GPO - Verständnis

[onestone 10]

Hallo Leute!

 

Ich würde gerne mit euch ein wenig über GPO diskutieren damit mein Verstädnis darüber etwas besser wird.

 

Ich verwende momentan 2 Policies, die "Default Domain Controller Policy" und eine eigene "Client-Policy". In der "Default Domain Controller Policy" hab ich mehr oder minder ganz wichtiges reingegeben - z.b. die Kennwort richtlinien. In die "Client-Policy" habe ich unter Computer- sowie Benutzereinstellungen alles definiert was meine User im Netzwerk sollen/können/dürfen.

 

Nun habe ich die "Client-Policy" auf die OU Clients (wo ich alle Geräte zusammenfasse) und auf die OU Benutzer (wo ich alle Benutzer zusammenfasse) gelegt.

 

Meine Fragen:

 

- Korrekt, dass eine GPO auf der OU Clients nur die "Client"-Einstellungen übernimmt, aber nicht die Benutzereinstellungen?

- Wäre es gut, zwei Policies zu machen - einmal für Clients, einmal für Benutzer und die den OU's seperat zuzuteilen?

- Kurze Vererbungsfrage: Stimmt es, dass die "obere" Regel im Baum die darunterliegende standardmässig überschreibt oder ist es umgekehrt?

 

Mehr fällt mir sicher noch ein wenn jemand replyt.

 

Danke und schöne Woche,

onestone

[x86-64 10]

http://www.gruppenrichtlinien.de

[the_brayn 10]

Hiho,

 

@x86-64

Super Beitrag, davon brauchen wir mehr.

 

@OP

Korrekt, dass eine GPO auf der OU Clients nur die "Client"-Einstellungen übernimmt, aber nicht die Benutzereinstellungen?

Richtig, da in der ClientOU keine Benutzerkonten liegen.

Wäre es gut, zwei Policies zu machen - einmal für Clients, einmal für Benutzer und die den OU's seperat zuzuteilen?

Das kommt auf die Menge der OU´s und GPO´s an. Da bei Dir nicht viele sind kann man dieses durchaus so machen und bei den Eigenschaften der GPO dann den nicht verwendeten Zweig aus der Verarbeitung herausnehmen. Ein Problem was dabei entsteht: Es "kann" unübersichtlich werden und man kann sich damit Fallen selber bauen *g*

Deine ClientGPO als "Domänenrichtlinie" ganz oben und es wirkt auf beide (User/Client) und man baut sich selber keine Fallen.

Kurze Vererbungsfrage: Stimmt es, dass die "obere" Regel im Baum die darunterliegende standardmässig überschreibt oder ist es umgekehrt?

http://download.microsoft.com/download/7/b/f/7bf9987d-2e5d-4e8a-9f69-7965c4abfc5c/einfuehrungsreihe_netzwerke_01_2004.pdf

Bild unten links.

 

Gruß Guido

[onestone 10]

@Guido:

 

Danke für deine Ausführungen. Werd mir das PDF mal zur Gemüte führen, sollte ich noch fragen haben, hoffe ich, mich melden zu dürfen! ;o)

 

LG,

os

[the_brayn 10]

Hiho,

sollte ich noch fragen haben, hoffe ich, mich melden zu dürfen

aber nicht so laut, bin sensibel und herzkrank. *g*

 

Gruß Guido

[Duffman 10]

Denk immer daran "LSD"O

 

lokal,Standort,Domain,OU

 

Gruß Duffman

[onestone 10]

Denk immer daran "LSD"O

 

lokal,Standort,Domain,OU

 

Gruß Duffman

 

Danke Duffmann - DAS merk ich mir! :D :D :D

 

Aber, ist das nicht genau umgekehrt als das Bild im PDF-Link (kann den Pfeil dort nicht lesen - zu unscharf). Wie beginnts jetzt, mit der OU oder der lokalen Policy?

 

lg,

os

[Christoph35 10]

Zuerst die local policy, zuletzt die OUs

 

Gruß

 

Christoph

[onestone 10]

das heißt, eine getroffene lokale einstellung kann nicht per ou verändert werden? ist das ein gutes konzept?

 

lg,

os

[the_brayn 10]

Hiho,

ist das ein gutes konzept?

ja, da ein Client bei einer Installation schon eine lokale Richtlinie hat, diese wird dann bei dem Hinzufügen zu einer Domäne von dieser (und den anderen GPO in der oben ganannten Reihenfolge) überschrieben.

 

Gruß Guido

 

PS: Wo in der Domäne "nicht Konfiguriert" steht bleibt die Einstellung am Client erhalten.

[onestone 10]

hhhm....

 

das heißt

 

"LSD"O

 

lokal,Standort,Domain,OU

 

gilt.

 

ok, wenn lokal was definiert ist und in der GPO nichts dann gilt lokal. was wenn lokal was definiert ist und in der GPO was gegensätzliches?

 

os

[the_brayn 10]

Gilt die GPO

[onestone 10]

ok, könnte man sagen, dass

 

lokal,Standort,Domain,OU

 

die ladereihenfolge ist, aber jeweils das rechte im zweifelsfall das linke überschreibt?

 

os

[the_brayn 10]

ja, kann man so sagen

[onestone 10]

okay, hab ich verstanden.

 

wie siehts aus wenn sich zwei gpo überschreiben? also z.b. folgende ous

 

Benutzer

- Standort 1

- Standort 2

 

Jeder Standort hat eine GPO, der Container Benutzer aber auch. Was gilt hier? Wer überschreibt wen, Benutzer den Standort?

 

lg,

os