GPO Zugriff verweigert durch Sicherheitsfilter

[Rocknar 8]

Hallo zusammen,

 

ich habe das Thema GPO von einem Kollegen übernommen der das Unternehmen verlassen hat. Nun bin ich nicht so fit in der Materie und hätte da ein Problem.

 

Es gibt eine GPO die verhindern soll das der User seinen PC herunterfahren kann. 

Es wurde folgendes Eingestellt:

 

Loopbackverarbeitungsmodus für Benutzergruppenrichtlinie konfigurieren: Aktiviert

Befehle "Herunterfahren", "Neu starten", "Energie sparen" und "Ruhezustand" entfernen und Zugriff darauf verweigern: Aktiviert

 

Die User die die Einstellung treffen soll, sind in einer speziellen Gruppe (NoShutdown)

 

Bereich:

Die GPO ist mit der OU verknüpft, in der die PCs liegen.

In dem Feld Sicherheitsfilterung ist die Gruppe NoShutdown eingetragen

 

Delegierung:

Authentifizierte Benutzer: Lesen

Dom Admin: Bearbeiten, löschen, Sicherheit ändern

DomControler: Lesen

NoShutdown: Lesen (durch Sicherheitsfilter)

Orga Admins: Bearbeiten, löschen, Sicherheit ändern

System: Bearbeiten, löschen, Sicherheit ändern

 

Unter Erweiterte Sicherheitseinstellungen hat die Gruppe NoShutdown die Berechtigung lesen und GPO übernehmen.

 

Dummerweise wird die GPO abgelehnt mit dem Hinweis Zugriff verweigert (Sicherheitsfilterung)

 

An welcher Stelle könnte denn wohl noch eine Sicherheitsfilterung sein, die die Anwendung der GPO verhindert?

 

Für eure Hilfe und Tipps bin ich sehr dankbar.

 

Viele Grüße

 

 

 

[tesso 377]

DIe Computer müssen die Richtlinie lesen können. Das scheint in deinen Berechtigungen zu fehlen.

bearbeitet 6. Januar 2020 von tesso

[Rocknar 8]

Hallo Tesso,

 

danke für den Tipp. Ich werde das gleich mal testen. Aber ist denn nicht genau dafür die Loopbackverarbeitung da?

[tesso 377]

Um es kurz zu machen: Nein.

 

Loopback hat nichts mit Berechtigungen einer GPO zu tun.

[Rocknar 8]

Alles klar.

 

Das hinzufügen des Rechners in die Berechtigung hat dann den gewünschten Effekt gebracht.

 

Danke dafür! 

[Sunny61 820]

Hier die Erklärung weshalb die Computerkonten LESEN können müssen: https://www.gruppenrichtlinien.de/artikel/sicherheitsfilterung-neu-erfunden-ms16-072-patchday-14062016/

[testperson 1.761]

Hi,

 

hat sich denn der Benutzer in der Gruppe "NoShutdown" einmal ab- und angemeldet nach dem hinzufügen zur Gruppe? Da

vor 5 Stunden schrieb Rocknar:

Authentifizierte Benutzer: Lesen

vorhanden war, müssten auch die Computerkonten Zugriff gehabt haben. AFAIK braucht der PC zum Anwenden des Loopbackverarbeitungsmodus einen Reboot.

Allerdings solltest du auch folgendes beachten (https://gpsearch.azurewebsites.net/#4635):

Zitat

This policy setting prevents users from performing the following commands from the Start menu or Windows Security screen: Shut Down, Restart, Sleep, and Hibernate. This policy setting does not prevent users from running Windows-based programs that perform these functions.

 

Gruß

Jan

[Rocknar 8]

Hallo,

vielen dank für eure Antworten.

 

@Testperson

Userkonto wurde abgemeldet und neu angemeldet. Pc wurde neugestartet. GPupdate wurde auch durchgeführt.

Das einzige was wirklich zum Erfolg führte war das hinzufügen des Rechnerkontos