GPO nur für Terminalserver

[kleinklausi 10]

Hallo

Wie können wir erreichen, das unsere Gruppenrichtlinien nur bei der Anmeldung über Terminalserver umgesetzt werden und nicht bei der Domänanmeldung der Clients greift.

Wir haben einen W2k Server und W2k Prof. Clients.

 

[grizzly999 11]

Du richtest auf dem TS die Richtlinie ein und aktivierst unter Computerkonfiguration/Administrative Vorlagen/.../Gruppenrichtlinien den "Loopback Verarbeitungsmodus", im Modus "Ersetzen".

 

grizzly999

[kleinklausi 10]

Erstmal Danke für die schnelle Antwort.

Wir haben den Punkt jetzt auch gefunden und Ersetzen aktiviert.

Leider ist uns nicht klar wo wir die GPO erzeugen müssen(Habe diese bisher für die Domäne angelegt -AD Computer und Benutzer) Unser TS ist gleichzeitig DC.

 

[kleinklausi 10]

Haben inzwischen weiter probiert scheint zu Funktionieren :)

Nur leider ist jetzt auch der Administrator auf dem DC betroffen, wie können wir das verhindern.

[kleinklausi 10]

@grizzly999 :)

Es Funktioniert Danke Danke Danke

Haben dich soeben zum Helden des Abends gewählt.

 

Super Tipp

[zman 10]

Und wie hast du das mit Problem mit dem Admin gelöst?

 

Grüße

 

zman

[kleinklausi 10]

Für den Admin haben wir in den Sicherheitseinstellungen unter den Eigenschaften der GPO den Punkt Gruppenrichtlinien übernehmen deaktiviert.

[Wolke2k4 11]

Original geschrieben von grizzly999

Du richtest auf dem TS die Richtlinie ein und aktivierst unter Computerkonfiguration/Administrative Vorlagen/.../Gruppenrichtlinien den "Loopback Verarbeitungsmodus", im Modus "Ersetzen".

grizzly999

 

Was aber, wenn die GPO an der Domain bzw. OU festgemacht wird? Klar sie gilt dann erstmal Domain weit.

 

Würde es theoretisch reichen, dem Nutzer die Rechte des lokalen Grouppolicy Ordners zu entziehen/verweigern, damit die GPO lokal nicht wirkt???

[grizzly999 11]

Das ist eine Computer GPO, und sie wirkt damit auf Computer, nicht auf Benutzer ....

 

Aber warum sollte man sie auf Domänenebene festmachen und dann nachher überall wieder rausfiltern, wo man sie nicht will. Dann mache ich sie doch gleich nur an der OU für die Terminalserver fest.

 

 

grizzly999

[Wolke2k4 11]

Aber warum sollte man sie auf Domänenebene festmachen und dann nachher überall wieder rausfiltern, wo man sie nicht will. Dann mache ich sie doch gleich nur an der OU für die Terminalserver fest.

grizzly999

 

Feste Strukturen lassen sich eben nicht so leicht umbiegen. Das Problem ist, dass die Umgebung hauptsächlich aus ThinClients besteht, denen die GPO egal ist. Da jedoch auch zwei "FatClients" im Netz stehen greift die GPO.

 

Der bequemste Weg wäre also einfach zu verhindern, dass die GPOs für die zwei Clients greift...

 

Ist der Ordner Grouppolicy sowohl für lokale als auch für die Domain GPO relevant???

[sushi2000xy 10]

Hi!

Hatte dasselbe Problem, habs denn (dummerweise) mit Extra-Usern für die Anmeldung am WTS gelöst. Funktioniert, ist aber natürlich umständlicher und meine Lizenzen fliegen mir nun um die Ohren!

Das mit der lokalen Richtlinie am WTS klingt logisch (wenn ichs denn so richtig verstanden habe), was mir aber noch nicht klar ist, wie ich die Admins von der ganzen Sache ausschliesse.

Mit der Erklärung von kleinklausi komm ich nich ganz klar bzw. finds nicht.

PLZ help!

[grizzly999 11]

Die Sicherheitseinstellungen sind nur für AD-GPOs in den Eigenschaften der GPO zu finden.

 

@Wolke24: Dann gibt es die Möglichkeit, alle TS in eine Globale Gruppe zu stecken, die GPO an der Domäne festzumachen und nur dieser Gruppe die Berechtigung zum Lesen und Übernehmen der GPO zu geben ;)

 

 

grizzly999

[sushi2000xy 10]

Also fasse ich nochmal zusammen:

Ich packe den WTS in eine extra OU, lege da die GPO drauf mit der Einstellung "Loopback-Verarbeitung" und beschränke mich bei der Verwendung auf die "normalen" User.

Liege ich da richtig?

[grizzly999 11]

Was meinst du mit "Beschränke mich bei der Verwendung auf normale User"?

Loopback-Verarbeitungsmodus ist eine Computerrichtlinie, die wirkt nur auf die Computer in dem entsprechenden Container.

 

grizzly999

[sushi2000xy 10]

Mit "normalen Usern" wollte ich halt den Admin ausschliessen.

Loopback-Verarbeitung greift ja bei allen Usern, die sich denn an dem WTS anmelden. Wie kleinklaus vorher meinte (was ich erst nicht verstanden/gefunden habe) kann man den Admin bei der GPO ja von der Verarbeitung ausschliessen.