GPO werden vom CLient nicht übernommen

[mfdoom 10]

Hallo MSCEboard-User,

 

ich habe eine Frage bez. GPO in einer 2K-Domäne.

 

Ausgangslage:

 

Ich habe in den administrativen Vorlagen meine Vorlage auf dem DC hinzugefügt.

 

Auf oberster Domänenebene ist nur die Default Domain Police die ich (noch) nicht angefasst habe. Eine Ebene tiefer liegt meine OU mit ensprechenden Objekten. Dieser OU habe ich nun eine GPO erstellt, habe 90min (default) gewartet dass die Richtlinie übernommen wird, leider nicht (per gpresult am Client gecheckt).

 

Zur Info: Die Richtlinienvorlage habe ich nicht auf oberster Ebene hinzugefügt, sondern direkt auf die OU angewandt, wird meine OU eventuell durch die Default Policy überschrieben.

 

Ich habe mir die Einführung auf gruppenrichtlinien.de angeschaut, verstehe das aber nicht so recht.

 

Der DNS-Server der Domäne ist bei den Clients auch als erster DNS-Eintrag eingerichtet.

 

Mit der Richtlinienvererbung habe ich das wohl noch nicht ganz so geschnallt.

 

any suggestions?

 

 

Danke fürs Lesen, :)

 

 

Simon-Timothy

[lefg 276]

Hallo Simon-Timothy,

 

von mir ein Willkommen am Board. :)

 

Betrifft die Vorlage die Computerkonfiguration oder die Benutzerkonfiguration?

 

Wirken die Gruppenrichtlinien in der Domäne, in der OU überhaupt?

 

Funktioniert die Namensauflösung?

 

Ist die Vorlage eine selbstgestrickte, wo kommt sie her?

 

Gruß

 

Edgar

[IThome 10]

Die höchste Prorität hat die Richtlinie, die dem Objekt am nächsten ist. Zuerst werden lokale Richtlinien verarbeitet, danach Standortrichtlinien, danach Domänenrichtlinien und zuletzt die OU-Richtlinien (die Priorität der GPOs hier ist wie gesagt höher, je näher sie sich am Objekt befinden).

Wenn Du eine höher(niedrigere Priorität) gelegene Richtlinie konfigurierst, werden deren Einstellung normalerweise nach unten verbreitet, falls aber eine untere Richtlinie (höhere Priorität) mit der höheren in Konflikt steht, wird die untere angewendet.

Es besteht noch die Möglichkeit, die Vererbung von oben abzuschalten, was man auf Standort- , Domänen- und OU-Ebene machen kann. Das bedeutet, dass Richtlinien, die von oben kommen, eben nicht auf dieser Ebene angewendet werden, ausser ...

Keine Regel ohne Ausnahme, wenn ein GPO mit "Kein Vorrang" konfiguriert wird, kann dieses GPO nicht ausser Kraft gesetzt werden, noch nicht mal, wenn die Richtlinienvererbung deaktiviert wurde (wird eingesetzt, wenn man eine Einstellung unbedingt durchsetzen muss). Hat man in einer Kette von Richtlinien mehrere GPOs auf verschiedenen Ebenen, die so konfiguriert sind, "gewinnt" wieder die, die dem Objekt am nächsten ist.

Ausserdem gibt es noch die Möglichkeit des "Loopbackverarbeitungsmodus der Benutzergruppenrichtlinie". Dieser Modus wird oft (unter anderem) auf Terminalservern eingesetzt, damit Benutzer, die sich an dem TS anmelden, vernünftig eingeschränkt werden können, und zwar nur, wenn sie sich am TS anmelden.

[mfdoom 10]

Hallo ihr beiden,

 

vielen Dank für die Info. Ich werde mich nochmal eingehend mit den GPO und AD vertraut machen.

 

@lefg

 

Zu deinen Fragen:

 

Es betrifft die Benutzerkonfiguration (DM auf € in Systemsteuerung->Ländereinstellung->Währung)

 

Ich prüfe das mit gpresult...

 

die Das ADM-Template ist von http://www.gruppenrichtlinien.de (alle.adm im d/l-Breich) angewandt auf die Benutzerkonfiguration.

 

Gruss

 

 

Simon-Timothy

[lefg 276]

Hallo,

 

wer gehört der OU an, der/die Computer, der/die Benutzer.

 

Soll der Benutzerknoten für eine Computer-OU wirken, ist der Loopbackverarbeitungsmodus zu aktivieren.

 

Gruß

 

Edgar

[mfdoom 10]

Hallo lefg,

 

also der OU gehören die entsprechenden Benutzer an, die habe ich von der Domäne.tld\Users\ in die Domäne.tld\meineOU\ verschoben. War das falsch?

 

Da in meiner OU ja nur Benutzer sind müsste es sich doch um eine Benutzer-OU handeln oder verstehe ich da etwas falsch?

 

 

Gruss

 

Simon-Timothy

[IThome 10]

Das hört sich schon richtig an, OU erstellt, die betreffenden Benutzer sind in der OU. Du hast eine Richtlinie erstellt und die ADM-Vorlage zu Administrative Vorlagen zugefügt. Wenn jetzt noch die Berechtigung Lesen und Gruppenrichtlinie übernehmen auf Zulassen für die Benutzer in der OU (oder die Authentifizierten Benutzer) steht, ist eigentlich alles klar.

Ich habe mir auch mal diese Vorlage herunter geladen und egal, was ich einstelle, es wirkt nicht. Ich habe mir eine andere Vorlage herunter geladen, genauso wie die alle.adm integriert und siehe da, es klappt. :suspect:

Welches OS haben Deine Clients ?

edit: Ich habe es noch mal mit einer neu aufgesetzten Domäne getestet (die alte war durch die Prüfungsvorbereitung ziemlich zerrödelt). Ich habe testweise nur eine Einstellung verändert (die Startseite des Internet Explorers), die dann auch angewendet wurde. Eingerichtet habe ich so wie oben beschrieben, also OU erstellt, Benutzer hinein, GPO erstellen und in die OU linken, alle.adm ins Windows\Inf Verzeichnis kopiert,danach in den Benutzerbereich importiert und eingestellt ...

[mfdoom 10]

Zur Info,

 

meine CLients benutzen einheitlich W2K SP4,

 

danke für die Info - der Weg scheint ja schonmal grundsätzlich richtig zu sein, ich teste das nochmal. Obwohl ich nie alle.adm per Hand ins \inf\ dir kopiert habe sondern immer nur über import, war das der Knackpunkt?

 

 

Lieben Gruss und schonmal schönes WE!

 

Simon-Timothy

[Tom250376 10]

hi,

ne das wird nicht der knackpunkt sein, ist egal wo die datei beim import liegt, er kopiert sie dann an die richtige stelle. werden denn andere ADM bei dir angewandt? Ich würde auch noch mal die Rechte checken "GruLis übernehmen" müssten die schon haben.

gruß ToM

[mfdoom 10]

Jo, die haben sie. per default (Auth. Users)

 

Lieben Gruss

 

Hmm. klappt irgendwie immer noch nicht - aber ich bekomme es schon irgendwie hin.

 

Danke an ALLE für die Tipps. :D

 

Simon-Timothy Folaji

[IThome 10]

Was ergibt denn Gpresult ?

http://support.microsoft.com/default.aspx?scid=kb;en-us;321709

[mfdoom 10]

Hallo ITHome,

 

habe es jetzt bis auf die Computerkonfiguration hingebogen bekommen, nur mit allen GPOs die die Computerkonfiguration betreffen gibt es Probs - sie werden nicht übernommen.

 

 

Danke für die Hilfe.

 

 

 

Simon-Timothy