Grundstruktur Der Ad Und Der Gruppenrichtlinienverwaltung

[das-mo 0]

Hallo Community,

 

Ich bin ein ziemlicher Anfänger auf diesem Gebiet, also bitte nicht an mir verzweifeln :wink2:.

 

Ich bin Betreuer in einer Jugendfeuerwehr und schon seit langen kommen wir mit unserem bestehendem Netzwerk nicht mehr klar, vorallem da wir auch sehr viel im Bereich Licht- und Tontechnik machen und dies alles verwaltet werden muss. Desweiteren ist uns wichtig unseren Jugendlichen einen sicheren und einfachen Internetzugang in unseren Jugendräumen zu ermöglichen.

In dem Schema habe ich kurz probiert darzustellen, was wir an Rechnern und Geräten im Netzwerk haben. Nicht aufgeführt sind mobile Arbeitsgeräte, da diese vorerst nicht über den Server verwaltet werden.

Die Rechner Chat 1-4 sind die Rechner für unsere Jugendlichen, die anderen Rechner sind nicht für Jugendliche zugänglich und dienen der Verwaltung. Auf der NAS sind alle wichtige Daten gesichert, die Daten der Jugendlichen werden auf dem Server gespeichert, sodass die NAS lediglich von Betreuern genutzt wird. Auf die Drucker können die Jugendlichen ebenfalls nicht zugreifen. Die Netzwerkkameras dienen zur Überwachung unserer Jugendräume und sollen es auch ermöglichen vom Büro aus ein Auge auf die Jugendlichen zu werfen, wenn man mal alleine ist.

 

 

Nun zu meinem eigentlichen Problem: Den Windows Server habe ich soweit eingerichtet. Bei der Vergabe der Gruppenrichtlinien stieß ich dann auf meine ersten Probleme. Ich habe mich an die Anleitungen der Seite gruppenrichtlinien.de gehalten, aber irgendwie wollte es ann doch nicht so ganz und nach vielen weiteren Tutorials und Internetseiten weiß ich jetzt garnicht mehr was richtig ist.

Wir haben insgesamt 3 grundlegende verschiedene Arten von Benutzern, die innerhalb einer Gruppe trotzdem verschiedene Zugriffsrechte besitzen:

Administratoren   -   Zugriff auf alle Ressourcen des Netzwerkes, darf Clients verändern

Betreuer   -   Zugriff auf Drucker und verschiedene Ordner der NAS; Je nach Kompetenz auf mehr oder weniger Laufwerke

Jugendliche - Sollen kein persönliches Laufwerk besitzen, Zugriff auf Gruppenlaufwerk

 

Folgende Schritte habe ich bisher durchgeführt:

- Anlegen der OU "JFUsers" "JFComputers" für Die User und die Computer

- Anlegen der OU "JFAdmins" "JFBetreuer" "JFJugendliche" im Ordner JFUsers

- Anlegen der Gruppenrichtlinien "GPAdmin" "GPBetreuer" "GPJugendliche" und deren Verknüpfungen in den entsprechenden OUs

 

Trotzdem wirken die Gruppenrichtlinien nicht!

Ich habe bisher erst die Richtlinie für die Administratoren angefangen zu konfigurieren, doch egal was ich erlaube oder verbiete, es passiert nichts so wie ich das will.

 

Hat jemand Tipps für mich, was ich bisher falsch gemacht habe? Was ich anders machen könnte? Oder worauf ich noch besonders achten sollte?

 

das-mo

[Sunny61 807]

Ich weiß nicht genau was Du mit den Gruppen erreichen willst, deshalb beschreib doch nochmal mit Hilfe eines Beispiels, was Du erreichen möchtest. Was soll das GPO GPAdmin denn machen?

 

Merke! Gruppenrichtlinien wirken nicht auf Gruppen!

[lefg 276]

Hallo und Willkommen am Board :)

 

Fragen: Was möchtest Du mit den Gruppenrichtlinien erreichen? Was sollen die Gruppenrichtlinien bewirken?

 

Verwechselst Du eventuell etwas?

 

Gruppenrichtlinien haben nichts mit Sicherheitsgruppen zu tun.

[das-mo 0]

Über die Grupenrichtlinien wollte ich die Rechte der einzelnen User, die in den verschiedenen OUs liegen, regeln.

Zum Beispiel darf Jugendlicher X ein Programm installieren oder sein Hintergrundbild ändern.

 

Dass die Richtlinien nicht auf die Gruppen wirken habe ich auch schon gelesen und deswegen die drei OUs für die Admins, Betreuer und Jugendlichen noch erstellt.

[NorbertFe 2.066]

Über die Grupenrichtlinien wollte ich die Rechte der einzelnen User, die in den verschiedenen OUs liegen, regeln.

Zum Beispiel darf Jugendlicher X ein Programm installieren oder sein Hintergrundbild ändern.

Es gibt kein Recht "Darf ein Programm installieren". Installieren darf man üblicherweise als Admin oder als User wenns nicht in irgendwelchen Systempfaden usw. landet. Das wirst du mit GPOs nicht geregelt bekommen.

Dass die Richtlinien nicht auf die Gruppen wirken habe ich auch schon gelesen und deswegen die drei OUs für die Admins, Betreuer und Jugendlichen noch erstellt.

Und auf die OUs mit den Nutzer- und Computerkonten hast du die GPOs verlinkt?

 

Bye

Norbert

[Sunny61 807]

Über die Grupenrichtlinien wollte ich die Rechte der einzelnen User, die in den verschiedenen OUs liegen, regeln.

Zum Beispiel darf Jugendlicher X ein Programm installieren oder sein Hintergrundbild ändern.

Wie Norbert schon schrieb, installieren gibt es nicht, Hintergrundbild ändern darf er natürlich.

Schau dir bitte dieses HowTo an: http://www.gruppenrichtlinien.de/HowTo/Erste_Schritte_zum_erstellen_einer_Gruppenrichtlinie.htm Fang ganz von vorne an, in der OU JFUsers liegen die Benutzerobjekte. Jetzt erstellst Du dir ein GPO wie in dem HowTo genannt. Verlinke das GPO auf die OU JFUsers. Wenn Du mehrere DCs im Einsatz hast, sorge dafür dass das neue GPO auch auf alle DCs repliziert wurde. Jetzt kannst Du dich an irgendeinem Client mit dem Testbenutzer anmelden, bekommst Du jetzt den Bildschirmschoner? Mit RSOP.MSC an W7/VISTA-Clients kannst Du dir als Benutzer die ankommenden Benutzereinstellungen ansehen. Auch das Ereignisprotokoll ist einen Blick wert.

 

Dass die Richtlinien nicht auf die Gruppen wirken habe ich auch schon gelesen und deswegen die drei OUs für die Admins, Betreuer und Jugendlichen noch erstellt.

Du kannst Gruppen nur zum filtern verwenden, das ist aber noch etwas zu früh für dich. ;)

[das-mo 0]

Vielen dank für eure Antworten ich kann leider Montag erst wieder an den Server und werde dann mal weiter gucken.

[das-mo 0]

Also komischerweise wirkt die Richtlinie aus dem tutorial wunderbar. Jetzt bleibt für mich die Frage ist es sinnvoller für jede Einstellung eine GP anzulegen oder es so wie vorher zu machen dass ich für jede Gruppe eine Richtlinie anlege ?

[NorbertFe 2.066]

Welche RIchtlinie wirkt "komischerweise"?

Ob du jetzt wenige GPOs (Gruppenrichtlinienobjekte) mit vielen Policies baust oder viele GPOs mit wenigen Policies ist "Geschmackssache". Es gibt zwar einen Zusammenhang der beteiligten CSE (Client Side Extensions), aber das dürfte in deiner Umgebung nicht weiter tragisch sein. ich gruppiere mir sowas immer thematisch. Bspw. Standard Einstellungen die für alle gelten sollen in ein GPO und dann weitere GPOs nach Bedarf.

Bye

Norbert

[das-mo 0]

Die Bildschirmschonerrichtlinie aus dem gruppenrichtlinien.de Tutorial meine ich.

 

Jetzt habe ich die OUs für die einzelnen Gruppen nochmal neu erstellt und wollte die Bildschirmrichtlinie auf einen User der OU JFJUgendliche anwenden (zur Erinnerung JFJ. liegt in JFUsers) und plötzlich wirkt sie nicht mehr!?

[NorbertFe 2.066]

Ja, dann machst du wohl was falsch, oder was soll man jetzt anmerken? ;)

[das-mo 0]

Meine Frage ist nur was :-D

 

Wirken Gruppenrichtlinien auf OUs die in OUs sind?

 

JFUsers

   JFJugendliche

      GPJugendliche(Verknüpfung)

   JFAdmins

   JFBetreuer

JFComputer

 

In diesem Fall müsste sie doch auf alle Benutzer in dieser OU wirken oder nicht?

[Dukel 455]

Schau dir erstmal per gpresult an, ob die GPO greift.

[NorbertFe 2.066]

Meine Frage ist nur was :-D

 

Wirken Gruppenrichtlinien auf OUs die in OUs sind?

Naja, sie wirken auf Computer- und Benutzerkonten die in der OU oder deren Unter-OUs stehen. Ausnahme die Vererbung wurde deaktiviert.

 

Bye

Norbert

[Sunny61 807]

Also komischerweise wirkt die Richtlinie aus dem tutorial wunderbar.

Komisch finde ich das nicht, nein, es ist sogar sehr sinnvoll. ;)

Jetzt bleibt für mich die Frage ist es sinnvoller für jede Einstellung eine GP anzulegen oder es so wie vorher zu machen dass ich für jede Gruppe eine Richtlinie anlege ?

Was willst Du immer mit Gruppen? Benutzerobjekte übernehmen Benutzereinstellungen. Computerobjekte übernehmen Computereinstellungen. So einfach ist das. Wenn Du Benutzergruppen trennen willst, dann lege die Benutzerobjekte in eigene OUs, auf diese OUs kannst Du die GPOs verknüpfen. Hat dir das Tutorial nicht geholfen?