10.14 Gruppenrichtlinien wirken auf Benutzer- oder Computerobjekte, nicht auf Sicherheitsgruppen 

Der Ausdruck »Gruppenrichtlinien« ist übrigens etwas irreführend. Gruppenrichtlinien wirken sich immer nur auf die Benutzer- oder Computerobjekte aus, die im zugehörigen Container liegen, nicht auf Sicherheitsgruppen. Wenn Sie z.B. eine OU mit dem Namen Laptops erstellen, für diese ein GPO erzeugen und in diesem GPO spezielle Richtlinien für Laptops konfigurieren, so müssen Sie anschließend alle Laptops oder aber alle Laptopbenutzer in diese OU verschieben, damit die Richtlinien wirken. Legen Sie in der OU Laptops hingegen nur eine Sicherheitsgruppe Laptops an, die als Mitglieder die Laptopobjekte enthält, und verbleiben die Laptopobjekte in einer anderen OU, die kein Untercontainer der OU Laptops ist, so wirkt die Richtlinie nicht.

Dennoch können Sie Sicherheitsgruppen nutzen, um über Gruppenrichtlinienberechtigungen zu steuern, auf welche Benutzer- oder Computergruppen ein Satz von Richtlinien wirken soll. Um das zu demonstrieren, ändern wir das Beispiel mit den Laptops ab: Sie haben eine OU mit der Bezeichnung Clients erstellt. Diese OU nimmt alle Computer bis auf Server auf, das heißt sowohl Arbeitsplatzcomputer als auch Laptops oder Tablet-PCs. Für diese OU erstellen Sie ein GPO, in dem nur spezielle Richtlinien für Laptops und Tablet-PCs konfiguriert werden. Dieses GPO soll nur auf alle Laptops und Tablet-PCs der OU Clients wirken, nicht aber auf Clients, die immer online sind. Um das zu erreichen, richten Sie eine Sicherheitsgruppe Laptops und Tablet-PCs ein und nehmen alle Laptops und Tablet-PCs in diese Sicherheitsgruppe als Mitglieder auf. Die Berechtigungen des GPO verändern Sie anschließend so, dass dieses GPO nur von der Sicherheitsgruppe Laptops und Tablet-PCs gelesen und übernommen werden kann, nicht aber von den anderen Clients.

In den weiteren Ausführungen zu Gruppenrichtlinien wird demonstriert werden, wie Sie über nur zwei GPOs steuern, was einfache Anwender und so genannte Poweruser dürfen. In dem ersten GPO werden dazu Richtlinieneinstellungen für den Standardanwender vorgenommen, die stark restriktiv sind. Das zweite GPO kann nur von der Sicherheitsgruppe Poweruser gelesen und übernommen werden. In die Sicherheitsgruppe Poweruser werden Programmierer, Helpdesk-Mitarbeiter und andere Mitarbeiter als Mitglieder aufgenommen, die mehr Freiheiten auf ihrem Computer benötigen. In diesem zweiten GPO werden nun einige der Richtlinien, die in dem ersten GPO die Rechte des Standardanwenders stark einschränkten, wieder außer Kraft gesetzt, indem die Richtlinien den Status deaktiviert erhalten. Mit einem einfachen und leicht zu durchschauenden Modell aus zwei GPOs lässt sich somit steuern, welche Mitarbeiter in ihrer Arbeitsumgebung starre, nicht veränderbare Vorgaben bekommen und bei welchen Mitarbeiter diese starren Vorgaben wieder gelockert werden, damit sie in der täglichen Arbeit nicht behindert sind.