu begründen ist. "Keep it simple" wäre meine Devise.
  10. Da gibt es so lustige GPO-Einstellungen, die im Ergebnis dafür sorgen, daß das User-Profil immer nur ein Wegwerf-Profil ist und jedesmal neu erstellt wird. Da würde ich auch mal anfangen zu forschen.
  11. Ich bin berühmt und gefürchtet für meine spontan-kurzen, aber meist treffsicheren Minimalhinweise
  12. Ja wenn Du nur das im File haben willst, warum gibst Du dann nicht auch genau das in das File rein? Vergleiche mal Zeile 3 und Zeile 4/5 von deinem Sample Code - vielleicht fällt es Dir ja selber auf (Spoiler: Zeile 3 macht die Bildschirmausgabe)
  13. Bei RDS-Hosts ist das seit Jahrzehnten das selbe. Falsche lokale Security und der Host ist owned. Das gilt grundsätzlich identisch für Clients. Und zwar mit oder ohne Fast User Switching. Security by obscurity ist halt oldschool, Security by design wäre aktuell
  14. Dann finde raus, welches Anmeldeskript da hängen bleibt.
  15. PCs in Gruppen schieben reicht nicht. Die PCs müssen in einem SOM liegen, der von der GPO abgedeckt wird. SOM? Scope of Management - Domäne, Site oder OU. Irgendwo im OU-Pfad nach oben vom PC aus (nicht von der Gruppe aus) muß die GPO verlinkt sein. Und zu "verschiedenste Regularien - nichts weltbewegendes" hab ich eine völlig andere Meinung. Nichts ist schwieriger, als "verschiedenste Regularien" zu erfüllen. Kein Werkzeug ist dafür geeigneter als GPOs - aber "nichts weltbewegendes" ist das auf keinen Fall. Nicht mal für mich.
×
×
  • Create New...