AD - GPO - LogonSkript - Loopback Processing Mode

[AndiW 10]

Hallo Leute,

 

hätte eine Frage zu der im Betreff stehenden Kombination.

 

Grafik:

AD-Root

....- TS-OU mit GPO (Loopback Processing Mode aktiv) - kein Logonskript definiert

....- User OU1 (GPO mit Logonskript u.a.)

..............- User OU2 (GPO mit Logonskript u.a.)

........................- User OU3 (GPO mit Logonskript u.a.)

 

Situtationsbeschreibung:

- In einer OU sind 2 Terminsalserver auf die eine GPO wirkt in der der Loopback Processing Mode im Modus "Merge" ausgeführt wird. d.h. diese und andere GPO's sollten, falls es keine Konflikte gibt, zusammengeführt werden. In der TS-GPO ist kein Logonskript definiert.

 

- in einer anderen OU-Hierarchie sind Benutzer auf die mehrere GPO's wirken, an unterschiedlichen Stellen im AD (siehe oben). Mehrere GPO's haben unterschiedliche Logonskripte die hierarchisch nach unten abgearbeitet werden sollten - funktioniert auch wenn die TS-GPO nicht aktiviert wird.

 

Frage:

Woran kann es liegen dass nur jenes Logonskript ausgeführt wird welches in der User-OU1 definiert wird, aber nicht alle weiteren die in User-OU2 und User-OU3 definiert sind.

 

Würd mich über Tipps und Tricks freuen! :)

 

Andi

[Operator 10]

Hi Andi,

 

- Ist an irgendeiner Stelle die Vererbung deaktiviert?

- Befindet sich ein fraglicher User auch in der OU3?

- Was sagt gpresult.exe?

 

Fragen über Fragen :)

 

Andre

[AndiW 10]

@Operator

 

1. Vererbung ist nirgends deaktiviert

2. User befindet sich in User-OU2, müsste aber im Grunde egal sein in welcher Ebene sich der User befindet. Die GPO's müssten normal von oben nach unten durchgearbeitet werden.

3. GPresult wollte ich ursprünglich erst so spät wie möglich einsetzen da die GPO's die wirken die Benutzer ziemlich einschränkt und ich diese Einschränkungen erst aufheben musste.

 

Naja, auch wenn ich gpresult laufen lies bemerkte ich gleich beim ersten anmelden, dass die Skripte genauso abliefen wie ich es haben wollte. Warum das erst jetzt passt und vorher nicht kann ich nicht erklären, denn nach jeder Änderung im AD habe ich die DC's repliziert und die Änderungne müssten übernommen worden sein.

 

Wie auch immer .... funktioniert jetzt. :D

 

Danke!

LG, Andi