GPO - Benutzereinstellungen nur für bestimmte Computer

[ineedhelp 12]

In meiner Domäne habe ich eine Gruppenrichtlinie mit Benutzereinstellungen, die nur für bestimmte Computer angewendet werden sollen. Die Loopbackverarbeitung ist aktivert und funktioniert. Da die Benutzereinstellungen nicht für alle Rechner gelten sollen, habe ich sie in eine Sicherheitsgruppe zusammgefasst und die Gruppe in der Sicherheitsfilterung der Richtlinie eingetragen. Alle Computer haben das Recht das GPO zu lesen.  Leider werden die Benutzereinstellungen auf die Rechner der bestimmten Gruppen nicht angewendet. Trage in der Sicherheitsfilterung zusätzlich ein Benutzerkonto ein, wird die Einstellungen übernommen. Auch für die Rechner, die nicht Mitglied der Gruppe sind.

 

Was kann ich machen ohne neue OUs zu erstellen und die Rechner dahin zu verschieben?

[NorbertFe 2.401]

Wirkt denn das Benutzereinstellungs-GPO jetzt auf den Computer (bei Loopback wäre das grundsätzlich ok), oder auf die Benutzerkonten? Haben sich die Nutzer seit dem Hinzufügen zu der Gruppe denn mal neu angemeldet?

[ineedhelp 12]

Bisher probiere ich diese Einstellungen mit einem Testcomputer aus. Der Testrechner befindet sich einer Test-OU und ist Mitglied einer Testgruppe. Die GPO Loopbackprocessing ist mit der Test-OU verknüpft. Modus ist Merge. GPO mit Benutzereinstellungen ist ebenfalls mit der Test-OU verknüpft. Testgruppe ist in der Sicherheitsfilterung eingetragen. Unter dem Reiter Delegierung sind alle Computer berechtigt, die GPO zu lesen. Rechner wurde auch neu gestartet. Lt. Anmeldetoken ist der Rechner auch in der Gruppe. Benutzereinstellungen werden nicht übernommen. Testbenutzer zur Sicherheitsfilterung hinzugefügt. Benutzereinstellungen werden für alle Computer in der Test-OU angewendet.

bearbeitet 30. April von ineedhelp
Typo

[Dukel 472]

Was sagt GPResult dazu?

[testperson 1.988]

Hi,

 

was dürfen die "Authenticated Users" denn mit dem GPO machen?

 

Vermutlich musst du die "Authentifizierten Benutzer" aus der Filterung löschen. Wenn dann die Computerkonten durch die Testgruppe das GPO lesen dürfen und bspw. die Gruppe "Domain Users" noch lesen/übernehmen darf, sollte es klappen. (Falls ich das richtig verstehe.  )

 

Gruß

Jan

bearbeitet 30. April von testperson

[ineedhelp 12]

Folgendes Setting der GPO. Sicherheitsfilterung: Nur Testgruppe. Delegierung: Domain Computers haben Leseberechtigung. 

 

Ergebnis von GPResult: Sicherheitsgruppenmitgliedschaft des Computers: Testgruppe wird aufgeführt. Abgelehntes GPO: Test-Userpolicy, Grund: Zugriff verweigert (Sicherheitsfilterung)

 

 

Jetzt funktioniert es.

 

Folgende Einstellungen für die GPO: Sicherheitsfilterung: Nur Testbenutzergruppe. Delegierung: Domain Computers entfernt. Testcomputergruppe hat Leseberechtigung

bearbeitet 30. April von ineedhelp