Moin,
ich gehe jetzt optimistischerweise davon aus, dass serverseitig 2008R2 zum Einsatz kommt. Wenn Du die Möglichkeit findest, Computer zuverlässig in Gruppen zu stecken, abhängig davon, in welcher Site sie sind,
kannst Du die ACLs auf den File Shares um Conditional Access erweitern nach dem Muster "Device in Group SITE01 --> Zugriff erlauben".
Um die Gruppen zu befüllen, wirst Du wohl skripten müssen. Da gibt es zwei grundsätzliche Vorgehensweisen:
- Lokal: Die Computer bekommen das Recht, Gruppen beizutreten, und tun dies bei Login oder periodisch. dabei müssen sie natürlich auch aus allen anderen Gruppen austreten.
- Zentral: Du pollst in regelmäßigen Abständen die IPs der Computer von einem zentralen Server aus und befüllst dadurch die Gruppen.
Sind die Computer ortsfest, kannst Du sie natürlich auch fest in solche Gruppen stecken.
Das Gute dabei ist, dass Du dir die Möglichkeit nicht verbaust, Gruppen zu definieren, die auch von überall Zugriff haben sollen.
Eine andere, deutlich aufwändigere Variante (die dafür aber zuverlässig und auch für Nicht-Domänen-PCs funktionieren würde), wäre der Einsatz von NAP. Da kannst Du das IP-Subnetz direkt als Bedingung auswerten.
EDIT: Aber wenn man Deinen OP buchstäblich interpretiert (Du wolltest ja das Mappen, nicht den Zugriff, verhindern!), dann ist es easy: Definiere die AD-Standorte korrekt und binde die GPP, die die Laufwerke mappen, an Standorte und nicht an OUs.
Evgenij Smirnov
I work @ msg services ag, Berlin ->
http://www.msg-services.de
I blog (in German) @ http://it-pro-berlin.de
my stuff in PSGallery -->
https://www.powershellgallery.com/profiles/it-pro-berlin.de/
Exchange User Group, Berlin -> https://exusg.de
Windows Server User Group, Berlin ->
http://www.winsvr-berlin.de
Mark Minasi Technical Forum, reloaded ->
http://newforum.minasi.com
In theory, there is no difference between theory and practice. In practice, there is.
