Group Policies Verschachteln

[autowolf 12]

Hi,

 

habe einen SBS 2003 SP2 und eine Terminalserver W2003 Std SP2.

 

Der Terminalserver steckt in einer OU (WTS) diese hat eine Policie die alle User auf dem Server kastriert. Nur für den Administrator wird diese verweigert.

Soweit so gut.

 

Jetzt sind zwei Azubis hinzugekommen die noch weniger Rechte haben dürfen.

 

Somit habe ich eine neue OU (Azubis) angelegt und beide Accounds reingeworfen. Nun die Rechte eingeschrenkt und Loopback auf Zusammenführen gestellt.

 

Leider haben sie immer noch die Rechter der WTS OU

 

Was mache ich falsch ?

[P.Foeckeler 11]

Hallo,

 

es kann daran liegen, dass der Loopback-Modus so arbeitet, dass die am TS hängende GPO über deine Azubi-GPO gewinnt, auch wenn Du Loopback auf "Zusammenführen" stellst. Gibt es hier Einstellungen, die miteinander konkurrieren, dann gewinnt hier die Loop-Back-GPO, also bei Dir die TS-GPO....

 

Probiers mal hiermit:

 

- Ändere Die Rechte, so dass für Deine AZUBI-GPO niemand das "Apply"-Recht hat außer den Azubis selbst.

- Häng Deine AZUBI-GPO zusätzlich zu der Azubi-OU auch an deine TS OU, und aktiviere hier auch das Loopback-Verfahren mit "Merge".

- Achte darauf, dass die Priorität der GPOs an Deiner TS-OU so ist, dass deine Azubi-GPO VOR der WTS-GPO steht.

 

Gruß,

Philipp

[NorbertFe 2.027]

- Ändere Die Rechte, so dass für Deine AZUBI-GPO niemand das "Apply"-Recht hat außer den Azubis selbst.

 

Ja, aber der TS muß das GPO mindestens lesen dürfen.

 

- Häng Deine AZUBI-GPO zusätzlich zu der Azubi-OU auch an deine TS OU, und aktiviere hier auch das Loopback-Verfahren mit "Merge".

 

Das ist egal, wenn er das bereits in einer anderen Richtlinie die auf den TS wirkt so konfiguriert hat. Der TS kann nur einen Loopback modus einnehmen. ;)

 

 

Bye

Norbert

[P.Foeckeler 11]

Ja, aber der TS muß das GPO mindestens lesen dürfen.

 

...ist gegeben, da Standard-Permission "Authenticated Users: Read", und da gehört der TS dazu. Hab mich vielleicht unklar ausgedrückt :rolleyes:: autowolf, also nicht alle Rechte wegnehmen, sondern nur das Häckchen "Apply" für Authenticated Users in der Advanced Ansicht der GPO Rechte). Dann ein neues Recht hinzufügen, mit "Apply" für die Gruppe der Azubis.

 

Das ist egal, wenn er das bereits in einer anderen Richtlinie die auf den TS wirkt so konfiguriert hat. Der TS kann nur einen Loopback modus einnehmen.

...du hast genau recht....:eek: :)

 

Gruß,

Philipp

[NorbertFe 2.027]

...ist gegeben, da Standard-Permission "Authenticated Users: Read", und da gehört der TS dazu. Hab mich vielleicht unklar ausgedrückt :rolleyes:: autowolf, also nicht alle Rechte wegnehmen, sondern nur das Häckchen "Apply" für Authenticated Users in der Advanced Ansicht der GPO Rechte). Dann ein neues Recht hinzufügen, mit "Apply" für die Gruppe der Azubis.

 

Naja ich wollte es nur nochmal "verdeutlichen". ;) Ich habe in dem Bereich schon einiges erlebt.

 

...du hast genau recht....:eek: :)

 

Kommt vor. ;)

 

Bye

Norbert