Lokale Installationsrechte

[NorbertFe 2.027]

Hab ich mir schon fast gedacht, aber ich kenn mich noch nicht so genau mit der organisationsstruktur aus, und ich denke man möchte es auch nicht, dass ich da grob an der struktur rumfuchtele..

 

Dann würde man auch nicht möchten, dass du mal eben eine GPO definierst, ohne genau zu wissen was du da tust. Gibts keinen Admin bei euch, der sowas normalerweise erledigt?

 

 

Bye

Norbert

[lunatikz 10]

Dann würde man auch nicht möchten, dass du mal eben eine GPO definierst, ohne genau zu wissen was du da tust. Gibts keinen Admin bei euch, der sowas normalerweise erledigt?

 

Hmm, ich bin der Nachfolger ;) und der alte Admin hat da wohl nicht allzuviel administriert. Daher auch keine Strukturierung in OU's. Bin hier auch eher ins kalte Wasser geschmissen worden, als alles andere. Ich möchte dass an sich schon nach und nach alles machen, aber geht eben nur via learning by doing.

Und besagtes Problem, soll möglichst schnell umgesetzt werden. Ich werd euch also sicherlich noch mit vielen Designfragen beehren, aber eben zu seiner Zeit.

[lunatikz 10]

Andere Frage: Wenn ich diese OU's erstelle und entsprechend die User und Computer aus den BuiltIn Gruppen in die OU's verschiebe, könnte es dann Probleme geben.. Also das bestimmte Sachen komplett nicht mehr funktionieren, ..das hält mich eigentlich vor "größeren" Änderungen ab, da ich die Konsequenzen nicht einschätzen kann..

Laut der einen Anleitung soll man ja die GPOs auf die Benutzer oder Computer verlinken, ich hab es zur Zeit auf die Domäne verlinkt. Mal abgesehen von der Sicherheit, müsste die GPO nicht dennoch greifen ?

In der GPO hab ich halt bei Computerkonfiguration -> Windows Einstellungen -> Sicherheitsrichtlinien -> eingeschränkte Gruppen entsprechende Administratorengruppe(n) erstellt. siehe nochmals screen

 

@edit: Erkennt ihr bereits dort schon Fehler.. benötigt ihr andere Screens ?

bearbeitet 5. Juli 2012 von lunatikz
Nachtrag

[Sunny61 806]

Andere Frage: Wenn ich diese OU's erstelle und entsprechend die User und Computer aus den BuiltIn Gruppen in die OU's verschiebe, könnte es dann Probleme geben.. Also das bestimmte Sachen komplett nicht mehr funktionieren, ..das hält mich eigentlich vor "größeren" Änderungen ab, da ich die Konsequenzen nicht einschätzen kann..

 

Dann erstell dir Testobjekte. Virtuelle Computer auf denen sich Testbenutzer anmelden.

 

Laut der einen Anleitung soll man ja die GPOs auf die Benutzer oder Computer verlinken, ich hab es zur Zeit auf die Domäne verlinkt. Mal abgesehen von der Sicherheit, müsste die GPO nicht dennoch greifen ?

 

Normalerweise kann nichts passieren, da Du ja alles auf Domain Ebene definiert hast. Und ja, die GPOs greifen auch wenn Du sie auf eine OU verlinkst.

 

In der GPO hab ich halt bei Computerkonfiguration -> Windows Einstellungen -> Sicherheitsrichtlinien -> eingeschränkte Gruppen entsprechende Administratorengruppe(n) erstellt. siehe nochmals screen

 

@edit: Erkennt ihr bereits dort schon Fehler.. benötigt ihr andere Screens ?

 

Auf dem Screenshot kann man (ich) gar nichts erkennen.

[NorbertFe 2.027]

Hmm, ich bin der Nachfolger ;) und der alte Admin hat da wohl nicht allzuviel administriert.

 

Gruppenrichtlinien - Übersicht, FAQ und Tutorials

 

Und die restliche Webseite inklusive FAQ.

 

Bye

Norbert

[Dunkelmann 96]

Wenn es gar keine Struktur gibt, bau dir ersteinmal jeweils eine Organisationseinheit für "Benutzer", "Clients" und "Server" und verschieb die entsprechenden Objekte dort hinein.

Bei den Benutzern muss du aufpassen, dass du nur deine Anwender und keine Systemobjekte aus dem Users-Container verschiebst.

Die OU "Domain Controller" und deine DCs solltest du erstmal nicht anfassen.

 

Dann kannst du dir unter der OU Clients eine weitere OU (zB "Test") erstellen und dir einen Bastel-Client dorhin verschieben.

 

Über die Gruppenrichtlinienverwaltung, kannst du im nächsten Schritt eine Test-Richtlinie für diese Test-OU erstellen und in dieser Test-Richtline die Einstellungen probieren.

[Stefan W 14]

Hi

Bei Benutzer aufpassen:

Gewisse vordefinierte Benutzer/Gruppen müssen in der vordefinierten "Users" OU sein.

 

Leider kann ich dir nicht mehr sagen welche dies sind, aus dem Grund würde ich dir empfehlen nur wirkliche Benutzer - sprich MA Accounts - in eine andere OU zu verschieben.

 

lg

[lunatikz 10]

Also ich hab mal testweise diese OU's erstellt. Anschliessend GPO definiert und auf die OU verlinkt.

Ich habe malzu Testzwecken, einige vorgegebene Richtlinien aktiviert. Das funktioniert soweit auch alles. Allerdings kann ich den TestUser immer noch nicht der lokalen Administratorengruppe hinzfügen, bzw der TestUser hat keine Adminrechte auf dem Client. Die GPO ist zur zeit nur mit dem OU "MyUsers" verlinkt, wo der TestUser sich auch befindet.

Ich hab das mit den Eingeschränkten Gruppen realisiert, dort eine Gruppe Administratoren hinzugefügt, und entsprechend die User / Gruppen als Mitglied eingetragen. Irgendwer eine Idee was ich falsch mache ?

[NorbertFe 2.027]

Also mehr als auf die definitiv funktionierenden HowTos hinzuweisen bleibt einem nicht übrig. Wenn das bei dir nicht funktioniert, machst du entweder technisch einen Fehler, oder einen logischen. ;)

 

Bye

Norbert

[lunatikz 10]

Hmm, mir ist schon klar, dass der Fehler bei mir liegen wird.

Ich hab folgendes HowTo benutzt: Gruppenrichtlinien - Übersicht, FAQ und Tutorials

und zwar das erste Beispiel mit dem Unterschied, dass ich die Mitglieder der Gruppe Administratoren nicht einer anderen Gruppe hinzufüge (wie im Bsp. Co-Admins). Aber deswegen kann es doch nicht funktionieren. Oder täusche ich mich da ?

Ansonsten hab ich das Tutorial 1:1 befolgt.. könnte es den an anderen Umständen liegen, die im Tutorial nicht erwähnt sind ?

 

edit: Die Gruppe in der ich die User aus der Domäne hinzugefügt habe ich mit Administratoren benannt, eine lokale Admingruppe kann ich nicht finden, und wir mir auch nicht angeboten. Aber ich denke mal die Namensgebung für die Gruppe ist egal, oder ?

bearbeitet 12. Juli 2012 von lunatikz
Nachtrag:

[NorbertFe 2.027]

Bau doch einfach mal das How-To 1:1 nach. Wenn das geht, weißt du, dass es geht. ;)

 

Bye

Norbert

[lefg 276]

Welches Beispiel wurde dennn genommen?

[NorbertFe 2.027]

Das erste. ;)

 

Bye

Norbert

[lefg 276]

Ich habe die Beispiele 1+2 probiert, gestehe es, ich backe es auch nicht. :o

 

Bei Beispiel 2 habe ich die SID (S-1-5-32-544) genommen.

[lefg 276]

Also,

 

mir ist es jetzt gelungen, der lokalen Gruppe der Hauptbenutzer einen Benutzer aus dem AD hinzuzufügen Es ist zu sehen in lokalen Benutzerverwaltung, in der Gruppe der Hauptbenutzer

 

Als Gruppenname habe ich ich den Term Hauptbenutzer genommen, genau wie Claus Greck (Grizzly999) beschrieben hat