GPO mit Sicherheitfilterung geht nicht

[Evoco 10]

Hallo zusammen,

 

ich habe folgendes Problem eins das ich nicht verstehe.

 

Folgendes ich habe eine Domäne Server 2003 mit einigen GPOs.

 

Eine OU wo ein Terminalserver (sonst nichts)drin ist hat eine GPO die bestimmten Usern die systemsteuerung deativiert. Einstellung mit Loopback wegen Terminalusern steht.

 

Weil ich aber möchte das diese GPO nur auf bestimmte Terminalusern greift und nicht alle trifft auf diesem server habe ich unter "Sicherheitsfilterung" die Authentifizierten User entfernt und die bestimmt Gruppe dort eingefügt.

 

Jetzt das Problem:

Die GPO funktioniert nicht!!!!

Wenn ich aber zu dem Sicherheitsfilter die Authentifizierten User hinzufüge geht alles wunderbar, nur eben die Admins die sich dort anmelden bekommen die Systemsteuerung auch deaktiviert, was nicht sein soll.

 

Meine Frage was ist das Problem??? Warum funktioniert es wenn ich die Authentfizierten User hinzufüge und sonst nicht??

 

Habt ihr einen Tipp für mich??? Ich raff es nit!!

 

Danke Evoco

[NorbertFe 2.168]

Hallo zusammen,

 

ich habe folgendes Problem eins das ich nicht verstehe.

 

Folgendes ich habe eine Domäne Server 2003 mit einigen GPOs.

 

Eine OU wo ein Terminalserver (sonst nichts)drin ist hat eine GPO die bestimmten Usern die systemsteuerung deativiert. Einstellung mit Loopback wegen Terminalusern steht.

 

Weil ich aber möchte das diese GPO nur auf bestimmte Terminalusern greift und nicht alle trifft auf diesem server habe ich unter "Sicherheitsfilterung" die Authentifizierten User entfernt und die bestimmt Gruppe dort eingefügt.

 

Jetzt das Problem:

Die GPO funktioniert nicht!!!!

 

 

Deine !-Taste prellt. Und ja, es kann nicht funktionieren, denn du hast dem TS die Berechtigung entzogen das GPO zu übernehmen.

 

Bye

Norbert

[Evoco 10]

Das mußt du mir erklären.Was meinst du? Denn ich kann doch nicht die Authentifizierten User einfach mit hinzufügen. Denn dann haben alle diese Richtlinie.

[NorbertFe 2.168]

Das mußt du mir erklären.Was meinst du? Denn ich kann doch nicht die Authentifizierten User einfach mit hinzufügen. Denn dann haben alle diese Richtlinie.

 

Du weißt, dass du ein Computerkonto dort auch einfügen kannst? Noch einfacher wäre es, wenn du eine neue Gruppe baust dieser das Recht zur Übernahme gibts und in diese Gruppe dann auch das Konto des TS steckst.

 

Es gibt übrigens ein gutes How To auf Gruppenrichtlinien - Übersicht, FAQ und Tutorials

Hätte man auch leicht mit google rausgefunden. ;)

 

bye

Norbert

[Evoco 10]

Ich glaube du verstehst mich nicht ganz. Ok dann mal anders ein zweiter Test der genau das gleiche Problem aufweist.

 

Ich habe eine OU mit Computern und User auf diese OU habe ich eine GPO wie oben

die bestimmten Usern die systemsteuerung deativiert.

Weil ich aber möchte das diese GPO nur auf bestimmte eine bestimmte Gruppe von usern greift und nicht alle trifft habe ich unter "Sicherheitsfilterung" die Authentifizierten User entfernt und die bestimmt Gruppe dort eingefügt.

 

Die GPO funktioniert nicht!

Wenn ich aber zu dem Sicherheitsfilter die Authentifizierten User hinzufüge geht alles wunderbar, nur eben das es dann alle trifft was nicht sein soll.

 

So und jetzt bitte deine Erklärung!

[NorbertFe 2.168]

Ich glaube du verstehst mich nicht ganz.

 

Doch, du verstehst mich nicht.

 

Der TS (LOOPBACKMODE) muß in der Lage sein, dieses GPO (dem du die Authentifizierten User entzogen hast, in denen auch das Konto des TS steckt) zu lesen und zu übernehmen.

 

Bye

Norbert

 

PS: Ich bin nicht dafür verantwortlich dir hier Erklärungen zu liefern. Machs wie ich sage, oder laß es bleiben.

[Evoco 10]

Ganz Ruhig war kein Angriff!!

Danke.

 

Ich habe das bei dem TS so gelöst das ich das Computerkonto mit in den Sicherheitfilter hinzugefügt habe.Dann ging es! Danke

 

Was ich aber nicht verstehe ist das 2te Beispiel das ich erwähnt habe.(ohne Loopback kein TS)

 

Denn dort sieht es ja so aus, das diese GPO eine Benutzergpo ist und wenn ich oberhalb aller User, Gruppen und PCs eine Gpo mache die unter Sicherheitfilter eine Gruppe hat die dies nur erhalten soll muß es doch gehen ohne das ich die authentifizierten user zum sicherheitfilter hinzufügen muß. Oder??

 

ich möchte gerne verstehen wieso weißt du. Danke aber für deine Mühe. Gruß Evoco

[IThome 10]

Wenn sich Benutzerkonten in der OU befinden, Du in der Benutzerkonfiguration des GPOs konfigurierst und dieses GPO dann sicherheitsfilterst, dann sollte es klappen. Die Richtlinie wird auf die Benutzer angewendet, die Mitglied der Sicherheitsgruppe sind, die Du dem GPO zugefügt hast UND die sich in Reichweite der Richtlinie befinden ...

[Evoco 10]

Genau das dachte ich auch!

So wie du das geschrieben hast habe ich das. Aber es geht nicht erst wenn ich zu dem Sicherheitfilter die Authentifizierten User dazu mache. Und das verstehe ich nicht oder muß auch noch die Einzelnen PC dazufügen obwohl es eine Usergpo ist?

[NorbertFe 2.168]

Ich habe das bei dem TS so gelöst das ich das Computerkonto mit in den Sicherheitfilter hinzugefügt habe.Dann ging es! Danke

 

Geht doch.

 

Denn dort sieht es ja so aus, das diese GPO eine Benutzergpo ist und wenn ich oberhalb aller User, Gruppen und PCs eine Gpo mache die unter Sicherheitfilter eine Gruppe hat die dies nur erhalten soll muß es doch gehen ohne das ich die authentifizierten user zum sicherheitfilter hinzufügen muß. Oder??

 

Fangen wir vorn an. Sind die User denn Mitglied dieser Gruppe? Hast du der Gruppe das Recht gegeben die Richtlinie zu übernehmen? Was sagt ein RSOP wenn du dich als ein betroffener User anmeldest?

 

Bye

Norbert

[Evoco 10]

Hallo. Also unterhalb dieser OU sind alle User, Gruppen und Computer.

Und in dieser bestimmten Gruppe sind einige User drinne nicht alle. Diese bestimmte Gruppe ist auch unterhalb dieser OU wo die GPO existiert.

 

"Hastdu der Gruppe das Recht gegeben die Richtlinie zu übernehmen?"

 

Ich habe unter Delegierung/Erweitert dieser Gruppe "Lesen" und "Gruppenrichtlinie übernehmen" gegeben.Stimmt doch oder?

 

RSOP habe ich noch nicht probiert!

[IThome 10]

Wo die Gruppen sind, ist unerheblich. Wichtig ist, dass sich die Objekte in Reichweite der Richtlinie befinden, also Benutzer (Benutzerkonfiguration) und Computer (Computerkonfiguration).

[Evoco 10]

Mal als Zwischenfrage:

1. Heißt das nehmen wir mal an ich hätte in der GPO User und Computerrichtlinien und unterhalb der OU nur User und Gruppen und kein PC das die komplette Richtlinie nicht funkt oder das nur ein Teil geht, also in dem Beispiel jetzt nur die Userrichtline?

 

2.Und bezieht sich wie du sagst Benutzer (Benutzkonfiguration) nicht auch auf Gruppen in den User stecken. Oder müssen unterhalb der OU auch die jeweiligen User sein reicht nicht die Gruppe mit den Usern drinne?

[IThome 10]

Genau so ist es , Gruppenrichtlinien wirken NICHT auf Gruppen ...

[Evoco 10]

Mal als Zwischenfrage:

1. Heißt das nehmen wir mal an ich hätte in der GPO User und Computerrichtlinien und unterhalb der OU nur User und Gruppen und kein PC das die komplette Richtlinie nicht funkt oder das nur ein Teil geht, also in dem Beispiel jetzt nur die Userrichtline?

QUOTE]

 

Heißt das sie würde garnicht gehen oder zum teil?