10.21 Gruppenrichtlinien vs. reg-Dateien 

Über viele Gruppenrichtlinien werden Werte in der Registrierdatenbank des Clients oder der Server verändert. Es stellt sich die Frage, ob man dieselben Ziele nicht auch über reg-Dateien erreichen kann, vielleicht sogar mit geringerem Aufwand. Neben dem Befehl Regedit gibt es viele Tools am Markt, mit denen Sie Einstellungen in Windows XP oder Microsoft Office vornehmen und die zugehörigen Registry-Einträge direkt in eine reg-Datei exportieren können, z.B. den Registry System Wizard, X-Setup oder RegShot. Diese reg-Datei kann dann über ein Anmeldeskript oder ein Startskript importiert werden.

Obwohl Microsoft seit der Einführung von Active Directory mit Windows 2000 Server das Instrument der Gruppenrichtlinien immer wieder als das zentrale Verwaltungswerkzeug zur Steuerung der Clients herausstellt, gibt es bisher keine mir bekannten Drittanbieter, die Gruppenrichtlinien-Vorlagedateien (adm-Dateien) anbieten, damit auch ihre Produkte über den Gruppenrichtlinieneditor von zentraler Stelle aus gesteuert werden könnten. Weder für SAP, Sage KHK, AutoCAD, CorelDraw noch für führende Antiviren-Produkte gibt es derartige adm-Dateien. Und selbst das kaufmännische Produkt Navision, das Microsoft inzwischen vertreibt, enthält keine Gruppenrichtlinien-Vorlagedateien zur zentralen Steuerung der Clients.

Dennoch gibt es inzwischen nicht nur Tools zur Umwandlung von reg-Dateien in adm-Dateien (Registry System Wizard, reg2adm, ptfe – Policy Template File Editor) und Artikel, in denen die Erstellung von eigenen adm-Dateien ausführlich beschrieben wird. Es gibt auch viele andere Gründe, sich mit Gruppenrichtlinien zu beschäftigen, denn mittels dieser kann bei weitem mehr erreicht werden als über Manipulationen der Registrierdatenbank:

Über Gruppenrichtlinien lassen sich auch Werte im Bereich HKEY_LOCAL_MACHINE der Registrierdatenbank manipulieren. Dazu hat der einfache Anwender in der Regel jedoch keine Rechte.

Über Gruppenrichtlinien können Anwendungen installiert werden.

Über Gruppenrichtlinien können Start- und Herunterfahrenskripte, aber auch Abmeldeskripte aktiviert werden, was weit mehr an Möglichkeiten bietet als lediglich ein Anmeldeskript.

Mittels Gruppenrichtlinien können komplexe Active-Directory-Strukturen, die aus mehreren Standorten oder sogar aus mehreren Domänen bestehen, zentral gesteuert werden.

Mit Gruppenrichtlinien kann das Verhalten einzelner Client- oder Benutzergruppen einzeln gesteuert werden. Sie können z.B. eine OU erstellen, in der Sie alle Laptops und Tablet-PCs unterbringen, und für diese OU spezielle Gruppenrichtlinien einrichten, um die Besonderheiten von Clients, die regelmäßig offline sind, in den Griff zu bekommen.

Das sind nur einige der Vorzüge, die Gruppenrichtlinien gegenüber der Manipulation der Registrierdatenbank mittels reg-Dateien haben. Der Hauptvorteil von Gruppenrichtlinien ist, dass der Administrator zentral vorgeben kann, wie ein Client aussieht, welche Anwendungen und Features freigegeben oder gesperrt sind und was der Anwender nutzen und verändern darf. Diese Einstellungen können über Gruppenrichtlinien jederzeit verändert werden, ohne dass der Anwender zur Gruppe der lokalen Administratoren oder der Hauptbenutzer gehören muss. Die über Gruppenrichtlinien gesteuerten Einstellungen in der Registrierdatenbank werden mit der Berechtigung der betriebssysteminternen Gruppe SYSTEM durchgesetzt.

Mit zentral verwalteten Gruppenrichtlinien lässt sich der Verwaltungsaufwand eines Netzwerks drastisch senken, ebenso die Anzahl möglicher Fehlerquellen und Sicherheitsbedrohungen. So oder so führt für Sie kein Weg daran vorbei, sich mit Gruppenrichtlinien auseinander zu setzen. Denn vielleicht morgen schon müssen Sie ein Netzwerk betreuen, in dem von Gruppenrichtlinien intensiv Gebrauch gemacht wird.