GPO soll nicht für Admins greifen

beides gleichzeitig oder einmal als Benutzer und einmal als Computer?

Ja bzw. ggf. auch in der Reihenfolge deiner GPOs. Es ist ja durchaus denkbar, dass du sich widersprechende oder mehrere GPOs hast. Du verbietest ja nur einer GPO das lesen. Wenn du ggf. noch eine weitere GPO hast die zufällig das gleiche macht, dann hast du auch ungewünschte Änderungen. Daher ist das Verweigern der Übernahme der GPO kein Garant dafür, dass der Wert so ist, wie du ihn erwartest. Daher immer mit GPRESULT oder der Richtlinienmodellierung des Ads prüfen was dabei heraus kommt.

Kein Hexenwerk. Es simuliert halt nur ein GPRESULT nach deinen Vorgaben ohne dass du dich am Rechner anmelden musst.

Moin


Nein... Der Wald steht klar und deutlich vor Dir
Oder anders ausgedrückt: "It's not a bug - it's a feature"

Leider ist es der einzig wirklich effektive Weg Updates zu unterbinden, indem man das in der Computer-Richtlinie abschaltet. Wenn Du das in der Benutzerrichtlinie einstellst, können Deine benutzer leider immer noch auf Updates gehen und installieren. Deshalb nicht zu viele Gedanken um Loopback, Modellierung & Co machen...
(Es sei denn MS hat das im letzten Monat geändert - was ich aber eher bezweifle, weil das seit Server 2016 ein Problem ist...)

Gruß

Gruß

Am meisten Sinn macht es für mich Computereinstellungen mit Computerkonfigurationen zu versorgen und Benutzereinstellungen mit Benutzerkonfigurationen. Du kannst einen Terminalserver auch ohne Loopback betreiben.

Das ist doch ein alter Hut.
Lass den Server nicht im Zustand "Updates bereit zur Installation" stehen, sondern installiere die Updates automatisch. Du solltest ihn nicht im Internet nach Updates suchen lassen, sondern auf deinem WSUS und wenn Du da Updates freigibst, an Tag X um 19 Uhr und der Server ist so eingestellt, dass er alle 3 Stunden nach Updates sucht, dann soll er auch um 23 automatish installieren und neu starten, so ergibt sich dein Problem gar nicht.

Du kannst keine Computerkonfig abhängig vom angemeldeten User aufzwingen, das geht nur andersrum.

Moin,

Bin da bei @dww
Wir haben es genauso: bekommen die Server ihre Updates, werden die sofort installiert. Die Freigabe der Updates steuern wir dann ebenfalls über den WSUS.

Läuft fluffig.
Sensible Server sind in einer eigenen Gruppe innerhalb des WSUS, sodass die Updates kontrolliert installiert werden können.

Guten Morgen


Würde ich auch niemals anders sehen. Loopback bedeutet aber doch, dass Benutzerrichtlinien angewendet werden, die eigentlich nur mit der Computer-OU verbunden sind. Das nützt nur nichts, wenn die Einstellung im Benutzerteil der Richtlinien nicht die gewünschte Funktion hat.

Gruß

Moin

ich persönlich mag den Loopback nicht. Ich mag es, wenn die GPOs sauber konfiguriert sind. Das bedeutet für mich:

Es gibt eine GPO für die Computerkonfiguration, die den Computer steuert.
Es gibt eine GPO für die Benutzerkonfiguration.

Der Sinn von Loopback ist bzw. war, dass Benutzer unterschiedliche Berechtigung bekommt abhängig vom Computer an dem er sich anmeldet.

Siehe: https://www.gruppenrichtlinien.de/artikel/loopbackverarbeitungsmodus-loo ...

Die Probleme des Loopback sind hier sehr schön beschrieben:
https://www.windowspro.de/wolfgang-sommergut/loopback-processing-benutze ....

Fazit von Wolfgang Sommergut:

Und der Meinung bin ich auch. Man braucht sie nicht. In meinen Augen hat ein Benutzer gewisse Rechte in einer Umgebung. Der User soll auf dem TS keine Updates durchführen sollen, dann wird das per GPO gesperrt. Will ich, dass der User auf seinem Clients, die Updates steuern kann? Wenn ja, dann brauch ich keinen WSUS. Wenn nein, dann muss ich auch zwischen unterschiedlichen Systemen nicht trennen.
Habe ich dann doch etwas, was für den Benutzer nur auf bestimmten Geräten greifen sollen, dann finde ich persönlich die Steuerung via WMI-Filter besser geeignet.
Will ich, um beim Beispiel zu bleiben, auf Windows 10 den Usern die Updates erlauben und auf TS-Servern nicht, dann erstelle ich eine GPO die für alle Benutzer die Updates im gesamten Netzwerk verbietet. Dann erstell ich eine GPO, die das Update erlaubt. Die Letze wird erzwungen und per WMI nur auf Windows 10 Rechnern ausgeführt. Folgender Effekt tritt ein:
1. Auf Windows 10 Rechnern kann Updates installiert werden, da GPO erzwungen
2. Auf den TS-Servern kann kein Update installiert werden, da die GPO durch den WMI-Filter nicht ausgeführt wird
3. Punkt 2 gilt für alle Geräte, die nicht im WMI Filter abgefragt werden

Ja der Nachteil dadurch ist, dass ich mehr GPOs habe und auch die Anmeldung durch die WMI-Filter etwas langsamer wird als durch den Loopback, aber Meiner Erfahrung nach ist die Methode stabiler und übersichtlicher.

Gruß
Doskias