Verschiedene GPO's pro Workstation und TS-Sitzung

[stifler 10]

Folgendes Problem wirft sich gerade bei mir auf und ich habe momentan keinen Lösungsansatz

 

Ich habe eine Domäne mit DC und Terminal Server. Am Standort sind Gruppenrichtlinien auf OU's angewandt in der sich Benutzer befinden. Nun habe ich ein paar weitere User die via RDP auf den TS einloggen sollen um eine spezifische Applikation zu nutzen. Via KiX hab ich das mappen von Netzlaufwerken usw. unterbunden, wenn der User sich am TS anmeldet. Ich möchte jetzt aber eine gänzlich andere GPO anwenden, aber nur wenn sich der Benutzer am TS anmeldet, ansonsten greift ja bisher die gewöhnliche GPO die auf die OU angewandt wird.

 

Hat jemand irgendwie einen Lösungsansatz? Ich tappe volkommen im dunkeln... :suspect:

[Christoph35 10]

Hi,

 

du musst an die TS-OU ein GPO mit den passenden Einstellungen binden. Und du brauchst Loopback-Processing. Such mal mit diesem Stichwort im Board. Gibt reichlich Beiträge dazu.

 

Christoph

[stifler 10]

Super, das war 'n prima Tip, allerdings hab ich noch ein weiteres kleines Problem.

 

Folgendes habe ich nun gemacht:

den TS-Server in eine eigens dafür erstellte OU ausgelagert, eine GPO erstellt die aktiviertes Loopback-Processing hat mit "ersetzen".

 

Weiterhin in den Benutzereinstellungen schränke ich natürlich die TS-Sitzung weitestgehend ein.

 

Allerdings würde ich gerne, dass diese Einschränkungen nur für "normale" Benutzer gelten und nicht für mich als Admin (etc.) momentan greift die GPO aber auf die TS-OU, so dass alle "authentifizierten Benutzer" beschnitten werden.

 

Geh ich in der GPMC aber her und sage dass die GPO nur für eine bestimmte Gruppe greifen soll, dann greift sie leider nicht.

 

Ich vermute weil der TS nicht in der Gruppe "remote access" ist, sondern nur die Benutzer.

 

Was wäre jetzt der richtige Weg um nur auf dem TS bestimmte Benutzergruppen zu beschneiden inklusive Loopback?

 

Danke schonmal!

[grizzly999 11]

Geh ich in der GPMC aber her und sage dass die GPO nur für eine bestimmte Gruppe greifen soll, dann greift sie leider nicht.

 

Für welche Gruppen? Die Gruppe mit den Benutzern, für die sie gelten soll? Oder ein Computergruppe?

Welche Berechtigungen hast du denn jetzt im einzelnen auf die GPO gesetzt?

 

grizzly999

[groszmann 10]

Allerdings würde ich gerne, dass diese Einschränkungen nur für "normale" Benutzer gelten und nicht für mich als Admin

Das geht nur über die Sicherheitseinstellungen der Gruppenrichtlinie selber. Also in den Eigenschaften der Gruppenrichtlinie, die nicht übernommen werden soll, gehen und unter "Sicherheit" für die gewünschte Gruppe, z.B. Domain-Admins, für die Berechtigung "Gruppenrichtlinie übernehmen" die Option "Verweigern" aktivieren.

 

 

Gruß

 

Hans