Sinnvolle OU-Struktur

[ShadowByte 10]

Hoi @ all :)

 

Wir haben mehrere Abteilungen in der Zentrale und diverse Filialen bundesweit. Vorgaben wie :

 

- Abteilungs- und Filialabhängige desktop-wallpaper

- Abteilungs- und Filialspezifische Computer-Berechtigungen

- etc.

 

sollen umgesetzt werden. Meine Planung sieht derzeit so aus, jeweils eine OU "Filialen" und "Zentrale" mit weiteren verschachtelten OU´s der jeweiligen Filialen bzw. Abteilungen anzulegen. In diese werden dann sowohl die entsprechen Benutzer- als auch Computerkonten angelegt und dürfte dann so aussehen :

 

OU=Zentrale,OU=Controlling,OU=computer,CN=Controlling01

und OU=user,CN=user1

 

So sollte ich in der Lage sein, sinnvoll GPO´s einzusetzen.

 

Zu verschachtelt ? Übersehe ich eine einfachere Struktur ?

 

Ich wäre Anregungen disbezüglich erfahrener Admins dankbar :)

 

Gruß, ShadowByte.

[MacBoon 10]

Hallo,

 

man kann den Einsatz von GPO´s auf mithilfe von Gruppen regeln. Hierbei wird nur den Mitgliedern der jeweiligen Gruppen das ausführen der GPO erlaubt. Ist manchmal hilfreich, da man sonst seine OU´s zusehr verschachteln muß.

 

Gruß MacBoon

[ShadowByte 10]

Hallo MacBoon :)

 

Diese (einfachste) Möglichkeit hatte ich ausgeschlossen, da ich der Ansicht war, daß GPO´s nicht auf Gruppen angewendet werden können ...

 

Kannst Du bitte kurz erläutern wie ich das umsetzen kann ? Sollte dies realisierbar sein, könnte man in der Tat einiges einfacher gestalten ! :)

 

Guß, ShadowByte.

[MacBoon 10]

Hallo,

 

Beispiel:

 

Du hast eine OU, dort liegen alle User- und Computerkonten.

Nun erstellst du eine Gruppe Empfang. Mitglier werden alle Rechner, die im öffentlichen Bereich der Firma liegen.

Nun erstellst du eine GPO, die einen einheitlichen Desktop-Hintergrund bereit stellt. Diese legst du auf die OU und gibst aber nur der Gruppe Emfang das recht, diese auszuführen.

Nun erhalten nur diese Rechner den Desktop-Hintergrund, den du bereitstellen willst.

 

Gruß MacBoon

[ShadowByte 10]

Ok, daß ist erkannt und verstanden. Ich war nur, wie bereits erwähnt, (scheinbar irrig) der Annahme, daß GPO´s nicht auf Gruppen angewand werden können. Ich werde das morgen mal testen.

 

Ich danke Dir für deinen Beitrag :)

 

Gruß, ShadowByte.

[Velius 10]

Ok, daß ist erkannt und verstanden. Ich war nur, wie bereits erwähnt, (scheinbar irrig) der Annahme, daß GPO´s nicht auf Gruppen angewand werden können. Ich werde das morgen mal testen.

 

 

Können sei auch nicht, man kann nur nach ihnen filtern. Das sind zwei völlig verschiedene Konzepte.

[004 10]

@Veluis: Ich verstehe Deine Aussage nicht.

 

Warum soll das mit den Gruppen nicht gehen?

OK, die Richtlinie wirkt nicht direkt auf die Gruppe, sondern auf die darin befindlichen Benutzer und Computer. Aber sonst?

 

LG 004

[IThome 10]

Sicher geht das, Velius hat aber recht, Gruppenrichtlinien wirken nicht auf Gruppen,sondern auf Benutzer- und Computerobjekte. Mit Hilfe von Gruppen kann man nur sicherheitsfiltern und das ist ein anderes Konzept als das Platzieren von Objekten in verschiedenen OUs, die nach Rollen, Benutzern, Abteilungen, Standorten oder was auch immer angelegt werden (was natürlich nicht heisst, dass man nicht beides kombinieren kann. In einer OU für Terminalserver macht man sowas zum Beispiel)

[blub 115]

hi,

lies dir im EDC mal das entsprechende Kapitel durch

http://www.microsoft.com/resources/documentation/msa/edc/all/solution/en-us/rak/rag/edcrag08.mspx?mfr=true

 

cu

blub

[004 10]

:D Na, dann sehen wir das ja alle ähnlich...

 

Als Tipp, ShadowByte:

Benutze die GPMC . Damit kannst Du gerade in komplexen Umgebungen effizient Berechtigungen verwalten.

 

LG 004

[IThome 10]

:D Na, dann sehen wir das ja alle ähnlich...

Genau ... :D

[ShadowByte 10]

Thanks @ all :)

 

Die sich nun doch eröffnende Möglichkeit, GPO´s auf Gruppen anzuwenden, erleichtert mein Vorhaben enorm ! Scheinbar hatte ich es seiner Zeit als gegeben hingenommen, daß dies nicht möglich sei. Über die Filterung bin ich bis dato noch nicht gestolpert, vielen Dank an alle für diesen Hinweis ! :)

 

Gruß, ShadowByte.

[Velius 10]

Nochmals zur Erklärung:

 

GPO's werden auf

• Computer
  
• Benutzer
  

 

Angewandt, und nach Gruppen oder Benutzer gefiltert. Der Unterschied liegt darin, dass man keine Gruppe einzeln, ohne Computer oder Benutzer, in eine OU legen kann. Natürlich kann man das tun, aber deswegen werden die Einstellungen noch lange nicht auf die Mitglieder der Gruppe angewandt. Na, jetzt klar worum es geht?? :wink2: