h2de
Goto Top

Gruppenrichtlinie Zugriff Verweigert

Hallo zusammen,

habe folgendes Problem bzw. Anforderung.

Ich möchte einer bestimmten OU (Test-PC), die nur Computer enthält, ein GPO zuweisen dass nur bei ausgewählten Benutzern die sich an einen dieser Computer anmelden beim Start ein Programm (notepad) gestartet wird.

Ich habe dazu eine GPO erstell die wie folgt konfiguriert ist:

Benutzerkonfiguration - Administrative Vorlagen - System - Anmeldung - Dieses Programm bei der Benutzernmeldung starten: notepad.exe

mehr nicht.

Jetzt habe ich noch bei der Gruppenrichtlinie selbst bei der Sicherheitsfilterung die Authentifizierten Benutzer entfernt und einen Testuser hinzugefügt mit den Berechtigungen: Lesen und Gruppenrichtlinien übernehmen.

So habe ich gedacht dass die Konfiguration aussehen müsste. ABER!!!

Wenn ich nun einen bericht bei der Gruppenrichtlinienmodellierung erstelle wird dieses GPO abgelehnt mit dem Grund: Zugriff verweigert (Sicherheitsfilterung)

Kann mir jemand sagen an welcher Stelle hier der Fehler ist oder eine alternative Lösung vorschlagen?

Danke im Voraus

Content-ID: 60628

Url: https://administrator.de/forum/gruppenrichtlinie-zugriff-verweigert-60628.html

Ausgedruckt am: 24.12.2024 um 14:12 Uhr

Logan000
Logan000 05.06.2007 um 12:33:10 Uhr
Goto Top
Die GPO wirkt nur auf objekte innerhalb der OU. Wenn in deiner OU keine Benutzer sind können durch die OU auch keine Benutzerkonfigurationen angewendet werden.
Du solltest also die GPO unter einer OU einrichten in der die jeweiligen Benutzer sind.
DerSchorsch
DerSchorsch 05.06.2007 um 12:41:18 Uhr
Goto Top
Hallo,

Die Fehlermeldung kommt daher, dass der Computer die Richtlinie nicht lesen darf. Er ist zwar auch ein "Authentifizierter Benutzer", aber die dürfen ja nun nicht mehr.

Aber selbst wenn er es dürfte, würde es nicht klappen, da deine GPO am falschen Platz liegt. Nur Objekte unterhalb der entsprechenden OU verwenden die zugewiesene GPU, aber nur den entsprechenden Teil davon!
Da hier nur Computer in deiner OU sind, lesen die nur den Teil "Computerkonfiguration". Die Benutzerkonfiguration ist nicht relevant.

Du hast jetzt folgende Möglichkeiten: Entweder du setzt die GPO auf die OU, in der die User drin sind, oder du konfigurierst die GPO so, dass sie im Loopbackmodus arbeitet (Lies dir mal den Anfang dieses Artikels durch: http://www.grurili.de/HowTo/Terminal_Server.htm)
Bei der ersten Möglichkeit gilt sie immer für diesen Benutzer, egal an welchem Rechner er sich anmeldet. Bei der 2. nur dann, wenn er sich an einem PC aus dieser OU anmeldet. Kommt drauf an, was du willst.

Grundsätzlich gilt: Gruppenrichtlinien sind ein sehr mächtiges Hilfsmittel. Aber man muss sich damit auskennen, sonst kann man damit auch versehentlich viel Schaden anrichten. Experimente nur in Testumgebungen, niemals am Produktivsystem!

Gruß,
Schorsch
h2de
h2de 05.06.2007 um 12:42:51 Uhr
Goto Top
Hallo Logan000,

danke erstmal für die Anwort. Aber wenn ich die GPO auf die Benutzer anwende, wie schließe ich dann nur einen besteimmten Kreis von Rechnern ein auf denen sie wirkt?
h2de
h2de 05.06.2007 um 13:02:18 Uhr
Goto Top
O.k.

Was würde denn passieren wenn ich eine OU habe: Alle, unter dieser OU habe jeweils die OU: rechner und die OU: user. Jetzt erstelle ich meine GPO mit einer Benutzerkonfiguration, verknüpfe sie mit: Alle und gebe nur dem user1 in der OU user und dem pc1 in der OU rechner die entsprechenden Sicherheitseinstellungen für die GPO. Was passiert jetzt? IMHO nur der user1 darf auf allen PC's in OU. Oder???
DerSchorsch
DerSchorsch 05.06.2007 um 13:18:42 Uhr
Goto Top
Hallo,

So wie ich dich vestehe, klappt das nicht.
Computer lesen nur die Computerkonfiguration, Benutzer nur die Benutzerkonfiguration.
Wenn jetzt dein Benutzer die GPO übernehmen darf, wird er das auch tun. Ob der Computer den Computerteil lesen darf ist nicht wichtig. Demzufolge wird der Benutzer auch immer die Richtlinie übernehmen, wenn er in der entsprechenden OU ist.

Lies dir doch mal den Link bez. Loopbackmodus durch, den ich bereits geschrieben habe. Darin geht es zwar um Terminalserver, aber hier existiert die gleiche Situation:
Wenn sich hier ein Benutzer anmeldet, soll er eine andere Benutzerkonfiguration bekommen, wie wenn er sich an einem normalen PC anmeldet.
Du musst also die GPO für die entsprechenden Computer definieren und auf Loopback setzen. Meldet sich nun ein Benutzer an, drückt ihm der Computer auch die Benutzerkonfiguration der GPO auf, auch wenn der Benutzer gar nicht zur OU gehört. Hier greift dann auch wieder die Sicherheitsfilterung, sprich, du kannst die Benutzer (oder besser Gruppen) definieren, die das dürfen.

Gruß,
Schorsch