Gibt es eine Vorlage bzw. eine Empfehlung wie GPO konfiguriert werden soll?

Moin,

Das hängt von den „Vorlieben“ der It ab.
Manche packen alle Drucker in eine GPO, verteilen die dann über die Gruppenzugehörigkeit. Manch andere lösen das, in dem jeder Drucker/ jede Druckergruppe eine eigene GPO erhält.

Zudem kommt es auch auf die AD-Struktur an…

Es gibt kein Allgemeingültiges Best Practice, sondern hängt immer von der Umgebung ab…

Morgen,

wie bereits die anderen schrieben, muss das jeder für sich entscheiden.
Jedoch gibt es von Microsoft über das Security Compliance Toolkit tatsächlich Vorlagen.
Diese muss man natürlich für sich selbst anpassen. Aber sie geben einem schonmal eine Richtung.

Gruß,
Schorsch

Hallo Bella,

ja da gibt es eine Menge Einstellungen. Wie und was du nutzt ist von Umgebung zu Umgebung unterschiedlich. Das gilt auch mit den Kennwörtern.

Normalerweise werden Accounts nach drei Fehleingaben erstmal gesperrt und können dann mit ein Ablaufsperre oder mit einer manuellen Freigabe wieder aktiviert werden. Bringt das was? Ja und nein. Wenn du einen Besucher bei dir im haus hast, dann hat er drei versuche sich an Rechnern anzumelden, wo er nichts zu suchen hat. Auf der anderen Seite kann jemand von außen einfach drei Mal das Kennwort falsch eingeben und schon ist der Account gesperrt. da musst du entscheiden welche Variante du wählst:
1. Begrenzte Anmeldeversuche, mehr Arbeit und die Gefahr hin, dass das Konto von extern gesperrt wird
2. unbegrenzte Versuche, erstmal weniger Arbeit, dafür aber unendlich viele Optionen für potentielle Angreifer.

Genau so sieht es mit dem Kennwortkomplexität bzw. dem Alter aus. Regelmäßiger Wechsel war früher allgemein empfohlen, heute empfiehlt aber auch das BSI dies nicht mehr, da (Überraschung) durch den Kennwortwechselzwang die Kennwörter vereinfacht werden, da oft nur eine 1 hinten dran gehangen wird und dann hoch gezählt wird. Bei so einer leichten Änderung, kann ich dann das Kennwort recht leicht knacken, wenn ich 2 oder 3 Kennwörter des Anwenders habe. In dem Fall wäre es sicherer auf den Wechselzwang zu verzichten.

Welche Einstellung in welcher GPO wie angewendet werden soll ist daher immer von der Umgebung, dem Kundenwunsch und der Position einzelner Mitarbeiter im Unternehmen abhängig. Der Praktikant braucht im Regelfall keinen Zugriff auf die Gehaltsabrechnungen, also braucht er andere Programme und andere Netzlaufwerke.

Ich empfehle dir, mal ein wenig Google zu Fragen und dich mit einschlägigen Seiten in die Richtung vertraut zu machen.

Die einzige Regel, über die sich meiner Meinung nach nicht diskutieren lässt: Das ganze nennt sich Gruppenrichtlinien, also werden die Richtlinien immer einer Gruppe und nie einer Person/Rechner zugeordnet. Selbst wenn die Gruppe aus nur einer Person/Rechner besteht, wird eine separate Gruppe dafür erstellt.

Halte dich daran und du wirst es sehr viel einfacher in der Verwaltung der GPOs haben

Gruß
Doskias