GPO Übernahme klappt nicht

[Petzifun 10]

Hallo!

 

Ich habe da Probleme bei der Übernahme einiger Richtlinien. Einige klappen andere wiederum nicht.

 

Ich versuche den Aufbau mal zu beschreiben

 

domain

+-- GPO: Default Domain Policy

+-- GPO: IE Richtlinien <- Übernahme klappt

+-- Domain Controllers

+-- Richtlinien Container <- erstellter Container für alle Richtlinien

+- Gruppe Rechner <- alle Arbeitsrechner

+- Gruppe Server <- alle Server

+- Gruppe Mitglieder <- alle User

 

Für den Richtlinien Container erstellte GPO's

+- Bildschirmschoner <- wird nicht übernommen

+- interner Updates <- wird nicht übernommen

+- lokale Admins <- Richtlinie wird übernommen

 

Warum nur die lokalen Admin übernommen werden ist mir nicht klar. Wo ist da mein Fehler? Hat das was mit der Gruppe Lokal bzw Global zu tun?

 

Auf hilfe wartend ...

 

Petzifun

[IThome 10]

Verstehe ich nicht ...

Gruppe Server, Gruppe Rechner, Gruppe Mitglieder ? Richtlinien Container ? Beschreibe, wie Deine OU-Struktur aussieht, welche Objekte sich in welcher OU befinden, wo die GPOs gelinkt sind und ob sie sicherheitsgefiltert sind ...

Ach übrigens ... Gruppenrichtlinien beziehen sich NICHT auf Gruppen (es erscheint zumindest so, als hättest Du das Konzept missverstanden) ...

[lefg 276]

Ist dafür eventuell der Loopbackverarbeitsmodus zu aktivieren?

[Petzifun 10]

Hallo!

 

Also versuche ich es mal anders zu Beschreiben.

 

Ich habe eine Domaine erstellt. Keine weiteren Standorte oder ähnliches. In dieser Domäne befinden sich ein paar Arbeitsrechner, Server und natürlich User. Die User

sind alle in einer Gruppe zusammengefasst (Gruppe Mitglieder). Das habe ich ebenso mit den Rechner und Servern gemacht (Gruppe Server, Gruppe Rechner). Auf die Mitglieder der Gruppen sollen die Richtlinien (GPO's) angewendet werden.

 

In der Domain ist eine OU erstellt worden mit dem namen "Richtlinien Container". Dort sind alle obengenannten gruppen enthalten, somit auch die Mitglieder.

 

Wenn ich jetzt meine GPO erstelle bei der OU, so sollte das ja auch angewendet werden auf die Mitglieder der Gruppen. Mit den "lokalen Admin" klappt es ja, nur die zB "IE Rcihlinien" nicht.

 

Das ist genau das was ich nicht verstehe. Eine GPO wurde übernommen, die andere nicht.

 

petzifun

[lefg 276]

Was sind das für Gruppen, Sicherheitsgruppen oder Organisationseinheiten(OU)?

 

Gruppenrichtlinien haben primär nichts mit Sicherheitsgruppen zu tun.

[Petzifun 10]

Was sind das für Gruppen, Sicherheitsgruppen oder Organisationseinheiten(OU)?

 

Gruppenrichtlinien haben primär nichts mit Sicherheitsgruppen zu tun.

 

 

Wenn ich einen rechner erstelle oder user, dann verbleibt er dort wo er standardmäßig erstellt wird. Er wird mitglied einer gruppe, die sich in der OU "Richtlinien Conatiner" befindet, eine globale Sicherheitsgruppe. Es dient nur der Übersicht sonst nichts.

 

Die GPO sollen auf die Mitglieder der Gruppen wirken.

 

 

petzifun

[lefg 276]

Ich möchte es mal an den "meinigen" Strukturen erklären.

 

Für die Rechner gibt eine OU Rooms, darin weitere OUs: R102, R203, R214, R411, ..... . In z.B. R201 befinden sich die Konten der Rechner R201-Dozent, R201-PC01, ..... .

 

Auch für die Benutzer gibt es OUs: NLL, BA, FS, JAW, .... . Darin gibt es wieder OUs für die Lehrgänge, Kurse: KiGTz0105, FfBk0306, BA207. In den OUs befinden sich die Konten für die Sicherheitsgruppen- und die der Benutzer.

 

Ist das soweit verständlich geschildert?

[Petzifun 10]

Ich möchte es mal an den "meinigen" Strukturen erklären.

 

Für die Rechner gibt eine OU Rooms, darin weitere OUs: R102, R203, R214, R411, ..... . In z.B. R201 befinden sich die Konten der Rechner R201-Dozent, R201-PC01, ..... .

 

Auch für die Benutzer gibt es OUs: NLL, BA, FS, JAW, .... . Darin gibt es wieder OUs für die Lehrgänge, Kurse: KiGTz0105, FfBk0306, BA207. In den OUs befinden sich die Konten für die Sicherheitsgruppen- und die der Benutzer.

 

Ist das soweit verständlich geschildert?

 

Es ist also besser doch die user bzw rechner zu verschieben in die OU's und es über OU's regeln. Gut stekllen wir das mal um und schauen was passiert ...

 

danke und noch schöne weihnachten

 

petzifun

[IThome 10]

Es ist nicht nur besser, sondern es funktioniert anders nicht. Gruppenrichtlinien wirken nicht auf Gruppen, sondern auf Benutzer- und Computerobjekte. Diese Objekte müssen sich dort befinden, wo die GPOs gelinkt sind oder darunter (Benutzerobjekte, wenn im Benutzerteil konfiguriert wird und Computerobjekte, wenn im Computerteil konfiguriert wird). Eine Ausnahme ist hierbei die Loopbackverarbeitung. Gruppen werden zur Sicherheitsfilterung eingesetzt ...

Also eine OU-Struktur erstellen, die entsprechenden Richtlinien für Benutzer/Computer, Benutzer und Computer in die entsprechenden OUs verschieben und die GPOs linken. Eine zweite Möglichkeit wäre, eine Richtlinie "hoch" zu platzieren und sie dann sicherheitsfiltern (mit den Gruppen, die angelegt wurden) ...

[lefg 276]

Es ist also besser doch die user bzw rechner zu verschieben in die OU's und es über OU's regeln. ....

So ist es vorgesehen.

 

Kennst Du Gruppenrichtlinien.de? Ackere dich da mal durch, zumindest schmökere da mal rum!

 

In diesem Forum gibt es zu dem Thema einen Webcast.

 

Wie der geschätzte Preposter bereits ausführte, Gruppenrichtlinien haben (fast) nichts mit Sicherheitsgruppen zu tun. Man kann natürlich zusätzlich die Sicherheitsfilterung einsetzen; ich habe aber die Erfahrung gemacht, es ist nur in Spezialfällen nötig. Standardfälle habe ich immer ohne lösen können.

[IThome 10]

ich habe aber die Erfahrung gemacht, es ist nur in Spezialfällen nötig. Standardfälle habe ich immer ohne lösen können.

Da hast Du recht, Edgar ... Und frohe Weihnachten ... :)

[lefg 276]

Off-Topic:
Hallo Sven,

auch Dir fröhliche Weihnacht.

Gruß

Edgar

[Sunny61 773]

Hier kannst Du anfangen: Erste Schritte zum Erstellen einer Gruppenrichtlinie