Zum Inhalt springen

Gruppenrichtlinien werden nicht "korrekt" übernommen


golf4roy

Empfohlene Beiträge

Hab mich leider geirrt. Die GPO's sollen alle zusammengeführt werden. Beispiel:

In der "OU TEMP" ist der User "Hans Meier". Dieser soll die gesammten GPO's sprich TEMP, Test1 und TestOU übernehmen. Hab das ganze versucht einzustellen, authenficated User rausgenommen usw. Admins verweigert auf die jeweilige Policy zu übernehmen. Irgendwie blick ich garnicht mehr durch und hoffe auf eure Hilfe (siehe Screenshot).

gpogp.jpg

gpo2.jpg

gpo3.jpg

viele Grüße und tausend Dank

Link zu diesem Kommentar
Auf anderen Seiten teilen

  • Antworten 53
  • Erstellt
  • Letzte Antwort

Top-Benutzer in diesem Thema

GPOs werden von unten (Temp) nach oben (TestOU) abgearbeitet. Das was du in den GPOs konfigurierst wird auch übernommen, zumindest wenn die Berechtigungen und die Vererbung stimmt.

scaled.php?server=209&filename=gpo.png&res=medium

Hört sich schonmal garnicht schlecht. an Weißt du vielleicht was ich nun an den Berechtigungen bzw. an der Vererbung einstellen müsste?! Tausend Dank:)

75444958.jpg

Link zu diesem Kommentar
Auf anderen Seiten teilen

mach doch mal ein gpresult /h c:\temp\report.html (auf nem Windows 7 Client) und schau Dir das Ergebnis da an. Das ist manchmal um einiges erhellender, als die Ausgabe in der cmd.

Und wenn Du nichts an der Standardeinstellung herumgespielt hast, dann werden alles GPOs vererbt und nach gemäß Standardreihenfolge lokal - Site - Domain - OU - (OU) - (OU) abgearbeitet (falls es mehr als ein OU gibt ;-) )

manchmal hilft auch ein rsop.msc in der cmd für "Licht".

Link zu diesem Kommentar
Auf anderen Seiten teilen

mach doch mal ein gpresult /h c:\temp\report.html (auf nem Windows 7 Client) und schau Dir das Ergebnis da an. Das ist manchmal um einiges erhellender, als die Ausgabe in der cmd.

Und wenn Du nichts an der Standardeinstellung herumgespielt hast, dann werden alles GPOs vererbt und nach gemäß Standardreihenfolge lokal - Site - Domain - OU - (OU) - (OU) abgearbeitet (falls es mehr als ein OU gibt ;-) )

manchmal hilft auch ein rsop.msc in der cmd für "Licht".

Was müsste ich denn machen damit die "Computerkonfiguration" Richtlinien übernehmen werden sollen mitsamt dem "Benutzer" wenn dieser sich am Computer anmeldet.

Link zu diesem Kommentar
Auf anderen Seiten teilen

Hört sich schonmal garnicht schlecht. an Weißt du vielleicht was ich nun an den Berechtigungen bzw. an der Vererbung einstellen müsste?! Tausend Dank:)

75444958.jpg

Deine Vererbung funktioniert, der Rest ist einfach (Fehler)-Meldung lesen und beheben.

Temp: Leer

Lokale Richtlinien: Leer

TestOU: Keine Berechtigung

Test1: Leer

Wenn du Einstellungen für den Benutzer machen willst, dann muss dies im Bereich Benutzerkonfiguration geschehen. Einstellungen in der Computerkonfiguration werden als Benutzer ignoriert, genauso umgekehrt.

Link zu diesem Kommentar
Auf anderen Seiten teilen

Wenn du Einstellungen für den Benutzer machen willst, dann muss dies im Bereich Benutzerkonfiguration geschehen. Einstellungen in der Computerkonfiguration werden als Benutzer ignoriert, genauso umgekehrt.

Und natürlich müssen für Benutzer-GPOs auch Benutzer in der OU sein :-) (und analog bei Computer-GPOs)

Link zu diesem Kommentar
Auf anderen Seiten teilen

Genau das muss eben nicht.

Wichtig ist der Computer, die Benutzer können in komplett anderen OUs sein. Dafür ist ja der Loopbackmodus gedacht.

Also nochmal zum mitschreiben. Das bedeutet um die Richtlinie "Computerkonfiguration" zu aktivieren, muss ich separat eine "Computer OU" einrichten. Diese bestimmte Computerkontos beispiel Rechnername "ABCwindows7" kommt in die "ComputerOU" rein. Wusste nicht das Benutzer und Computerkonfigurationen zwei "Paar" Schuhe sind :/ . Das heisst im klartext ich brauche eine eigene "Benutzer OU" sowie "Computer OU". Anschließend kommen die Benutzer in die "Benutzer OU" und die Computerkonten in die "Computer OU". Anschließend aktiviere ich "Loopbackverarbeitungsmodus" evtl. mit (Zusammen oder Ersetzen?). Damit verursache ich denke mal keine "kollision" zwischen den Richtlinien.

Tausend Dank an alle für eure Antworten. @ Servior, wenn du mir etwa den Vorgang sprich Schritt 1 bis Schritt .. kurz schreiben könntest wäre ich dir zu tiefst dankbar.

Vielen vielen vielen Dank :)

Link zu diesem Kommentar
Auf anderen Seiten teilen

1. Du erstellst dir erst einmal eine OU.

2. In dieser OU legst du eine Richtlinie an und konfigurierst in der Computerkonfiguration den Loopbackmodus.

3. Danach verschiebst du die jeweiligen Clients/Server in die grade angelegte OU.

4. Du legst weitere Richtlinien innerhalb dieser OU an und konfigurierst das was du brauchst, z.B. Laufwerke für Benutzer.

5. Du meldest dich mit einem Benutzer an einem Rechner in dieser OU an, ggf. halt nochmal die Richtlinien aktualisieren (gpupdate /force).

Link zu diesem Kommentar
Auf anderen Seiten teilen

1. Du erstellst dir erst einmal eine OU.

2. In dieser OU legst du eine Richtlinie an und konfigurierst in der Computerkonfiguration den Loopbackmodus.

3. Danach verschiebst du die jeweiligen Clients/Server in die grade angelegte OU.

4. Du legst weitere Richtlinien innerhalb dieser OU an und konfigurierst das was du brauchst, z.B. Laufwerke für Benutzer.

5. Du meldest dich mit einem Benutzer an einem Rechner in dieser OU an, ggf. halt nochmal die Richtlinien aktualisieren (gpupdate /force).

4. Du legst weitere Richtlinien innerhalb dieser OU an und konfigurierst das was du brauchst, z.B. Laufwerke für Benutzer.

Benutzerkonfigurationen sollten doch in der "benutzer OU" aktiviert werden ? :confused:

Tausend Dank nochmal Servior :uli

Link zu diesem Kommentar
Auf anderen Seiten teilen

Benutzerkonfigurationen sollten doch in der "benutzer OU" aktiviert werden ? :confused:

Tausend Dank nochmal Servior :uli

Ok, habs jetzt verstanden ^^. Hab aber das gefühl das die "Richtlinien" etwas Zeit in Anspruch nehmen, bis diese "richtig" aktiviert sind.

viele Grüße

Link zu diesem Kommentar
Auf anderen Seiten teilen

1. Du erstellst dir erst einmal eine OU.

2. In dieser OU legst du eine Richtlinie an und konfigurierst in der Computerkonfiguration den Loopbackmodus.

3. Danach verschiebst du die jeweiligen Clients/Server in die grade angelegte OU.

4. Du legst weitere Richtlinien innerhalb dieser OU an und konfigurierst das was du brauchst, z.B. Laufwerke für Benutzer.

5. Du meldest dich mit einem Benutzer an einem Rechner in dieser OU an, ggf. halt nochmal die Richtlinien aktualisieren (gpupdate /force).

Kann es sein das unter Computerkonfiguration -> Passwort Policy sprich Kennwortrichtlinien(Computerkonfiguration GPO) nicht vom Computer "xyz" erkannt bzw. aktiviert wird. Ich hab die Policy aktiviert Befehl "gpupdate /force" -> hat aber irgendwie nichts gebracht. Muss ich evtl. länger warten bis die Kennwortrichlinien beispielweise "chronik funktion" zur Geltung kommen?

Tausend Dank an an alle besonders an Servior

Link zu diesem Kommentar
Auf anderen Seiten teilen

Kennwortrichtlinien gehen nur auf Domänen-Ebene.

Versuch die Richtilinie auf der höchsten Ebene einzubinden.

Meinst du ich soll bei"default policy" die Kennwortrichtlinien Policy aktivieren ? Oder funktioniert diese Geschichte nur über "Local Policy" sprich Lokale Einstellungen?

Also gebe es keine andere Möglichkeit, diese Richtlinien sprich speziell für eine bestimmte OU einzustellen ?

Tausend Dank Servior

Bearbeitet von sezer1987
Link zu diesem Kommentar
Auf anderen Seiten teilen

Kennwortrichtlinien gelten für die komplette Domäne und müssen entsprechend auch dort angelegt werden.

Wenn du die Richtlinien nur einer bestimmten OU zuweist, dann gilt das ganze wenn überhaupt nur für lokale Benutzer des Servers/Clients.

Die Default Policy würde ich nicht anfassen, erstelle lieber eine eigene Richtlinie dafür.

Link zu diesem Kommentar
Auf anderen Seiten teilen

Kennwortrichtlinien gelten für die komplette Domäne und müssen entsprechend auch dort angelegt werden.

Wenn du die Richtlinien nur einer bestimmten OU zuweist, dann gilt das ganze wenn überhaupt nur für lokale Benutzer des Servers/Clients.

Die Default Policy würde ich nicht anfassen, erstelle lieber eine eigene Richtlinie dafür.

Ich hab mal jetzt in der Lokalen Sicherheiteinstellungen wie beispielsweise nach 5 maligen Anmeldeversuch soll er das Konto z.B. für 3 minuten sperren ( klappt einwandfrei sowohl für Domänen Benutzer als auch Domänen Admins). Hier wäre das Problem, dass die Dömänen Admins ebenfalls gesperrt werden. Kann ich diese Lokale Sicherheitsrichtlinie speziel für Admins deaktivieren ?

Vielen vielen Dank Servior

Link zu diesem Kommentar
Auf anderen Seiten teilen

Eine Möglichkeit wäre die Domänen-Admins in eine eigene OU zu stecken und die Vererbung zu deaktivieren. Dann dürfte die Einstellung eigentlich nicht für diese gelten.

Eventuell lässt sich auch mit "Diese Richtlinie übernehmen" = verweigert für Domänen-Admins arbeiten.

Link zu diesem Kommentar
Auf anderen Seiten teilen

Eine Möglichkeit wäre die Domänen-Admins in eine eigene OU zu stecken und die Vererbung zu deaktivieren. Dann dürfte die Einstellung eigentlich nicht für diese gelten.

Eventuell lässt sich auch mit "Diese Richtlinie übernehmen" = verweigert für Domänen-Admins arbeiten.

Aber dann würde ich ja auch andere Konfigurationen wie Minimallänge oder auch KOmplexität usw. bedingt abschalten :-/ ?! Hab vorhin etwas über ADSIEDIT.MSC gelesen, weißt du vielleicht was dieses "Tools" auf sich hat?

Viele Grüße und tausend Dank.

Bearbeitet von sezer1987
Link zu diesem Kommentar
Auf anderen Seiten teilen

Wenn du dafür andere Richtlinien benutzt sollte das zumindest bei verweigern Methode kein Problem sein.

Also könnte ich die "Default Policy" nur für die Domänen Benutzer benutzen + diese Policy für "Domänen Admins" verweigern.

Anschließend neben "Default Policy" eine ähnliche GPO erstellen in der nur die "Domänen Admins" verwalten werden.

Ist das möglich ? ( siehe Screenshot)

testtttt.jpg

Link zu diesem Kommentar
Auf anderen Seiten teilen

Das Problem liesse sich mit Fine-Grained Password Policies am einfachsten lösen. ;-)

Mir erschließt sich allerdings nicht, warum man die Admins von der Passwort-Richtlinie ausnehmen sollte. Die sollten im Gegenteil sogar eine höhere Sicherheitsstufe haben.

Link zu diesem Kommentar
Auf anderen Seiten teilen

Dein Kommentar

Du kannst jetzt schreiben und Dich später registrieren. Wenn Du ein Konto hast, melde Dich jetzt an, um unter Deinem Benutzernamen zu schreiben.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung wiederherstellen

  Nur 75 Emojis sind erlaubt.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

Fachinformatiker.de, 2024 by SE Internet Services

fidelogo_small.png

Schicke uns eine Nachricht!

Fachinformatiker.de ist die größte IT-Community
rund um Ausbildung, Job, Weiterbildung für IT-Fachkräfte.

Fachinformatiker.de App

Download on the App Store
Get it on Google Play

Kontakt

Hier werben?
Oder sende eine E-Mail an

Social media u. feeds

Jobboard für Fachinformatiker und IT-Fachkräfte

×
×
  • Neu erstellen...