GPO mit WMI

[xrated2 15]

Hallo

ich habe eine GPO und weil es nur einen User gibt der diese nicht bekommen soll habe einen WMI Filter erstellt um nicht noch eine Gruppe erstellen zu müssen.

Mir ist klar das die WMI Filter Performance kosten aber ich habe bis jetzt nur 2 Filter.

 

Es handelt sich um eine GPO für den Benutzer wo Schreibzugriff auf USB verhindert wird. 

Im WMI Filter habe ich:

SELECT * from Win32_ComputerSystem WHERE NOT UserName LIKE 'domain\\user'

 

Kann das sein das die nicht geht weil die GPO mit "System" ausgeführt wird oder ist da ein Fehler drin?

 

Auf meinem PC (ohne Domain) scheint die Abfrage mit Paessler WMI Tester zu funktionieren wenn ich den Computernamen statt Domain angebe.

[Dukel 468]

Setze die Berechtigungen und erstell ein deny für diesen User.

[Sunny61 833]

Für einen User kannst Du natürlich auch, wie Dukel schon geschrieben hat, eine Verweigerung setzen. Geht über den Reiter Delegierung. Das GPO darf der User lesen, aber nicht übernehmen.

[daabm 1.431]

Um das mal zu beantworten: Nein, das geht so nicht. Wenn der PC Mitglied einer Domäne ist, durchsucht diese WMI-Abfrage die Domäne und wird immer WAHR zurückliefern, wenn der User existiert. Warum nimmst Du den User nicht einfach unter dem Reiter "Delegierung" mit auf und dann über "Erweitert" verweigerst Du ihm das Übernehmen dieser GPO?