Windows Server 2008 Gruppenrichtlinie in Domäne umgehen

JackOh18 · 26. April 2016

Hallo Zusammen,

am Arbeitsplatz arbeite ich mit Windows 10 Pro 64Bit mit Win 2008 SBS Domäne. Der Admin hat per GPO ein paar Einstellungen in Windows festgesetzt, die ich nicht mag. Zum Beispiel möchte ich nicht die Dateierweiterungen sehen oder dass manche Bilder in Outlook 2013 nicht angezeigt werden (das kann man bei IE unter Erweitert->Sicherheit freigeben). Jedesmal wenn ich diese Einstellungen ändere sind diese beim nächsten Neustart natürlich wieder zurückgesetzt auf die GPO Einstellungen. Der Admin möchte das nicht ändern, da es nur eine Organisationseinheit gibt und er nicht verschiedene Gruppen verwalten will.

Meine Frage wäre, wie man bestimmte Einstellungen in Windows trotz GPO setzen kann und somit die GPO umgehen kann.

Gruß
JackOh

ntloader · 26. April 2016

Dann wäre die GPO leicht sinnlos, wenn man das einfach umgehen könnte.

mw197 · 26. April 2016

gar nicht, sonst würde das System keinen Sinn ergeben?!

JackOh18 · 26. April 2016

Es geht doch bestimmt. Bin zwar kein Profi aber ich könnte mir vorstellen, dass man ein Script o. ä. ablaufen lässt, nachdem die GPO Einrichtung nach Neustart durch ist. Letztendlich kann ich ja auch die Einstellungen nach Neustart per Hand ändern (Dateierweiterungen ausblenden und die Sicherheitseinstellungen im IE) und es bleibt so bis zum nächsten Neustart.

Nemo_G · 26. April 2016

JackOh18 schrieb:
... Zum Beispiel möchte ich nicht die Dateierweiterungen sehen ...

Sei froh, dass Dein Admin das so vorgegeben hat! In einem Brief hat ein Leser der c't herumgegreint, dass einer seiner Anwender sich seinen PC mit "Locky" hat verschlüsseln lassen, nachdem der sich von Dropbox Bewerbungsunterlagen heruntergeladen hatte (MeinLebenslauf.pdf.EXE).
Auf PCs, die ich aufsetze, wird das gleich per RegTweak automatisch eingespielt.

Gerade, wenn Du nach Deinen eigenen Worten kein Profi bist: Lass' die Finger davon!
Ein Firmen-PC ist kein heimischer Spiele-PC. Lies die Meldungen über den Fahrdienstleiter in Bad Aibling (Zocken am Smartphone) und über den Virus im AKW Gundremmingen aufmerksam durch.
Wenn Du durch solche Manipulationen auffälig wirst, ist eine Abmahnung vielleicht noch das Geringste, das Dir widerfährt.

Gruß, Nemo_G

m000x · 26. April 2016

Letztendlich kannst du deine Arbeitszeit aber bestimmt auch sinnvoller nutzen... sorry!
Und das manche Bilder im Outlook nicht angezeigt werden, hat bestimmt seinen Grund.

nubi80 · 26. April 2016

wenn ich dein Admin wäre und das mitbekommen würde, würdest du die geballte Macht der GPOs und des Admins kennen lernen

B2T: GPOs haben einen Sinn und die Einstellungen die du ansprichst sind ausnahmslos Sinnvoll und gut. Geh und bedank dich bei deinem Admin anstatt zu versuchen die Einstellungen nach deinen Wünschen anzupassen.

so long
nubi

JackOh18 · 26. April 2016

Oh Mann. Was ist denn hier los? Was sollen denn jetzt diese Argumente?

Ich bin in der Firma selber zusätzlich für die Administration der Clients tätig. Bin kein Super Profi oder Netzwerk-Experte aber auch keinesfalls ein Anfänger. Also verschont mich bitte mit "sei froh", "nutze deine Arbeitszeit für Besseres" und "oh gefährlich"...

Ich habe doch mit dem Admin schon darüber gesprochen. Er möchte die GPOs nicht ändern, da er keine Lust darauf hat, die Richtlinien zu splitten. Das ist ok. Wenn ich mein PC entsprechend etwas anders verwende, ist das auch völlig ok.

Ich danke ja für Eure Fürsorge, aber wisst Ihr wie das geht, oder nicht?

ntloader · 26. April 2016

Dann mach doch einfach eine zweite OU, schieb deinen Client da hinein und verlinke alle GPO bis auf die eine mit den Einstellungen die du nicht willst. Wo ist das Problem?

M-X · 26. April 2016

Such dir die RegKeys raus die die Änderungen speichern. Bau dir ne Batch und lass diese ~10 Sekunden nach Anmeldung anlaufen. Dann sollte die GPO schon durch sein.

JackOh18 · 26. April 2016

ntloader schrieb:
Dann mach doch einfach eine zweite OU, schieb deinen Client da hinein und verlinke alle GPO bis auf die eine mit den Einstellungen die du nicht willst. Wo ist das Problem?

Das bedeutet für den Admin, er müsste das in Zukunft mitberücksichtigen, dass ich in einer anderen OU bin. Das will er ja nicht.

Ergänzung (26. April 2016)

M-X schrieb:
Such dir die RegKeys raus die die Änderungen speichern. Bau dir ne Batch und lass diese ~10 Sekunden nach Anmeldung anlaufen. Dann sollte die GPO schon durch sein.

Das werde ich mal probieren. Danke.

Evil E-Lex · 26. April 2016

ntloader schrieb:
Dann mach doch einfach eine zweite OU, schieb deinen Client da hinein und verlinke alle GPO bis auf die eine mit den Einstellungen die du nicht willst. Wo ist das Problem?

Ich vermute mal, der Admin dort hat alle Einstellungen in einem GPO, vielleicht sogar in der Default Domain Policy. Deswegen wohl die Anmerkung des TE bezüglich "Richtlinien splitten".

Physikbuddha · 27. April 2016

Mach eine untergeordnete OU zu deiner jetzigen, und erstelle dort eine GPO mit deinen Wünschen.
Da alle übergeordneten GPOs an dich vererbt werden, muss dich dein Admin somit überhaupt nicht extra berücksichtigen.

ntloader · 27. April 2016

Das mit dem Batch mag beim Logon funktionieren, allerdings werden die GPO ja auch spätestens alle 90min wieder refreshed.

JackOh18 · 27. April 2016

Du hast recht ntloader. Das mit dem Batch funktioniert perfekt bis der nächste Refresh kommt.

Ich probiere das mal Physikbuddha.

Ergänzung (27. April 2016)

Physikbuddha schrieb:
Mach eine untergeordnete OU zu deiner jetzigen, und erstelle dort eine GPO mit deinen Wünschen.
Da alle übergeordneten GPOs an dich vererbt werden, muss dich dein Admin somit überhaupt nicht extra berücksichtigen.

Wie mache ich denn eine weitere OU zu meiner "jetzigen"? Was meinst du mit jetzigen? Die jetzigen Einstellungen sind ja unter "Gruppenrichtlinienobjekte" (siehe Screenshot). Wie kann ich darunter eine OU erstellen, damit die GPOs vererbt werden?

Physikbuddha · 27. April 2016

Du bist einen Schritt zu weit.
Zuerst musst du in Active Directory-Benutzer und -Computer eine passende OU erstellen. Bei uns habe ich ein ähnliches Problem wie du, jedoch auf Computer- statt Benutzerebene. Einige Rechner müssen nachts durchlaufen und dürfen nicht in Standby gehen, da sie von außen per Remotezugriff benutzt werden. Das sieht dann auf OU-Ebene bei uns so aus:

Du machst das ganze in den Benutzern. Dann kannst du in der Gruppenrichtlinienverwaltung dort die entsprechenden Richtlinien verknüpfen:

Suche

Windows Server 2008 Gruppenrichtlinie in Domäne umgehen

JackOh18

Cadet 4th Year

ntloader

Commander

mw197

Gast

JackOh18

Cadet 4th Year

Nemo_G

Lieutenant

m000x

Lieutenant

nubi80

Lieutenant

JackOh18

Cadet 4th Year

ntloader

Commander

M-X

Vice Admiral

JackOh18

Cadet 4th Year

Evil E-Lex

Commander

Physikbuddha

Lt. Commander

ntloader

Commander

JackOh18

Cadet 4th Year

Physikbuddha

Lt. Commander

Ähnliche Themen