GPOs in OUs oder Benutzer ausklammern?

[YaMBOardianer 10]

Hi Leute,

 

ich habe mal eine Frage, wie macht man es am günstigsten, wenn man mehrer GPO´s anlegen will, davon aber einige Nutzer ausklammern möchte o.ä.

 

Im Moment habe ich eine GPO für die normalen "user", diese GPO wird auf Admin´s in den Sicherheitseinstellungen nicht übernommen, das funktioniert, die Admin´s liegen im selben Container, wie die User.

 

Ich möchte nun weitere Dinge per GPO festlegen, welche auch von den Admin´s übernommen werden sollen, jedoch die anderen Dinge, die für die User möchte ich nicht übernehmen, ergo: eine neue GPO für Admin´s erstellen, oder? Habe ich gemacht, geht auch.

 

Jetzt meine Frage, ist es einfacher, die GPO´s per Sicherheitseinstellungen anzuwenden, oder nicht, oder ist es besser, einzelne Container zu machen, in die ich die jeweiligen Verknüfungen der GPO´s lege, geht das überhaupt? Bin im Moment etwas überfragt...gebt mir mal ´nen Tipp bitte.

 

Vielen Dank :)

 

mfg

 

Christian

[MeGrint 10]

also ich steig durch deine frage nicht ganz durch

 

 

1. du willst also neue gpo's bauen

2. deine User sind mit den Admins in einer OU

3. mit den neuen GPOs willst du deine Admins reglementieren

 

so hab ich das verstanden

 

da würd ich ja erstmal sagen - HALT

 

sinnvollerweise würde ich User und Admins trennen.

und dann für jede Gruppe von benutzern eine eigene OU anlegen

und nur in der OU irgendwas an GPOs ändern

 

also um deine eingangsfrage zu beantworten

 

ja neue OUs sind sinnvoll

und wenn du dir da gedanken drüber gemacht hast kannst du deine GPOs auch in mehreren OUs anwenden - wie genau sag ich dir wenn du meinst ich hab mit meinem Posting den Punkt getroffen *g*

ansonsten lieg ich je eh voll daneben ;-)

 

Gruß MeGrint

[YaMBOardianer 10]

Hi.

 

Ja, hast Du richtig verstanden mein Posting.

 

Ok, da ich ja nebenbei hier am Bauen bin, bin ich mittlerweile selber drauf gekommen, dass es am sinnvollsten ist, wenn man OU´s für versch. User anlegt, und diese Container dann mit den erstellten GPO´s verknüpft, da hattest Du schon recht. Ich habe also nun eine GPO "User Policy" und eine GPO "Admin Policy", welche beide als Verknüpfung in der zugehörigen OU liegen.

 

( Sorry, bin ziemlich neu auf dem Gebiet der GPO´s und OU´s and such things...aber es geht voran :) )

 

Muss ich eigentlich dann immer noch in den Sicherheitseinstellungen die DomänenAdmins usw. ausklammern, oder reicht es, wenn die betreffende GPO nicht in der Admin-OU liegt?

 

Irgendwie bekomme ich als Admin immer noch die GPO der User zugeteilt

 

so long

 

Christian

[MeGrint 10]

hallo nochmal

 

hey kein problem irgendwann sind wir alle mal angefangen

 

du musst mir nur noch mal schnell verraten mit welchem server du arbeitest - ich geh jetzt mal einfach vom 2003 Server aus.

 

________________

 

hast du denn bisher immer neue GPOs erstellt oder etwa an den defaults irgendwas geändert?

 

ansonsten reicht es wenn die admins ihre eigene richtlinie haben.

allerdings frag ich mich warum du die einschränken willst - oder hab ich das falsch verstanden.

 

das die admin policy noch nicht übernommen ist liegt wahrscheinlich daran, dass der Aktivierungsintervall für die neue Policy bei 5 Minuten steht und das deshalb noch ein wenig dauert

 

 

 

 

hab ich ne frage nicht beantwortet??

hoffe nicht

 

wenn doch sag bescheid

 

ansonsten kann ich dir noch die Seite http://www.gruppenrichtlinien.de

von Mark Heitbrink empfehlen. Da sollten einige Antworten auf viele vielleicht noch auftauchende Fragen zu finden sein ;-)

 

Greetz MeGrint

[YaMBOardianer 10]

Hallo nochmal,

 

ok, erstmal zu Deinen Fragen:

 

- Ja, es ist Server2k3

- Niemals an den Defaults was geändert, immer nur neue erstellt, wobei dies jetzt zum ersten Mal passiert ( dafür klappt es schon ganz gut :) )

- Nein, ich will die Admins nicht einschränken, sondern lediglich andere Einstellungen verpassen, als den "normalen" Usern.

- die neuen Policys übernehme ich mit "gpupdate" auf dem Server und auf dem Client (XP Pro und Win2000), das geht ganz gut.

- gruppenrichtlinien.de kenne ich, die Site ist wirklich gut.

 

Mal ´ne andere Frage, die Richtlinien, die ich weiter oben schon beschrieben habe, funktionieren nun für Admins und für User, weil es verschiedene Container sind, welche jeweils eine andere GPO beinhalten, nur was mich wundert ist, dass einige Einstellungen aus der GPO übernommen werden und einige nicht

 

Zum Beispiel habe ich für beide Gruppen (User/Admin) den Zugriff auf die WinUpdate Funktionen gesperrt, weil ich einen SUS Server aufgesetzt habe, das ging auch gut, nur die Computereinstellung, mit der ich die Update Einstellungen festlege, die werden nicht übernommen, ist doch komisch, oder? Habe ich etwas übersehen? Computereinstellungen werden evtl. nicht so schnell aktualisiert? Kein Ahnung, warum das nicht geht, andere Einstellungen werden doch auch übernommen.

 

Danke für Deine Antwort.

 

mfg

 

Christian

[MeGrint 10]

mhm,

 

ich meine mal irgendwo gehört zu haben das Computereinstellung wirklich länger zur aktivierung brauchen.

 

also für dich wichtig ist halt nur dass du die OUs untereinander trennst. am besten jeder OU dann ne eigene Richtlinie geben

und ansonsten muss man da nicht wirklich viel beachten.

 

Zum Thema SUS und Richtlinien würd ich nochmal die Boardsuche bemühen, das Thema ist hier megaoft besprochen worden.

Da haben sich ne menge leute gedanken zu gemacht - ich glaub das kann nicht schaden.

 

ich persönlich hab nämlich von SUS keinen plan *man muss ja auch nicht alles können :D *

 

Mein Problem ist, dass ich zur Zeit keinen Server in der Nähe habe bin diesen Monat extern.

Daher weiß ich nicht ob du einige änderungen doch in den Default Policies machen musst. da würd ich dann wieder sagen http://www.gruppenrichtlinien.de

 

ansonsten probier doch mal fröhlich rum *g*

ich würd halt nur vorher von allen Pols nen Backup machen und aufpassen das du dir mit deinen änderungen nicht den Admin rauskickst ( da hab ich böse erinnerungen dran als ich damals anfing mit den richtlinien ;-))

 

wenn du sonst noch hilfe brauchst kannst dich ja nochmal melden

 

Greetz Dirk

[YaMBOardianer 10]

Ok, danke Dir erstmal recht herzlich Dirk.

 

Ich werde Deine Empfehlungen nochmal verfolgen und auch noch mal bei gruppenrichtlinien.de vorbeischneien.

 

Auf jeden Fall speichere ich mir diesen Thread und melde mich nochmal, wenn irgendetwas gar nicht gehen sollte :)

 

Mann, mann, wenn die Mitarbeiter mal alle so wüßten, um was man sich hier kümmern muß als Admin, aber meistens tun wir ja nichts in deren Augen...echt ungerecht.

 

Ein schönes WE für Dich....

 

so long erstmal

 

Christian

[MeGrint 10]

dafür ist das board ja da.

 

ja die lieben User - was wir mit denen nicht alles durchmachen müssen.

 

nur darf man ja leider nie vergessen - wenn wir die nicht hätten wären wir arbeitslos...

 

dir auch ein schönes WE und tu nicht mehr so viel.

die Problematik wird Montag dieselbe sein ;-)

[YaMBOardianer 10]

Ja, richtig.

 

Na klar...ich bin froh, dass ich "User" habe...sonst wäre ich echt arbeitslos, da hast Du recht *lol*

 

(Oh mein Gott...ich hab´ User ! )

 

...schönes WE

 

...ich freu´ mich schon auf Montag :)

 

Christian