GPO Loopbackverarbeitung

[kr244 10]

Hallo,

 

kann mir jemand in kurzen Worten erklaeren, was dieser Loopbackverarbeitungsmodus bewirkt, wenn man ihn in einer Grouppolicy aktiviert? Ich blicks einfach nicht. Die Erlaeutung von MS is der Art lang. Ich hab mir das jetzt sicher schon 20x durchgelesen, aber kapiere es einfach nicht.

 

Micha

[IThome 10]

Normalerweise wirkt sich ein GPO mit konfigurierten Benutzereinstellungen nur aus, wenn sich in seinem Wirkungsbereich auch Benutzerkonten befinden. Mit der Loopbackverarbeitung wird dieses Verhalten geändert. Man konfiguriert die Loopbackverarbeitung in der Computereinstellung des GPOs (es MUSS sich demzufolge ein Computerkonto in seinem Wirkungsbereich befinden). Konfiguriert man in diesem GPO auch Benutzereinstellungen, müssen sich wegen der Loopbackeinstellung KEINE Benutzer in dem Wirkungsbereich befinden, sondern es werden auch die Einstellungen der Benutzerkonfiguration in diesem GPO abgearbeitet (obwohl sich in der OU nur ein Computerkonto und kein Benutzerkonto befindet) für die Benutzer, die sich an dem Computer anmelden, für den die Loopbackeinstellungen gelten. Das bedeutet im Klartext, alle Benutzer, die sich an diesem Computer anmelden (oft Terminalserver), bekommen Benutzereinschränkungen zugewiesen, die nicht wirken, wenn sie sich an einem anderen Computer anmelden.

Der Loopbackverarbeitungsmodus hat zwei verschiedene Modi, Ersetzen und Zusammenführen. Ersetzen bedeutet, dass die Einstellungen, die normalerweise auf den User angewendet werden würden (weil das Userkonto sich in dem Wirkungsbereich eines anderen GPOs befindet), ausser Kraft gesetzt werden und nur die Einstellungen in dem Loopback-GPO wirken. Zusammenführen bedeutet, dass die normalerweise angewendeten Einschränkungen UND die des Loopback-GPOs gelten, wobei konkurrierende Einstellungen im Loopback-GPO Vorrang haben

Vielleicht mal ein Beispiel

Ein Userkonto befindet sich in einer OU, in die ein GPO mit Userbeschränkungen gelinkt ist. Ein Terminalserver befindet sich in ein einer anderen OU, in dem sich ein Loopback-GPO befindet und in dem ausserdem Benutzereinschränkungen definiert sind. Normalerweise (ohne Loopback) würden die Benutzereinschränkungen in der OU des Terminalservers für den User gar nicht wirken, da sich der User ausserhalb des Bereiches des GPOs befindet. Ein eventuell gelinktes GPO in der OU des Users würde aber schon auswirken. Meldet sich der User jetzt an dem Terminalserver, werden seine normalerweise aus der Benutzer-OU angewendeten Richtlinien von dem Loopback-GPO des Terminalserver überschrieben (Ersetzen) oder es werden beide angewendet (Zusammenführen), obwohl sich der User nicht in der OU des Terminalservers befindet

[Hirgelzwift 10]

ganz einfach: du ersetzt oder änderst regeln für benutzer die in anderen GPO's definiert sind. als in der in der sich die computer befinden.

 

beispiel 1 - ersetzen: du hast normale PC's und terminal server und du möchtest für alle benutzer die sich auf den terminal server anmelden komplett andere (restriktivere) richtlinien definieren.

 

beispiel 2 - zusammenführen: du hast desktops und laptops. immer wenn sich benutzer an desktops anmelden soll ihr ordner eigene dateien umgeleitet werden, aber nicht wenn sie sich an laptops anmelden. dazu brauchst du natürlich zwei OU's eine für PC's eine für Notebooks. damit musst du nicht alle GPO's neu definieren, sondern nur diesen einen neuen parameter.

 

edit: zu spät :D