10.8 Anwenden von Gruppenrichtlinien
Bevor eine Gruppenrichtlinie definiert werden kann, muss zuerst ein GPO erstellt werden. Dabei fällt die Entscheidung, ob das GPO für eine gesamte Domäne, für einen Standort oder für eine OU erstellt wird. Die Erstellung des GPO erfolgt in einer Gruppenrichtlinienverwaltungskonsole. Im Gruppenrichtlinienobjekteditor gibt es bei jedem GPO die beiden Kategorien Computerkonfiguration und Benutzerkonfiguration. Innerhalb der Kategorie Computerkonfiguration definieren Sie Richtlinien, die unabhängig davon wirken, welcher Benutzer später angemeldet ist. Innerhalb der Kategorie Benutzerkonfiguration definieren Sie hingegen Richtlinien, die immer für bestimmte Benutzer gelten sollen, egal an welchem Computer sich diese anmelden.
Enthält eine GPO ausschließlich konfigurierte Richtlinien für Benutzer, so sollte die Computerkonfiguration deaktiviert werden. Die Abarbeitung der GPOs erfolgt dadurch schneller, weil die Computerkonfiguration nicht mehr auf vorgenommene Einstellungen abgesucht wird. Umgekehrt sollte in einer GPO, die ausschließlich konfigurierte Richtlinien für Computer enthält, die Benutzerkonfiguration deaktiviert werden.
Wenn das neue Werkzeug GPMC.MSI nicht installiert ist, so starten Sie das Snap-In Active Directory-Benutzer und –Computer, klicken über die rechte Maustaste die Eigenschaften des Containers an, der das GPO enthält, und wählen die Registerkarte Gruppenrichtlinien. Dort werden alle GPOs aufgelistet, die für den Container bisher erstellt wurden. Sie wählen das betreffende GPO aus und öffnen die Eigenschaften des GPO.
Hier klicken, um das Bild zu Vergrößern
In den Eigenschaften des GPO finden Sie die Optionen Konfigurationseinstellungen des Computers deaktivieren und Benutzerdefinierte Konfigurationseinstellungen deaktivieren.
Haben Sie bereits das neue Werkzeug GPMC.MSI installiert, so finden Sie die Optionen zum Deaktivieren in der Registerkarte Details in der Kategorie Gruppenrichtlinienobjekte.
Hier klicken, um das Bild zu Vergrößern
In der Registerkarte Sicherheitseinstellungen (bei installierter GPMC.MSI wählen Sie die Registerkarte Delegierung und klicken dann auf die Schaltfläche Erweitert, um die Berechtigungen einzusehen und zu ändern) geben Sie an, welche Computer- oder Benutzerkonten berechtigt sind, das GPO zu verändern, zu lesen und zu übernehmen.
|
Ein Gruppenrichtlinienadministrator soll ein GPO zwar einrichten und die Richtlinien einstellen können und benötigt dazu die Rechte Lesen und Ändern. Er soll jedoch von den GPOs in der Regel nicht betroffen sein, da über Richtlinien die Rechte der betroffenen Benutzer oft stark eingeschränkt werden. Indem Sie das Sicherheitsrecht Gruppenrichtlinie übernehmen für Administratoren deaktivieren, verhindern Sie, dass die Arbeitsumgebung des Administrators selbst durch die GPOs betroffen ist.
|
Für die Sicherheitsgruppen Domänen-Admins und Organisations-Admins sind die Berechtigungen bei einem neu erstellten GPO bereits passend voreingestellt: Mitglieder dieser Sicherheitsgruppen dürfen die Richtlinien dieses GPO verändern, sind jedoch selbst nicht davon betroffen. Die Berechtigung »Gruppenrichtlinie übernehmen« ist standardmäßig abgewählt.
Hier klicken, um das Bild zu Vergrößern
|
