GPOs greifen nicht

[Zebbi 11]

Hallo,

ich bin gerade dabei neue Terminalserver 2008R2 aufzusetzen und möchte möglichst viel der Benutzerkonfiguration durch GPOs voreinstellen, doch nun greifen diese nicht so wie erwartet.

 

 

Die TS sind in einer

OU: Terminalserver

|--> Meine Terminalserver

|--> hier ist die GPO LoopbackVerarbeitungsmodus und

|--> eine GPO die Verküpfungen auf dem Desktop ablegt, sowohl für Benutzer als auch Computer Richtlinien.

 

Außerdem gibt es eine weitere

OU: User

|--> hier liegen die TS-User und eine weitere

|--> GPO die Verküpfungen auf dem Desktop ablegt, sowohl für Benutzer als auch Computer Richtlinien.

 

Ich sehe aber nur die Verknüpfungen die die GPO aus User erzeugt und auch nur jene für die Benutzerrichtlinie. Also greift der LBVM doch gar nicht, oder?

Ich hätte nun erwartet dass ich nur die Verknüpfungen sehe, die die GPO "Terminalserver" erstellt, dafür aber sowohl jene die von den User- als auch Computerrichlinien erstellt werden.

 

Hat jemand eine Idee was ich da falsch mache?

 

Mein Umfeld sofern das hilft:

Auf den alten 2003er TS melden sich Domänuser an. Alle Einstellungen wurden per Hand bei jedem User gemacht (Gewachsene Struktur). Die neuen Server sollen die alten Servern ablösen und die User sollen von heute auf morgen komplett wechseln.

Die User melden sich also auch an den neuen TS-Servern mit ihren Domänbenutzern an.

 

edit: Lerserlichkeit angepasst.

[Sunny61 773]

Kontrolliere ob Du alles gem. diesem HowTo gemacht hast: Einsatz von Gruppenrichtlinien auf einem Terminal Server

[Zebbi 11]

Evtl liegt hier mein Fehler:

Man fügt die Sicherheitsgruppe "TerminalServer User" und den TerminalServer als Computerkonto hinzu und gibt ihnen das Recht "Lesen" und "Gruppenrichtlinien übernehmen", somit ist sichergestellt, daß nur Mitglieder der Gruppe Term-User die Richtlininie übernehmen können.

Ich hab das so verstanden, dass ich den in der "Active Directory-Benutzer und -Computer"-Übersicht den TS-Server in die OU ziehe auf die der LBVM wirkt.

Ist das Richtig?

[Sunny61 773]

Ich hab das so verstanden, dass ich den in der "Active Directory-Benutzer und -Computer"-Übersicht den TS-Server in die OU ziehe auf die der LBVM wirkt.

Ist das Richtig?

 

Jepp, ansonsten würde vermutlich etwas anderes im HowTo geschrieben sein. Teste es aus, dauert wohl nur 5 Minuten.

[Zebbi 11]

Hab ich ja, nur so klapps bei mir nicht. :(

[Sunny61 773]

Hab ich ja, nur so klapps bei mir nicht. :(

 

Was klappt bei dir nicht? Das verschieben in die OU? Geh das HowTo nochmal in aller Ruhe durch, hake alles ab was dafür notwendig ist. Du hast sicherlich noch einen Fehler drin.

[Zebbi 11]

Was klappt bei dir nicht? Das verschieben in die OU? Geh das HowTo nochmal in aller Ruhe durch, hake alles ab was dafür notwendig ist. Du hast sicherlich noch einen Fehler drin.

 

Ich hab die Anleitung nun noch mal durchgearbeitet, aber die GPOs greifen immer noch nicht.

So hab ich die Richtlinien verteilt:

Meine User befinden sich in "Benutzer" der TS in "TS-Server". Doch der LBVM scheint nicht zu greifen. Ich hätte nun erwartet, dass die Benutzerrichtlinien und Computerrichtlinien vom TS greifen. Das sie dies nicht tun, sehe ich daran, dass die "TEST USER - Comp/user" (genauer gesagt dessen Userrichtlinie) greift.

Für jede Richtlinie hab ich als Sicherheitsfilterung den User und den TS-Server genommen.

[Zebbi 11]

Langsam werde ich irre, nun funktioniert es plötzlich, ohne dass ich was geändert habe.

 

Ich hab die Gruppenrichtlinien direkt auf dem Haupt DC eingetragen und habe auf DC und TS ein

gpupdate /force

gemacht. Gibts da noch mehr was ich beachten müßte das zu Verzögerungen führen könnte?

[Sunny61 773]

Langsam werde ich irre, nun funktioniert es plötzlich, ohne dass ich was geändert habe.

 

Ich hab die Gruppenrichtlinien direkt auf dem Haupt DC eingetragen und habe auf DC und TS ein gemacht.

 

Vermutlich funktioniert die Replikation zwischen den DCs (wieviele habt ihr im Einsatz?) nicht sauber. Was ist dazu im Eventlog auf allen DCs zu finden?

 

Gibts da noch mehr was ich beachten müßte das zu Verzögerungen führen könnte?

 

Normalerweise wird innerhalb eines AD-Standortes im 5 Minuten Intervall repliziert. Ob das bei dir noch einwandfrei funktioniert weiß ich nicht.