GPO-Gruppen erstellen

[Gadget 37]

Gehts um Benutzereinstellungen o. Computereinstellungen?

 

Für Benutzereinstellungen

 

OU Abteilung / Richtline für Allgemeine Einstellungen & Computereinstellungen

=> Computerkonten

OU Abteilungsleiter / Abteilungsleiterrichtlinie

==> Alle Benutzerkonten der Chefs

OU Mitarbeiter / Mitarbeiterrichtlinie

==> Alle Benuterzkonten der "normalen mitarbeiter"

 

lg gadget

[Sunny61 773]

ou1:

cheff1

mitarbeiter11/host11

mitarbeiter12/host12

mitarbeiter13/host13

 

ou2:

chef2

mitarbeiter21/host21

mitarbeiter22/host22

mitarbeiter23/host23

 

ich möchte nun, dass die chefs andere gpos bekommen wie die mitarbeiter.

 

Was soll denn anders sein, in den GPOs für die Chefs?

 

wenn ich das nun richtig verstanden habe, muss ich somit aber die gpo in beide ous setzen und die mitarbeiter dann mittels filter ausschliessen ?

 

So kann man das natürlich auch machen.

[affe 10]

ok, ich ergänze mal mein bsp:

 

abteilung1:
abteilungsleiter1
mitarbeiter11/host11
mitarbeiter12/host12
mitarbeiter13/host13

abteilung2:
Abteilungsleiter2
mitarbeiter21/host21
mitarbeiter22/host22
mitarbeiter23/host23

Abteilungsleiter:
Abteilungsleiter1
Abteilungsleiter2

 

ok, die abteilungsleiter sollen die rechte aus ihren abteilungen besitzen + die rechte aus der gruppe abteilungsleiter ... aber ein abteilungsleiter kann doch, wenn man das ganze in ous organisiert nur in einer ou sein, richtig ?

 

edit: hier gehts gerade um benutzereinstellungen

[NorbertFe 1.805]

Alles eine Frage des Designs:

 

Ober-OU

| |----GPOs in der alle Einstellungen getroffen werden, die alle User betreffen, bzw. User betreffen, die per Sicherheitsgruppen gefiltert werden.

|

|-ou1:

| |-----GPOs, die für alle User innerhalb der OU1 gelten

| cheff1

| mitarbeiter11/host11

| mitarbeiter12/host12

| mitarbeiter13/host13

|

|-ou2:

| |-----GPOs, die für alle User innerhalb der OU2 gelten

| chef2

| mitarbeiter21/host21

| mitarbeiter22/host22

| mitarbeiter23/host23

 

 

HTH

Norbert

[affe 10]

ja, aber so sind die cheffen ja nicht noch zusätzlich in der abteilungsleiter ou drin.

ich glaube es geht nur so:

 

ou1:

|mitarbeiter11/host11

|mitarbeiter12/host12

|mitarbeiter13/host13

|ou1.1

||abteilungsleiter1

 

ou2:

|mitarbeiter21/host21

|mitarbeiter22/host22

|mitarbeiter23/host23

|ou2.1

||abteilungsleiter2

 

da nach ja vererbt wird, würde so alles unterhalb der ou auch die regeln der ou erhalten + die der unter-ou.

 

dann muss ich eben das für die abteilungsleiter doppelt machen.

[NorbertFe 1.805]

ja, aber so sind die cheffen ja nicht noch zusätzlich in der abteilungsleiter ou drin.

 

Warum auch?

 

ich glaube es geht nur so:

 

Warum sollte es nur so gehen? Theoretisch brauchst du gar keine OU und es wird fast alles trotzdem gehen...

 

dann muss ich eben das für die abteilungsleiter doppelt machen.

 

Würdest du dir sparen wenn du es so machst wie ich die oben beschrieben habe. ;)

Aber ohne Infos, was bspw. für die Abteilungsleiter anders sein soll als für den Rest, kann man hier nur raten. Im Endeffekt wirst du aber feststellen, dass man seine AD Struktur nach administrativen und nicht nach organisatorischen Gesichtspunkten designen sollte.

 

Bye

Norbert

[affe 10]

also, wir haben hier auch z.b. standortabhängige regelungen, wie z.b. die drucker. jeder standort hat seinen drucker, also sollten doch die ous nach standorten oragnisiert werden, oder ?

oder wie lässt sich das nach administrativen gesichtspunkten organisieren ?

 

noch ein beispiel:

 

jede abteilung hat ihren standard-schwarz-weiss-drucker ... für die versammlung der abteilungsleiter existiert aber noch ein farbdrucker, auf den aber nur die abteilungsleiter zugreiffen dürfen. d.h. die abteilungsleiter können auf den standard- und farbdruckern drucken.

 

abteilung1:

|mitarbeiter1

|mitarbeiter2

|mitarbeiter3

||unterabteilung1

||abteilunhgsleiter1

 

abteilung2:

|mitarbeiter4

|mitarbeiter5

|mitarbeiter6

||unterabteilung2

||abteilunhgsleiter2

 

so muss ich doch den farbdrucker an die unterabteilung1 und die unterabteilung2 vergeben ... wäre das nichte infacher, wenn man eine zusätzliche ou abteilungsleiter anlegt, dann müsste ich den farbdrucker nur einmal vergeben, und alle die in der ou sind hätten die rechte.

 

danke!

[NorbertFe 1.805]

so muss ich doch den farbdrucker an die unterabteilung1 und die unterabteilung2 vergeben ... wäre das nichte infacher, wenn man eine zusätzliche ou abteilungsleiter anlegt, dann müsste ich den farbdrucker nur einmal vergeben, und alle die in der ou sind hätten die rechte.

 

Natürlich kann man das auch machen. Wie ich schon sagte, es kommt auf die Anforderungen und zum Teil auch eigene Vorlieben an. Mit meiner Variante hast du eine GPO Verlinkung weniger, dafür aber eine Sicherheitsfilterung mehr. Es wären zwei OUs weniger und dafür wären die Abteilungsleiter nicht anhand ihrer OU identifizierbar. Wie du siehst alles hat Vor- und Nachteile. ;)

 

Bye

Norbert

[affe 10]

ok, ich hab mir mal was überlegt:

 

Mitarbeiter 1,2,3 sind in der Gruppe abteilung1

Mitarbeiter 3,4,5 sind in der Gruppe abteilung2

Gruppenleiter1 ist in den den Gruppen abteilung1, abteilungsleiter

Gruppenleiter2 ist in den den Gruppen abteilung2, abteilungsleiter

 

ou1:

gruppe abteilung 1

 

ou2:

gruppe abteilung 2

 

ou3:

gruppe abteilungsleiter

 

so gehört jeder benutzer nur einer ou an, aber er kann ja in mehreren gruppen sein.

[NorbertFe 1.805]

ok, ich hab mir mal was überlegt:

 

Mitarbeiter 1,2,3 sind in der Gruppe abteilung1

Mitarbeiter 3,4,5 sind in der Gruppe abteilung2

Gruppenleiter1 ist in den den Gruppen abteilung1, abteilungsleiter

Gruppenleiter2 ist in den den Gruppen abteilung2, abteilungsleiter

 

ou1:

gruppe abteilung 1

 

ou2:

gruppe abteilung 2

 

ou3:

gruppe abteilungsleiter

 

so gehört jeder benutzer nur einer ou an, aber er kann ja in mehreren gruppen sein.

 

Und was soll das bringen? Wo Gruppen liegen ist vollkommen ....egal. GPOs wirken auf Computer- oder Benutzerkonten wie ich schon schrieb.

 

Bye

Norbert

[affe 10]

hm, das habe ich gerade bemerkt ...

ok, ich besprech das mal mit dem kollegen, was der dazu noch sagt.

 

ich bedanke mich mal !

[NorbertFe 1.805]

hm, das habe ich gerade bemerkt ...

ok, ich besprech das mal mit dem kollegen, was der dazu noch sagt.

 

ich bedanke mich mal !

 

Nur mal als Hinweis. Man kann sowas total einfach testen und nimmt sich die Variante die einem besser gefällt. Und wenn einem irgendwann was besseres eingefallen is, dann baut man das dynamisch um... das stört keinen Nutzer im Normalfall.

Sowas kann man mit einigen Testaccounts parallel im AD abbilden bevor man das live schaltet.

 

Bye

Norbert

[affe 10]

Sowas kann man mit einigen Testaccounts parallel im AD abbilden bevor man das live schaltet.

da bin ich gerade dabei, das zu testen :)