IE10/Windows 8 GPO unter WinServer2008

[soulseeker 13]

Hallo,

 

ich fange so langsam an, Windows8-Clients ins Netz aufzunehmen und möchte natürlich auch per GPO bestimmte Einstellungen für den IE10 vornehmen (Startseite, sichere Seiten/Intranet).

 

Mir ist bewusst, dass die admx/adm-Dateien auf dem Win2008R2-Server noch keine IE10-GPOs zulassen und das die IE-Maintenance weggefallen ist, daher habe ich es heute zunächst mit einem Win8-Client und RSAT probiert. Ich habe eine neue GPO erstellt, diese wurde allerdings nicht von einem Testclient übernommen (auch im Eventlog steht nix). Merkwürdigerweise hat auch ein Win7-Client von dieser neuen Richtlinie nichts übernommen (ich habe testweise in dieser Richtlinie auch noch IE9-Einstellungen geändert, allerdings dann direkt auf dem DC).

 

Ich könnte natürlich die entsprechenden adm/admx-files direkt auf dem Server austauschen, aber dazu müsste ich erst den Besitz übernehmen (Trustedinstaller ist Besitzer) ... das würde ich aber nur ungerne in einer Produktivumgebung testen, hat da jemand schon Erfahrungen gesammelt? Ich hätte Sorge, dass es danach Probleme mit der Replikation der Richtlinien geben könnte ...

 

Ist der Grund für diese fehlgeschlaqgene Richtlinie evtl. die Tatsache, dass ich mit Win8 und Win2008 abwechselnd an der Richtlinie gebastelt habe? Mir wäre es am liebsten, wenn ich eine Richtlinie hätte, mit der ich alle IE-Einstellungen für alle Clients/Versionen abarbeiten könnte ... oder sollte ich besser getrennte Richtlinien erzeugen?

 

Danke für Tipps

 

Marcel

[Dunkelmann 96]

Moin,

 

seit Server 2008 / Vista gibt es den Central Store für Gruppenrichtlinien.

http://support.microsoft.com/kb/929841

http://www.gruppenrichtlinien.de/artikel/central-store-fuer-administrative-vorlagen/

[Sunny61 806]

Immer mit dem aktuellsten OS die GPOs administrieren. Solange in den Settings nichts anderes drinsteht, kannst IMHO mit einem W8 auch den IE9 von W7 verwalten.

[soulseeker 13]

Danke, aber demzufolge müsste eine Win8+RSAT erstellte GPO ja funktionieren, aber der Win8-Client zieht die Richtlinie irgendwie nicht ...

[NorbertFe 2.027]

Hast du sie denn korrekt verlinkt? wir können hier nicht hellsehen. ;)

[Sunny61 806]

Danke, aber demzufolge müsste eine Win8+RSAT erstellte GPO ja funktionieren, aber der Win8-Client zieht die Richtlinie irgendwie nicht ...

 

Irgendwie? Geht es noch etwas ungenauer? Hast Du Benutzer- oder Computereinstellungen erstellt? Oder beides? Auf welche OU ist das GPO verlinkt? Finden sich in der OU Benutzer- oder Computerobjekte? Was sagt RSOP.MSC (für Benutzereinstellungen) bzw. gpresult /H in einer administrativen Commandline?

[soulseeker 13]

Sorry für die unklare Formulierung.

 

Also, ich habe eine Test-OU erstellt und mit einem Win8-Client eine neue GPO auf Benutzerebene erstellt. Diese habe ich mit der Test-OU verlinkt, in der sich mein Test Win8-Client befindet. Dieser zieht sich ohne Probleme "alte" Installations-GPOs, die ich mal testweise verlinkt habe, aber nicht die neue GPO namens Win8-Test. Im Moment steht die Berechtigung in der OU auf "auth", aber ich habe auch schon explizit das Computerobjekt, bzw. den sich anmeldenden User verlinkt.

 

In dieser OU habe ich die Startseite umgebogen die Favoritenleiste deaktiviert.

 

gpresult schreibt mit u.a. folgendes:

 

 

Verknüpfungsort bla.de/HeadQuarter/Gpo-Test
Konfigurierte Erweiterungen   
Erzwungen Ja
Deaktiviert Keine
Sicherheitsfilter NT-AUTORITÄT\Authentifizierte Benutzer
Revision AD (0), SYSVOL (0)
WMI-Filter   
Grund: abgelehnt Leer
 

 

Hmm, warum abgelehnt? Warum leer?

[NorbertFe 2.027]

Sorry für die unklare Formulierung.

 

Also, ich habe eine Test-OU erstellt und mit einem Win8-Client eine neue GPO auf Benutzerebene erstellt. Diese habe ich mit der Test-OU verlinkt, in der sich mein Test Win8-Client befindet.

 

Und dann wundert es dich, dass es nicht funktioniert? ;)

 

Bye

Norbert

[Sunny61 806]

Also, ich habe eine Test-OU erstellt und mit einem Win8-Client eine neue GPO auf Benutzerebene erstellt. Diese habe ich mit der Test-OU verlinkt, in der sich mein Test Win8-Client befindet.

 

Ich werfe jetzt ganz frech die Grundlagen in die Diskussion: http://www.gruppenrichtlinien.de/artikel/erstellen-einer-gruppenrichtlinie/

[soulseeker 13]

Oh mann ... peinlich. Meine letzten Testläufe waren alles nur Computer-GPOs, meinen Testuser da mit reinzuwerfen habe ich verpeilt.

 

Trotzdem danke für den Grundlagen-Tipp ;).

bearbeitet 25. Februar 2013 von soulseeker

[Sunny61 806]

:)

[soulseeker 13]

Vielleicht noch eine kurze Frage, da ich gerade auch Office2013 verteile - ich habe auch da eine GPO Arbeitsgruppen-Pfade für die Benutzer erstellt, würdet ihr die nun schon firmenweit verteilen oder explizit nur den Usern, die bereits Office 2013 haben? Da jeder Rechner hier eine eigene Office-Umgebung hat, teilweise 32bit, teilweise 64bit, teilweise gemischt, gebe ich die Installations-GPO für Office nur schrittweise frei, d.h. einige Leute haben immer noch Office2010 (teilweise behalten sie es auch).

 

Mit dieser Richtlinie wird ja nur ein Registry-Eintrag gesetzt ... wenn Office 2013 noch nicht vorhanden ist (aber später noch folgt), dürfte das doch eigentlich unproblematisch sein, oder was meint ihr?

[Sunny61 806]

Wenn der Eintrag nur für Office 2013 ist und auch nur von O2013 gelesen wird, dann kannst Du IMHO den Eintrag jetzt schon verteilen. Ansonsten würde ich das GPO evtl. mit einem WMI-Filter für O2013 versehen.

[soulseeker 13]

Danke!

 

Eine Sache macht mir allerdings noch Probleme ... und zwar die Möglichkeit, per Richtlinie verteilte IE-Einstellungen als User selber zu editieren.

 

Früher gab es ja die Internet explorer-Maintenance, alle dort festgelegten Einstellungen konnte der User trotzdem selber noch bearbeiten. Mit dem IE10 fällt das ja jetzt weg.

 

Per GPP kann ich zumindest die Startseite vorgeben und editierbar gestalten, aber dummerweise nicht die Sites, die ich unter lokales Intranet festlegen möchte. Wenn ich per IE10-GPO "Site to zone" assignment-List konfiguriere, gibt es natürlich keine Möglichkeit mehr, diese manuell zu bearbeiten.

 

Wie komme ich aus der Nummer raus?

 

Und noch eine vielleicht blöde Frage - warum kann ich keine IE10-GPP auf einem Win2008 mit Central store festlegen?

Hmm habs selber hinbekommen ... unschön per Registry-Key, sowohl für sichere Seiten, als auch die Startseite. Die Startseite wurde über "Preferences - Control panel Settings" auch nicht angepasst, merkwürdig.

[Sunny61 806]

Hmm habs selber hinbekommen ... unschön per Registry-Key, sowohl für sichere Seiten, als auch die Startseite. Die Startseite wurde über "Preferences - Control panel Settings" auch nicht angepasst, merkwürdig.

Die Sache mit F5/F6/F7/F8 kennst Du? Grüne und Rote Linien? ;)