Wie werden GPOs auf Clients angewendet?

Wenn Du noch Konfigurationsbeispiele benötigst, findest Du hiereine Sammlung und viele Erklärungen.

Gruß

Looser

Moin.


Irgendwann ist immer das erste Mal.


Dann bringen wir mal Licht ins Dunkle.


Erster Irrtum. Gruppenrichtlinien wirken nicht auf Gruppen, sondern auf Domains, Organisationseinheiten und Standorte.


Standard! Mit Fahnen hat das nichts zu tun. Nur so nebenbei.

Was meinst Du damit. Doch hoffentlich nicht die Default Domain Policy. Grundregel: Never touch it.


Nein, das ist nicht korrekt. Handelt es sich um eine Richtlinie für Computer (Computerkonfiguration) wirkt diese auf alle Computer, die in der OU (und den darunter liegenden) sind, auf die die Richtlinie wirkt. Handelt es sich um eine Richtlinie für Benutzer, wirkt sie auf alle Benutzer, die in der OU sind.


Was meinst Du damit, dass der Computer der Richtlinie hinzugefügt wird?

hth

Erik

Du kannst natürlich eine GPO einer Gruppe zuweisen......ich glaube ihr redet aneinander vorbei.
Vielleicht postet der TO mal ein Bild von der GPO?

Gruß

Looser

Ja sicher kann ich auch mit Zielgruppenadressierung oder WMI-Filtern ...

Wir wollen doch den jungen Padawan nicht zu sehr verwirren. Bleiben wir bei den Grundlagen.

Wenn schon, denn schon......volle Packung.....

Moin,

hattest Du nicht gesagt, dass Du anfängst, Dich damit zu beschäftigen.

Jetzt ist klar, was Du meinst, und der Kollege @Looser27 hatte recht mit seinem Einwand. Also nochmal von vorne:

1. Die Regel, die ich nannte, ist richtig. Die GPOs wirken auf die drei genannten Objekte. Deine GPOs wirken also auf die OUs Büro und die darunter liegenden.

2. Die Sicherheitsfilterung ist dafür da, GPOs weiter zu differenzieren. Hier kann ich Benutzer(-gruppen) und Maschinen angeben, für die die GPO als Ganzes wirken soll. Hier müssen immer Benutzer und Computer angegeben werden. Der Sinn ergibt sich aus dem, was Du erreichen willst: Bestimmte Benutzer (z. B. Admins) sollen auf bestimmten Computern (IT-Abteilung, Server) Powershell ausführen können. Also gebe ich einerseits im Sicherheitsfilter die Benutzer(-gruppe) und die Computer(-gruppe) an, für die die Richtlinie gelten soll. Steht hier kein Computer drin, dann wird es nie gehen, da der Sicherheitsfilter (nicht die GPO selbst) verbietet, dass die Anweisung ausgeführt werden darf.

3. WMI-Filter sind eine weitere Möglichkeit, die GPOs auf bestimmte Maschinen oder User zu beschränken. Sie bieten den Vorteil, dass ich nicht nur nach den Namen der Objekte, sondern nach allen Eigenschaften filtern kann z. B. nach dem Betriebssystem.

Ich persönlich neige dazu, mit dem ersten auszukommen und eher die OUs zu differenzieren. Also in etwa so, dass ich unter der OU Benutzer weitere OUs einrichten würde z. B. eine PS und eine No-PS. Aber das muss jeder selbst wissen.

Liebe Grüße

Erik

So ist es. Deshalb ist auch der Standard dieser:


Dann gilt die Richtlinie für alle.


Immer.


Nein, es filtert, auf wen die Richtlinie angewendet wird. Das scheint jetzt ein wenig haarspalterisch. Aber solche Feinheiten helfen dem Verständnis.


Nein. Dann wird sie gar nicht mehr angewendet. Mit der Sicherungsfilterung bestimmst Du, auf wen und welche Maschinen die Richtlinie angewendet werden soll.


Immer beides.


Ja. Deshalb sollte man sich imho zur Regel mache: Was ich mit OU-Strukturen erschlagen kann, mache ich auch mit Hilfe der OU-Struktur.


Schlecht. Regel: Das AD bildet die organisatorischen und/oder geographischen Strukturen der Organisation ab. Keine OUs für Abteilungen zu haben, ist m. E. ein Fehler.


Ja. Bitte gewöhne Dir an, von OUs zu sprechen. Gruppen sind was anderes.


Nur die Ruhe. Das wird schon. Wichtig bei der ganzen Geschichte ist, dass man sich vor der Erstellung eine ADs hinreichend Gedanken macht, wie man es strukturiert. Grundsätzlich gehe ich immer so vor:

Jede Abteilung wird in einer OU abgebildet. Evtl. haben diese OUs noch Unter-OUs, wenn das sinnvoll ist, die Abteilungen weiter zu untergliedern. In diesen OUs sind nur die User. Man sollte die Admins komplett aus der Struktur entfernen und in eine OU packen, die direkt unter der Domain liegt.

Es gibt mindestens eine OU für Clients und eine für Server. Meistens ist es sinnvoll hier noch weiter zu unterscheiden.

Es gibt eine OU für globale Gruppen und eine für lokale. Das ist jetzt nicht unser Thema. Das Stichwort ist die AGDLP-Regel. Auch hier differenziere ich gerne weiter aus, damit es übersichtlicher wird.

Sicherungsfilterung, wie schön erwähnt, nutze ich nach Möglichkeit nicht. Ein Beispiel, wann das sinnvoll ist:

Nehmen wir ein Unternehmen, in dem Menschen sowohl an normalen Computern als auch an Kassensystemen arbeiten. Für die Kassensysteme brauche die User bestimmte Einstellungen, die an den normalen Computern nur stören. Dann kann ich eine GPO für die User (Benutzereinstellungen) erstellen und mit dem Filter dafür sorgen, dass sie nur an den Kassen wirken.

Liebe Grüße

Erik