5
Probleme mit Gruppenrichtlinien nach adprep auf Server 2003 SP1
Hallo zusammen!
habe neulich wegen der Einbindung eines neuen Windows Server 2003 R2 die Gesamtstruktur mittels adprep unter Server 2003 SP1 aktualisiert. Zunächst funktionierte auch alles wie in der Anleitung vorgegeben. Auch die Log Datei gibt keine gegenteilige Aussage. Seither ist jedoch folgendes Problem aufgetreten. Auf den Clients werden die vorgegebenen Gruppenrichtlinienberechtigungen vollständig ignoriert, sprich obwohl ein Gruppenrichtlinienobjekt XY dem Client oder Benutzer A zugeordnet ist, wird es nicht übernommen und der Lesezugriff bleibt gesperrt. Dies ist bei allen GPC Objekten der Fall. Habe zum Test auch einige neu erstellt, aber das Problem bleibt bestehen. Die Richtlinien werden nur übernommen, wenn ich sie für alle Authentifizierten Benutzer festlege. Dann funktioniert alles perfekt und es gibt keine Probleme.
Grundsätzlich funktioniert die Anmeldung an der AD problemlos. (Benutzeranmeldung, etc ...) alles kein Problem. Nur bei den Gruppenrichtlinien werden die Rechte vollständig ignoriert und der Zugriff verweigert. Bei den Clients handelt es sich ausschließlich um XP SP2. Bin jetzt irgendwie ziemlich ratlos. Sind vielleicht die Zugriffsrechte aus SYSVOL > Policies beschädigt bzw. kann man diese irgendwie reparieren?
Hat jemand eine Idee? Besten Dank im Voraus!
habe neulich wegen der Einbindung eines neuen Windows Server 2003 R2 die Gesamtstruktur mittels adprep unter Server 2003 SP1 aktualisiert. Zunächst funktionierte auch alles wie in der Anleitung vorgegeben. Auch die Log Datei gibt keine gegenteilige Aussage. Seither ist jedoch folgendes Problem aufgetreten. Auf den Clients werden die vorgegebenen Gruppenrichtlinienberechtigungen vollständig ignoriert, sprich obwohl ein Gruppenrichtlinienobjekt XY dem Client oder Benutzer A zugeordnet ist, wird es nicht übernommen und der Lesezugriff bleibt gesperrt. Dies ist bei allen GPC Objekten der Fall. Habe zum Test auch einige neu erstellt, aber das Problem bleibt bestehen. Die Richtlinien werden nur übernommen, wenn ich sie für alle Authentifizierten Benutzer festlege. Dann funktioniert alles perfekt und es gibt keine Probleme.
Grundsätzlich funktioniert die Anmeldung an der AD problemlos. (Benutzeranmeldung, etc ...) alles kein Problem. Nur bei den Gruppenrichtlinien werden die Rechte vollständig ignoriert und der Zugriff verweigert. Bei den Clients handelt es sich ausschließlich um XP SP2. Bin jetzt irgendwie ziemlich ratlos. Sind vielleicht die Zugriffsrechte aus SYSVOL > Policies beschädigt bzw. kann man diese irgendwie reparieren?
Hat jemand eine Idee? Besten Dank im Voraus!
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 45859
Url: https://administrator.de/contentid/45859
Printed on: April 25, 2024 at 13:04 o'clock
5 Comments
Latest comment
Hi,
da war wohl schon vorher ein Problem in den Berechtigungen in eurem AD - ich habe mal gerade in "unserem" AD nachgeschaut: Dort hat jede GPO "lesen" Berechtigung für die Autentifizierten Benutzer.
Da hat wohl jemand wieder wo rumgedreht ...
cu,
Alex
da war wohl schon vorher ein Problem in den Berechtigungen in eurem AD - ich habe mal gerade in "unserem" AD nachgeschaut: Dort hat jede GPO "lesen" Berechtigung für die Autentifizierten Benutzer.
Da hat wohl jemand wieder wo rumgedreht ...
cu,
Alex
Das ist auch bei mir der Fall. Wie gesagt, diese Berechtigung wird dann auch übernommen. Will ich ein Objekt aber z.B. für eine bestimmte Gruppe übernehmen, wird diese Zuweisung dann irgnoriert.
Hi,
sorry - ich stehe auf dem Schlauch. Was meinst Du mit "Objekt für eine bestimmte Gruppe übernehmen"?
Meinst Du eine ACL Filterung auf eine GPO anwenden?
Meinst Du, eine GPO auf eine OU / Domain / Site anwenden?
Dir ist schon klar, dass GPO's nur dann Anwendung finden, wenn das zugehörige Element (Computer / User) auch in der OU ist, für welche die GPO angewendet wurde (oder in einer untergerodneten OU)?
cu,
Alex
sorry - ich stehe auf dem Schlauch. Was meinst Du mit "Objekt für eine bestimmte Gruppe übernehmen"?
Meinst Du eine ACL Filterung auf eine GPO anwenden?
Meinst Du, eine GPO auf eine OU / Domain / Site anwenden?
Dir ist schon klar, dass GPO's nur dann Anwendung finden, wenn das zugehörige Element (Computer / User) auch in der OU ist, für welche die GPO angewendet wurde (oder in einer untergerodneten OU)?
cu,
Alex
ok, da habe ich mich leider etwas undeutlich ausgedrückt 
Die Computer / User sind in der OU, auf welche die GPO angewendet wurde. Mir geht es um die ACL Filterung für bestimmte GPO. Die Anwendung der GPO auf eine OU / Domain funktioniert im Grunde ja, da alle GPOs die für alle authentifizierten Benutzer gelten auch übernommen werden. Nur die Filterung für Beispielsweise bestimmte Nutzergruppen funktioniert nun nicht mehr, was vorher problemlos klappte.
Die Computer / User sind in der OU, auf welche die GPO angewendet wurde. Mir geht es um die ACL Filterung für bestimmte GPO. Die Anwendung der GPO auf eine OU / Domain funktioniert im Grunde ja, da alle GPOs die für alle authentifizierten Benutzer gelten auch übernommen werden. Nur die Filterung für Beispielsweise bestimmte Nutzergruppen funktioniert nun nicht mehr, was vorher problemlos klappte.
Hola,
jetzt sehe ich klarer.
Das Leserecht für autnetifizierte Benutzer heisst aber IMHO nicht, dass die GPO dann auch von jedem Benutzer AUSGEFÜHRT wird - dafür gibt es ja ein eigenes Recht "Gruppenrichtlinie anwenden" oder so. Wenn Du nun den autentifizierten Benutzern das Recht nimmst die GPO zu LESEN (bzw. nicht gibst), dann kann es sein, dass es dann später auch nicht ausgeführt wird ...
Ich täte mich an die Standards halten und die autentifizierten Benutzer mit LESEN drinlassen und die, die dann die GPO ausführen sollen, eben mit dem Recht GPO ANWENDEN beglücken.
Schau doch mal, ob das Dein Problem behebt und ob dann nur die in den genuss der GPO kommen, die Du Dir vorgestellt hast. Das GPO LESEN Recht alleine sollte die GPO nicht anwenden.
Im Moment habe ich keinen Zugriff auf meine DC's, so dass ich nicht explizit nachschauen kann - sorry.
cu,
Alex
jetzt sehe ich klarer.
Das Leserecht für autnetifizierte Benutzer heisst aber IMHO nicht, dass die GPO dann auch von jedem Benutzer AUSGEFÜHRT wird - dafür gibt es ja ein eigenes Recht "Gruppenrichtlinie anwenden" oder so. Wenn Du nun den autentifizierten Benutzern das Recht nimmst die GPO zu LESEN (bzw. nicht gibst), dann kann es sein, dass es dann später auch nicht ausgeführt wird ...
Ich täte mich an die Standards halten und die autentifizierten Benutzer mit LESEN drinlassen und die, die dann die GPO ausführen sollen, eben mit dem Recht GPO ANWENDEN beglücken.
Schau doch mal, ob das Dein Problem behebt und ob dann nur die in den genuss der GPO kommen, die Du Dir vorgestellt hast. Das GPO LESEN Recht alleine sollte die GPO nicht anwenden.
Im Moment habe ich keinen Zugriff auf meine DC's, so dass ich nicht explizit nachschauen kann - sorry.
cu,
Alex
