GPO die sich gegenseitig ausschließen?

camouflagge99
Goto Top
Hi,

ich kenne mich leider mit den GPO´s noch nicht ganz so gut aus. Meine Frage wäre:

Wenn ich in der Default Domain Policy stehen habe "JA" und paar OU´s weiter runter im Baum eine andere Policy die sagt "NEIN", welche Einstellung übernimmt der Client der jetzt in der OU drin ist wo "NEIN" gesagt wird?
Geht hierbei jetzt um die WLAN Policy mit 802.1x..
In der Inheritance wäre die WLAN Policy die "NEIN" sagt an 1. Stelle und die Default Domain Policy an letzter Stelle.

Wie läuft das ab, wenn zwischen den beiden noch weitere OU´s liegen die ganz verschiedene Sachen eingestellt haben? Mich interessiert am Ende des Baumes, welche Einstellungen der Client von den ganzen Policies am Ende beibehält..

LG und Danke!

Content-Key: 2650226277

Url: https://administrator.de/contentid/2650226277

Ausgedruckt am: 30.06.2022 um 18:06 Uhr

Mitglied: jsysde
Lösung jsysde 30.04.2022 um 15:57:18 Uhr
Goto Top
Servus,

für GPOs gilt immer: Last writer wins.
Die zuletzt abgearbeitete GPO überschreibt alle Einstellungen, die vorher abgearbeitete GPOs haben.

Cheers,
jsysde
Mitglied: camouflagge99
camouflagge99 30.04.2022 um 16:23:46 Uhr
Goto Top
Zitat von @jsysde:

Servus,

für GPOs gilt immer: Last writer wins.
Die zuletzt abgearbeitete GPO überschreibt alle Einstellungen, die vorher abgearbeitete GPOs haben.

Cheers,
jsysde

Heißt also wenn ich in der Default Domain Policy A,B,C ändere und den Rest, also D,E.. auf Standard lasse, und dann ganz unten im Baum eine neue Policy erstelle die nur D ändert, werden für den Client unten im Baum A,B,C auf Standard eingestellt? Weil bei der neuen Policy wurde ja nur D geändert und A,B,C auf Standard gelassen.
Weißt du was ich meine?
Mitglied: LeReseau
LeReseau 30.04.2022 aktualisiert um 16:30:18 Uhr
Goto Top
Hilfreich wäre gewesen du hättest auf deinen dazu zugrundeliegenden Thread verwiesen!
Bzw. den dann auch geschlossen. :-( face-sad
Mitglied: camouflagge99
camouflagge99 30.04.2022 um 16:33:36 Uhr
Goto Top
Zitat von @LeReseau:

Hilfreich wäre gewesen du hättest auf deinen dazu zugrundeliegenden Thread verwiesen!
Bzw. den dann auch geschlossen. :-( face-sad

Hey, bin noch ganz neu hier tut mir leid. Ich wollte das Thema mit GPO separat halten, weil das ja auch eher eine allgemeine Frage ist und zu dem Thema im anderen Thread nicht stören sollte :D
Zudem ich das andere Thread noch gerne offen halten würde, falls weitere Fragen auftauchen sollten. Die Verbindung steht, aber ist noch lange nicht abgeschlossen.. ich muss erst noch weiteres Testen und würde darauf zurückkommen, falls das i.O ist.
LG
Mitglied: lcer00
lcer00 30.04.2022 um 17:31:05 Uhr
Goto Top
Hallo,

Du solltest die Default Domain(bzw. Controller) Policy möglichst in Ruhe lassen. Willst Du etwas ändern, erstellst Du eine neue Gruppenrichtline. Es gibt allerdings Ausnahmen, manches muss man in den Default Policies ändern.

https://docs.microsoft.com/en-us/windows-server/administration/windows-c ...
https://www.gruppenrichtlinien.de/artikel/default-domain-policy-und-defa ...

Grüße

lcer
Mitglied: jsysde
jsysde 30.04.2022 um 18:48:40 Uhr
Goto Top
N'Abend.
Zitat von @lcer00:
[...]Du solltest die Default Domain(bzw. Controller) Policy möglichst in Ruhe lassen.
Warum? Der Link zu Mark sagt doch ganz klar, dass diese Policy keinerlei Sonderstellung hat. Man sollte die sehr wohl bearbeiten, wenn man Dinge wirklich "für alle" regeln will.

Das gleiche gilt für die Default Domain Controllers Policy, auch die darf und sollte man anpassen, wenn man Einstellungen für alle DCs regeln will (z.B. wer Computer ins AD joinen darf etc.).

Cheers,
jsysde
Mitglied: camouflagge99
camouflagge99 30.04.2022 um 20:13:11 Uhr
Goto Top
Geht mir jetzt nur um meine Frage.. ich möchte den Prozess dahinter genauer verstehen.
Ob und wie ich am besten die Default Domain Policy ändern soll, spielt hier keine Rolle.
Danke und LG
Mitglied: erikro
erikro 01.05.2022 um 15:45:12 Uhr
Goto Top
Moin,

Zitat von @camouflagge99:
Heißt also wenn ich in der Default Domain Policy A,B,C ändere und den Rest, also D,E.. auf Standard lasse, und dann ganz unten im Baum eine neue Policy erstelle die nur D ändert, werden für den Client unten im Baum A,B,C auf Standard eingestellt? Weil bei der neuen Policy wurde ja nur D geändert und A,B,C auf Standard gelassen.

Nein, es wird addiert Eine vererbte Einstellung, also eine Einstellung die aus einer übergeordneten OU kommt, wird auf alle darunterliegenden OUs angewandt, sofern nicht eine tiefer liegende Einstellung dem widerspricht. Es sei denn:

1. Die Vererbung wurde aufgehoben.
Dann fängst Du bei der OU, bei der Du die Vererbung aufgehoben hast, neu an. Das gilt auch für die DDP.

2. Die GPO wird erzwungen.
Dann kannst Du die Einstellungen weiter unten nicht mehr aufheben.

Beides sollte man nur machen, wenn es wirklich notwendig ist.

hth

Erik
Mitglied: camouflagge99
camouflagge99 01.05.2022 aktualisiert um 18:40:56 Uhr
Goto Top
Zitat von @erikro:

Moin,

Zitat von @camouflagge99:
Heißt also wenn ich in der Default Domain Policy A,B,C ändere und den Rest, also D,E.. auf Standard lasse, und dann ganz unten im Baum eine neue Policy erstelle die nur D ändert, werden für den Client unten im Baum A,B,C auf Standard eingestellt? Weil bei der neuen Policy wurde ja nur D geändert und A,B,C auf Standard gelassen.

Nein, es wird addiert Eine vererbte Einstellung, also eine Einstellung die aus einer übergeordneten OU kommt, wird auf alle darunterliegenden OUs angewandt, sofern nicht eine tiefer liegende Einstellung dem widerspricht. Es sei denn:

1. Die Vererbung wurde aufgehoben.
Dann fängst Du bei der OU, bei der Du die Vererbung aufgehoben hast, neu an. Das gilt auch für die DDP.

2. Die GPO wird erzwungen.
Dann kannst Du die Einstellungen weiter unten nicht mehr aufheben.

Beides sollte man nur machen, wenn es wirklich notwendig ist.

hth

Erik

Ok, das heißt: es gelten solange ALLE Einstellungen der OU von oben bis eine Einstellung von der OU unten dem widerspricht, dann wird aber auch nur die eine Einstellung umgeändert, der Rest bleibt so wie es die OU von oben sagt, richtig? Ist ja im Prinzip dann auch egal, weil die beiden OUs in der Hinsicht dann das gleiche haben, weil, wenn die OU von unten etwas anderes haben würde, das durchgesetzt wird.
Mitglied: erikro
erikro 02.05.2022 um 09:43:33 Uhr
Goto Top
Moin,

Zitat von @camouflagge99:
Ok, das heißt: es gelten solange ALLE Einstellungen der OU von oben bis eine Einstellung von der OU unten dem widerspricht, dann wird aber auch nur die eine Einstellung umgeändert, der Rest bleibt so wie es die OU von oben sagt, richtig?

Richtig.

Liebe Grüße

Erik