Gruppenrichlinien innerhalb einer Domäne verteilen

[Ericsson 10]

Hallo,

 

ich experimentiere zur Zeit damit herum Gruppenrichtlinien in einer Domäne zu verteilen.

 

Die Richtlinien für die Benutzerkonfiguration klappt ohne weiteres wie folgt: Habe den Benutzer "Nutzer A" (welche in der Organisationseinheit "Testnutzer" ist, welche der Gruppe "Domänen-Benutzer" angehört) ein GPO erstellt und in der Sicherheitsfilterung den "Nutzer A" hnzugefügt.

 

Nun habe ich zwei PCs in die Domäne gehoben, PC1 und PC2. Diese liegen in der OU "TestPCs". Jetzt habe ich für diese ein GPO angelegt, welche nur die Computerkonfiguration modifiziert (genauer: Es gibt einen internen Pfad zu einen Updateserver an; WSUS). In der Sicherheitsfilterung habe ich dann "PC1" und "PC2" hinzugefügt.

 

Nun werden diese nicht richtig übernommen wie es aussieht. Hatte zuerst das Problem das unter gpresult angegeben wurde das die Gruppenrichlinie abgelehnt wurde, dieses Problem konnte ich aber schnell lösen. Es wird mir nun gesagt das es das GPO erfolgreich übernommen hat, auch wenn ich unter gpresult des Clients nachschaue. Wenn ich nun aber manuell am client mal gpedit aufrufe sind die GPOs aber nicht verändert.

 

Wieso? ist meine Frage. Wie sollten denn die Berechtigungen vergeben werden? Falls sowas für Domänencomputer geht?

 

Hab zu diesem Thema auch schon diverse Beiträge in diesem Forum gelesen, welche mir schon geholfen haben die Thematik besser zu verstehen. Leider habe ich Problem nun aber noch nicht erfolgreich lösen können. Ich bin für jeden Ratschlag dankbar.

 

laufende Dienste (alle auf einen PC):

- ein DC,

- eine DHCP,

- ein DNS,

- eine WSUS,

 

alle dienste sind eingerichtet und getestet.

 

Grüße

[jarazul 10]

Hi,

 

wenn du Domain-GPOs verteilst, und am Client lokale GPOs per gpedit.msc anschaust, wirst du erkennen, dass die Domain-GPOs nichts mit den lokalen GPOs zu tun haben. Diese werden unabhängig voneinander konfiguriert und auch abgearbeitet.

 

Besser Troubleshooting erziehst du, wie du ja auch schon eingesetzt hast, mit gpresult. Oder in der GPMC den Richtlinienergebnissatz für diesen Computer ausgeben, kommt aufs gleiche hinaus.

 

cheers. Daniel

[NilsK 2.785]

Moin,

 

ergänzend dazu: Wenn du deine GPOs an OUs orientierst, brauchst du i.d.R. die Sicherheitsfilterung nicht. Die sollte man nur nutzen, wenn es einen echten Grund dafür gibt. Allgemein sollte man die fast 20 Methoden zur Steuerung der GPO-Anwendung nur sehr sparsam einsetzen, sonst hat man schnell eine Struktur, die niemand mehr durchschaut.

 

Vielleicht willst du dir das GPO-Buch von MS-Press mal ansehen oder die Tutorial-Reihe, die ich vor einiger Zeit mit Florian Frommherz geschrieben habe.

 

.: www.kaczenski.de :. » Suchergebnisse » gruppenrichtlinien

 

Gruß, Nils

[lefg 276]

Hall Ericsson, Willkommen am Board,

 

mir scheint, Du bringst Gruppenrichtlinien primär in Verbindung mit Sicherheitsgruppen. Sollte das so sein, dann bist Du auf dem falschen Dampfer.

 

Gruss

 

Edgar

[Ericsson 10]

Hallo,

 

danke für die schnellen Antworten.

 

Hmm also wie es scheint habe ich wahrscheinlich etwas verwechselt. Bevor ich mich auf die Lektüre stürze hab ich noch ein paar Fragen um ein par Unklarheiten zu beseitigen.

 

Beispiel:

Ich habe eine OU "Firma" habe in der zwei weite OUs "Verwaltung" und "Vertrieb" vorhanden sind.

 

1. Wenn ich ein GPO anlege und diese mit der OU "Verwaltung" verknüpfe und in der Sicherheitsfilterung nur die "Authentifizierten Benutzer" eingestellt lasse, heißt das, dass die GPO für alle Benutzer bzw. Computer, welche in der OU liegen, übernommen werden?

 

2. Wenn ich das GPO mit der OU "Firma" verknüpfe wird dieses dann für die beinhaltenden OUs übernommen, quasi vererbt?

 

3. Wenn das so ist: Was sind dann die "Authentifizierten Benutzer"? Diese Benutzer, welche in der OU sind? Und wofür ist dann die Sicherheitsfilterung?

 

Sorry das ich solche Anfängerfragen stelle, doch wie es scheint habe ich da grundsätzlich etwas in der Struktur verwechselt.

 

Danke schon mal im Vorraus.

[jarazul 10]

Hi,

 

Gar kein Problem, wir helfen gern.

 

1. Ja, genau. Authenticated Users sind User sowie auch Computer.

 

2. Ja, genau. Du kannst die Vererbung sowohl ausschalten als auch erzwingen. Beim erzwingen wird diese angewendet egal ob die Vererbung für eine OU unterbrochen wurde.

 

3. Wie gesagt, der Sicherheitsfilter. In der Standard Einstellung gilt eine GPO für alle User und Computer die in der OU liegen auf welche die GPO zielt. Du kannst diese GPO auch nur für einzelne Objekte wie User oder Computer (besser: Gruppen) "erlauben".

 

Wie oben schon erwähnt sollte dies nicht immer Anwendung finden. GPO gehören auf OU, die OU dann verschachtelt. Nicht alle GPO und alle Objekte in eine OU und dann nur mir Sicherheitsfiltern arbeiten.

 

Cheers, Daniel

[lefg 276]

Hallo,

 

bevor Du in die falsche Richtung läufst, lese Tutorials von Nils und Florian!

 

Ich wende Gruppenrichtlinien an seit der Einführung, die Sicherheitsgruppenfilterung habe ich noch nie benötigt, deren Anwendung ist eher ein Sonderfall.

 

Man kann natürlich eine OU Firma anlegen, es ist aber zu empfehlen, den internen Domänenamen in Übereinsteimmung mit dem Firmennamen zu bringen, z.B. FQDN Firma.local, bei mir heisst eine Domäne Lubeca.local.

 

In meiner Firma gibt es z.B. Fachbereiche oder Abteilungen, diese werden mit OUs abgebildet:

 

Die OU Hosts, darin die OUs BAFS, NLL, JAW, in diesen sind die Rechner gelistet.

 

Die OU Personal enthält wieder BAFS, NLL, JAW; in diesen sind die Benutzer gelistet.

 

Auf der Serverplatte sind abgebildet BAFS, NLL, JAW als Geschäftverzeichnisse, darin Unterverzeichnisse.

 

Für jedes Geschäftsverzeichnis gibt es eine Sichersgruppe: BAFS, NLL, JAW; der bessereren Übersicht wegen sind die Gruppen in den OUs gelistet.

 

Die Benutzer sind (in)direkt Mitglieder der jeweiligen Sicherheitsgruppe.

 

Das setzt sich nach unten weiter fort, mit Verzeichnissen und Sicherheitsgruppen und Verzeichnissen, das hat aber nichts mit OUs zu tun.

 

OUs sind Hilfsmittel zur Verwaltung von Ressourcen, zum Bewirken zum Verhaltenvon Ressourcen, OUs sind kein Mittel der Sicherheit des Zugriffes auf Verzeichnisse.

 

Mit OUs sind Strukturen eines Unternehmens in etwas abbildbar.

 

Also, die Finger weg von der Filterung Sicherheitsgruppen.

 

Lese Nils und Florian.

 

Schaue nach Gruppenrichtlinien - Übersicht, FAQ und Tutorials

 

Es gab hier mal einen Communitycast mit Daniel Melanchton, mal schauen, ob der auffindbar.

 

http://www.mcseboard.de/community_cast.php

bearbeitet 9. Juli 2011 von lefg