GPO - Sicherheitsfilterung

[ITZubi 0]

Kann es sein dass es nicht funktioniert, weil der Sicherheitsfilter nur für Objekte die in der OU liegen gelten, in der die GPO angewand wird?

 

@Sunny61: Ich beantworte deine Frage wenn ich zuhause bin!

bearbeitet 18. Dezember 2013 von ITZubi

[Sunny61 806]

Kann es sein dass es nicht funktioniert, weil der Sicherheitsfilter nur für Objekte die in der OU liegen gelten, in der die GPO angewand wird?

Nochmal, nur ein Benutzer- oder Computerobjekt liest die Einstellungen aus einem GPO. Also muß das Objekt im uneingeschränkten Verwaltungsbereich des GPO liegen. Wenn Du mittels Sicherheitsfilterung das ganz lösen möchtest, und dabei Sicherheitsgruppen verwendest, ist es egal wo die Gruppen liegen. Die darin enthaltenen Objekte müssen aber trotzdem im Verwaltungsbereich des GPO liegen.

[testperson 1.674]

Also folgendes:

 

Wenn ich bei den Sicherheitsfiltern, Authentifizierte Benutzer hinterlege ist die GPO "GoogleChrome_MultiLogon" wieder verfügbar, sprich diese wird gezogen.

Wenn ich aber nur wieder die einzelnen User eintrage, für die diese GPo gelten soll, funkioniert es wieder nicht!

Ist die GPO immer noch auf eine OU verlinkt in der sich nur die Computerkonten befinden? Dann müssen die Authentifizierten Benutzer die GPO lesen dürfen, da der PC die GPO sonst nicht lesen/verarbeiten darf.

[ITZubi 0]

@Sunny61: Sorry dass ich nicht früher zurück schreiben konnte, war terminlich unterwegs gewesen.
Ich hoffe ich kann so irgendwie die Struktur unserer Domäne Darstellen:

 

Gesamtstruktur: Firma.Endung
=> Domänen
=> => Firma.Endung
=> => =>  Abteilung
=> => => => MISC
=> => => => => Unterabteilung
=> => => => => => Computers
=> => => => => => => Pools

 

Hier liegt die GPO´s "GoogleChrome", "GoogleChrome_MultiLogon" und auch die PC´s

Beide GPO´s laufen über die Benutzerkonfiguration.
 

In der Google Chrome GPO ist unter Sicherheitsfilter "Authentificated Users" eingetragen
In der GoogleChrome_MultiLogon, unter Sicherheitsfilter, sind die drei User eingetragen und eine Gruppe aller PC´s

Gesamtstruktur: Firma.Endung
=> Domänen
=> => Firma.Endung
=> => =>  Abteilung
=> => => => STAFF
=> => => => => Users
=> => => => => => Funktionskonten
=> => => => => => => Multilogon

 

Hier liegen die drei User, auf die ich eigentlich die Gruppenrichtlinie "GoogleChrome_MultiLogon" gezogen haben wollte

 

 

Ich verstehe nur leider nicht was mit "uneingeschränkten Verwaltungsbereich" gemeint ist!

bearbeitet 20. Dezember 2013 von ITZubi

[Sunny61 806]

Nimm doch den Loopback Modus wieder raus und verlinke Benutzerichtlinien auf Benutzerobjekte. Computerobjekte lesen nur Computereinstellungen, Benutzerobjekte lesen nur Benutzereinstellungen.

 

Das mit dem Verwaltungs- oder Wirkungsbereich ist recht einfach. Nimm das GPO, verlinke es auf eine OU. Sind Computer- oder Benutzerobjekte in dieser OU oder in darin befindlichen OUs? Wenn nein, dann liegen die Objekte nicht im Verwaltungsbereich des GPO.

 

Wenn Du also ein Benutzer-GPO auf die OU Unterabteilung verlinkst, kann das nicht funktionieren, denn unterhalb oder innerhalb der OU Unterabteilung liegen keine Benutzerobjekte. Das alles hättest Du schon gewußt, hättest Du den verlinkten Artikel zu den ersten Schritten der GPOs gelesen.

[ITZubi 0]

Wenn Du also ein Benutzer-GPO auf die OU Unterabteilung verlinkst, kann das nicht funktionieren, denn unterhalb oder innerhalb der OU Unterabteilung liegen keine Benutzerobjekte.

Ja dass ich mir jetzt soweit klar, verstehen kann ich aber dann nicht warum die GPO "GoogleChrome", obwohl dies nur Benutzereinstellungen enthält, trotzdem wirkt und diese sich bei Computerobjekten befindet?

Und diese wirkt auch, wenn ich denn Loopbackverarbeitungsmodus nicht drinnen habe!

 

 

Das alles hättest Du schon gewußt, hättest Du den verlinkten Artikel zu den ersten Schritten der GPOs gelesen.

Ich habe die "Ersten Schritte" gelesen es war mir aber trotzdem nicht so klar gewesen weswegen ich hier nochmal nachgefragt habe!

bearbeitet 20. Dezember 2013 von ITZubi

[Sunny61 806]

Ja dass ich mir jetzt soweit klar, verstehen kann ich aber dann nicht warum die GPO "GoogleChrome", obwohl dies nur Benutzereinstellungen enthält, trotzdem wirkt und diese sich bei Computerobjekten befindet?

Und diese wirkt auch, wenn ich denn Loopbackverarbeitungsmodus nicht drinnen habe!

Das glaub ich nicht. Bist Du sicher es existieren keine Benutzerobjekte unterhalb des GPO?

Ich habe die "Ersten Schritte" gelesen es war mir aber trotzdem nicht so klar gewesen weswegen ich hier nochmal nachgefragt habe!

Spätestens jetzt wäre eigentlich dein Ausbilder dran, in einem Forum Grundlagen zu vermitteln ist fast nicht möglich. Außerdem wird dein Ausbilder dafür bezahlt.

bearbeitet 20. Dezember 2013 von Sunny61