Hallo zusammen,

wir haben hier auf der Arbeit einen neuen Citrix Server bekommen (Server 2008 R2, XenApp 6), der den alten bald ablösen soll. Ich soll nun die Absicherung vornehmen, kämpfe aber mit den Gruppenrichtlinien unter einem 2003 Server DC:

Es soll eine Gruppenrichtlinie geben, die auf alle User in der Gruppe "TerminalServer Restricted Users" auf dem Server ziehen soll. Diese Gruppe ist auch in der Sicherheitsfilterung statt Authentifizierte User angegeben, damit die Admins immer noch freie Hand haben.

Außerdem habe ich eine GPO erstellt, die die Loopbackverarbeitung aktiviert und mit in die OU des Citrix Servers verknüpft.

Jetzt habe ich ein paar Sachen in Computer- und Benutzerdefinition in meinem Citrix GPO angepasst und zwei Gruppenrichtlinienmodellierungen erstellt, um das ganze zu testen.

Als Abfrage habe ich den Server als Computer und einmal einen User ausgewählt, der in der Gruppe "TerminalServer Restricted Users" ist und einmal einen Admin.

Jetzt habe ich das Problem, das in beiden Fällen die Computerkonfiguration nicht übernommen wird und als Grund "Zugriff verweigert (Sicherheitsfilterung)" angegeben wird. Füge ich den Server in der Sicherheitskonfiguration hinzu, gilt die Computerkonfiguration auf einmal für Admins und für die Restricted Users.

Ein weiteres Problem ist, dass auch die Benutzerkonfiguration übernommen werden soll, aber diese taucht weder bei den angewendeten noch bei den abgelehnten GPOs auf.

Was mache ich falsch?

Dann habe ich noch eine weitere Frage: Auf meinem PC ist Windows 7 mit den Remote Server Admin Tools installiert. Somit kann ich auch an den neuen GPO-Funktionen drehen, die nur für Windows 7 und Server 2008 R2 gelten. Kann ich mit meinem GP-Editor die 2003er GPOs mit den neuen Funktionen einpflegen und diese ziehen dann bei entsprechenden Servern? Oder wird es Probleme geben, wenn ich die Daten dort einschleuse, da der GPMC auf den 2003er Servern nichts damit anfangen kann?

Beste Grüße

meilon

Bearbeitet 16. Februar 201114 j von meilon

Hat sich erledigt, diese Gruppenmodelierung ist fürn *piep*. Hab einfach mal eine weniger wichtige aber leicht zu entdeckende Einstellung gemacht (IE Angepasste Titelleiste) und siehe da, gilt nur bei den Usern und nur auf dem Server!