Ausführen der 2. GP verhindern

[roxor 10]

hi leuts

 

hab ne frage bezüglich Group Policy.

Nun, sieht folgendermassen aus:

Wir haben in unserer Domain einen SUS-Server installiert, vorerst jedoch nur versuchsweise.

Die Updates, welche wir "approven", wollen wir zuerst an ein paar ausgewählten Clients zum testen ausprobieren...falls alles okay ist und ohne Probleme weiterläuft, sollen auch die überigen Clients in der Domain die Updates erhalten.

 

Das Ganze soll nun über Group Policy gehen, wir haben einfach 2 Group Policies erstellt: die erste für den Test und die zweite für die ganze Domain.

 

Nun das Problem:

Wir möchten nun, dass für die Maschinen, die dem Test angehören, nur die 1. GP (Test-GP) ausgeführt wird, nicht aber die 2. GP.

Im Security Tab der 1. GP haben wir die "security group - global" namens "sus-test" mit dem einzigen user "sustest" hinzugefügt. Diese Gruppe hat auf der 1. GP "read" und "apply group policy" -rechte.

bei der 2. GP haben, und das ist glaube ich das problem, die "authenticated users" ebenfalls "read" und "apply group policy"-rechte, somit wird beim einloggen des users sustest zwar die erste GP ausgeführt, die 2. jeodch auch, da er ja auch ein authenticated user ist.

 

Wir haben nun versucht, das "no override" kästchen zu aktivieren, was soweit funktioniert hat, nur löst dies unser problem nicht ganz.

 

Habt ihr ne idee, wie man das ausführen einer 2. GP verhindern kann?

 

MfG

rox

[grizzly999 11]

No overrride bringt da natürlich nichts. Entweder man nimmt an GPO 2 die authentifizierten Benutzer raus und trägt nur die ein, die haben sollen, oder man fügt den User , der sie nicht bekommen soll hinzu, und verweigert ihm die Übernahme.

 

Oder noch besser: ich mache zwei OUs mit zwei GPOs. Das ist meistens die sauberste Lösung.

 

grizzly999

[thorgood 10]

Hallo roxor,

nimm die Computer in die Gruppen auf.

Das SUS Update macht der Computer-Account.

 

thorgood

[grizzly999 11]

Davon bin ich bei meiner Betrachtungsweise mal ausgegangen, dass er mit User und Gruppen und hinzufügen und so, das Computerkonto als User bezeichnete. Hast du doch roxor, oder?! :suspect:

 

Ändert aber nichts daran, dass gefiltert werden muss, wenn man 2 Policies hat, die nicht beide ziehen sollen :)

 

grizzly999