Gruppenrichtlinien für jeden Nutzer einzeln einrichten

[Denis103 10]

Hallo,

 

ich wollte mal wissen, ob man Gruppenrichtlinien für jede Gruppe bzw. einzelne Nutzer festlegen kann? Unter Windows Server soll das mit anlegen von OU (Organisation Unit) in Domänen funktionieren. Diese OU´s gibt es aber unter XP-Prof. nicht, oder?

 

Wenn es sogar ganz anders geht dann bin ich für jeden Vorschlag sehr dankbar!

 

MfG

Denis :)

[lefg 276]

ich wollte mal wissen, ob man Gruppenrichtlinien für jede Gruppe bzw. einzelne Nutzer festlegen kann?

Hallo Denis, von mir ein Willkommen am Board. :)

 

man kann schon, nur macht das keinen Sinn.

 

OUs und Gruppenrichtlinien sind Mittel zur Vereinfacheung, Kostenreduzierung in der Administration, nicht für das Gegenteil.

 

Der Begriff Gruppenrichtlinie steht übrigen in keinem Zusammenhang mit den Benutzergruppen(Administratoren, Jeder, Schüler) im Container Users des ADs.

 

Gruß

 

Edgar

[lefg 276]

Unter Windows Server soll das mit anlegen von OU (Organisation Unit) in Domänen funktionieren. Diese OU´s gibt es aber unter XP-Prof. nicht, oder?

OUs (können) existieren in einer Domäne, nicht auf einer Workstation wie XP etc.

[Denis103 10]

Danke erstmal für deine Antwort! :)

 

Was ich möchte ist aber eine unterteilung nach 2 Gruppen auf einer Workstation mit Windows XP Prof.

Wenn ich jetzt die Gruppenrichtlinien editieren, dann wirkt sich das ja auf die Administratoren und auf die Benutzer aus. Das hat aber wenig sinn, dass die Administratoren genauso wenig Rechte haben wie die Benutzer...

 

Daher wollte ich wissen, ob ich das sepperat konfigurieren kann?

[IThome 10]

Schau mal hier, ist tricky das Ganze und zu empfehlen ... ???

http://www.gruppenrichtlinien.de/HowTo/Richtlinien_Standalone_ohne_AD.htm

[Denis103 10]

Hallo,

 

damit klappt das so wie gewünscht nur gibts da einen Hacken...

 

Ich hab einen Administrator und einen User eingerichtet. Dem User gab ich zum Einrichten der Gruppenrichtlinien Administratorrechte, die ich ihm danach wieder entzogen habe.

Der Trick ist ja, die Datei "Registry.pol" im Ordner "C:\WINDOWS\system32\GroupPolicy\User" verschwinden zu lassen, weil sonst beim nächten Login des Administrators die Gruppenrichtlinien des User´s übernommen werden und er somit auch keine Rechte mehr hat.

 

Ich habe die "Registry.pol" in "_Registry.pol" umbenannt. Der Admnistrator hat folglich noch alle Rechte. Alles Prima soweit.

Beim nächsten Login des User´s waren demzufolge aber auch wieder alle Gruppenrichtlinien ausgeschaltet, da er ja die "Registry.pol" nicht finden kann.

 

Zur Lösung habe ich mir ein Login- und Logout-Script für den User geschrieben. Beim Login bennent der die Datei "_Registry.pol" in "Registry.pol" um und beim Logout "Registry.pol" in "_Registry.pol". Der User hat die Rechte und die Geschichte funktioniert.

 

Ich Kämpfe aber nun mit dem Phänomen, dass der User keine Richtlinien zugewiesen bekommt, obwohl die Datei "Registry.pol" aktiv ist. Erst wenn ich nochmal in den Gruppenrichtlinien was ändere, dann übernimmt er alle vorher festgelegten Regeln.

 

Wie schaffe ich es, dass er nach dem Login-Script sofort die Richtlinien übernimmt?

[lefg 276]

Wie schaffe ich es, dass er nach dem Login-Script sofort die Richtlinien übernimmt?

Die Gruppenrichtlinien werden bereits vor dem Loginskript abgearbeitet.

[Denis103 10]

Ist denn meine Idee mit den Scripten ok? Eingetragen habe ich sie in den "Gruppenrichtlinien" -> "Benutzerkonfiguration" -> "Windowseinstellungen" -> "Scripts".

Diese Einstellungen für die Scripte, werden aber nicht in der "Registry.pol" gespeichert oder? Denn jedesmal, wenn ich mich als User auslogge und mich dann als Administrator einlogge übernimmt er die Scripeinstellungen vom User, obwohl ich beim Admin keine haben will!!!! Die Folge dessen ist dann beim nächsten Login des Admins, dass dann die Richtlinien vom User greifen... :(

 

Wo kann man denn sonst noch abmelde Scripte angeben, sodass der User die Datei umbenennt und der Admin soll garnix machen (kein abmelde Script)???

 

Ich verzweifel langsam - vielleicht hat einer noch ne andere Idee wie ich zum Ziel komme, sodass beim User die Richtlinien geifen und der Admin freie bahn hat?

[lefg 276]

Bekomme ich es auch hin, dass er das nachher nochmal macht?

Da bin ich im Moment überfragt, da ich solche Von-Hinten-Durch-die-Brust-ins-Auge-Aktionen normalerweise nicht mache.

Falls sich sowas als zu kompliziert zu zeitaufwendig aussieht, denke ich lieber erstmal über Alternativen nach oder oder schildere das zu Erreichen gewünschte im Forum(glaube ich jedenfalls, das ich es mache ;) ).

 

Was ist eigentlich dein Ziel?

 

Der Versuch, die Gruppenrichtlinie auf einzelne Benutzer oder Benutzergruppen anzuwenden ist ja nur der Weg zum Ziel. Gruppenrichtlinien sind nicht dafür gedacht in der Registry auf HKEY_Current_User wirken, sie beeinflussen letztlich HKLM und HKU.

[Denis103 10]

Ziel ist, dass beim User die Gruppenrichtlinien greifen und der Admin keine einschrenkungen hat.

 

Also muss ich doch die "Registry.pol" beim User in "C:\WINDOWS\system32\GroupPolicy\User" bereitlegen und wenn der Admin kommt dann muss die "Registry.pol" weg/umbenannt sein - richtig?

[lefg 276]

Ich habe im Moment nicht die Zeit und auch nicht die Möglichkeit sowas auszutesten.

 

Geht es eigentlich um einen einzelnen Rechner (Standalone)

 

Geht es um die Rechner einer Arbeitsgruppe?

 

Was soll mit der Gruppenrichtlinie erreicht werden, auf welche Einstellungen soll sie wirken?

[IThome 10]

Warum verweigerst Du den Administratoren nicht einfach via NTFS-Berechtigung den Zugriff auf die registry.pol, so wie in dem Artikel beschrieben ?

Der Nachteil dieser Methode ist, dass die Administratoren, nachdem Du den Zugriff verweigert hast, NICHT mehr via gpedit.msc konfigurieren können (auch der Vorlagen-Admin nicht). Du musst also im Benutzerbereich konfigurieren (Als Vorlagenbenutzer, der auch Administrator ist) und wenn alles fertig konfiguriert ist, die NTFS-Berechtigung "Lesen - Verweigern" für die Gruppe Administratoren auf die registry.pol setzen, BEVOR Du Dich mit einem regulären Administrator anmeldest. Den Administratoren (beim Vorlagen-Admin ist sie aber schon aktiv) wird die Ausführung dieser Datei verweigert, jeder alte oder neue Benutzer, der nicht der Gruppe der Administratoren angehört, wird, wie konfiguriert, eingeschränkt. Willst Du nachträglich etwas ändern, musst Du Dich als Vorlagen-Admin anmelden, die Leseberechtigung wieder zulassen,via gpedit.msc konfigurieren und wieder die Leseberechtigung für die Administratoren verweigern, BEVOR Du Dich wieder als normaler Admin anmeldest.

[Denis103 10]

Nun klappt alles! Ich danke dir IThome.

Ich hatte mich zu sehr darauf versteift das per Umbennenung der Datei zu machen. Mit den Rechten das ist im Nachhinein auch viel einfacher und es entstehen auch nicht die Probleme die ich hatte...

[IThome 10]

Danke für Dein Feedback :)