GPO greift nicht

[PEASANT KING]

Moin Leute,

ich habe eine GPO wenn ich Authentifizierte Benutzer aus dem Scope lösche und eine Benutzergruppe hinzufüge, greift die GPO nicht mehr. Authentifizierte Benutzer ist unter Delegation mit Leserechten hinzugefügt worden. Die Gruppe hat Lese und Übernehmen Rechte. Die GPO ist in einer OU. Ein Computerobjekt liegt auch in dieser OU.

Nutze ich nur Authentifizierte Benutzer funktioniert es sofort. Es handelt sich um eine Computerrichtlinie.

 

[_Shorty]

Also theoretischer Weise funktioniert das genau so, wie du das beschrieben hast. Solange die "Authentifizierten Benutzer" mit Lesen dem GPO-Objekt hinzugefügt sind sollte diese angewendet werden.
Was sagt denn die Gruppenrichtlinien-Modelierung?

 

[lolmachine4]

Eine Computer-GPO für ein Benutzer-Objekt? Entweder oder.

 

[Bull53ye]

Wenn es, wie von dir beschrieben, eine Computerrichtlinie ist, dann kannst du in der Sicherheitsfilterung nicht mit einer Benutzergruppe arbeiten. Musst ne Gerätegruppe nehmen.

 

[PEASANT KING]

Warum geht es denn mit Authentifizierte Benutzer? Computerobjekte sind ja keine Mitglieder von Authentifizierten Benutzern.

Die GPO wird auf Computerobjekte im AD angewandt wird aber durch eine Gruppe von Benutzern gefiltert.

 

[XN04113]

Domain Computer werden im AD wie Authentifizierte Benutzer behandelt.
Authenticated Users ist keine normale Gruppe sondern ein "security principal"

 

[PEASANT KING]

Das wollte ich hören, Danke!

 

[Renegade334]

Computerobjekte sind ja keine Mitglieder von Authentifizierten Benutzern.

Wie oben schon geschrieben sind Authentifizierte Benutzer alle Objekte mit gültiger Anmeldung. Das können auch FSP Objekte (z.B. Benutzer aus anderen Domänen) sein.
Für Benutzer gibt es die Gruppe Domain Users (falls man die Standardgruppe nicht geändert hat).

Mit einer Sicherheitsgruppe die die Computer enthält wird es funktionieren.
Wobei es für die Übersichtlichkeit besser ist die GPOs per OU Strukturen zu verteilen, auch wenn man die dafür vielleicht mehrfach verlinken muss.

 

[PEASANT KING]

Ja ich experimentiere hier gerade mit FSLogix rum in einem Test und mein Fehler war das ich es auf bestimmte User beschränken wollte im Test, was aber nicht über die GPO geht sondern über eine Sicherheitsgruppe, die lokal dann am Client in die FSLogix Gruppen integriert wird, anstatt in der GPO es auf eine User Gruppe zu beschränken