Kapitel 11 Die Gruppenrichtlinien von Windows XP einsetzen

Windows Server, Windows XP und Office XP/2003 bieten eine Fülle von Gruppenrichtlinien, mit denen die Konfiguration des Clients von zentraler Stelle aus gesteuert werden kann. Über Gruppenrichtlinien lassen sich aber auch Anwendungen installieren. Dieses Kapitel soll nun Klarheit verschaffen, welche Einstellungen des Betriebssystems Windows XP Professional über Gruppenrichtlinien zentral verwaltet werden können. Dabei werden die zum Lieferumfang gehörenden Gruppenrichtlinien analysiert. Sie erfahren aber auch, welche fehlenden Einstellungen Sie über selbst erstellte Gruppenrichtlinien vornehmen können. Gruppenrichtlinien lassen sich für den lokalen Computer, für den Standort, die Domäne oder eine einzelne Organisationseinheit definieren und zusätzlich verknüpfen, und das kann zu Konflikten führen.

11.1 Gruppenrichtlinien aktualisieren 

Standardmäßig werden Computerrichtlinien und Benutzerrichtlinien alle 90 Minuten im Hintergrund mit einer zufälligen Verzögerung zwischen 0 und 30 Minuten aktualisiert – und natürlich beim Start des Computers bzw. bei der Anmeldung des Benutzers. Das Standardintervall von 90 Minuten und das Zufallsverzögerungsintervall von bis zu 30 Minuten zur Aktualisierung der Gruppenrichtlinien kann jedoch auch verändert werden. Über die Richtlinie Gruppenrichtlinien-Aktualisierungsintervall für Computer unter Computerkonfiguration · Administrative Vorlagen · System · Gruppenrichtlinien können Sie das Aktualisierungsintervall für Computerrichtlinien festlegen.

Über die Richtlinie Gruppenrichtlinien-Aktualisierungsintervall für Benutzer unter Benutzerkonfiguration · Administrative Vorlagen · System · Gruppenrichtlinien können Sie das Aktualisierungsintervall für Benutzerrichtlinien festlegen.

Hier klicken, um das Bild zu Vergrößern

Hier klicken, um das Bild zu Vergrößern

Wenn Sie eine Gruppenrichtlinie geändert haben und die Aktualisierung sofort erzwingen wollen, so können Sie dazu auf einem Windows 2000 Server oder Windows-2000-Professional-Client den Befehl secedit mit entsprechenden Parametern verwenden.

Der Befehl secedit /? zeigt die möglichen Parameter an. Der Befehl secedit /refreshpolicy machine-policy /enforce aktualisiert unter Windows 2000 die Computergruppenrichtlinien, der Befehl secedit /refreshpolicy user-policy /enforce aktualisiert die Benutzergruppenrichtlinien.

Unter Windows XP wurde jedoch der Befehl secedit durch den Befehl gpupdate ersetzt. Er aktualisiert lokale und Active-Directory-basierte Gruppenrichtlinieneinstellungen, einschließlich der Sicherheitseinstellungen. Die Syntax des Befehls gpupdate lautet:

gpupdate [/target:{computer|user}] [/force] [/wait:Wert] [/logoff] [/boot]

Die Parameter haben folgende Bedeutung:

/target:{computer|user} Verarbeitet nur die Computer- oder die aktuellen Benutzereinstellungen. Standardmäßig werden beide verarbeitet.

/force Ignoriert alle Verarbeitungsoptimierungen und wendet alle Einstellungen erneut an.

/wait:Wert Die Anzahl der Sekunden, die die Richtlinienverarbeitung mit dem Beenden wartet. Der Standardwert beträgt 600 Sekunden. 0 bedeutet nicht warten; –1 bedeutet unbegrenzt warten.

/logoff Führt nach Abschluss der Aktualisierung eine Abmeldung durch. Dies ist für clientseitige Erweiterungen der Gruppenrichtlinien erforderlich, die die Gruppenrichtlinien nicht in einem Hintergrundaktualisierungszyklus, aber beim Anmelden des Benutzers verarbeiten. Hierzu gehören Softwareinstallation und Ordnerumleitung durch den Benutzer. Die Option hat keine Auswirkungen, wenn keine Erweiterungen aufgerufen werden, die erfordern, dass der Benutzer sich abmeldet.

/boot Startet den Computer nach Abschluss der Aktualisierung neu. Dies ist für clientseitige Erweiterungen der Gruppenrichtlinien erforderlich, die die Gruppenrichtlinien nicht in einem Hintergrundaktualisierungszyklus, aber beim Start des Computers verarbeiten. Hierzu gehört die Softwareinstallation durch den Computer. Die Option hat keine Auswirkungen, wenn keine Erweiterungen aufgerufen werden, die einen Neustart des Computers erfordern.

Der Befehl gpupdate wendet sowohl die Computer- als auch die Benutzerrichtlinien sofort an. Der Befehl gpupdate /target:computer wendet nur die Computerrichtlinien erneut an, der Befehl gpupdate /target:user hingegen nur die Benutzerrichtlinien, d.  h. die Richtlinien in der Kategorie Benutzerkonfiguration der Gruppenrichtlinie.