Terminal GPO Windows Server 2012

[butch80 10]

Hi all,

 

ich hoffe ihr könnt mir helfen, da ich so langsam verzweifle.

 

ich habe eine spezielle GPO für die Terminalserver festgelegt. Dazu eine OU angelegt, in welcher die Terminalserver auch sind. Ddiese verschärfte GPO habe ich dann auch mit der Terminalserver-OU=verknüpft.

 

Anschließend habe ich eine Gruppe für die Terminal-Server-User angelegt. Diese Gruppe habe ich nun bei der Terminal-Server-GPO bei der Sicherheitsfilterung hinzugefügt. Die Rechte bestehen aus lesen und GPO übernehmen. Authentifizierte User und Admins haben dieses Recht nicht, da es sich ja nur auf die MItglieder der Gruppe Terminal-Server beziehen soll.

 

Alles schön und gut, nur funktionieren die Einschränken der User nicht auf dem Terminalserver. Das ganze funktioniert aber dann, wenn ich auch die Terminalserver selbst in die Sicherheitsfilterung mit hinzu nehme. Das verstehe ich nicht. Ich habe ja schließlich schon die Termin-GPO mit der Terminal-OU verknüpft. Warum sollte ich den dann noch die Terminalserver in die Sicherheitsfilterung mit auf nehmen?

oder ist das so normal und ich bin nur etwas verwirrt?

 

Danke im Voraus!

Grüße

Marc

 

 

[Sunny61 811]

Loopback aktiviert? http://www.gruppenrichtlinien.de/artikel/loopbackverarbeitungsmodus-loopback-processing-mode/

http://www.gruppenrichtlinien.de/artikel/remote-desktop-server-terminal-server/

[daabm 1.375]

...und immer dran denken: Bei "Loopback Merge" braucht ab Vista/2008 der Computeraccount Leserechte auf die User-GPOs, damit sie angewendet werden.

[butch80 10]

ja, Loopback Merge ist aktiviert.

 

Leserechte auf die User-GPO? du einst die Default Domain Polidy? hab keine andere für User erstellt. lediglich die Terminal GPO, die ich mit den Temrinalservern verknüpft habe.

[Sunny61 811]

Leserechte auf die User-GPO? du einst die Default Domain Polidy? hab keine andere für User erstellt. lediglich die Terminal GPO, die ich mit den Temrinalservern verknüpft habe.

 

In der Default Domain Policy stellt man IMHO nur Passwörter ein, für andere Dinge macht man eigene GPOs. Das wirst Du spätestens dann merken, wenn Du die Default Domain Policy resetten mußt. http://www.gruppenrichtlinien.de/artikel/wiederherstellung-der-default-richtlinien/

[NorbertFe 2.100]

ja, Loopback Merge ist aktiviert.

 

Leserechte auf die User-GPO? du einst die Default Domain Polidy?

Da hat sowieso per Default jeder (nicht JEDER) Leserechte. ;)

 

hab keine andere für User erstellt. lediglich die Terminal GPO, die ich mit den Temrinalservern verknüpft habe.

Solltest du aber. Auf Domänenebene erstellt man keine Userpolicies. ;) Und in der DDP sowieso schonmal nicht.

 

Bye

Norbert

[butch80 10]

ich brauch keine andere GPO außer die für die Remotedesktop-User, da ich sonst keinen Grund sehe.. Schließlich arbeiten alle mit thin Clients über eine remotesitzung

bearbeitet 31. Juli 2014 von butch80

[Sunny61 811]

ich brauch keine andere GPO außer die für die Remotedesktop-User, da ich sonst keinen Grund sehe.

 

Trotzdem hat die nichts in der Default Domain Policy verloren. Also raus damit und eine eigene erstellen.

[NorbertFe 2.100]

ich brauch keine andere GPO außer die für die Remotedesktop-User, da ich sonst keinen Grund sehe..

Du siehst den Grund nicht, trotzdem ist das unsauberes Design. Das wird man irgendwann merken. Und wenn du jetzt sowieso "schraubst", machs gleich richtig.

 

Bye

Norbert