Gruppenrichtlinenobjekte Exportieren / Importieren

[Blue-Twoo 0]

Guten Abend alle zusammen

 

Ich habe ca. 30 - 40 GPOs mit den nötigsten Grundeinstellungen zu den Windows 10 und Windows 11 System erstellt. Diese möchte ich nun gerne exportieren und in einer anderen Domäne wieder importieren.

Ich erstelle momentan mehrere ADs und möchte die 40 GPOs nicht nochmals alle neu anlegen müssen.

 

Ich habe gesehen das ich die GPOs alle auf einmal Sichern kann, dies scheint zu funktionieren. Ich kann die GPOs in der neuen Domäne aber alle nur einzeln wieder Importieren.

Mache ich hier etwas falsch oder gib es einen einfacheren weg.

 

Ich wünsche euch einen schönen Abend

 

Grüße

 

Blue-Twoo

 

bearbeitet 28. Januar 2022 von Blue-Twoo
Titel abgeändert

[testperson 1.680]

Hi,

 

falls da mal noch weiter Domänen hinzukommen oder du das später wiederholen möchtest, dann nimm PowerShell:

• Import-GPO: Import-GPO (GroupPolicy) | Microsoft Docs
• New-GPLink: New-GPLink (GroupPolicy) | Microsoft Docs

Gruß

Jan

[Blue-Twoo 0]

Hallo Jan,

 

Danke für die schnelle Antwort

 

Wenn ich den Import Befehl per powershell richtig verstehe, muss ich für jede zu importierte Richtlinie ein neues Objekt anlegen lassen, dem ich einen Namen geben muss.

 

So müsste ich beim Backup aufschreiben, wie der Name der Richtlinie xy ursprünglich war.

 

Kann ich die GPOs nicht mit dem ursprünglichen Namen Importieren, ohne daß ich diesen angeben muss?

 

Ich vermute, ich brauche hier dann ein ausgeklügeltes powershell skript?

 

schönen abend euch

 

 

 

[BOfH_666 577]

vor 4 Minuten schrieb Blue-Twoo:

Ich vermute, ich brauche hier dann ein ausgeklügeltes powershell skript?

Na soo wahnsinnig aufwändig wird das nicht werden ...  mit 

 

https://docs.microsoft.com/en-us/powershell/module/grouppolicy/backup-gpo?view=windowsserver2022-ps

 

und 

 

https://docs.microsoft.com/en-us/powershell/module/grouppolicy/restore-gpo?view=windowsserver2022-ps

 

sind das im Prinzip zwei Zeilen

 

 

 

[cj_berlin 1.323]

Restore-GPO funktioniert aber nur in derselben Domain.

Aber ich würde tatsächlich Backup-GPO skripten, so dass jedes Backup in einen eigenen Ordner kommt, der nach der GPO benannt ist. Dann kann man das Anlegen und das Importieren an Ordnernamen ausrichten.

[BOfH_666 577]

vor 33 Minuten schrieb cj_berlin:

Restore-GPO funktioniert aber nur in derselben Domain.

Ah ... na dann ... 

https://docs.microsoft.com/en-us/powershell/module/grouppolicy/import-gpo?view=windowsserver2022-ps

oder?  Im Zweifel immer das andere ...  

[testperson 1.680]

Hi,

 

in der "manifest.xml" oder auch "Backup.xml", "bkupInfo.xml" und "gpreport.xml" findest du auch den ursprünglich Namen. Alternativ eben auch per PoSh exportieren und dabei bspw. eine CSV erstellen, die Name und Id mapped. (Oder @cj_berlin Ansatz und Export in einen Ordner mit dem Namen.)

 

Gruß

Jan

[cj_berlin 1.323]

Genau, per XML wäre der sauberste Weg, aber auch der mit der steilsten Lernkurve.

[NilsK 2.939]

Moin,

 

Wie entsteht denn überhaupt der Bedarf? Warum braucht es für "die wichtigsten" Einstellungen 30-40 GPOs, und warum werden so viele Domänen erzeugt? 

 

Gruß, Nils

[Sunny61 806]

vor 13 Stunden schrieb Blue-Twoo:

Ich habe gesehen das ich die GPOs alle auf einmal Sichern kann, dies scheint zu funktionieren. Ich kann die GPOs in der neuen Domäne aber alle nur einzeln wieder Importieren.

Mache ich hier etwas falsch oder gib es einen einfacheren weg.

Du kannst dir die Scripte der GPMC mal genauer anschauen: https://www.gruppenrichtlinien.de/artikel/die-scripte-der-gpmc-das-unbekannte-feature

Evtl. hilft es dir weiter.

[Blue-Twoo 0]

Guten Abend 

 

Vielen dank für die ganzen Antworten.

Ich werde das mit PowerShell und dem Backup sowie Import testen. Ich hoffe das dies dann alles so funktioniert 

 

Aktuell habe ich einige Kunden wo die AD überarbeitet wird bzw. neu aufgesetzt wird. Hier möchte ich einige Richtlinien  wie z.B DSGVO Konfigurationen, TM-Server Einstellungen, Windows Grundkonfigurationen etc. einsetzten. Ich habe viele einzelne Einstellungen in separaten GPOs, da ich flexibel sein möchte. Ich könnte alles in eine GPO Packen, aber Wenn ein User Einstellung X nicht haben möchte, diese aber mit Einstellung Y die immer angewendet werden soll ausgerollt wird, habe ich ein Problem. Die User möchte ich eigentlich nicht gängeln^^

 

So habe ich dann viele GPOs, bin aber flexibler.

 

Wenn ich dann alle GPOs fertig habe und nur noch Importieren muss, dann spare ich mir locker 3 - 4 Stunden Zeit.

 

Schönen Abend euch.

bearbeitet 29. Januar 2022 von Blue-Twoo

[MurdocX 952]

Ich hab gerade auch alle meine GPOs exportiert. Weil es hier um das gleiche Thema geht, habe ich mich entschieden mein Skript zu teilen.

 

Zuerst die Gruppenrichtlinen exportieren

Backup-Gpo

 

Danach den Pfad noch eintragen und die Ordner werden umbenannt.

#
# Das Skript benennt die Ordner nach den Gruppenrichtlinien-Namen.
#

$gpoBackupPath = ""

Get-ChildItem -Path $gpoBackupPath -File -Include gpreport.xml -Recurse | ForEach-Object {

    $gpoFilePath = $_
    
    [xml]$xmlContent = Get-Content -Path $gpoFilePath
    $gpoName = $xmlContent.GPO.Name

    if ($gpoFilePath.Directory.BaseName -notlike $gpoName) {
        Rename-Item -Path $gpoFilePath.DirectoryName -NewName $gpoName
    }
}

 

Ich hoffe ich konnte damit helfen  

bearbeitet 29. Januar 2022 von MurdocX

[NilsK 2.939]

Moin,

 

Ja, das ergibt Sinn. Dann scheint mir das auch ein angemessenes Verfahren zu sein.

 

Gruß, Nils

[daabm 1.356]

Microsoft selbst hat mit der GPMC seinerzeit ein paar Skripts bereitgestellt, die genau dafür gemacht sind: CreateXMLFromEnvironment.wsf und CreateEnvironmentFromXML.wsf. Weiß nur heute wohl keiner mehr... Und leider führen die Code-Links in https://docs.microsoft.com/en-us/previous-versions/windows/desktop/gpmc/group-policy-management-console-scripting-samples inzwischen ins Leere, weil die Technet Code Gallery auch schon Geschichte ist. Ich hab die Skripts zwar noch, aber da da ein (c) Microsoft drinsteht, kann ich sie hier nicht einfach anhängen... Bei Interesse daher bitte PN.

 

Und ich hab dazu auch schon einiges gebastelt: https://evilgpo.blogspot.com/2012/12/backup-nur-fur-feiglinge-oder-auch-fur.html

Das hat ein paar der Features von @MurdocX, geht aber mit einer desktop.ini noch etwas darüber hinaus. Machts einfacher zu benutzen im Explorer...

 

@Jan: Ordner nach Merkmalen zu benennen, die nicht eindeutig sein müssen, ist nie eine gute Idee. Und ja, GPO-Namen sind nicht eindeutig. Nur eine Handvoll Code in GPMC verhindert, daß man gleichnamige erstellt, ansonsten ist das ein ganz dröges "displayName" Attribut, das beliebig oft den gleichen Inhalt haben darf. Woher ich das weiß?