2012 Migration der IE-GPO

[al3x 11]

Hallo Leute,

 

eine Frage an die Migrationsexperten unter euch.

 

In einer 2003er Domain war in den GPOs unter Benutzerkonfig/...../IE-Wartung/Verbindungen/.. ein Proxy für eine OU hinterlegt.

 

Nach Migration auf 2012 R2 sind die alten GPO-Settings auch noch vorhanden und aktiv, aber der Eintrag für zB für den Proxy existiert ja nicht mehr im Baum.

 

Mir ist bewusst, dass die Proxyeinstellung jetzt unter Benutzerkonfig / Einstellungen / Systemsteuerungseinst. / Interneteinstellungen gesetzt werden kann. Aber wie kann man die übernommenen Einstellungen editieren? Theoret. kann ich für den Proxy auch 2 unterschiedliche Einträge angeben.

 

 

Oder besteht die einzige Möglichkeit darin, die Policy komplett zu löschen und neu anzulegen?

 

 

[NorbertFe 1.827]

Hast du noch IE unter Version 10? Falls ja, dann solltest du aktualisieren. WEnn du das unbedingt noch brauchst, dann brauchst du eine GPMC auf einem OS, welches noch den IE9 installiert hat. Theoretisch kannst du auch unterschiedliche Werte eingeben, aber dann sag mir "sofort", welcher davon Gültigkeit hat. ;) Mal von der Blinkerfunktionalität der IE Wartungs-CSE abgesehen. :p

 

Bye

Norbert

bearbeitet 9. Juli 2015 von NorbertFe

[al3x 11]

Hallo Norbert,

 

nein, nur noch IE >10.

 

Wie krieg ich nun die alten Settings raus bzw. editiere sie?

 

->

WEnn du das unbedingt noch brauchst, dann brauchst du eine GPMC auf einem OS, welches noch den IE9 installiert hat.

achso du meinst um die GPO anzupassen? hm..oder komplett neu machen?!

bearbeitet 9. Juli 2015 von al3x

[NorbertFe 1.827]

Du kannst auch das komplette GPO wegwerfen und neu anfangen. ;) Ja dann sind aber eben alle Settings weg und nicht nur die IE Wartung.

 

Bye

Norbert

[al3x 11]

hm okay...check.

dank dir!

[daabm 1.192]

Geht auch anders - Du mußt ja nur "IE-Wartung" aus der GPO "herausoperieren". Und daß die drin ist, steht im gPCUserExtensionNames-Attribut des GPO-Containers im AD.

 

Wenn Du mehr dazu wissen willst, sag Bescheid, dann schreib ich das hier mal komplett rein :)

[al3x 11]

Hallo Martin,

 

auf jeden Fall, das würde mich jetzt mal interessieren! :-)

[daabm 1.192]

Ok, GPO-Technologie "in depth" :)

Ein GPO besteht aus einem AD-Containerobjekt (Klasse - naheliegend - groupPolicyContainer) und einem zugehörigen Ordner in Sysvol. Das Containerobjekt speichert all diejenigen Dinge, die Du direkt in GPMC einstellst (Sicherheits- und WMI-Filter etc.). Der Sysvol-Ordner enthält die Einstellungen, die Du in der GPO vornimmst (ADM-Vorlagen etc.) (der Sysvol-Ordner steht im Attribut gPCFileSysPath des GPO-Containers im AD).

Es gibt Ausnahmen (wie z.B. Drahtlosrichtlinien), die nicht in Sysvol landen, sondern in Unterobjekten des GPO-Containers, aber das soll uns jetzt mal egal sein...

Der GPO-Container hat zwei Attribute gPCUserExtensionNames und gPCMachineExtensionNames. In denen stehen die Einstellungs-Elemente drin, die Du als Inhalt in der GPO hast. Und zwar als Paar von GUIDs in eckigen Klammern. Die erste GUID gibt dabei das Einstellungs-Element an, die zweite GUID die MMC Snapin-Extension, mit der Du die Einstellungen bearbeiten kannst: http://evilgpo.blogspot.de/2012/11/guids-guids-guids.html und http://evilgpo.blogspot.de/2012/11/guids-guids-guids-2.html

Fügst Du einem GPO z.B. ein Startskript hinzu, dann landet in den Computer Extensions der Eintrag
[{42B5FAAE-6536-11D2-AE5A-0000F87571E3}{40B6664F-4972-11D1-A7CA-0000F87571E3}]

Die erste GUID steht für die Client Side Extension "Scripts". Das ist das Modul auf dem Client, das die Skripts-Einstellungen aus GPOs verarbeitet. Die zweite GUID steht für die Snapin-Extension "ScriptsMachine_1". Das ist die Extension, mit der Du in GPEDit Computerskripts bearbeitest.

Entfernst Du Dein Startskript wieder aus der GPO, wird auch der Eintrag aus den Computer Extension entfernt. Das erledigt GPEdit.

Und wenn GPEdit das kann, dann kannst Du das auch "von Hand" machen. Die GUID der IE Maintenance-CSE ist {A2E30F80-D7DE-11D2-BBDE-00C04F86AE3B} (steht in meinen oben verlinkten Blogposts). Also suche in allen GPOs nach dieser GUID in gPCUserExtensionNames und lösche das komplette GUID-Paar in []. Damit ist IE Maintenance sowohl für GPEdit als auch für den Client verschwunden.

dsquery * -filter "(gPCUserExtensionNames=*A2E30F80-D7DE-11D2-BBDE-00C04F86AE3B*)" -attr name displayname gpcfilesyspath

Wenn Du's perfekt machen willst, dann löscht Du noch den Ordner User\IEAK im Sysvol-Verzeichnis der GPO.

 

Ein alternativer Weg ist das Deaktivieren der Client Side Extension. Dazu setzt Du auf allen Clients unter
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions\{A2E30F80-D7DE-11D2-BBDE-00C04F86AE3B} den Wert NoUserPolicy=1 (REG_DWORD). Die GUID ist die gleiche wie oben.

Wenn Du's ganz genau wissen willst: Ich kann Dir da ein gutes Buch empfehlen - suche nach "Martin Binder Gruppenrichtlinien" bei einem Buchhändler Deiner Wahl :)

[al3x 11]

thumps up! :thumb1:

 

Vielen Dank für den Exkurs!

 

Werde ich mir mal anschauen :jau: