GPOs zwischen vertrauenden Domänen?

[cjmatsel 10]

Hi,

 

ich habe zwei Domänen in jeweils eigenen Gesamtstrukturen. Diese vertrauen sich gegenseitig. Was muss ich anstellen, damit eine User-GPO aus der einen Domäne in der anderen Domäne Wirkung zeigt?

 

cu,

cjmatsel

[NorbertFe 2.068]

Gar nichts. Du kannst keine vertrauensstrukturübergreifenden GPOs bauen. Deswegen gilt der Forest auch als Sicherheitsgrenze.

[cjmatsel 10]

gelöst: in der Computerdomäne eine GPO definieren mit folgender Richtline: Computerkonfiguration / Administrative Vorlagen / System / Gruppenrichtlinien / Gesamtstrukturübergreifende Benutzerrichtlinie und servergespeicherte Benutzerprofile zulassen: aktivieren

 

Schon werden beim nächsten PC-Neustart die Ordnerumleitungen für die Benutzer gesetzt... Ob die anderen Einstellungen auch greifen ist mir nicht wichtig, da das sowieso nur eine Übergangslösung sein soll... :-)

[olc 18]

Hi,

 

genau, das ist der richtige Weg. Beachte in dem Kontext, daß die Forest-übergreifende AD-Site Struktur bestenfalls gleich sein sollte. D.h. zum Beispiel die Namen gleich usw. - sonst kannst Du in Probleme laufen, die sich in langen Logon-Zeiten und ähnlichen Themen zeigen können.

 

Zusätzlich gibt es einige spezielle Konstellationen (etwa Loopback Processing), in denen Du mit dieser Lösung genau schauen solltest, welche Ergebnisse der Benutzer als RSOP bekommt.

 

Zuletzt achte auch auf die Sicherheitsfilterung von GPOs - je nachdem, ob Du auf "Authenticated Users" oder etwa domänenlokale Gruppen o.ä. filterst, kannst dies Einfluß auf die GPO Verarbeitung haben.

 

Siehe ansonsten auch: How to troubleshoot Group Policy object processing failures that occur across multiple forests

 

und

 

How to optimize pass-through authentication of user accounts after you create an external trust between two Microsoft Windows Server 2003 Service Pack 1 (SP1)-based forests .

 

Es gilt also wie immer: Testen, testen, testen. ;-)

 

Viele Grüße

olc

[NorbertFe 2.068]

UPS, stimmt. :) war wohl Umnachtung meinerseits...

[cjmatsel 10]

Lieben Dank!

 

@Norbert: Kein Problem! Passiert mir auch und lesen bildet schließlich...

 

;-)

 

Schönen Abend noch!