Lokal geänderte Einstellungen werden b. Start nicht via Gruppenrichtlinie korrigiert

[Linne 10]

Hallo zusammen,

 

ich habe folgendes Problem in einer Windows 2008 Umgebung mit XP-Prof-Clients:

 

In den Gruppenrichtlinien sind diverse Computer- und Benutzer-Einstellungen, z.B. die Startseite des IE's, deaktivierte Dienste usw. Wenn ich nun am Client eine derartige Einstellung lokal ändere, so ist mein Verständnis, dass es beim Neustart via Gruppenrichtlinie wieder korrigiert wird. Ein Rechnerneustart entspricht also einem "gpupdate /force", währenddessen eine Hintergrundaktualisierung einem "gpupdate" entspricht. (Nur) bei einem Desktopbereich (anderes Image als bei den anderen Rechnern) funktioniert es aber nicht so. Damit die lokal geänderten Einstellungen korrigert werden, muss ich entweder ein "gpupdate /force" am Client ausführen oder aber ich muss eine Einstellung innerhalb der Policy auf dem Server ändern, dann erhält die Policy eine neue Versionsnummer und sie wird dann ebenfalls korrekt gezogen (und somit die lokal geänderten Einstellungen korrigiert).

 

Kann mir das jemand erklären, bzw. hat jemand eine Idee woran das liegen könnte? An den GPOs selber kann es nicht liegen. Ich habe die GPOs der Problemrechner an Rechnern angewendet bei denen das Problem nicht besteht und dort war dann auch weiterhin alles ok. Die Netzwerkanbindung bei den Rechnern ist auch identisch.

 

Thx

Linne

[killtux 11]

Hallo, du hast aber nicht "Denkfehler" also zb. eine -Benutzerkonfiguration- wie die Startseite des IE's, dessen Richtlinie auf Computerkonten anstelle von Benutzerkonten anzuwenden?

 

Ansonsten, obwohl vielleicht nur ein Workarround für das Loginscript:

echo N | gpupdate /Target:computer /force 1>NUL 2>NUL

echo N | gpupdate /Target:user /force 1>NUL 2>NUL

 

Damit updatest du händisch beim boot zu 100% die richtlinien. Wobei die frage die bei manchen richtlinien kommt "wollen sie einen neustart jetzt..." mit Nein beantwortet wird.

getrennt geschrieben desshalb, weil die frage ohne /target... zweimal gestellt würde und im batch nicht 2x auf diese weise geantwortet werden kann mit nein.

[Linne 10]

Die Richtlinien funktionieren ja wenn ich ein gpupdate /force machen oder wenn die Richtlinie auf dem Server geändert wird. Also kann das ja nicht der Fall sein.

 

Was passiert denn genau beim Neustart? Sinngemäß doch ein pupdate /force oder aber greift der Rechner auf lokal gecachte Policies zu, wenn er feststellt, dass es keine neue Version gibt?

[killtux 11]

hi,

 

ich hab da mal was verwirrendes gelesen von wegen, wenn ein wert nohc nicht gesetzt wrude, dann setzt er es. ist der wert schon da, -Verändert- er ihn jedoch nicht. Das würde er nur mit dem /force machen.

 

Das macht er meiner Meinung nach auch beim Start.

Aber ich habe das Phenomen auch, dass es escheint als ob das /force NICHT beim booten durchgeführt wird.

 

Desshalb habe ich einfach die Befehle angehängt. Da müsste man bei MS fragen oder aber:

 

HALLO Board, weiß wer was wirklich geschieht?

[morro 10]

Gruppenrichtlinien - Übersicht, FAQ und Tutorials

[killtux 11]

Und auf dieser bekannten jedoch verzweigten seite steht unsere antwort wo?

[morro 10]

z.B.

 

Gruppenrichtlinien - Übersicht, FAQ und Tutorials

Gruppenrichtlinien - Übersicht, FAQ und Tutorials

[Linne 10]

Ich habe da eine Idee, muss aber erst noch was testen bevor ich jetzt spontan was schreibe, was doch nicht korrekt ist...

[Linne 10]

Also, mein schlaues Buch sagt folgendes:

"Wurde eine Einstellung lokal auf dem Client geändert, die durch die Gruppenrichtlinie kontrolliert wird, wird diese Einstellung NICHT wieder zurückgesetzt, da in der Gruppenrichtlinie selbst keine Änderung stattfand. Dieses Standardverhalten kann für die einzelnen CSEs geändert werden."

 

Also, verhalten sich die Rechner die bei mir nach einem Neustart die lokal geänderten Werte immer noch aktiv haben, vollkommen korrekt. Die Frage ist, warum die anderen Rechner ihre Einstellungen nach jedem Neustart korrigiert haben. Ist halt alles andere als Standard. Sind Rechner mit einem Novell-Client. Das AD läuft parallel und ist noch recht frisch.

 

Was ist aber nicht bestätigen kann, ist das lokal geänderte Werte nicht wieder überschrieben werden, wenn sie nicht explizit neu verteilt werden. Also, wenn ich Wert A verteilt habe und ihn lokal ändere, dann wird Wert A zwar erst dann wieder überschrieben, wenn die Policy auf dem Server geändert wurde, aber auch dann wenn ich der Policy lediglich Wert B geändert wurde.

 

Kann das jemand so bestätigen?

[morro 10]

Haste mal versucht nur eine AD anmeldung zu tätigen ohne novell anmeldung!?

[Linne 10]

Moin-moin,

 

das mit der Novell-Anmeldung verändert die Lage nicht.

Novell arbeitet beim ZENworks mit den Microsoft-Richtlinien. Diese werden lediglich anders verarbeitet. Die Richtlinien werden in 3 Ordnern unter system32 gecached. Diese Ordner habe ich jetzt gelöscht. Die Usereinstellungen werden jetzt beim Neustart auch nicht mehr neu gesetzt, die Computereinstellungen schon. Anscheinend ist das noch irgendetwas aktiv von der abgelösten Novell-Seite.

 

Wichtig ist für mich das Fazit und das ich jetzt verstanden habe, wie es standardmäßig funktioniert:

Lokal geänderte Einstellungen werden nur überschrieben, wenn sich die Policy-Version auf dem Server geändert hat und sie somit neu gezogen wird. Wenn die Policy neu gezogen wird, werden alle Werte der jeweiligen Richtlinie neu gesetzt und somit beliebige lokale Änderungen überschrieben, auch wenn sie nicht Teil der Änderung der Server-Policy sind.

 

Könnt ihr dem zustimmen?

[cativo 10]

moin moin,

 

sorry wenn ich mich hier einmische, aber ich bin zufällig gerade darüber gestolpert da ich exakt das gleiche Problem habe (andere Umgebung).

 

Wichtig ist für mich das Fazit und das ich jetzt verstanden habe, wie es standardmäßig funktioniert:

Lokal geänderte Einstellungen werden nur überschrieben, wenn sich die Policy-Version auf dem Server geändert hat und sie somit neu gezogen wird. Wenn die Policy neu gezogen wird, werden alle Werte der jeweiligen Richtlinie neu gesetzt und somit beliebige lokale Änderungen überschrieben, auch wenn sie nicht Teil der Änderung der Server-Policy sind.

 

Bezieht sich das "neue Policy-Version" wirklich nur auf die Richtlinie die du änderst?

Wir haben folgendes Phänomen in einer 2K3-Umgebung:

 

Computerkonto in OU A mit ComputerRichtlinie R1, dann verschieben wir Ihn in OU B mit ComputerRichtlinie R2. Wenn man sich jetzt anmeldet hat man immernoch R1, aber plus die Einstellungen aus R2 (obwohl R1 hier garnicht mehr greifen dürfte und R2 das ganze eigentlich überschreiben müsste). Das ganze findet nicht in einer Struktur statt, in der das ganze durch Vererbung hervorgerufen werden könnte! Ändere ich jetzt lokal am Rechner irgendetwas, starte neu, ... dann hab ich meinen geänderten Stand wieder (R1 + R2 + lokale Änderung). Erst ein gpupdate /force behebt das ganze.

 

Sehr kurios und für mich nicht nachzuvollziehen ...

 

Grüße,

cativo