5
Gruppenrichtlinie Computerobjekte
Hallo,
ich habe mir eine GPO gebaut wo über die GPPs im Computerteil eine Datei ersetzt wird und anschl. ein Dienst neu gestartet wird.
Wenn ich das Computerobjekt direkt in die Sicherheitsfilterung packe wird es nach der nächsten Richtlinienverarbeitung angewendet.
Wenn ich aber im Sicherheitsfilter der GPO eine Gruppe packe und innerhalb der Gruppe ein Computerobjekt hinzufüge dann wird es nicht verarbeitet. Ich vermute der Computer muss erst neu angemeldet werden oder?
Jemand evtl. eine Idee wie ich das sonst lösen könnte? Es handelt sich um Serversysteme. Und jedes Computerobjekt einzeln in den Sicherheitsfilter zu packen ist leider sehr mühsam......
Danke und VG
Dennis
ich habe mir eine GPO gebaut wo über die GPPs im Computerteil eine Datei ersetzt wird und anschl. ein Dienst neu gestartet wird.
Wenn ich das Computerobjekt direkt in die Sicherheitsfilterung packe wird es nach der nächsten Richtlinienverarbeitung angewendet.
Wenn ich aber im Sicherheitsfilter der GPO eine Gruppe packe und innerhalb der Gruppe ein Computerobjekt hinzufüge dann wird es nicht verarbeitet. Ich vermute der Computer muss erst neu angemeldet werden oder?
Jemand evtl. eine Idee wie ich das sonst lösen könnte? Es handelt sich um Serversysteme. Und jedes Computerobjekt einzeln in den Sicherheitsfilter zu packen ist leider sehr mühsam......
Danke und VG
Dennis
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 669971
Url: https://administrator.de/contentid/669971
Ausgedruckt am: 04.12.2024 um 21:12 Uhr
5 Kommentare
Neuester Kommentar
Wenn ich aber im Sicherheitsfilter der GPO eine Gruppe packe und innerhalb der Gruppe ein Computerobjekt hinzufüge dann wird es nicht verarbeitet.
Ich vermute der Computer muss erst neu angemeldet werden oder?
Abmelden reicht nicht, er muss entweder neu gestartet oder das Computer-Kerberos-Ticket gelöscht werden. Damit ein Computer das Token für die Gruppenmitgliedschaft erhält muss er sein Kerberos Ticket erst erneuern, wenn man den Computer nach dem Hinzufügen zur Gruppe zwischenzeitlich nicht neu gestartet hat oder das Kerberos Tickt gelöscht hat.Ich vermute der Computer muss erst neu angemeldet werden oder?
Also den Computer entweder neu starten oder das Kerberos Ticket des Computers in einer elevated Shell mit psexec und dem "SYSTEM" Account löschen und ein gpudpate hinterher schieben.
psexec -s klist purge
gpupdate /force
Danke f. d. Antwort.
OK, Mist
Neu starten ist bei den Serversystemen nicht ganz so einfach......
Ne Möglichkeit das Remote per psexec auf den Systemen auszuführen?
Per Scheduled Task über GPP hätte ich ja wieder das gleiche Problem das er entweder Reboot braucht oder das Kerberos Ticket gelöscht werden muss.
OK, Mist
Neu starten ist bei den Serversystemen nicht ganz so einfach......
Ne Möglichkeit das Remote per psexec auf den Systemen auszuführen?
Per Scheduled Task über GPP hätte ich ja wieder das gleiche Problem das er entweder Reboot braucht oder das Kerberos Ticket gelöscht werden muss.
Jeder Server muss irgendwann mal neu gestartet werden, einfach ins Wartungsintervall verlegen oder Gruppen in der GPO nutzen in denen die Server bereits schon vorher Mitglied sind.
Oder ne Powershell Session öffnen. Enter-PSSession oder Invoke-Command oder WMI und Win32_Process
Ne Möglichkeit das Remote per psexec auf den Systemen auszuführen?
Klar direkt über psexec machen, das kann auch remote genutzt werden.Oder ne Powershell Session öffnen. Enter-PSSession oder Invoke-Command oder WMI und Win32_Process
Per Scheduled Task über GPP hätte ich ja wieder das gleiche Problem das er entweder Reboot braucht oder das Kerberos Ticket gelöscht werden muss.
Nicht wenn du es direkt drauf pushst z.B. per Skript, oder die Computer alle einmalig per Powershell Skript in die GPO packst => Mit Get-ADComputer die Computer holen und mit Set-GPPermission in der GPO hinzufügen.foreach ($computer in Get-ADComputer -Filter "Operatingsystem -like '*Server*' and enabled -eq 'true'" -Properties OperatingSystem){
Set-GPPermission -Name "Blablub" -TargetName $computer.Name -TargetType Computer -PermissionLevel GpoApply
}
1
Ne Möglichkeit das Remote per psexec auf den Systemen auszuführen?
Wie @Oskar44 schreibt: Über psexecpsexec \\servername -s klist purgeEdit:
Oder erst ne CMD starten und dann in dieser das klist und gpupdate ausführen. Wichtig ist nur Schalter "-s" - als SYSTEM.
psexec \\servername -s cmd
Ich nutze gerne Invoke-CommandAs
Invoke-CommandAs -ComputerName servername -AsSystem -ScriptBlock {klist purge}
