GPO Kontrolle / Logging / Check

[Sunny61 819]

Wenn ein GPO von einem Computer- oder Userobjekt verarbeitet werden soll, muss es gelesen und übernommen werden dürfen. Wer oder was ist bei dir SYSTEM? Wenn das GPO für User- und Computerobjekte ist, dann reichen die Authentifizierten Benutzer mit Lesen und Übernehmen aus. Darin sind die Computer und Benutzerobjekte enthalten.

Schau dir diesen Artikel mal an: https://www.gruppenrichtlinien.de/artikel/sicherheitsfilterung-neu-erfunden-ms16-072-patchday-14062016

[Quirk18231 0]

als Auswahl habe ich doch nur lesen, Einstellung bearbeiten, Vollzugriff

 

bei der Delegation stehen die oben genannten Einstellungen drinnen,

in den Sicherheitseinstellungen standardmäßig nur die authent Nutzer

 

NT AUTHORITY\SYSTEM 

 

Danke S61

Q

bearbeitet 11. Oktober 2022 von Quirk18231

[Sunny61 819]

vor 2 Stunden schrieb Quirk18231:

bei der Delegation stehen die oben genannten Einstellungen drinnen,

Ich stelle nur in der Delegation alles ein.

[Quirk18231 0]

Hi,

 

ja das habe ich in dem Artikel auch gelesen, dass waren aber die Standardeinstellungen - da habe ich nichts geändert - das sollte dem ganzen aber keinen Abbruch tun. Richtig?

 

Die GPO sollte trotzdem greifen, oder?

 

Habe jetzt aber mal den Reiter Bereich komplett geleert und die authent im Bereich Delegation wieder hinzugefügt.

 

Q

bearbeitet 12. Oktober 2022 von Quirk18231

[Sunny61 819]

Wenn Du den 'Bereich' leerst, kann das GPO nicht greifen, oder meinst Du die Sicherheitsfilterung?

[Quirk18231 0]

habe im Reiter Bereich - die Sicherheitsfilterung geleert und authentB wieder in der Delegation mit LeseRechten hinzugefügt

[Sunny61 819]

Nur Leserechte oder auch Übernehmen? Wenn nur Lesen, dann wird auch nichts übernommen, das ist dir schon klar, oder?

[Quirk18231 0]

Hi, ja in den erweiterten Einstellungen habe ich auch GR übernehmen hinzugefügt.

 

Wenn ich diese Einstellung aber übernehme, haut er mir die AuthB wieder automatisch in die Sicherheitsfilterung rein.

 

??

bearbeitet 12. Oktober 2022 von Quirk18231

[Sunny61 819]

Das ist aber vollkommen in Ordnung. Ich glaube, Du solltest dir eine ausführliche Schulung gönnen. Mark bietet auch Workshops an und kommt zu euch ins Unternehmen.

[Quirk18231 0]

Dann bin ich doch aber genau wieder da, wo ich vorher auch war ?? Jetzt sind die Einstellungen wieder die selben wie vorher ?? (in der Sicherheitsfilterung wie in der Delegation)

 

Danke Dir!

 

Q

 

 

vor 2 Stunden schrieb Sunny61:

Das ist aber vollkommen in Ordnung. Ich glaube, Du solltest dir eine ausführliche Schulung gönnen. Mark bietet auch Workshops an und kommt zu euch ins Unternehmen.

na mal schauen, ob die Azubine sowas bekommt :)

bearbeitet 12. Oktober 2022 von Quirk18231

[daabm 1.391]

Wenn ein Account in der Delegierung "Lesen" und "Anwenden" hat, taucht er automatisch im Sicherheitsfilter auf. Der ist nur eine Convenience-Anzeige für die effektiven ACLs, da taucht alles auf, was halt "Read/Apply" hat.

Was ist jetzt nochmal das aktuelle genaue Problem?

[Quirk18231 0]

Hi D,

 

ich habe GPOs welche einfach nicht immer angewendet werden. Laut gpresult sind sie dies zwar, nur funktioniert hat es nicht.

 

(Das Problem mit den Desktoplinks wurde teilweise erklärt - das letzte WindowsUpdate, wird hoffentlich behoben.) Die Links erschienen auch vor dem Update nur sporadisch oder manchmal auch nach einem manuellem gpupdate im User.

 

Die Verteilung des Links für die RemoteApps ist davon auch betroffen. Habe das Logging in allen Punkten aktiviert, finde aber keine Fehlermeldungen "error" - dies habe ich nur bei den Desktoplinks ...

 

Danke

 

Q

[Sunny61 819]

vor 4 Minuten schrieb Quirk18231:

Die Links erschienen auch vor dem Update nur sporadisch oder manchmal auch nach einem manuellem gpupdate im User.

Weshalb sollten sie denn wieder verschwinden? Wenn Aktualisieren eingestellt ist, wird der Link einmal eingetragen, und bleibt es so.

 

Nimm dir ein Beispiel GPO, erstellt eine OU und deaktiviere die Vererbung von GPOs. Jetzt das Computer- und das Benutzerkonto rein. Einmal neu starten und jetzt ein GPO verlinken, gpupdate ohne /force ausführen. Bei einer Computer GPO anschließend einen Reboot ausführen. Sind die Einstellungen jetzt gesetzt? Falls ja, dann mehrmals booten und irgendwann das nächste GPO dazu nehmen. Wenn jetzt die GPOs funktionieren, Schritt für Schritt die 'alten' GPOs dazu nehmen. Immer ein gpupdate (ohne /force) dazwischen machen und neu starten.

 

Welche Sicherheitssoftware ist installiert? Kann die irgendwas verhindern/ändern?

[Quirk18231 0]

Hi,

 

ja die Links verschwinden irgendwann und kommen dann nicht wieder. Sporadisch klappt mal bei einigen ein gpupdate.

 

Ich werde Deinen Vorschlag versuchen und Rückmeldung geben.

 

Danke!