Greift eine Gruppe über OUs hinweg?
hi@all
Ich habe hier einen Windows 2003 Server mit diversen OUs. In einer von denen gibt es eine Gruppe, die den User auf der lokalen Maschine dem lokalen Administratoren-Account hinzufügt. Nun möchte ich einen User aus einer anderen OU ebenfalls lokale Admin-Rechte geben, also habe ich ihn dieser Gruppe hinzugefügt. Leider funktioniert das aber nicht. Muss ich eigens für diese OU nochmals so eine Gruppe einrichten?
Antworten
- Mehr
Auf Facebook teilen
Auf Twitter teilen5 Antworten
- LÖSUNG borste schreibt am 29.07.2011 um 13:22:28 Uhr
- LÖSUNG DerWoWusste schreibt am 29.07.2011 um 14:01:04 Uhr
- LÖSUNG sk schreibt am 30.07.2011 um 09:40:25 Uhr
- LÖSUNG Dani schreibt am 06.09.2011 um 01:33:11 Uhr
- LÖSUNG gijoe schreibt am 19.03.2012 um 15:08:17 Uhr
- LÖSUNG Dani schreibt am 06.09.2011 um 01:33:11 Uhr
LÖSUNG 29.07.2011 um 13:22 Uhr
LÖSUNG 29.07.2011 um 14:01 Uhr
LÖSUNG 30.07.2011 um 09:40 Uhr
Hallo,
"Gruppen"richtlinien im AD wirken - anders als der Name suggeriert - ausschließlich auf einzelne Benutzer- und Computerobjekte. Gruppen kann man hingegen bei der Sicherheitsfilterung verwenden. Siehe http://social.technet.microsoft.com/Forums/de-DE/active_directoryde/thr ...
Die im verlinkten Thread beschriebene Vorgehensweise ist aber nur dann nötig, wenn die Policy nicht auf alle Rechner wirken soll (weil die Gruppenmitglieder nur auf bestimmten PCs lokale Admin-Rechte haben sollen) und es aufgrund der OU-Struktur nicht möglich ist, anders zu arbeiten (die OU-Struktur gibt die Rechner-Auswahl nicht wieder). Ansonsten würde ich die Finger von der Sicherheitsfilterung lassen. Das macht es nur unübersichtlich!
Wenn die Gruppenmitglieder auf allen PCs der Domäne oder auf allen PCs unterhalb mehrerer OUs lokale Admins sein sollen, dann muss man die Policy nur weit genug oben in der OU-Struktur einhängen oder die selbe Policy mit mehreren OUs verknüpfen.
Gruß
sk
"Gruppen"richtlinien im AD wirken - anders als der Name suggeriert - ausschließlich auf einzelne Benutzer- und Computerobjekte. Gruppen kann man hingegen bei der Sicherheitsfilterung verwenden. Siehe http://social.technet.microsoft.com/Forums/de-DE/active_directoryde/thr ...
Die im verlinkten Thread beschriebene Vorgehensweise ist aber nur dann nötig, wenn die Policy nicht auf alle Rechner wirken soll (weil die Gruppenmitglieder nur auf bestimmten PCs lokale Admin-Rechte haben sollen) und es aufgrund der OU-Struktur nicht möglich ist, anders zu arbeiten (die OU-Struktur gibt die Rechner-Auswahl nicht wieder). Ansonsten würde ich die Finger von der Sicherheitsfilterung lassen. Das macht es nur unübersichtlich!
Wenn die Gruppenmitglieder auf allen PCs der Domäne oder auf allen PCs unterhalb mehrerer OUs lokale Admins sein sollen, dann muss man die Policy nur weit genug oben in der OU-Struktur einhängen oder die selbe Policy mit mehreren OUs verknüpfen.
Gruß
sk
LÖSUNG 06.09.2011 um 01:33 Uhr
LÖSUNG 19.03.2012 um 15:08 Uhr
Hi Dani
Sorry, ich habe es auf Anhieb nicht mehr hingekriegt. Inzwischen hat sich die Infrastruktur derart geändert, dass es nicht mehr relevant ist.
Was ursprünglich geklappt hat war:
Group Policy Object Editor => Computer Config => Windows Sett => Security Sett => Restricted Groups => Domaingruppe hinzufügen ,die lokale Adminrechte bekommen soll
Dies wollte ich für eine andere OU auch machen, dies gelang mir aber nicht mehr (Windows Server 2003)
Sorry, ich habe es auf Anhieb nicht mehr hingekriegt. Inzwischen hat sich die Infrastruktur derart geändert, dass es nicht mehr relevant ist.
Was ursprünglich geklappt hat war:
Group Policy Object Editor => Computer Config => Windows Sett => Security Sett => Restricted Groups => Domaingruppe hinzufügen ,die lokale Adminrechte bekommen soll
Dies wollte ich für eine andere OU auch machen, dies gelang mir aber nicht mehr (Windows Server 2003)
