GPO Löschen, Fehler

[igwadmin 0]

Hallo Miteinander,

 

ich habe bei uns im ad (warum auch immer) jeweils 2 x die Default Domain Controller Policy und die default Domain Policy.

Wobei einmal je Name immer ausgeraut ist und diese auch keine Verknüpfung zu einer OU hat. Die wo ganz normal angezeigt werden sind Verknüpft.

Wenn man auf die GPO Klickt kommt immer System kann die angegebene Datei nicht finden, auch löschen geht nicht.

Nehme ich die GUID gehe ins ADSI und versuche die in der DomainPartition zu löschen geht das auch net.

Fehler beim Vorgang, am Objekt befindet sich ein Systemkennzeichen....

 

 

Was kann ich denn da machen?

 

Im Anhang seht ihr das ganze.

 

 

Mal noch zwei fragen nebenbei, wenn ich im Internet lese die DefaultPolicy.... sei hartcodiert was bedeutet das genau?

 

Warum zeigt mir ADSI nicht Domänenkontext an sondern Standardmäßiger Namenskontext?

 

 

Grüße Marcel

 

 

 

 

[NorbertFe 2.089]

Kannst du mal die IDs der jeweils beiden GPOs vergleichen? Die können ja eigentlich nicht identisch sein.

Ansonsten hier mal noch der Hinweis: https://social.technet.microsoft.com/Forums/windows/en-US/a700268d-fb05-4823-9086-74f45a7ab2b0/how-to-delete-gpo-with-adsieditmsc?forum=winserverGP

bearbeitet 6. Juni 2018 von NorbertFe

[igwadmin 0]

Hi,

 

also die IDs sind auch nicht gleich sondern unterschiedlich.

[junioradm 1]

• ausgegrautes Gruppenrichtlinienobjekt = deaktiviert, selbst wenn dieser an einer OU verlinkt wäre
• von wo hast du die GPMC-Konsole denn geöffnet? RSAT-Tools auf einem Client-PC oder direkt schon auf dem Domaincontroller?
• wie sehen deine Berechtigungen aus? Kannst du die GPMC auch mal mit einem höheren Admin als Domainadmin öffnen?
• Wie sieht das Gruppenrichtlinienobjekt auf einem anderen Domain Controller aus - von dort mal löschen?
• Wie lange läuft der DC schon? Wenn 2 vorhanden, könntest du den ja mal neu starten und nochmals probieren
• Der Name des Gruppenrichtlinienobjekts endet ja mit einem Umlaut 'Ö'....? Scheint so, als hätte jemand die Original-GPO dupliziert? Könnte sein, dass durch dieses Kopieren andere Rechte in den Attributen stehen.
• Du müsstest du GPO ja nochmal irgendwo als XML (ADMX) finden können, glaube ich.

Gruß

[NorbertFe 2.089]

vor 2 Stunden schrieb igwadmin:

Hi,

 

also die IDs sind auch nicht gleich sondern unterschiedlich.

Und welche ids sind es?

[daabm 1.366]

Der Screenshot ist unlesbar... aber egal:

Die GUID von der DDP und DDCP sind immer gleich - bitte nicht fragen, Google findet die sofort.

Das gplink-Attribut von Domain und Domain Controllers kann man problemlos auch von Hand bearbeiten, dann ist der doppelte Link Geschichte.

Und welche GPO hinter welcher GUID da im gplink steckt, kann man unter System/Policies nachschauen.

Fragen? Fragen!

[NilsK 2.968]

Moin,

 

vor 10 Stunden schrieb daabm:

Der Screenshot ist unlesbar...

 

nein, wenn man oft genug auf die Bilder klickt, bekommt man sie irgendwann lesbar. ;)

 

Gruß, Nils

 

[daabm 1.366]

Hab noch kein Parkinson, ich klick immer nur einmal

[igwadmin 0]

Hallo Miteinander,

 

also jetzt die Fakten

 

Die ausgerauten DDP und DDCP heben folgende GUID

 

die DDP  31B2F340-016D-11D2-945F-00C04FB984F9

 

die DDCP 6AC1786C-016F-11D2-945F-00C04fB984F9

 

Ich kann die aber net löschen, ich konnte eine umbenennen, deshalb ist bei der DDP ein ö mit am Ende des Namens.

Ich kann das ö aber auch nicht entfernen weil er dann mault das es den Namen schon gibt.

 

Die frage ist jetzt wie bekomme ich die ausgerauten weg wo die Meldung immer kommt das System kann die Datei nicht finden?

 

Ich verstehe auch gar net warum die zweimal da sind, im Adsi kann ich die GUID auch nicht löschen , kommt ja auch immer nen Fehler.

 

Im Ahang jetzt nochmal zwei Fotos

 

 

 

Kann mir das nochmal einer Beantworten ?

 

Mal noch zwei Fragen nebenbei, wenn ich im Internet lese die DefaultPolicy.... sei hartcodiert was bedeutet das genau?

 

Warum zeigt mir ADSI nicht Domänenkontext an sondern Standardmäßiger Namenskontext?

 

Grüße

 

 

 

 

 

 

Am 6.6.2018 um 23:56 schrieb daabm:

Das gplink-Attribut von Domain und Domain Controllers kann man problemlos auch von Hand bearbeiten, dann ist der doppelte Link Geschichte.

Und welche GPO hinter welcher GUID da im gplink steckt, kann man unter System/Policies nachschauen.

die ausgerauten DDP und DDCP sind nicht verknüpft, die sind nur in der OU Gruppenrichtlinienobjekte.und diese kann ich unter System/Polices ja nicht löchen.

 

Die DDP und DDCP wo verknüpft sind sind schwarz hinterlegt in der OU Gruppenrichtlinienobjekte, die kann man auch ganz normal bearbeiten.

 

 

[NilsK 2.968]

Moin,

 

welche GUIDs haben denn die anderen beiden Varianten?

 

Wahrscheinlich bekommt man das in den Griff, aber ich würde da weder über ein Forum eine Anleitung geben noch es über ein Forum  ausprobieren. Dafür ist das Risiko von Missverständnissen zu hoch. Wenn ich was daran täte, dann nur direkt. Daher  der Vorschlag, einen Case bei Microsoft zu eröffnen oder sich einen Spezialisten ins Haus zu holen.

 

"Default Naming Context" bzw. die deutsche Übersetzung sind einfach nur andere Begriffe für die Domänen-Partition des AD. Und "hartkodiert" meint, dass die DDP und die DDCP die einzigen Policies sind, die vorinstalliert werden und die immer dieselben GUIDs haben, in jeder Umgebung. Eine echte, harte technische Abhängigkeit gibt es nicht, aber durchaus Prozesse im System, die darauf aufsetzen.

https://www.gruppenrichtlinien.de/index.php?id=31&tx_ttnews[tt_news]=162&cHash=2b6b1bfe8644de808622128630a0cb8b

 

Gruß, Nils