7
Können GPOs in OUs überschrieben werden?
Hallo,
ich habe da mal eine Frage.
Nehmen wir an, ich habe in meiner Gruppenrichtlinienverwaltung folgende Struktur:
- Domäne
|
- OU1
|
-GPO1
Nehmen wir mal an, dass in der GPO1 in der Benutzerkonfiguration, bei den Administrativen Vorlagen -> System, der Zugriff auf die Eingabeaufforderung verhindert wird.
Es kann aber sein, dass ein spezieller Fall eintritt, und ich die Eingabeaufforderung aber NICHT verhindert haben will. Gibt es eine Möglichkeit, dass ich der OU ein zusätzliches Gruppenrichtlinienelement einfüge, die Eingabeaufforderung frei gibt? Meine zusätzlcihes Gruppenrichtlinien-Objekt müsste dann praktisch von der Verarbeitung her nach dem GPO1-Objekt kommen, bzw, die Richtlinie überschreiben.
- Domäne
|
- OU1
|
-GPO1
-GPO-Zusätzlich
Ist das möglich? Falls ja, die stelle ich das an? Oder bin ich komplett auf dem Holzweg und man macht so etwas eigentlich ganz ander? Es geht natürlich nicht nur um eine Richtlinie, sondern um mehrere, sodass es zu aufwändig wäre, diese in der GPO1 abzuändern und anschließend wieder zurück zu ändern.
Hoffe ich konnte meine Frage einigermaßen verständlich rüber bringen.
Gruß
ich habe da mal eine Frage.
Nehmen wir an, ich habe in meiner Gruppenrichtlinienverwaltung folgende Struktur:
- Domäne
|
- OU1
|
-GPO1
Nehmen wir mal an, dass in der GPO1 in der Benutzerkonfiguration, bei den Administrativen Vorlagen -> System, der Zugriff auf die Eingabeaufforderung verhindert wird.
Es kann aber sein, dass ein spezieller Fall eintritt, und ich die Eingabeaufforderung aber NICHT verhindert haben will. Gibt es eine Möglichkeit, dass ich der OU ein zusätzliches Gruppenrichtlinienelement einfüge, die Eingabeaufforderung frei gibt? Meine zusätzlcihes Gruppenrichtlinien-Objekt müsste dann praktisch von der Verarbeitung her nach dem GPO1-Objekt kommen, bzw, die Richtlinie überschreiben.
- Domäne
|
- OU1
|
-GPO1
-GPO-Zusätzlich
Ist das möglich? Falls ja, die stelle ich das an? Oder bin ich komplett auf dem Holzweg und man macht so etwas eigentlich ganz ander? Es geht natürlich nicht nur um eine Richtlinie, sondern um mehrere, sodass es zu aufwändig wäre, diese in der GPO1 abzuändern und anschließend wieder zurück zu ändern.
Hoffe ich konnte meine Frage einigermaßen verständlich rüber bringen.
Gruß
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 173184
Url: https://administrator.de/contentid/173184
Printed on: April 19, 2024 at 22:04 o'clock
7 Comments
Latest comment
Moin breppe,
wenn ich Dich richtig verstanden hast - und je nachdem wie Du "spezieller Fall" definierst -, sollte sich das über die Sicherheitsfilterung und Gruppenmitgliedschaften lösen können. Hier und hier im Forum findest Du ausreichend Beispiele.
Gruß
Markus
wenn ich Dich richtig verstanden hast - und je nachdem wie Du "spezieller Fall" definierst -, sollte sich das über die Sicherheitsfilterung und Gruppenmitgliedschaften lösen können. Hier und hier im Forum findest Du ausreichend Beispiele.
Gruß
Markus
Mahlzeit,
ich würde zwei GPOs erstellen (einmal Verbot, einmal Erlaubnis).
Jetzt wird die benötigte mit der entsprechenden OU verknüpft.
Wenn die andere benötigt wird, wird die Verlinkung zur OU aufgehoben und die andere mit der OU verknüpft.
Gpupdate /force
Das sollte so machbar sein.
ich würde zwei GPOs erstellen (einmal Verbot, einmal Erlaubnis).
Jetzt wird die benötigte mit der entsprechenden OU verknüpft.
Wenn die andere benötigt wird, wird die Verlinkung zur OU aufgehoben und die andere mit der OU verknüpft.
Gpupdate /force
Das sollte so machbar sein.
@goscho,
auch nett. Ich hatte das eher so verstanden, dass beide Situationen parallel auftreten können. Ich bin mal gespannt .....
Gruß
Markus
auch nett. Ich hatte das eher so verstanden, dass beide Situationen parallel auftreten können. Ich bin mal gespannt .....
Gruß
Markus
Moin Moin
Die zuletzt angewendete GPO "gewinnt".
Ich meine mich zu entsinnen das die Ausführungsreihenfolge von unten nach oben verläuft.
Bei gegenteiligen Einstellungen trennst du die Anwendung am besten.
Entweder über eigene OUs oder über die Sicherheitsfilterung (siehe BigWin).
Gruß L.
Ich hatte das eher so verstanden, dass beide Situationen parallel auftreten können.
Nein. GPOs mit entgegengesetzten Einstellungen überschreiben einander, wenn sie auf das gleiche Object (User bzw. Computer) angewendet werden.Die zuletzt angewendete GPO "gewinnt".
Ich meine mich zu entsinnen das die Ausführungsreihenfolge von unten nach oben verläuft.
Bei gegenteiligen Einstellungen trennst du die Anwendung am besten.
Entweder über eigene OUs oder über die Sicherheitsfilterung (siehe BigWin).
Gruß L.
Moin Logan000,
sorry für die Verwirrung. Bei GPO bin ich nicht so sattelfest - wie in vielen anderen Themengebieten auch
Vielleicht wenden wir das auch falsch an, aber wir durchaus mehrere GPO im Einsatz, die die gleiche Einstellung ändern.
Wenn in der Sicherheitsfilterung immer die gleiche Gruppe bzw. authentifizierte Benutzer drinne steht, dann gewinnt entsprechend der eingestellten Reihenfolge die entsprechende GPO.
Was ich meinte: Zwei GPO, die einmal die Einstellung aktivieren, einmal deaktivieren - und wer gewinnt, entscheidet die Gruppenzugehörigkeit. Setzt natürlich voraus, dass ich diese in der Sicherheitsfilterung eingetragen habe und der Benutzer entsprechend Mitglied ist.
Gruß
Markus
sorry für die Verwirrung. Bei GPO bin ich nicht so sattelfest - wie in vielen anderen Themengebieten auch
Vielleicht wenden wir das auch falsch an, aber wir durchaus mehrere GPO im Einsatz, die die gleiche Einstellung ändern.
Wenn in der Sicherheitsfilterung immer die gleiche Gruppe bzw. authentifizierte Benutzer drinne steht, dann gewinnt entsprechend der eingestellten Reihenfolge die entsprechende GPO.
Was ich meinte: Zwei GPO, die einmal die Einstellung aktivieren, einmal deaktivieren - und wer gewinnt, entscheidet die Gruppenzugehörigkeit. Setzt natürlich voraus, dass ich diese in der Sicherheitsfilterung eingetragen habe und der Benutzer entsprechend Mitglied ist.
Gruß
Markus
Danke für eure Antworten.
und wie lege ich dann fest, dass Gruppe F über allen anderen Gruppen (A, B, C) steht? Die Gruppen haben doch auch alle die gleichen "Berechtigungsstufen"... oder täusche ich mich da?
Gruß
und wie lege ich dann fest, dass Gruppe F über allen anderen Gruppen (A, B, C) steht? Die Gruppen haben doch auch alle die gleichen "Berechtigungsstufen"... oder täusche ich mich da?
Gruß
Moin breppe,
Über die Sicherheitsfilterung steuerst Du die Berechtigungen.
Gruß
Markus
Die Gruppen haben doch auch alle die gleichen "Berechtigungsstufen"
?Über die Sicherheitsfilterung steuerst Du die Berechtigungen.
Gruß
Markus
