Registry Berechtigungen per GPO festlegen

[Clouseau219 10]

Hi,

 

ich hab hier ein kleines Problem und komme einfach nicht weiter. Für eine Software muss ich die Berechtigung für zwei Registry Einträge bei den Win7 64Bit Clients ändern,

 

HKEY_LOCAL_MACHINE\Software\Wow6432Node\PlanCom
und 
HKEY_LOCAL_MACHINE\Software\Wow6432Node\Opus

 

 

dazu habe ich in einer bestehnden GPO, welche auf die OU mit den Clients wirkt, unter

 

Computerkonfiguration -> Richtlinien -> Windows-Einstellungen ->  Sicherheitseinstellungen -> Registrierung

 

 

die Schlüsses eingetragen und die Rechte (jeder, Vollzugriff) gesetzt.

 

Die GPO wird auch abgearbeitet, zumindest steht im GPResult unter Komponentenstatus überall Erfolgreich.

 

Wenn ich aber im Regedit nachschaue sind die Berechtigungen nicht gesetzt und die Softwäre läuft auch nicht richtig.

 

In RSOP.msc werden mir beide Reg Einträge mit einem Kreuz angezeigt und unter Rangfolge steht dann, dass das Richtlinienmodul nicht versucht hat die Einstellungen zu ändern.....

 

Im winlogon.log kann ich auch keine Fehlermeldung erkennen:

 

 

Lokale Kopie von \\XXXX.local\sysvol\XXXX.local\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf erstellen.
GPLinkDomain

Lokale Kopie von \\XXXX.local\SysVol\XXXX.local\Policies\{D05EB536-FC50-4033-92F1-CF6FFFDBB644}\Machine\Microsoft\Windows NT\SecEdit\GptTmpl.inf erstellen.
GPLinkOrganizationUnit

Gruppenrichtlinienvorlage gpt00000.dom verarbeiten.
Dies ist nicht das letzte Gruppenrichtlinienobjekt.
-------------------------------------------
Mittwoch, 24. April 2013 15:39:18
    Kopieren der Wiederherstellungswerte in die zusammengeführte Richtlinie.
----Konfigurationsmodul wird deinitialisiert...
Gruppenrichtlinienvorlage gpt00001.inf verarbeiten.
-------------------------------------------
Mittwoch, 24. April 2013 15:39:18
----Konfigurationsmodul wurde erfolgreich initialisiert.----
----Konfigurationsvorlageninformationen werden gelesen...
----Gruppenmitgliedschaft wird konfiguriert...
    Konfigurieren von Hauptbenutzer.
    Konfiguration der Gruppenmitgliedschaft wurde erfolgreich abgeschlossen.
----Sicherheitsrichtlinien werden konfiguriert...
    Konfigurieren der Kennwortinformationen.
    Konfigurieren der Informationen der erzwungenen Abmeldung.
    Konfiguration des Systemzugriffs wurde erfolgreich abgeschlossen.
    Konfigurieren von machine\software\microsoft\windows\currentversion\policies\system\consentpromptbehavioradmin.
    Konfigurieren von machine\software\microsoft\windows\currentversion\policies\system\enableinstallerdetection.
    Konfigurieren von machine\software\microsoft\windows\currentversion\policies\system\enablelua.
    Konfigurieren von machine\software\microsoft\windows\currentversion\policies\system\filteradministratortoken.
    Konfigurieren von machine\system\currentcontrolset\control\lsa\lmcompatibilitylevel.
    Die Konfiguration der Registrierungswerte wurde erfolgreich abgeschlossen.
    Konfiguration des Überwachungsprotokolls wurde erfolgreich abgeschlossen.
----Verfügbare Anlagenmodule werden konfiguriert...
    Konfiguration der Anlagenmodule wurde erfolgreich abgeschlossen.
----Konfigurationsmodul wird deinitialisiert...
dies ist das letzte Gruppenrichtlinienobjekt.
Die Richtlinienpropagierung wird im blockierenden Winlogon-Thread aufgerufen. Erstellen Sie einen anderen Thread für langsame Aufgaben.
-------------------------------------------
Mittwoch, 24. April 2013 15:39:18
----Konfigurationsmodul wurde erfolgreich initialisiert.----
----Konfigurationsvorlageninformationen werden gelesen...
----64-Bit-Registrierungsschlüssel werden konfiguriert...
    Konfiguration der Registrierungsschlüssel wurde erfolgreich abgeschlossen.
----32-Bit-Registrierungsschlüssel werden konfiguriert...
    Konfiguration der Registrierungsschlüssel wurde erfolgreich abgeschlossen.
----Konfigurationsmodul wird deinitialisiert...

 

Hat jemand eine Idee wo mein Fehler liegen könnte?

 

Schon mal vielen Dank für eure Hilfe.

 

bye,

Clou

[lefg 276]

Hallo,

 

werden die Berechtigungen möglicherweise vererbt?

 

Wie ist es denn, wenn die Berechtigungen von Hand mit dem Regedit geändert werden und anschließend nach einiger Zeit wieder nachgeschaut werden, sind die Änderungen noch vorhanden oder sind sie wieder verschwunden?

 

Wie ist es, wenn mit der Reg.exe geändert wird, werden Änderungen sichtbar und bleiben sie?

 

Befinden sich die Rechner im Verwaltungsbereich der GPO?

 

Hebt möglicherweise eine andere GPO die Wirkung wieder auf?

bearbeitet 24. April 2013 von lefg

[Sunny61 811]

Hast Du mit Hilfe der GPPs die Werte/Schlüssel importiert oder mit der klassischen Methode? http://www.gruppenrichtlinien.de/artikel/zentrale-vergabe-lokaler-berechtigungen/

[Clouseau219 10]

Wenn ich die Rechte der Reg Einträge per Regedit ändere, dann läuft die Software und die Rechte bleiben auch erhalten.

In der GPO habe ich die Reg Einträge ausgewählt, mich also durch den RegBaum zu den entsprechenden Reg Einträgen durchgeklickt, da sie auf dem Rechner, mit dem ich die GPO's erstelle, auch vorhanden sind .

Die Rechte sind wie folgt festgelegt:

 

Die GPO CP_Win7_64Bit_Clients_1_0 wirkt direkt auf die OU der Clients, und es ist die einzige GPO wo ich Rechte von Reg Einträgen ändere .

 

Am Client, welcher sich in der OU-Mitarbeiter-PC befindet erscheinen die Recht so:

:(

 

bearbeitet 24. April 2013 von Clouseau219

[lefg 276]

Kann es sein, eine andere GPO neutralisiert?

 

Mehr fällt mir nicht ein. Die Namensauflösung per DNS wird ja wohl funktionieren?

bearbeitet 24. April 2013 von lefg

[Clouseau219 10]

Ja, die anderen Einstellungen in der GPO funktionieren tadellos.

[Sunny61 811]

Ändere bei den Berechtigungen auf die zweite Option ab. Vorhandene Berechtigungen mit vererbaren Berechtigungen ersetzen.

[Clouseau219 10]

Leider hat das auch nichts gebracht

Die GPRestult und GPO Bericht sind jetzt weiter unten als Bilder

bearbeitet 25. April 2013 von Clouseau219

[Sunny61 811]

Leider hat das auch nichts gebracht

Hier mal ein Link zu dem GPRestult und GPO Bericht: https://www.dropbox.com/s/tutt5f16rlkh0rs/Bericht.7z

 

Bitte hier das Bild mit rein packen, ein zip downloade ich deshalb nicht.

 

Ausserdem würde ich Jeder nicht eintragen, nur die Benutzer die es betrifft. Evtl. liegt ja darin der Fehler.

[Clouseau219 10]

Hab es auch ohne jeder und dafür mit domänen-benutzer probiert, das gleiche Ergebniss

 

Hier mal die Berichte, musste erst mal schauen wie ich aus den html Bilder mache (Leider sind sie zum anhängen zu groß):

1. 
2. 

[Sunny61 811]

Mach es dir einfach, Testclient installieren, in eine OU packen, auf der kein GPO verlinkt ist, auch die DDP nicht verlinken lassen. Jetzt ein neues GPO erstellen, NTFS-Berechtigungen der Registry korrekt einstellen, auf die OU mit dem Testclient verlinken, Replizierung der DCs manuell anschieben, auf dem Testclient GPUPDATE ausführen, zweimal neu starten. Sind die Berechtigungen korrekt übernommen?

[-= Brummbär =- 10]

Etwas spät, aber vielleicht hilft das hier weiter:http://sbuck86.wordpress.com/2012/10/12/group-policy-registry-security-settings/

Bzw. http://support.microsoft.com/kb/2565916