WSUS und Gruppenrichtlinien

[pampersrocker 10]

Hallo,

 

folgendes Szenario:

 

Ich habe eine Domäne wo alle Computerkonten unter "Computers" abgelegt sind. Diverse Server, Workstations, Notebooks etc.

Jetzt soll einen bestimmten Typ von Rechnern per Gruppenrichtline den WSUS bekannt machen und zuteilen. Wie stell ich das am Besten an?..

 

Meine Versuche gingen über eine OU auf der ich Policies angelegt habe. Danach habe ich unter dem Punkt Security die Computerkonten hinzugefügt den klicker für apply policies (oder so ähnlich) gesetzt. Dann hab ich versuch auf eine Gruppe zu erstellen und da alle WSUS-Clients reingepackt und diese Gruppe nun so verknüpft. Alles blieb ohne Erfolg. Die Richtlinie greift einfach nicht. Bestimmt ist die Sache so simpel, dass ich da einfach nicht drauf komme. Trotzdem HILFE *g*..

 

Danke! :)

[dmetzger 10]

Hoppla. Das klingt irgendwie alles nicht richtig, darum frage ich lieber nach:

 

- Ist das GPO mit der korrekten OU verknüpft?

- Sind alle betroffenen Computerobjekte in diese OU verschoben worden?

- Versuchts Du etwa, das GPO auf eine Sicherheitsgruppe statt auf die Computerobjekte anzuwenden?

[saschap 10]

Hallo!

 

Am besten ist, Du legst für die WSUS Computerkonten eine separate OU an.

Dann verschiebst Du die entsprechenden Clients in diese OU.

In den Eigenschaften dieser OU findest Du ganz hinten den Reiter Gruppenrichtlinie.

Dort klickst Du auf neu und gibt der Richtlinie einen Namen.

Mit einem Doppelklick auf diese Richtlinie kannst Du diese dann bearbeiten.

Unter Computerkonfiguration\Administrative Vorlagen\Windows Komponenten\Windows Update kannst Du dann entsprechende Einstellungen vornehmen.

 

Ich hoffe ein wenig geholfen zu haben :)

 

Grüsse

 

Sascha

[saschap 10]

...Da war der dmetzger doch wieder schneller :) ...

[pampersrocker 10]

also computerkonten darf ich nicht verschieben. die sind alle nach wie vor in diesem standardcontainer "computers" drinne. ich darf wie gesagt nur auf bestimmte computerkonten verknüpfen und nicht auf neue ous etc..

genauso hab ich das bis jetzt gemacht, ausser das ich die computerkonten hinterher schieben darf. das ist von meinem cheffe ne vorgabe..

 

achja und da wo ich die gruppenrichtlinien auswählen kann - da bin ich auf properties

gegangen und habe da die computerkonten eingetragen..

[saschap 10]

Jetzt bin ich mir gar nicht sicher, aber ich glaube auf den Container computers kannst Du keine Gruppenrichtlinie verknüpfen.

 

Grüsse

 

Sascha

 

PS:

Man möge mich bitte schnell korrigieren, wenn ich mich wieder vertan habe :rolleyes:

[dmetzger 10]

Um es zu präzisieren:

 

Auf den CN=Computers wirkt die Default Domain Policy. Ich habe lange das Gegenteil behauptet, dann aber im Selbstversuch das Gegenteil erfahren, nach einer anregenden Diskussion hier im Board.

 

Mir ist jetzt auch klar, weshalb es nicht funktioniert. pampersrocker hat einfach eine Sicherheitsgruppe erstellt und die Computer als Mitglieder hinzugefügt. Das geht nicht, weil eben auf Sicherheitsgruppen keine GPO wirken. Dir wird nichts anderes bleiben, als die Computerobjekte in eine OU zu verschieben und diese OU mit dem GPO für die Aktualisierung per WSUS zu verknüpfen. Da muss Dein Chef auch mal im Handbuch für Active Directory nachschlagen;-)

[pampersrocker 10]

Gibt es da wirklich keine andere Möglichkeit?..

Wenn ich die Computerkonten einzelnd hinzufüge und nicht vorher in eine Gruppepacke, vielleicht?..

 

Ich bin mal gespannt was ich dazu heute Nachmittag gesagt bekomme. :)

[pampersrocker 10]

Sooooooo tada...

meine Tests und Planungen sind nun abgeschlossen.

 

Wie ihr schon richtig gesagt habt ist es nicht möglich aus einer OU auf gleicher Hirachieebene auf eine andere zu verknüpfen. Zumindest wars bei mir so.

Nachdem ich die Policy auf Domänenebene verknüpft habe und unter dem Punkt "Security" der Policyeigenschaften die Gruppe mit den WSUS-Clients (also den Computerkonten als Member) hinzugefügt habe, hat alles problemlos funktioniert und die Computerkonten sind sogar noch unter "computers" zu finden.

 

Einziger Umstand der mir nicht gefällt ist, dass eine neue Policy auf Domänenebene verknüpft werden musste. Das gefällt mir nicht so.

 

Danke nochmals für eure Hilfestellungen und eure Ratschläge!

 

Gruß

 

Lars

[WSUSPraxis 48]

Schau auf Wsus-Praxis unter GPO nach und du findest weitere Informationen........

[pampersrocker 10]

.. wie gesagt, ich habe nicht den Freiraum um Computerkonten zu verschieben oder OUs anzulegen. Damit bringt mir der Artikel nicht als zu viel, wenn ich nichts überlesen habe.

Trotzdem Danke!

 

Gruß

 

Lars

[ronny3312 10]

Hallo,

 

ich denke wir haben beide das gleiche Problem. Wir möchten die Computer im WSUS einflegen ohne eine GP zu benutzen!

Da das, soweit ich weiß nicht geht, könnte uns vielleicht ein WMI-Filter (ab Windows 2003 Server AD) vielleicht weiterhelfen? Du hast deine GP und die wirkt nur auf Systemen bei denen ein bestimmter Wert per WMI-Abfrage OK ist!

 

Ich werde das mal versuchen.

 

Gruß

Karsten

ronny3312

[e2e4 10]

Ich habe mal noch eine grundlegende Frage hierzu:

 

Am besten ist, Du legst für die WSUS Computerkonten eine separate OU an.

Dann verschiebst Du die entsprechenden Clients in diese OU.

In den Eigenschaften dieser OU findest Du ganz hinten den Reiter Gruppenrichtlinie.

 

Ich habe für die Domäne (also keine separate OU) eine Gruppenrichtlinie "WSUS-Updates" angelegt und dort ausschließlich die Einstellungen zu Windows Update vorgenommen. Im Reiter "Sicherheit" habe ich folgende Einstellungen vorgenommen (nur die m.E. relevanten hier aufgelistet):

 

Authentifizierte Benutzer

Lesen, Gruppenrichtlinie übernehmen

Domänencomputer (Domäne\Domänencomputer

Lesen, Gruppenrichtlinie übernehmen

 

Bisher haben sich die Clients schon bei WSUS "angemeldet" und wurden in die Liste integriert. Was ist an dieser Vorgehensweise falsch?

 

Grüße, e2e4

[pampersrocker 10]

Hallo,

 

ich habe deine Frage nicht so recht verstanden. Grundsätzlich finde ich nichts falsches eine Richtlinie auf Domänenebene auszurichten. Nur authentifizierte Benutzer verstehe ich nicht so recht. Warum lässt du diese da drinne? Die Richtlinie sollte eigentlich auf Computerkonfigurationen wirken und zum abändern benötigt es nur den Administrator, oder?.. Sprich du kannst den Administratoren entsprechende Rechte geben und die Gruppen die die Computerkonten enthalten. In deinem Fall wären das Domänencomputer, oder? Wie gesagt ich bin mir nicht sicher dich verstanden zu haben.

 

Gruß

 

Lars

[Franzmann 10]

http://www.gruppenrichtlinien.de/index.html?/HowTo/SUS_Server.htm

 

:D