brucki
Goto Top

Problem oder (mein) Unverständnis bei Übernahme von Gruppenrichtlinien

Hallo,

ich habe über den Gruppenrichtlinienverwaltunsg-Editor in den Default Domain Policies meines Windows Servers 2008 R2 u.a. die Zeitgeberrichtlinen vorgegebene bzw. aktiviert.

b523207f8349dfaf4cee20a18ae6fada

Eigentlich dachte ich nun, dass jedes Mitglied dieser Domäne, diese Policies übernehmen müsste (ein Neustart bzw. ein manuelles Update der Übernahme der Gruppenrichlinien habe ich durchgeführt), aber im lokalen Richtilinieneditor eines W7 Clients finde ich folgende Einstellungen:

1fcec04a918da4da081c24038a37dc1c

Ich hatte erwartet, dass im Client ebenfalls die beiden oberen Punkte auf "aktiviert" gesetzt sein müssten.

Wer kann mir sagen wo also mein (Denk-)Fehler liegt?

Danke

vG
Brucki

Content-ID: 177682

Url: https://administrator.de/forum/problem-oder-mein-unverstaendnis-bei-uebernahme-von-gruppenrichtlinien-177682.html

Ausgedruckt am: 24.12.2024 um 02:12 Uhr

Luie86
Luie86 14.12.2011 um 12:39:52 Uhr
Goto Top
Hallo,

also erstmal zu deinem Problem:

lokale Richtlinien sind nicht dasselbe wie Domänen-Richtlinien.
Wenn du am Client überprüfen willst, welche GPO´s angewendet werden, darfst du nicht in die lokale Richtlinie des Computer´s schauen.
Schau dir stattdessen mal die Tools: "rsop.msc" bzw. "gpresult" an.

Desweiteren ist es in einer Domäne eigentlich so, dass sich der DC mit der PDC-Role die Uhrzeit von einer beliebigen Quelle hohlt
und diese dann dem Netzwerk bzw. anderen DC´s zur Verfügung stellt.
Also würde ich dir empfehlen die Einstellungen in den GPO´s wieder rauszunehmen, sonst wird es früher oder später zu Problemen kommen.

Gruß Daniel
Brucki
Brucki 14.12.2011 um 12:59:50 Uhr
Goto Top
Hi Daniel,

das ging fix face-smile

Ok, mit rsop.msc hatte ich in der Tat meine gemachten Gruppenrichtlinien auf dem Client wiederfinden können. Aber was bewirkt eine Änderung der lokalen Gruppenrichtlinie, wenn die Domänen Richtlinie schon vorgegeben ist? Anders ausgedrückt: Wieso kann ich die beiden Einstellungen im lokalen Gruppenrichtliniereneditor überhaupt ändern? Ich hätte erwartet, dass die ausgegraut wären, weil es ja wie bereits gesagt "höherwertige" Einstellungen seitens der Domäne gibt.

Zeitdienst: Mein Windows Server 2008 R2 hatte sich in der Vergangenheit oftmals die falsche Zeit aus Braunschweig von der Physikalisch-Technischen Bundesanstalt (PTB) geholt. Deswegen wollte ich es so einstellen, dass ich beim Server die Zeit einmal die Woche manuell einstelle und die Clients sich die Zeit eben vom Server holen.

Mein System ist ein Heimsystem, von daher gesehen kann ich ein wenig "experimentieren"

vG
Brucki
Luie86
Luie86 14.12.2011 um 13:17:56 Uhr
Goto Top
Hi,

lokale Richtlinien können verwendet werden um Clients mit GPO-Einstellungen zu verwalten die sich in keiner Domäne befinden.
Einstellungen in der lokalen GPO können auch geändert werden, wenn auf den PC Domänen-GPO´s angewendet werden.
Dabei werden aber die lokalen Einstellungen durch die Einstellungen der Domänen-GPO überschrieben sobald ein Konflikt auftritt.

Zum Thema GPO´s würde ich dir diese Seite empfehlen: 1


Zeitdienst:

PDC-Role-Server: w32tm /config /manualpeerlist:IP_DES_ZEITANBIETERS /syncfromflags:manual /reliable:yes
Clients: w32tm /config /syncfromflags:domhier

So habe ich DC´s immer konfiguriert. Der Server mit der PDC-Role holt sich die Zeit von einem festen Zeitserver.
Die Clients oder anderen DC´s holen sich die Zeit aus der Domäne.

Kann man natürlich auch mit einer GPO machen aber fande ich irgendwie zu umständlich.

Gruß Daniel
Logan000
Logan000 14.12.2011 um 15:08:32 Uhr
Goto Top
Moin Moin

Zitat von @Luie86:
Zum Thema GPO´s würde ich dir diese Seite empfehlen: 2
oder gruppenrichtlinien.de.

Gruß L.
Hubert.N
Hubert.N 14.12.2011 um 16:32:12 Uhr
Goto Top
Moin

interessanterweise muss man eigentlich an den Clients und/oder in den Richtlinien garnichts einstellen, damit sie die Zeit synchronisieren. Per default syncen die Clients mit dem DC, an dem sie sich authentifizieren.

Meistens liegt da absolut kein Segen drin, wenn man an der Zeitsynchronisation der Domäne bastelt...


Gruß
Brucki
Brucki 15.12.2011 um 10:16:30 Uhr
Goto Top
Ok, wenn ich richtig verstanden habe stellt sich das mit den Gruppenrichtlinien wie folgt für mich dar:

Über die Gruppenrichtlinien (gpmc.msc), die per Domäne eingestellt werden, kann ich domänenweit einheitlich Richtlinien vorgeben.
Mit gpedit kann ich lokal auf dem jeweiligen Rechner Richtlinien einstellen. Ist diese (lokal definierte) Richtlinie allerdings bereits durch eine Domänenrichtlinie vordefiniert, hat die lokale keine Bedeutung mehr und wird quasi durch die Domänenrichtlinie "überschrieben".

Welche Richtlinie aktuell auf dem lokalen System angewendet wird, lässt sich mit rsop.msc herausfinden.

Da gibt es bestimmt noch Sonderfälle, aber grundsätzlich müsste das doch so steimme, oder?

vG
Brucki
Luie86
Luie86 15.12.2011 um 10:51:04 Uhr
Goto Top
Stimmt soweit.

Allerdings musst du bedenken, dass auch mehrere Gruppenrichtlinien auf Clients / Benutzer angewendet werden können
und sich die vorgegebenen Einstellungen "summieren" bzw. bei Konflikten ersetzen.


Sonderfälle wären noch:

- Anwendungsreihenfolge der GPO´s: lokal, Standort, Domäne, OU
- Spezielle Einstellungen für GPO´s: Kein Vorrang und Richtlinievererbung deaktivieren
- Loopbackverarbeitungsmodus

Gruß Daniel
Brucki
Brucki 15.12.2011 um 13:21:06 Uhr
Goto Top
Ich danke Euch allen somit für meine Aufklärung und markiere diesen Beitrag als gelöst. Ich werde aber zeitgleich einen weiteren aufmachen, um mein Problem mit der Zeitsynchronisation hinzubekommen, das läuft nämlich noch nicht wirklich rund.

vG
Brucki