AD GPO Priorisierung

[kosta88 2]

Hallo,

 

Eine kurze Frage hierzu:

 

Angenommen man hat eine OU, die ziemlich viele GPOs eingebunden hat (=ist relativ unübersichtlich), und wir in dieser OU zwei Objekte haben die dasselbe Setting haben, jedoch einmal Enabled und einmal Disabled. Also ein Konflikt. Gewinnt das Disabled Objekt, also nach dem Prinzip aus Allow/Deny aus den Sicherheitseinstellungen?

 

Also, welches Objekt gewinnt und warum?

 

(bitte beachte, es sind keine verschiedene OUs/SubOUs, und auch nicht Computer vs. User Policy)

 

Besten Dank!

bearbeitet 16. August 2016 von kosta88

[Sunny61 773]

Hier etwas zum Lesen zu dem Thema:

 

http://www.gruppenrichtlinien.de/artikel/vererbung-und-hierarchien/

http://www.gruppenrichtlinien.de/artikel/filtern-von-gruppenrichtlinien-anhand-von-benutzergruppen-wmi-und-zielgruppenadressierung/

 

Solange dort nur Einstellungen umgeswitcht werden, behaupte ich, last Writer wins.

 

Du hast aber sicherlich etwas anderes festgestellt, oder hast Du noch keinen Test auf dem Client gemacht?

[kosta88 2]

Noch kein Test, meine Test-Umgebung ist noch nicht bereit, da ich meine Win neu aufgesetzt habe. Muss noch VMs nachziehen...

 

Es ist nur eine theoretische Frage die mir während Lernen eingefallen ist.

 

Danke für die Links, werde dann ausprobieren.

bearbeitet 16. August 2016 von kosta88

[NilsK 2.785]

Moin,

 

die beiden Artikel beantworten allerdings die Frage nicht.

 

Wenn mehrere GPOs an dieselbe OU gebunden sind, dann greift (im Fall widersprüchlicher Einstellungen) die Priorität der Verknüpfungen. Das lässt sich in der GPMC an der Reihenfolge der GPO-Links ablesen: Je höher das GPO in der Liste steht, desto höher die Priorität.

 

Hier gilt dann der Merkspruch von Mark Heitbrink: Es ist wie beim Sport, der Sieger steht oben auf dem Treppchen, Platz 1 gewinnt. Also: Das GPO, das weiter oben steht, "überschreibt" mit seinen Einstellungen die GPOs, die weiter unten stehen (weil er dier "Last Writer" ist, wie Sunny schon sagte).

 

Gruß, Nils

bearbeitet 16. August 2016 von NilsK

[NorbertFe 1.805]

Und wenn man die Leute jetzt verwirren will, wirft man noch den Loopbackverarbeitungsmodus in die Runde ;)

[NilsK 2.785]

Moin,

 

oh, zum Verwirren halten Gruppenrichtlinien nun wirklich einiges in petto! :D

 

Gruß, Nils

[NorbertFe 1.805]

Ja, immer wieder schön ist der Wechsel zwischen doppelter Verneinung und einfacher Verneinung. ;)

[kosta88 2]

Besten Dank, Nils. Bin derzeit glücklich die Sachen mir zu merken und verstehen und ohne Verwirrung zu leben :D