GPO greift nur zum Teil

[ares00 10]

Hallo zusammen,

 

ich mach grad die vorbereitung auf die Prüfung 70-640 und bin grade bei Gruppenrichtlinien. Die Übungen kein problem.

 

Jetzt wollt ich mal mit GPO spielen und hab mir eine gebastellt, jedoch greift nur die Computerconfiguration und nicht die Benuterkonfiguration?!

 

Mal genauer:

1 Server 2008R2, ein Win7 Client und ein User

 

AD Contoso

|_ OU Desktop -> "GPO_Gesperrter_Rechner"

| |_Desktop123 (=W7 Client)

| |_Gruppe "Gesperrter Rechner"

| |_Ein.User (in der Gruppe drin)

|

|_ OU Personal

| |_Ein.Benutzer (User)

 

 

Alle GPO deaktiviert bis auf "GPO_Gesperrter_Rechner"

 

Die GPO "GPO_Gesperrter_Rechner" hat zwei Einstellungen:

1. Computerkonfiguration - Alle Wechselmedienklassen: Jeglichen Zugriff verweigern - Aktiviert

2. Benutzerkonfiguration - Zugriff auf Systemsteuerung nicht zulassen - Aktiviert

 

Die GPO ist mit der OU Desktop verknüpft.

Die Computerkonf. greift, die Benutzerkonf. nicht.

Wenn ich das durch die Gruppenrichtlinienergebnisse durchjage, passiert das selbe.

In der Übersicht Benutzerkonfiguration wird die GPO noch nicht mal angefasst oder abgelehnt. Die GPO fehlt komplett im teil der Userkonfiguration.

WARUM?

 

Die OU Desktop hat ein Computerobjekt und über die Gruppe auch den User darin, beide (Computer und Gruppe) haben in der ACL die Berechtigung die Richtlinie zu übernehmen.

 

Warum wird der Teil der Benutzerkonfiguration noch nicht mal geprüft?

[testperson 1.858]

Hi,

 

das liegt daran, dass die Gruppenrichtlinien nicht auf Gruppen wirken. Folglich ist es korrekt, dass der Computerkonfigurationszweig auf den PC abgearbeitet wird und der User trotz Mitgliedschaft in der Gruppe nichts davon mitbekommt.

 

Du müsstest für die Userkonfiguration ein neues Element erstellen welches du auf die OU Personal verlinkst.

[ares00 10]

Hm,

Ok du hast Recht, Sie wirkt nicht auf Gruppen. (So genau steht das im Buch dummerweise nicht drin.)

Hab den User grade mal in die OU Desktop geschoben und die Gruppenrichtlinienergebnisse melden die Verarbeitung.

 

Ok, aber wie mach ich das, dass an diesem Rechner, egal wer sich daran anmeldet, diese Richtlinien draufgepfrügelt bekommt?

 

Ist ja schlecht alle User in die OU Desktop zu verschieben, deshalb dachte ich mit einer Gruppe darin die diese User enthält zu bündeln, was dummerweise nicht funktioniert.

[testperson 1.858]

Hi,

 

also wenn die Einstellungen greifen soll, egal wer sich anmeldet, dann musst du den Loopbackverarbeitungsmodus in der GPO aktivieren.

[NorbertFe 2.281]

Hm,

Ok du hast Recht, Sie wirkt nicht auf Gruppen. (So genau steht das im Buch dummerweise nicht drin.)

 

Welches Buch? ;)

FAQ-GPO hilft bei sowas:

Frage 14

 

Bye

Norbert

[NorbertFe 2.281]

Hi,

 

also wenn die Einstellungen greifen soll, egal wer sich anmeldet, dann musst du den Loopbackverarbeitungsmodus in der GPO aktivieren.

 

Genau, mit sowas verwirrt man die Anfänger. ;)

 

Hier was zum genauer Nachlesen:

Einsatz von Gruppenrichtlinien auf einem Terminal Server

 

Bye

Norbert

[Sunny61 833]

Mal genauer:

1 Server 2008R2, ein Win7 Client und ein User

 

AD Contoso

|_ OU Desktop -> "GPO_Gesperrter_Rechner"

| |_Desktop123 (=W7 Client)

| |_Gruppe "Gesperrter Rechner"

| |_Ein.User (in der Gruppe drin)

|

|_ OU Personal

| |_Ein.Benutzer (User)

 

 

Alle GPO deaktiviert bis auf "GPO_Gesperrter_Rechner"

 

Die GPO "GPO_Gesperrter_Rechner" hat zwei Einstellungen:

1. Computerkonfiguration - Alle Wechselmedienklassen: Jeglichen Zugriff verweigern - Aktiviert

2. Benutzerkonfiguration - Zugriff auf Systemsteuerung nicht zulassen - Aktiviert

 

Die GPO ist mit der OU Desktop verknüpft.

Die Computerkonf. greift, die Benutzerkonf. nicht.

 

Die Gründe dafür sind ja schon geklärt. Zum anfangen ist das hier bestimmt auch nicht schlecht: Erste Schritte zum Erstellen einer Gruppenrichtlinie

 

Du kannst natürlich auch mit Sicherheitsgruppenfilterung innerhalb der GPO arbeiten. Damit kannst Du die GPO ganz oben in der Domain verknüpfen, lesen und übernehmen können es nur die Objekte, die in der Gruppe Mitglied sind, die in der Sicherheitsgruppenfilterung eingetragen sind.