problem mit gruppenrichtlienen

[bb-blue 10]

moin moin,

 

ich hab da ein Phenomen... fast schon zum schmunzeln.

 

Habe im AD eine Organisationseinheit erstellt .

Die OU hat eine Gruppenrichtlinie die auch wunderbar funktioniert.

 

nun will ich einen User dort herrausnehmen weil die Richtlieneien für ihn nicht mehr greifen sollen.

 

ich habe ihn nun in eine andere OU verschoben in der auch ich stehe.

Trotzdem greift immer noch die Richtlinie der Anderen OU... wie geht denn das?

 

System ist ein 2003 SMB Server.

[IThome 10]

Greift sie wirklich, hast Du das mit GPRESULT oder dem Richtlinienergebnissatz geprüft ?

[bb-blue 10]

so habe gpresult mal ausgeführt.

 

dort steht viel drinnen,

 

und das die richtlinie greift sehe ich ja auch optisch an der einschränkung die ich verhängt hab.

nur ist sie nicht rückgängig zu machen.

 

noch ne frage--

gpresult..... wo finde ich erklärungen zum ergebniss ? istz neu für mich

[IThome 10]

Poste doch einfach mal das Ergebnis ...

Mit dem Richtlinienergebnissatz RSOP.MSC (für XP/2003) kannst Du vielleicht mehr erkennen

[bb-blue 10]

geht nicht, da das öffnen der mmc generel in der ou verboten ist.

 

obwohl der user nicht mehr in der ou steht :(

da hab ich wieder das problem und schon beisst sich die katze in den schwanz

[IThome 10]

Aber das Ergebnis von GPRESULT kannst Du doch posten ...

Man kann jetzt natürlich über alles mögliche mutmassen, eine Ansicht, was Sache ist, würde sicher vieles klarer machen ... :)

[lupo45 10]

In welcher OU ist das Computerkonto und welche Richtlinien sind dafür verlinkt? Es spielt nur eine bedingte Rolle in welcher OU der User ist, wenn auf die OU, wo das Computerkonto drin ist auch noch GPOs eingestellt sind...

[bb-blue 10]

hier erstmal das ergebniss der gpresult:

 

Betriebssystem Microsoft ® Windows ® Gruppenrichtlinienergebnis-Tool v2.0

Copyright © Microsoft Corp. 1981-2001

 

Am 05.01.2006, um 11:48:23 erstellt

 

RSOP-Daten für domäne\user , ,auf Terminalserver: Protokollmodus

-------------------------------------------------------------------------

 

Betriebssystemtyp: Microsoft® Windows® Server 2003 Standard Editio

n

Betriebssystemkonfiguration: Mitgliedsserver

Betriebssystemversion: 5.2.3790

Terminalservermodus: Anwendungsserver

Standortname: Standardname-des-ersten-Standorts

Zwischengespeichertes Profil:\\Dom-Controller1\user ,profile\user

Lokales Profil: C:\Dokumente und Einstellungen\user

Langsame Verbindung? Nein

 

COMPUTEREINSTELLUNGEN

----------------------

CN=Terminalserver,CN=Computers,DC=domäne,DC=local

Letzte Gruppenrichtlinienanwendung: 05.01.2006, um 11:16:09

Gruppenrichtlinieanwendung von: Dom-Controller1.domäne.local

Schwellenwert für langsame Verbindung:500 kbps

Domänenname: domäne

Domänentyp: Windows 2000

 

Angewendete Gruppenrichtlinienobjekte

--------------------------------------

Small Business Server-Clientcomputer

Small Business Server-Remoteunterstützungsrichtlinie

Small Business Server-Kontosperrungsrichtlinie

Small Business Server-Domänenkennwortrichtlinie

Default Domain Policy

Richtlinien der lokalen Gruppe

 

Folgende herausgefilterte Gruppenrichtlinien werden nicht angewendet.

----------------------------------------------------------------------

Small Business Server-Windows-Firewall

Filterung: Verweigert (WMI-Filter)

WMI-Filter: PostSP2

 

Small Business Server-Internetverbindungsfirewall

Filterung: Verweigert (WMI-Filter)

WMI-Filter: PreSP2

 

Der Computer ist Mitglied der folgenden Sicherheitsgruppen

----------------------------------------------------------

Administratoren

Jeder

Benutzer

NETZWERK

Authentifizierte Benutzer

Diese Organisation

Terminalserver$

Domänencomputer

 

 

)

[bb-blue 10]

BENUTZEREINSTELLUNGEN

----------------------

CN=user,OU=MyBusiness,DC=domäne,DC=local

Letzte Gruppenrichtlinienanwendung: 05.01.2006, um 11:45:03

Gruppenrichtlinieanwendung von: Dom-Controller1.domäne.local

Schwellenwert für langsame Verbindung:500 kbps

Domänenname: domäne

Domänentyp: Windows 2000

 

Angewendete Gruppenrichtlinienobjekte

--------------------------------------

Default Domain Policy

 

Folgende herausgefilterte Gruppenrichtlinien werden nicht angewendet.

----------------------------------------------------------------------

Small Business Server-Kontosperrungsrichtlinie

Filterung: Deaktiviert (Gruppenrichtlinienobjekt)

 

Small Business Server-Domänenkennwortrichtlinie

Filterung: Nicht angewendet (Leer)

 

Small Business Server-Clientcomputer

Filterung: Nicht angewendet (Leer)

 

Small Business Server-Windows-Firewall

Filterung: Verweigert (WMI-Filter)

WMI-Filter: PostSP2

 

Small Business Server-Remoteunterstützungsrichtlinie

Filterung: Deaktiviert (Gruppenrichtlinienobjekt)

 

Richtlinien der lokalen Gruppe

Filterung: Nicht angewendet (Leer)

 

Small Business Server-Internetverbindungsfirewall

Filterung: Verweigert (WMI-Filter)

WMI-Filter: PreSP2

 

Der Benutzer ist Mitglied der folgenden Sicherheitsgruppen

----------------------------------------------------------

Domänen-Admins

Jeder

Remoteunterstützungsanbieter

Administratoren

Benutzer

INTERAKTIVE REMOTEANMELDUNG

INTERAKTIV

Authentifizierte Benutzer

Diese Organisation

LOKAL

PMX_ADMIN

SBS Report user ,s

Remoteunterstützungsanbieter

 

 

C:\Dokumente und Einstellungen\user >

 

 

 

der user steht jetzt in der : Users (standard ou)

[lupo45 10]

der user steht jetzt in der : Users (standard ou)

 

Es werden aber immer noch die GPO's für Default Domain Policy und die OU des Terminalserver auf Computerebene angewendet, steht ja da...siehe Computereinstellungen in deinem Post und die dort angewendeten GPOs...

 

Soll der User wenn es nach dir geht überhaupt nix an GPOs (also auch nicht für den Computer) bekommen??

[Hirgelzwift 10]

hat schon mal jemand darüber nachgedacht:

 

http://support.microsoft.com/default.aspx?scid=kb;en-us;310741

[bb-blue 10]

nein daran liegt es nicht......

 

habe auf dem terminalserver und auf dem dom controller diese dateien gelöscht.

 

kein erfolg

[Hirgelzwift 10]

Wieso DC & TS????

 

Du sagtest du willst einen Benutzer aus einer OU rausnehmen und ihn in eine andere OU verschieben. Du musst die Dateien auf dem PC löschen auf dem er sich anmeldet, oder ist das der TS?

 

Nachtrag: Und Users ist keine OU sondern nur ein Container. Auf einen Container kann man keine GPO anwenden.

[bb-blue 10]

ok ich hab mich falsch ausgedrückt:

 

hier nochmal zur klärung.

 

ich hab einen DC und einen Terminalserver.

 

auf dem Terminalserver arbeiten User die ich per richtlinie in einer OU eingeschränkt habe damit die mir auf dem Terminalserver nix kaputt machen.

 

nun ist ein User aus dieser ou rausgenommen, weil er administrative Arbeiten auf dem Terminalserver durchführen muß.

 

er ist jetz in den selben gruppen und in der selben OU wie ich und auch der Administrator.

doch leider greifen bei ihm immer noch die alten einschränkungen.

 

besser?

 

und ja ich habe die Dateien auf dem Terminalserver gelöscht!

[IThome 10]

Das steht ja auch im Ergebnis von GPRESULT. Du hast also einen Terminalserver, der in dem Computers Container ist. Dein Benutzer "User" befindet sich in der OU MyBusiness. Ist das der Benutzer, um den es geht ? Was ich nicht so ganz verstehe ist, wo Du welche Richtlinien konfiguriert hast. Ich sehe zwar, dass einige gelinkt sind, weiss aber nicht, was Du wo konfiguriert hast, ob Du nur die Benutzerkonfiguration anpasst oder auch die Computerkonfiguration.

Es gibt die Möglichkeit, den Richtlinienergebnissatz im Planungsmodus durchzuführen. Dazu meldest Du Dich als Administrator an, gibst MMC unter "Ausführen" ein und fügst das Snapin Richtlinienergebnissatz zu. Wenn Du einen Ergebnissatz generierst, kannst Du dies im Planungsmodus tun und simulieren, was passieren würde, wenn Du den Benutzer dorthin, diesen Rechner dahin oder was auch immer tust. Mit GPRESULT kannst Du auch anzeigen, welche Richtlinien gelten und woher sie kommen (Parameter /V). Schau Dir mal die Hilfe von GPRESULT an ...

Ich konfiguriere Richtlinien für einen Terminalserver eigentlich anders. Ich lege mir eine OU an, platziere dort den Terminalserver, linke ein GPO in diese OU, in diesem GPO ist die Loopbackverarbeitung aktiv, konfiguriere die Einschränkungen und steuere über Gruppenzugehörigkeiten, wer das GPO übernimmt und wer nicht ...