6
GPO Eingeschränkte Gruppen nur auf bestimmten Computern
Hallo!
Ich habe eine Windows Server 2008 Domäne u.a. mit mehreren Servern. Über die Default Domain Policy habe ich eingestellt, dass alle User einer bestimmten Gruppe auf den Computern lokale Adminrechte bekommen. Nun ist mir aufgefallen, dass dies natürlich auch auf den Servern der Fall ist. Das soll aber nicht sein. Wie kann ich bestimmte Computer (die Server) von dieser Richtlinie ausschließen?
Ich habe eine Windows Server 2008 Domäne u.a. mit mehreren Servern. Über die Default Domain Policy habe ich eingestellt, dass alle User einer bestimmten Gruppe auf den Computern lokale Adminrechte bekommen. Nun ist mir aufgefallen, dass dies natürlich auch auf den Servern der Fall ist. Das soll aber nicht sein. Wie kann ich bestimmte Computer (die Server) von dieser Richtlinie ausschließen?
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 117087
Url: https://administrator.de/contentid/117087
Ausgedruckt am: 26.11.2024 um 09:11 Uhr
6 Kommentare
Neuester Kommentar
Moin Moin
Als erstes mal ein Tipp: Nimm möglichst wenig Einstellungen über die Default Domain Policy vor. Besser eine eigene GPO.
Diese kannst Du dann auf eine OU loslassen die nur diese Computer enthält auf den die Einstellungen auch angewendet werden sollen.
Alternativ besteht natürlich die Möglichkeit diese GPO auch nur eif eine bestimmte Gruppe loszulassen.
Gruß L.
Als erstes mal ein Tipp: Nimm möglichst wenig Einstellungen über die Default Domain Policy vor. Besser eine eigene GPO.
Diese kannst Du dann auf eine OU loslassen die nur diese Computer enthält auf den die Einstellungen auch angewendet werden sollen.
Alternativ besteht natürlich die Möglichkeit diese GPO auch nur eif eine bestimmte Gruppe loszulassen.
Gruß L.
Moin!
Also meinst du ich sollte eine OU erstellen, in der sich alle Server und eine, in der sich alle Clients befinden? Dann anschließend eine GPO für die Client OU erstellen, in der ich die User zu lokalen Admins mache?
Die Default GPO hab ich zugegebener Weise aus Faulheit benutzt ;)
Also meinst du ich sollte eine OU erstellen, in der sich alle Server und eine, in der sich alle Clients befinden? Dann anschließend eine GPO für die Client OU erstellen, in der ich die User zu lokalen Admins mache?
Die Default GPO hab ich zugegebener Weise aus Faulheit benutzt ;)
Das Zauberwort, um Benutzereinstellungen auf bestimmte Computerobjekte und umgekehrt wirken zu lassen, heisst Loopbackverarbeitungsmechanismus.
Schau mal hier:
http://www.gruppenrichtlinien.de/Grundlagen/Loopback_Verarbeitungs_Modu ...
Bezügl. der Default Domain Policy kann ich nur zustimmen: Finger wech!
Schau mal hier:
http://www.gruppenrichtlinien.de/Grundlagen/Loopback_Verarbeitungs_Modu ...
Bezügl. der Default Domain Policy kann ich nur zustimmen: Finger wech!
Moin
Die lokalen Gruppenmitgliedschaften waren unter 2003 und sind auch unter 2008 Computereinstellungen.
der empfehlung kann ich mich nur anschliessen.
Gruß L.
Zitat von @Dominik862311:
Also meinst du ich sollte eine OU erstellen, in der sich alle Server und eine, in der sich alle Clients befinden?
Es reicht hier eine OU für die Clients.Also meinst du ich sollte eine OU erstellen, in der sich alle Server und eine, in der sich alle Clients befinden?
Dann anschließend eine GPO für die Client OU erstellen, in der ich die User zu lokalen Admins mache?
Jup.Die Default GPO hab ich zugegebener Weise aus Faulheit benutzt ;)
Ich halte Faulheit bein einem Admin zwar für eine Tugend, aber hier hast du am falschen Ende gespart.Zitat von @jhinrichs:
Das Zauberwort, um Benutzereinstellungen auf bestimmte Computerobjekte
und umgekehrt wirken zu lassen, heisst Loopbackverarbeitungsmechanismus.
Wäre richtig, wenn das Zauberwort hier nicht Computereinstellungen auf bestimmten Computern wäre.Das Zauberwort, um Benutzereinstellungen auf bestimmte Computerobjekte
und umgekehrt wirken zu lassen, heisst Loopbackverarbeitungsmechanismus.
Die lokalen Gruppenmitgliedschaften waren unter 2003 und sind auch unter 2008 Computereinstellungen.
der empfehlung kann ich mich nur anschliessen.
Gruß L.
Wäre richtig, wenn das Zauberwort hier nicht
Computereinstellungen auf bestimmten Computern wäre.
Die lokalen Gruppenmitgliedschaften waren unter 2003 und sind auch
unter 2008 Computereinstellungen.
Computereinstellungen auf bestimmten Computern wäre.
Die lokalen Gruppenmitgliedschaften waren unter 2003 und sind auch
unter 2008 Computereinstellungen.
Das ist natürlich richtig.
Vielen vielen Dank für Eure schnelle und kompetente Hilfe! Hat wunderbar funktionert. Die Loopbackmethode hatte ich auch schon ins Auge gefasst aber relativ schnell gemerkt, dass sie mir nix bringt.
