Windows Server 2008 R2 GPO Vererbung

IceHawk66 · 22. August 2012

Hallo,

ich habe in einer Domäne WSUS eingerichtet. Es gibt jetzt in der Gruppenrichtlinienverwaltung eine Gruppe eine OU "wsus" mit einem Gruppenrichtlinienobjekt. Darunter ist eine OU "zeroclients" mit einer GPO "kein herunterfahren"

(Sinn dahinter: Ins WSUS soll jeder PC. Zeroclients sind PCs, die virtuell auf einem Server liegen, es wird also nur ein spezieller Bildschirm mit Netzwerkanschluss benötigt. Diese PCs dürfen jedoch nicht heruntergefahren werden, da sie sonst vom Arbeitsplatz aus nicht mehr neugestartet werden können. Diesen PCs möchte ich jetzt das Recht zum Herunterfahren nehmen, sie sollen aber trotzdem ins WSUS.)

Ich habe Testweise einen PC auf dem AD Server in die Gruppe zeroclients geschoben. Die Richtlinien von WSUS werden einwandfrei angenommen, jedoch werden Änderungen an der GPO "kein herunterfahren" nicht übernommen (auch wenn ich den PCs beispielsweise das Recht zum Umbenennen von Lan Verbindungen nehme oder ähnliches).

Ich finde leider den Fehler nicht und ich hoffe ihr könnt mir weiterhelfen.

bretho · 22. August 2012

Hallo,

am besten nutzt du in der GPMC ganz unten im Baum den Group Policy Result Wizard. In der abschließend erscheinenden Übersicht ist klar ersichtlich welche Richtlinie warum nicht gezogen hat. Easy.

DerGast · 22. August 2012

Mal die Vererbung für die zeroclient-OU deaktiviert und geprüft ob die sich vielleicht gegenseitig behindern? Ich denke das wird deiner Lösung näher kommen...

IceHawk66 · 22. August 2012

Als ausschlaggebendes Gruppenrichtlinienobjekt wird, so wie ich das sehe, immer nur "Default Domain Policy" oder "WSUS Workstation" angezeigt. "kein herunterfahren" finde ich dort nirgends. (auch die einstellungen, die ich in der GPO vorgenommen habe, sind dort nicht zu finden.

Edit:

Mal die Vererbung für die zeroclient-OU deaktiviert und geprüft ob die sich vielleicht gegenseitig behindern? Ich denke das wird deiner Lösung näher kommen...

hab ich gerade gemacht, aber leider ohne Erfolg

Frightener · 22. August 2012

Mach das, was bretho geschrieben hat. Die GPO muß angewendet werden, da sich sich 'tiefer' in der OU Struktur(näher am Computerobjekt) befindet. Sie würde auch ggf. Einstellungen der GPO 'WSUS Workstation' überschreiben, solange 'WSUS Workstation' nicht enforced wird.

IceHawk66 · 22. August 2012

Die GPO muß angewendet werden, da sich sich 'tiefer' in der OU Struktur(näher am Computerobjekt) befindet. Sie würde auch ggf. Einstellungen der GPO 'WSUS Workstation' überschreiben, solange 'WSUS Workstation' nicht enforced wird.

genau das denke ich auch. nur wie soll ich weiter vorgehen? Ich habe den Group Policy Result Wizard ausgeführt, aber die Settings der GPO "kein herunterfahren" werden dort nicht aufgeführt

Frightener · 22. August 2012

Evtl. hat der Client die Policy noch gar nicht gezogen. Im Results Wizard steht ansonsten drin, warum Policies NICHT angewendet wurden.

IceHawk66 · 22. August 2012

also ich habe den client schon neugestartet. Die Änderungen in "kein herunterfahren" habe ich jedoch alle nicht in der Computerkonfiguration sondern in der Benutzerkonfiguration gemacht. kann das damit zusammenhängen?

Edit: Ich habe gerade Testweise in der GPO "kein herunterfahren" die Einstellung für den Internetexplorer "Vollbildmodus erzwingen" aktiviert. Diese Einstellung befindet sich in der Computerkonfiguration. Diese Einstellung wird auch übernommen. Nur wie kann ich das herunterfahren über die Computerkonfiguration verbieten?

Frightener · 22. August 2012

Wenn der User nicht in der zeroclients-OU liegt, wird diese Policy natürlich nicht angewendet.

IceHawk66 · 22. August 2012

ich habe eine gruppe in der zeroclients OU, in der der benutzer ist.
also ich habe es nochmal ohne eine gruppe getestet, der benutzer ist nun direkt in der zeroclients ou. der benutzer heißt "test". "test" ist auf dem pc als benutzer eingetragen und auch eingeloggt.

Frightener · 22. August 2012

GPOs greifen nicht bei Gruppen

IceHawk66 · 22. August 2012

naja ich habs ja jetzt ohne gruppe versucht, ging aber trotzdem nicht.

Frightener · 22. August 2012

Was sagt der Results Wizard?

IceHawk66 · 22. August 2012

bei dem result wizard habe ich jetzt den pc ausgewählt + den "test" benutzer. Unter dem Reiter Einstellungen steht nun unter Benutzerkonfiguration: Keine Einstellungen definiert.

Frightener · 22. August 2012

Dann wurde die Policy noch nicht gezogen -> gpupdate /force

IceHawk66 · 22. August 2012

keine änderung.

im AD siehts jetzt so aus:

DerGast · 22. August 2012

Poste doch mal das gpresult log des Clients/bzw Accounts... so schwer kanns ja nicht sein...

Wenn Du die GPO erstellt und verknüpft hast und in den Sicherheitseinstellungen "Authentifizierte Benutzer" drin hast, sollte es laufen.

Wie sehen denn die Vererbungen aus? Es werden aber andere GPOs gezogen und angewendet, ja?

IceHawk66 · 22. August 2012

die GPO in WSUS funktioniert ja beispielsweise. authentifizierte benutzer sind eingestellt.

Poste doch mal das gpresult log des Clients/bzw Accounts

wenn ich das ausführen will, kommt eine meldung, dass framedyn.dll nciht gefunden wurde. sobald ich das behoben habe, poste ich das logfile.

Ergänzung (22. August 2012)

gpresult log:

C:\Dokumente und Einstellungen\test.domäne>gpresult

Betriebssystem Microsoft (R) Windows (R) XP Gruppenrichtlinienergebnis-Tool v2.0

Copyright (C) Microsoft Corp. 1981-2001

Am 22.08.2012 um 14:23:28 erstellt

RSOP-Ergebnisse für domäne\test auf ATH-FS-PROD : Protokollierungsmodus
------------------------------------------------------------------------

Betriebssystemtyp: Microsoft Windows XP Professional
Betriebssystemkonfiguration: Mitglied der Domäne/Arbeitsgruppe
Betriebssystemversion: 5.1.2600
Domänenname: domäne
Domänentyp: Windows 2000
Standortname: domäne
Zwischengespeichertes Profil:
Lokales Profil: C:\Dokumente und Einstellungen\test.domäne
Langsame Verbindung? Nein

COMPUTEREINSTELLUNGEN
----------------------
CN=ATH-FS-PROD,OU=zeroclients,OU=wsus,DC=domäne,DC=local
Zeit der letzten Gruppenrichtlinienanwendung: 22.08.2012 at 14:22:54
Gruppenrichtlinie wurde angewendet von: ath-srv-control.domäne.local
Gruppenrichtlinienschwellenwert für langsame Verbindung: 500 kbps

Angewendete Gruppenrichtlinienobjekte
--------------------------------------
kein herunterfahren
WSUS Workstation
Default Domain Policy

Die folgenden Gruppenrichtlinie werden nicht angewendet, da sie herausgefilt
ert wurden.
----------------------------------------------------------------------------
------------
Richtlinien der lokalen Gruppe
Filterung: Nicht angewendet (Leer)

Der Computer ist Mitglied der folgenden Sicherheitsgruppen:
-----------------------------------------------------------
Administratoren
Jeder
Benutzer
NETZWERK
Authentifizierte Benutzer

Domänencomputer

BENUTZEREINSTELLUNGEN
----------------------
CN=test test,OU=zeroclients,OU=wsus,DC=domäne,DC=local
Zeit der letzten Gruppenrichtlinienanwendung: 22.08.2012 at 14:23:08
Gruppenrichtlinie wurde angewendet von: ath-srv-control.domäne.local
Gruppenrichtlinienschwellenwert für langsame Verbindung: 500 kbps

Angewendete Gruppenrichtlinienobjekte
--------------------------------------
kein herunterfahren
Default Domain Policy

Die folgenden Gruppenrichtlinie werden nicht angewendet, da sie herausgefilt
ert wurden.
----------------------------------------------------------------------------
------------
Richtlinien der lokalen Gruppe
Filterung: Nicht angewendet (Leer)

WSUS Workstation
Filterung: Nicht angewendet (Leer)

Der Benutzer ist Mitglied der folgenden Sicherheitsgruppen:
-----------------------------------------------------------
Domänen-Benutzer
Jeder
Administratoren
Benutzer
INTERAKTIVE REMOTEANMELDUNG
INTERAKTIV
Authentifizierte Benutzer
LOKAL

DerGast · 22. August 2012

Okay... da ich anscheinend schwer von Begriff oder Blind bin...

Könntest Du mal die Einstellungen beider GPOs zeigen (Screenshot)?

Ich bin wie erwähnt etwas verwirrt, könnte mir aber vorstellen dass es ein "Problem" gibt mit der Richtlinie "nicht herunterfahren" da die WSUS-GPO meine ich nur was mit Neustart enthält.

Frightener · 22. August 2012

Lt. Deinem Log werden die GPOs doch gezogen. Offensichtlich hast Du einfach eine falsche Einstellung in der GPO gemacht. Du solltest mal posten, was Du überhaupt eingestellt hast.

Windows Server 2008 R2 GPO Vererbung

Ensign

Newbie

Lieutenant

Ensign

Commodore

Ensign

Commodore

Ensign

Commodore

Ensign

Commodore

Ensign

Commodore

Ensign

Commodore

Ensign

Lieutenant

Ensign

Lieutenant

Commodore

Ähnliche Themen