Gruppenrichtlinien für bestimmte Benutzergruppen anwenden

[Froschkoenig 10]

Hallo

 

Hab eine Domäne mit W2k Server und im AD hab ich eine OU "Anwender" in dieser OU sind mehrere Benutzer die sich auf zwei Benutzergruppen (A und B) aufteilen.

Jetzt möchte ich gerne das für diese beiden Gruppen von Mitarbeiter zwei unterschiedliche Gruppenrichtlinien angewendet werden soll.

Nach einem schlauen Buch soll ich unter Eigenschaften einer Gruppenrichtlinie die Gruppe Authentifiierte Benutzer gegen die gewünschte Gruppe (also entweder a oder b) ersetzen.

Und dieser Gruppe "lesen" und "Gruppenrichtlinie" anwenden aktivieren. Die andere Gruppenrichtlinie wird nicht verändert.

 

So klappt das aber nicht.

 

Mach ich da was falsch ?

 

Meine Lösung:

 

Bei beiden Gruppenrichtlinien hab ich die Gruppe "Authentifizierte Benutzer" gelöscht und der einen Gruppenrichtlinie die Gruppe A und bei der anderen Gruppenrichtlinie die Gruppe B hinzugefügt.

Jeweils den Gruppen die rechte "lesen" und "Gruppenrichtlinie anwenden" gegeben.

 

Jetzt klappt es wunderbar, aber hab ich das jetzt zu kompliziert gelöst ? Oder Richtig ?`

 

mfg Froschkoenig

[klausk 10]

Ich denke, dass ist durchaus eine praktikable Lösung. Die Anzahl der vom User zu ladenden Gruppenrichtlinien im Szenario 2 wird im Vergleich zum Szenario 1 reduziert (zumindest für eine Gruppe). Im Szenario 1 hattest du vermutlich die Priorisierung der GPO nicht beachtet, darum wurden die GPO's in der falschen Reihenfolge geladen.

[husi 10]

Hallo zusammen,

 

bei mir funktioniert diese Lösung nicht.

 

Ich habe bei meinem Testserver in der AD eine OU "Abteilungen" und eine OU "Allgemeine Gruppen" erstellt.

In der OU "Abteilungen" sind verschiedene OUs mit User drin.

 

In der OU "Allgemeine Gruppen" habe ich eine Gruppe "DAU" erstellt. Der User "gwb" von "Abteilungen\VR" gehört dieser Gruppe an.

Die Gruppe selbst ist Mitglied bei der Gruppenrichtlinie "Test".

Die Gruppenrichtlinie "Test" wurde in der OU "Allgemeine Gruppen" erstellt.

Die Gruppe hat bei der Gruppenrichtlinie die Berechtigungen "lesen" und "anwenden".

 

kann mir jemand sagen, warum die Richtlinien nicht angewandt werden?

 

mfg

 

husi

 

PS: habe wenig Erfahrung mit Servern usw.

[grizzly999 11]

Gruppenrichtlinien für Benutzer werde nur auf die Benutzer angewendet, wenn sich der Benutzer in der OU selber oder in einer darunterliegenden OU befindet.

Du hast eine OU Allgemeine Gruppen mit GPO. In einer parallel dazu liegenden OU Abteilungen (bzw. einer SubOU davon) befindet sich dein User. Dann wird keine der Richtlinien von "Allgemeine Gruppen" auf diesen User angewendet.

Zwei Lösungsmöglichekiten gibt es:

a) du verschiebst den User in diese OU

b) du machst die Gruppenrichtlinie an der OU fest, wo sich das Benutzerkonto befindet

 

grizzly999

[husi 10]

Danke für die Antwort, aber irgendwie will es immer noch nicht so recht klappen.

 

 

ich habe die Richtlinie jetzt beim AD in die Domäne Verschoben. Auch bei der OU ("Abteilungen\VR") wo sich der User befindet, habe ich die Richtlinie eingefügt.

Die Gruppe habe ich auch in diese OU ("Abteilungen\VR") verschoben.

Jetzt sind der User und die Gruppe in der gleichen OU.

Aber es funktioniert immer noch nicht.

 

an was könnte das liegen.

 

mfg

husi

[grizzly999 11]

Was für eine Richtlinie hast du denn erstellt?

 

grizzly999

[husi 10]

ich habe eine Gruppenrichtlinie erstellt, um diese ein bisschen zu testen.

 

z.B. soll "Eigene Dateien" nicht auf dem Desktop angezeigt werden. oder die Optionen aus dem Menü "Extras" im Windows-Explorer entfernt.

und einige andere einstellungen.

 

und wenn ich mich als dieser Benutzer anmelde, geschieht nichts von alldem.

 

ich hoffe du kannst mir helfen.

ich habe den normalen w2k server (nicht advanced). wäre aber schon komisch, wenn es an dem liegen würde.

[grizzly999 11]

Nein, es liegt nicht an der Serverversion.

Gibt es noch andere Richtlinien, die diese Einstellung vielleicht wieder überschreiben?

 

grizzly999

[husi 10]

nein es ist die einzige die ich erstellt habe.

es gibt noch eine Standartrichtlinie "Default Domain Policy". aber die Gruppe gehört nicht dazu. nur standard-gruppen wie "authentifizierte user" gehören zu dieser richtlinie.

 

ich habe die gruppenrichtlinie bei der domäne und bei einer subOU eingefügt. darf ich vielleicht die richtlinie nur an einem Ort haben?

 

auszug aus der Ordnerstruktur (vielleicht hilfts was):

- Active Directory Benutzer und Computer

-- testnetz.dh

---- Abteilungen

------ Abt1

------ VR

---- Allgemeine Gruppe

 

 

die Richtlinie ist bei testnetz.dh und bei VR hinzugefügt.

der User befindet sich in VR.

die Gruppe befindet sich in VR.

die Gruppe hat bei der richtlinie die berechtigungen "lesen" und "gruppenrichtlinie übernehmen".

 

 

mfg

husi

 

 

/edit

oder liegt es vielleicht daran, dass ich mit einem Anderen user-account (Admin-rechte) ebenfalls auf den gleichen PC zugreiffe?

würde mich wiederum erstaunen aber man kann ja nie wissen.

[grizzly999 11]

Ich kann jetzt keinen Fehler ausmachen...

 

die Gruppe hat bei der richtlinie die berechtigungen "lesen" und "gruppenrichtlinie übernehmen

Und der User ist Mitglied der Gruppe?! Wenn ja, haben auch die authentifizierten Benutzer die Berechtigung, die GPO zu übernehmen? Sollte zwar mittels der Gruppenberechtigung gehen, aber wenn's nicht tut, sollte man auch das versuchen.

 

grizzly999

[husi 10]

die authentifizierten benutzer waren nicht eingefügt, das habe ich jetzt erledigt und die zwei berechtigungen gesetzt. aber es geht immer noch nicht.

der user ist mitglied der gruppe.

und den server habe ich sogar neu gestartet, das hilft meistens bei windows ;)

 

habe alles so gemacht wie es sein sollte, ich bin mit meinem latein am ende. ich hoffe du nicht

 

husi

[grizzly999 11]

Hast du mehrere DCs? Dann könnte es auch ein Replikationsproblem sein.

Wenn nicht, dann bin ich mit meinem Latein am Ende. Was ich dann machen würde, alle Richtlinien ausser den zwei Default Policies komplett löschen (Verknüpfung und Richtlinienobjekt, wenn er nachfragt). Dann eine neue Richtlinie an der OU sauber anlegen, Defaultberechtigungen lassen -> testen.

 

Vor dem sofortigen Testen:

1) auf dem DC secedit /refreshpolicy user_policy /enforce

2) Denselben Befehl auf dem Client durchführen, neu anmelden

 

grizzly999

[husi 10]

es ist nur 1 DC.

habe es mit secedit versucht, nicht gegangen.

habe schon mal ziemlich alle Richtlinien gelöscht, aber werde es nochmals versuchen.

ein mitarbeiter hat eben bei seinem testnetz auch versucht mit einer Gruppenrichtlinie alle Desktopsymbole auszublenden. ist nicht gegangen. :-\

 

noch eine frage. wo würdest du die Richtlinie definieren? in der domäne oder auf der OU?

 

auf jedenfall, vielen dank für deine bemühungen.

 

mfg

husi

[grizzly999 11]

noch eine frage. wo würdest du die Richtlinie definieren? in der domäne oder auf der OU?

Da wo ich sie benötige. benötige ich die Einstellung für alle User, dann Domäne. Benötige ich sie nur für bestimmte Benutzer einer OU, dann an der OU.

 

grizzly999

[husi 10]

hat auch nach löschen der gruppenrichtlinie nicht funktioniert.

 

vielleicht liegt es am aktualisierungsintervall für Gruppenrichtlinien.

 

hab ihn mal runtergesetzt und hoffe, dass es morgen klappt, sonst habe ich das vertrauen in die technik verloren ;)

 

mfg

 

husi