NTFS Rechte via GPO(s) - heben sich gegenseitig (scheinbar) auf

Hallo miteinander,

ehe ich zur eigentlichen Frage komme muss ich die Umstände erklären, um einige "Warum tust du das so?" Fragen vorweg zu nehmen. Wobei, verhältnismäßig unerfahren wie ich in Sachen GPO noch bin, nehme ich gerne Verbesserungsvorschläge entgegen. Es ist zudem auch eine Verständnisfrage - es gibt andere Wege (z.B. via Script), aber mir ist es u.a. auch wichtig zu verstehen, warum das eben SO nicht SO einfach funktioniert.

*Vorwort*

ich bin seit knapp 1 Jahr administrativ an einer (leider sehr) technischen Berufsschule tätig. Das "leider" bezieht sich auf die Tatsache, dass sehr häufig verschiedenste Software (Industrie, Programmierung etc.). Und z.B. bei einiger Industrie Software, selbst wenn sie angeblich für Schulen entwickelt wurde, hat oft nur unzureichend das wechselhafte Usersystem an einer Schule mit Bereichsübergreifender Raumnutzung auf dem Schirm gehabt. Es gibt da gerne auch mal Rückmeldungen von großen Firmen Supports ala "Ist doch selbstredend, dass der User an einem Gerät mit Maschinensteuerung volle Administrationsrechte über das Bediengerät, also den PC, verfügt!".
Vom Lizenzdschungel tw. ganz zu schweigen, und gegenüber meinem Kundenkreis von Lehrkräften die rote Fahne zu schwingen "Diese Software installiere ich nicht" funktioniert in der Praxis unseres Bildungssystems auch nur mäßig.

D.h. ich bin in ein laufendes System hineingestolpert, welches über Jahre hinweg chatoisch gewachsen ist - wenig bis keine Dokumentation, bereichsweise breitfächerig aufgestellte Lokale Administrationsrechte für Lehrer und Schüler, und ein GPO Dschungel, für dessen Fahrplan Analyse ich Monate brauchte - und immer noch nicht alles 100% klar ist.


Inzwischen konnte ich vieles abstellen / neu ordnen / weiter einschränken... viel dazu gelernt. U.a. auch als stiller Leser dieses Forums - an dieser Stelle einfach mal Danke an all jene die ihr Fachwissen bereit, Erfahrung bereit stellen und sich die Zeit dafür nehmen.
Aber bin ich noch längst nicht fertig - und über eines stolper ich immer wieder - das Mysterium der GPO Ausführung - auch wenn diese laut result durchgelaufen sind


*Konkrete Frage*


Ich habe GPOs für verschiedene NTFS Berechtigungen (nach OU-Standort und MemberOf Status - selten auch via WMI-Filter). Ich bin mit den Basics der Vererbung (Filesystem, LDAP, GPO) vertraut - Das Zustande der ADDS Versionskonflikten mancher GPO ist allerdings ab und zu schon noch ein Rätsel. Und es funktioniert auch in 95% der Fälle wie gedacht - mal nach 1, mal erst nach 2 Neustarts (trotz manuellem gpupdate).
Das letzte 5% ist ein Fall, an dem sich Prüfungsraumtechnsich 2 wesentliche Bereiche überschneiden mit verschiedenen NFS Berechtigungen. Konkret geht es um zusätzliche Schreibrechte auf NFS- und Registry Pfade für die "special" Software Anforderungen.
2 GPO Links sind in derselben OU aktiv, und jede setzt u.a. andere NFS-Rechte - allerdings unterschiedliche Pfade - also inhaltlich eigentlich keine Widersprüche.

Einfach geschildert:

Aktuell

OU-Standort:
Link aktiv: 1) GPO A setzt Schreibrechte für Pfad X für MemberOf UsersA (die Auswirkungen sind lokal aktiv)
Link aktiv : 2) GPO B setzt Schreibrechte für Pfad Y für MemberOf UsersB (GPO wird angewandt, aber ohne Auswirkungauf NFS Rechte)

[Richtlinien\Windows Einstellungen\Sicherheit\Dateisystem]


(beide nur ComputerConf. aktiv)

Bis vor kurzem war nur 1) GPO A vorhanden - voll funktional

Jetzt kamen zusätzliche Anforderungen.
GPO B funktioniert ebenfalls - in anderen StandortOUs


Nach meinem bisherigen Verständnis sollte 2), da sie als letztes ausgeführt wird, sich auch durchsetzen - angewandt werden beide!
Ich habe mir einen Wolf probiert - und habe mehrfach festgestellt, dass die gewünschten Rechte erst gesetzt werden, wenn ich den Linkstatus von 1) aufhebe.

Sind die lokalen NFS erstmal gesetzt, kann ich auch getrost wieder beide aktivieren - andere Anweisungen der GPO werden schließlich ausgeführt.


[Nachtrag: GPO B tut nur dann was ich will, wenn ich GPO A Link deaktivere!]


Mir ist klar, dass ein Workaround mit ICACLS möglich wäre. Aber das erklärt nicht warum die eine GPO Dateisystem Funktion die der anderen blockiert/aufhebt? - Abgesehen von der Funktion als solches ist keine Überschneidung/Konflikt gegeben. Und selbst wenn, SOLLTE sich die letzte trotzdem der vorangegangenen gegeünber durchsetzen?


Nochmal der kurze Hinweis (evtl. hängt es ja damit zusammen?) - Laut Richtlinien Ergebnisse bestehen gelegentlich Warnmeldungen zu Versionskonflikten (Es gibt auch nur 1 DC) - aber das hat auf andere Bereiche auch keine Auswirkung, und angewandt wird die GPO dennoch


Hat für dieses Phänomen irgend jemand eine Erklärung für mich ?
Danke