Terminal: Richtlinien nur bei Anmeldung an TS

[scirocco790 11]

Folgendes Problem: Ich möchte, daß bestimmte GPO´s nur bei Anmeldung am Terminalserver für eine bestimmte Gruppe von Benutzern gültig werden.

Wie kann ich das realisieren?

Wenn ich eine lokale Richtlinie auf dem TS mit GPEDIT.MSC definiere gilt das ja für alle Benutzer die sich am TS anmelden. Auch für die Administratoren. Das möchte ich grad nicht.

Vielleicht noch ein paar Deatils zum Szenario:

- Es gibt eine Gruppe die nennt sich TerminalUser

- alle Mitglieder dieser Gruppe dürfen sich am TS anmelden

- funktioniert soweit problemlos

Nur möchte ich jetzt eben noch diverse Einschränkungen definieren die exklusiv für die Gruppe Terminal nur beim Anmelden am TS gezogen werden.

Da steh ich etwas auf dem Schlauch.

[il_principe 11]

Hi,

 

google mal nach Loopbackverarbeitungsmodus.

Unter Gruppenrichtlinien - Übersicht, FAQ und Tutorials wirst du sicherlich auch fündig.

 

lg

il_principe

[scirocco790 11]

Mit der Loopbackverarbeitung hab ich schon mal experimentiert. Aber sobald ich auf dem dem TS die Loopbackverarbeitung aktiviere kann ich mich am TS nur noch als Admin anmelden. Alle anderen Benutzeranmeldungen bleiben mit "Benutzereinstellungen werden geladen" hängen...

[IThome 10]

Die Loopbackverarbeitung in Verbindung mit Sicherheitsfilterung ist das Mittel der Wahl für Deine Anforderung. Möglicherweise hast Du im Test fehlerhaft konfiguriert. Was genau hast Du denn konfiguriert und wo ?

[scirocco790 11]

Ich versuchs mal zusammenzufassen. So arg isses nicht:

Der TS ist in einer OU auf der nur die Default Domain Policy und noch eine Richtlinie mit Krimskrams (Proxy etc., nix wichtiges) zieht.

Die User sind in einer davon unabhängigen OU "Firma" mit Unter OU´s "Standort" wo jeweils noch ein paar standortspezifische Sachen drinne sind.

Nun gibts eine Gruppe "Terminal", in der sind alle User drin die sich an diesem (neuen) Terminalserver in Zukunft anmelden sollen. Geht auch.

Jetzt hab ich mich am TS als Administrator angemeldet und per GPEDIT.MSC in der lokalen Richtlinie die Loopbackverarbeitung im Modus "ersetzen" aktiviert.

Weiterhin noch, daß am TS nur lokale Profile verwendet werden sollen, und PCL Fallbackdrucker bei nicht vorhandenen Druckertreibern. Das geht auch.

Und sobald ich mich jetzt mit einem Account der Gruppe "Terminal" versuche am TS anzumelden bleibt die Anmeldung bei "Benutzereinstellungen werden geladen" hängen. Deshalb kann ich auch nicht mit RSOP.MSC gucken was für Richtlinien gezogen werden.

[IThome 10]

Nicht GPEDIT.MSC, das musst Du mit einer Domänenrichtlinie machen, also via GPMC.MSC. Du erzeugst eine Richtlinie, in der Du in der Computerkonfiguration die Loopbackverarbeitung einstellst (in der Regel auf "Ersetzen"). Weiterhin solltest Du eine weitere Richtlinie mit den Benutzereinstellungen in die OU des TS linken. In der Delegierung der Benutzerrichtlinie entfernst Du dann die "Authentifizierten Benutzer", fügst Deine TS-Gruppe zu und gewährst ihr "Lesen" und "Gruppenrichtlinie übernehmen", den Domänen-Admins verweigerst Du "Gruppenrichtlinie übernehmen" (nur das verweigern, nichts anderes!) ...

[scirocco790 11]

@IThome:

Top! Genau was ich wollte. Funktioniert. Tausend Dank! :D

Kleine Frage noch: In der Delegierung war noch die Gruppe Organisations Admins mit drinne. Bei denen hab ich die gleichen Einstellungen gemacht wie bei den Domänen Admins. Sollte passen denk ich...

By the way, die Einstellungen für das PCL Fallbackverhalten gibts ja NUR in der lokalen Richtlinie... Ist mir noch gar nicht aufgefallen. Irgendwie auch logisch.

[scirocco790 11]

Okay, geht doch nicht.

Die Anmeldung für Benutzer hat genau einmal funktioniert... Scheinbar haben da die Richtlinien noch nicht gezogen. Jetzt bin ich wieder bei "Benutzereinstellungen werden geladen". Das wars...

Irgendwelche Tips?

[IThome 10]

Benutzt Du serverbasierte Profile ? Konfiguriere in den Benutzereinstellungen mal genau eine unkritische Richtlinie (z.B. Hilfe aus dem Startmenü entfernen oder ähnlich). Alle jetzt gesetzten Benutzerrichtlinien mal auf "Nicht konfiguriert" setzen ...

[scirocco790 11]

Die User haben servergespeicherte Profile. Allerdings sollen diese auf dem TS nicht verwendet werden...

[IThome 10]

Wenn sie serverbasierte Profile haben und Du im Reiter "Terminaldiensteprofile" des Benutzerkontos nichts eingestellt (was Du tun solltest), dann werden die normalen Serverprofile benutzt ...

[scirocco790 11]

Die Einstellung unter System\Benutzerprofile\Nur lokale Profile zulassen ist gesetzt.

Mir ist aber grad aufgefallen, das der Terminalserver die gesamten Eigenen Dateien des Users den ich zum testen verwende anfängt auf dem TS im Profilpfad abzulegen. Der User den ich hier verwende hat seine Daten auf einem Server an einem anderen Standort. Ist auch aus einem anderen Standort. Vielleicht dauerts einfach ewig... Soll aber nicht sein.

:confused:

[IThome 10]

Hast Du Standortrichtlinien definiert, die eine Ordnerumleitung für "Eigene Dateien" definieren und in dieser Richtlinie ist eingestellt, dass nach Entfernen der Richtlinie die Dateien an den Ursprungsort zurück kopiert werden ?

[scirocco790 11]

Ich hab mal einen Screenshoot von den Einstellungen der Richtlinie mit ran die auf den Testbenutzer zieht. Sonst tipp ich mir einen Wolf.

[IThome 10]

Ja, den Haken meinte ich "Ordner nach Entfernen der Richtlinie zurück an den Ort des lokalen Benutzerprofils umleiten" ...

Die Ordnerumleitung gilt für den Benutzer nicht mehr, also wird gemäss dieser Einstellung der ganze Kram vom Ort der ehemaligen Umleitung zurück in das lokale Benutzerprofil umgeleitet ... und das dauert eben, wenn die Leitung dünn ist ...