GPO Add AD Group to Local Admin Group

[Animus 10]

Hi!

 

Ich habe in meinem AD eine Gruppe (Lokale_Administratoren)

 

Nun möchte ich realisieren das wenn ein neuer Server in die Domäne kommt dieser automatisch (per GPO) die Gruppe "Lokale_Administratoren" in seine Gruppe "Administratoren" eingetragen bekommt.

 

Hat das jemand bereits gemacht, und wenn ja, kann mir jemand Ansatzweise sagen wie das funktioniert=

 

Danke vorab,

 

Grüße,

Matthias

[NorbertFe 2.067]

Hi!

 

Ich habe in meinem AD eine Gruppe (Lokale_Administratoren)

 

Nun möchte ich realisieren das wenn ein neuer Server in die Domäne kommt dieser automatisch (per GPO) die Gruppe "Lokale_Administratoren" in seine Gruppe "Administratoren" eingetragen bekommt.

 

Hat das jemand bereits gemacht, und wenn ja, kann mir jemand Ansatzweise sagen wie das funktioniert=

 

Danke vorab,

 

Grüße,

Matthias

 

Eingeschränkte Gruppen

 

HTH

Norbert

[sobdog 10]

Genau das habe ich ausprobiert - funktioniert bei mir aber nicht (mit Hauptbenutzern).

 

Das einzige, was mir dabei aufgefallen ist:

 

- In der Beschreibung wurde die Gruppe *S-1-5-32-547 hinzugefügt. Das ging bei mir nicht (Sternchen verboten). Also habe ich S-1-5-32-547.

 

Allerdings funktioniert es nicht. Laut gpresult wird die Regel angewendet - aber Benutzer wird nicht der Gruppe hinzugefügt und es erscheint auch keine Meldung im Ereignislog.

 

Hat jemand eine Idee?

[NorbertFe 2.067]

Genau das habe ich ausprobiert - funktioniert bei mir aber nicht (mit Hauptbenutzern).

 

Könnte wohl daran liegen, dass ein DC keine Hauptbenutzer kennt. ;) Versuchs doch mal von XP aus mit installierter GPMC.

 

Bye

Norbert

[sobdog 10]

Deswegen ja die SID!

Habs trotzdem mal gemacht auf einer XP workstation - trotzdem funktioniert es nicht. Auch wenn ich konkret dort den Haupbenutzer nehme statt SID.

 

Das mit dem Sternchen geht auch nicht auf XP.

[NorbertFe 2.067]

Deswegen ja die SID!

Habs trotzdem mal gemacht auf einer XP workstation - trotzdem funktioniert es nicht. Auch wenn ich konkret dort den Haupbenutzer nehme statt SID.

 

Das mit dem Sternchen geht auch nicht auf XP.

 

Dann machst du was falsch. Funktionierts denn für andere lokale Gruppen?

 

Bye

Norbert

[sobdog 10]

Komisch.... was soll das denn mit dem Sternchen sein?

 

Also ich hab eine neue Gruppenrichtlinie erstellt, die direkt mit der kompletten Domäne verknüpft (die Clients liegen noch in Computers).

Habe eingestellt, dass die Gruppe Domänen-Benutzer in die Gruppe Hauptbenutzer aufgenommen werden soll.

[Squire 269]

Verschieb mal die Computer in eine OU!

 

GPOs auf Computers funktionieren nicht bzw. nur eingeschränkt

[Sunny61 807]

Also ich hab eine neue Gruppenrichtlinie erstellt, die direkt mit der kompletten Domäne verknüpft (die Clients liegen noch in Computers).

Habe eingestellt, dass die Gruppe Domänen-Benutzer in die Gruppe Hauptbenutzer aufgenommen werden soll.

 

Ist das eine Testdomain? Wenn ja, ist das IMO kein praxisbezogener Test. Wenn nein, dann ändere das mit den Computer- und Userkonten ab. Erstell dir OUs dafür, entweder eine in der alle Objekte drin sind, oder eigene OUs. Hier mal ein kleines Beispiel: Erste Schritte zum Erstellen einer Gruppenrichtlinie Die GPOs verlinkst Du dann auf die entsprechenden OUs.

[NorbertFe 2.067]

Verschieb mal die Computer in eine OU!

 

Ist zwar richtig, aber tut nix zu Sache wenn es auf Domain Ebene definiert wird (was natürlich eher sinnlos ist in diesem Fall).

 

GPOs auf Computers funktionieren nicht bzw. nur eingeschränkt

 

Seit wann?

 

Bye

Norbert

–

Also ich hab eine neue Gruppenrichtlinie erstellt, die direkt mit der kompletten Domäne verknüpft (die Clients liegen noch in Computers).

 

Warum tut man das? Wie wärs, wenn du deine COmputer einfach mal verschieben würdest und nur dort ein GPO erstellst und verlinkst? Dann kann man auch testen.

 

Bye

Norbert

[sobdog 10]

Ich habe bereits beides ausprobiert...

 

es hatte nicht funktioniert. Ich hab nun nochmal von vorne angefangen und nun klappts..

 

Danke trotzdem für eure Hilfe.

[NorbertFe 2.067]

es hatte nicht funktioniert. Ich hab nun nochmal von vorne angefangen und nun klappts..

 

Kaum macht man's richtig, schon funktioniert's. ;)

 

Bye

Norbert

[sobdog 10]

Hab bei der Geschichte nun nur ein Problem.

 

Ich habe einen Domänenbenutzer und die Gruppe Domänen-Admins immer in die lokale Admingruppe hinzugefügt.

 

Wenn ich nun manuell einen weiteren Benutzer auf einem einzelnen PC in die Gruppe Administratoren packe, dann verschwindet er nach einem Neustart wieder (ich denke er überschreibt die vorhanden bei Anwendung der Gruppenrichtlinie). Kann man das umstellen, dass er die User aus der Gruppenrichtlinie nur ergänzt und nicht die anderen rauswirft?

 

Danke!

[IThome 10]

Eingeschränkte Gruppen sind immer ersetzend ...

Du kannst Mitgliedschaften auch via Script und dem NET-Befehl einstellen ...