GPO nur für Terminalserver

Hallo

Wie können wir erreichen, das unsere Gruppenrichtlinien nur bei der Anmeldung über Terminalserver umgesetzt werden und nicht bei der Domänanmeldung der Clients greift.

Wir haben einen W2k Server und W2k Prof. Clients.

Du richtest auf dem TS die Richtlinie ein und aktivierst unter Computerkonfiguration/Administrative Vorlagen/.../Gruppenrichtlinien den "Loopback Verarbeitungsmodus", im Modus "Ersetzen".

grizzly999

Erstmal Danke für die schnelle Antwort.

Wir haben den Punkt jetzt auch gefunden und Ersetzen aktiviert.

Leider ist uns nicht klar wo wir die GPO erzeugen müssen(Habe diese bisher für die Domäne angelegt -AD Computer und Benutzer) Unser TS ist gleichzeitig DC.

Haben inzwischen weiter probiert scheint zu Funktionieren :)

Nur leider ist jetzt auch der Administrator auf dem DC betroffen, wie können wir das verhindern.

@grizzly999 :)

Es Funktioniert Danke Danke Danke

Haben dich soeben zum Helden des Abends gewählt.

Super Tipp

Und wie hast du das mit Problem mit dem Admin gelöst?

Grüße

zman

Für den Admin haben wir in den Sicherheitseinstellungen unter den Eigenschaften der GPO den Punkt Gruppenrichtlinien übernehmen deaktiviert.

Original geschrieben von grizzly999

Du richtest auf dem TS die Richtlinie ein und aktivierst unter Computerkonfiguration/Administrative Vorlagen/.../Gruppenrichtlinien den "Loopback Verarbeitungsmodus", im Modus "Ersetzen".

grizzly999

Was aber, wenn die GPO an der Domain bzw. OU festgemacht wird? Klar sie gilt dann erstmal Domain weit.

Würde es theoretisch reichen, dem Nutzer die Rechte des lokalen Grouppolicy Ordners zu entziehen/verweigern, damit die GPO lokal nicht wirkt???

Das ist eine Computer GPO, und sie wirkt damit auf Computer, nicht auf Benutzer ....

Aber warum sollte man sie auf Domänenebene festmachen und dann nachher überall wieder rausfiltern, wo man sie nicht will. Dann mache ich sie doch gleich nur an der OU für die Terminalserver fest.

grizzly999

Aber warum sollte man sie auf Domänenebene festmachen und dann nachher überall wieder rausfiltern, wo man sie nicht will. Dann mache ich sie doch gleich nur an der OU für die Terminalserver fest.

grizzly999

Feste Strukturen lassen sich eben nicht so leicht umbiegen. Das Problem ist, dass die Umgebung hauptsächlich aus ThinClients besteht, denen die GPO egal ist. Da jedoch auch zwei "FatClients" im Netz stehen greift die GPO.

Der bequemste Weg wäre also einfach zu verhindern, dass die GPOs für die zwei Clients greift...

Ist der Ordner Grouppolicy sowohl für lokale als auch für die Domain GPO relevant???

Hi!

Hatte dasselbe Problem, habs denn (dummerweise) mit Extra-Usern für die Anmeldung am WTS gelöst. Funktioniert, ist aber natürlich umständlicher und meine Lizenzen fliegen mir nun um die Ohren!

Das mit der lokalen Richtlinie am WTS klingt logisch (wenn ichs denn so richtig verstanden habe), was mir aber noch nicht klar ist, wie ich die Admins von der ganzen Sache ausschliesse.

Mit der Erklärung von kleinklausi komm ich nich ganz klar bzw. finds nicht.

PLZ help!

Die Sicherheitseinstellungen sind nur für AD-GPOs in den Eigenschaften der GPO zu finden.

@Wolke24: Dann gibt es die Möglichkeit, alle TS in eine Globale Gruppe zu stecken, die GPO an der Domäne festzumachen und nur dieser Gruppe die Berechtigung zum Lesen und Übernehmen der GPO zu geben ;)

grizzly999

Also fasse ich nochmal zusammen:

Ich packe den WTS in eine extra OU, lege da die GPO drauf mit der Einstellung "Loopback-Verarbeitung" und beschränke mich bei der Verwendung auf die "normalen" User.

Liege ich da richtig?

Was meinst du mit "Beschränke mich bei der Verwendung auf normale User"?

Loopback-Verarbeitungsmodus ist eine Computerrichtlinie, die wirkt nur auf die Computer in dem entsprechenden Container.

grizzly999

Mit "normalen Usern" wollte ich halt den Admin ausschliessen.

Loopback-Verarbeitung greift ja bei allen Usern, die sich denn an dem WTS anmelden. Wie kleinklaus vorher meinte (was ich erst nicht verstanden/gefunden habe) kann man den Admin bei der GPO ja von der Verarbeitung ausschliessen.