GPO auf eine Sicherheitsgruppe oder auf Organisationseinheit legen?

Hi,
Der erste Halbsatz trifft nicht zu und der letzte Punkt auch nicht. GPO können auch an Domänen und Standorten verlinkt werden.
Das trifft so absolut formuliert auch nur zu, wenn für den verarbeitenden Computer die Loopback-Verarbeitung nicht aktiviert ist. Mit Loopback ist es möglich, dass eine GPO auch dann für einen Benutzer gilt, wenn sich das Benutzerobjekt in einer anderen OU-Struktur (sogar anderer Domäne) befindet, als dort, wo die GPO verlinkt ist.

@theindiansupporter
Um es korrekt auszudrücken:
Angewendet werden GPO auf Computerkonfigurationen und/oder Benutzerprofile.
Die anzuwendenden GPO werden gefiltert durch den Vererbungspfad und durch Sicherheitsfilterung.
Filtern über Vererbungspfad erfolgt durch die Platzierung der Computer- und/oder Benutzerobjekte in der OU-Struktur und dem Ort der Verlinkung von GPO in dieser Struktur.
Filtern über Berechtigungen (Sicherheitsfilterung) erfolgt dadurch, dass man einem Computer- oder Benutzerobjekt für eine GPO das Recht erlaubt, diese GPO anzuwenden (wenn sie im Vererbungspfad ist). Diese Rechteerteilung erfolgt vorzugsweise nicht direkt an Computer- oder Benutzerkonten sondern über Sicherheitsgruppen, in welchen diese dann Mitglied sein müssen. Wenn man in der GPO Verwaltungskonsole den Sicherheitsfilter bearbeitet, dann erlaubt man defacto allen in diesem Filter angezeigten Prinzipalen das Recht, die GPO anzuwenden. Man kann aber umgekehrt auch das Recht zur Anwendung explizit verweigern. Allerdings sieht man das in der Konsole nicht im Sicherheitsfilter sondern nur unter "Delegierung" - defacto die ACL der GPO.

Als Anfänger fährt man wahrscheinlich besser, wenn man zunächst nur durch Platzierung in den OU's die anzuwendenden GPO zuteilt. D.h. man lässt im Sicherheitsfilter immer nur "Authentifizierte Benutzer" stehen, wie es Standard ist.

Allerdings kann das schnell nicht mehr ausreichend sein. Dann wird es notwendig, zusätzlich die Sicherheitsfilterung anzuwenden. Beachte aber, dass, wenn Du "Authentifizierte Benutzer" aus dem Filter entfernst, um nur bestimmte Gruppen dort einzutragen, Du dann dafür sorgen musst, dass die Computerobjekte der Computer, an welchen diese GPO für den Computer und/oder den angemeldeten Benutzer gelten soll, diese GPO dann min. lesen können müssen. Das musst Du dann über die o.g. "Delegierung" eintragen.

Vererbungsblockierung, Erzwingung von GPO und/oder Loopback-Verarbeitung solltest Du erst dann verwenden, wenn Du die Verarbeitung von GPO nach dem o.G. vollständig verstanden hast.

E.