none
Sicherheitsfilterung bei GP RRS feed

 > 

  • Frage

  • Question
    Anmelden
    0
    Anmelden

    Hallo Leute

    Wir migrieren gerade von Netware zu MS 2003/2008 mit AD und Windows 7 Clients. Nun haben wir da so das eine oder andere Verständnisproblem ;-)

    Wir haben eine OU mit dem Namen "Computer" und darunter eine mit "Desktop", "Workstations", "Laptop" usw, in welchen alle Computerobjekte verteilt liegen. Nun haben wir aber einige PC's welche lokale Admin Rechte benötigen und da beginnt nun das Problem.

    Ich habe eine Sicherheitsgruppe erstellt mit dem Namen "G-LokaleAdmins" und da sind die User enthalten, welche Adminrechte benötigen. Beim "Sicherheitsfilter" der neu erstellten GP "Lokale Administratoren" habe ich anstatt "Authentifizierte Benutzer" nur diese neue Sicherheitsgruppe "G-LokaleAdmins" eingefügt und die GP dann auf das Objekt "Computer" verknüpft mit Vererbung nach unten. Nur leider funktioniert das so nicht, auf den PC's passiert nichts.

    Sobald ich Testeshalber die GP anpasse und anstelle von "G-LokaleAdmins" wieder auf "Authentifizierte Benutzer" im Sicherheitsfilter ändere, funktioniert alles einwandfrei und die Gruppe "G-LokaleAdmins" wird bei den Computern in die lokale Administratorengruppe aufgenommen.

    Was mache ich da falsch beim Sicherheitsfilter?

    Vielen Dank für Eure Hilfe

    Gruss Wayne

    Donnerstag, 20. Mai 2010 14:14
    |

Antworten

  • Question
    Anmelden
    1
    Anmelden
    "wayne7215" schrieb
    Hallo Wayne0815,
     
    > Wir haben eine OU mit dem Namen "Computer" und darunter eine mit
    > "Desktop", "Workstations", "Laptop" usw, in welchen alle Computerobjekte
    > verteilt liegen. Nun haben wir aber einige PC's welche lokale Admin Rechte
    > benötigen und da beginnt nun das Problem.
     
    OK.
     
    > Ich habe eine Sicherheitsgruppe erstellt mit dem Namen "G-LokaleAdmins"
    > und da sind die User enthalten, welche Adminrechte benötigen. Beim
    > "Sicherheitsfilter" der neu erstellten GP "Lokale Administratoren" habe
    > ich anstatt "Authentifizierte Benutzer" nur diese neue Sicherheitsgruppe
    > "G-LokaleAdmins" eingefügt und die GP dann auf das Objekt "Computer"
    > verknüpft mit Vererbung nach unten. Nur leider funktioniert das so nicht,
    > auf den PC's passiert nichts.
     
    Korrekt. Du willst also die Mitglieder der Gruppe in die lokale Admingruppe
    bestimmter PCs aufnehmen?
     
    > Sobald ich Testeshalber die GP anpasse und anstelle von "G-LokaleAdmins"
    > wieder auf "Authentifizierte Benutzer" im Sicherheitsfilter ändere,
    > funktioniert alles einwandfrei und die Gruppe "G-LokaleAdmins" wird bei
    > den Computern in die lokale Administratorengruppe aufgenommen.
    >
    > Was mache ich da falsch beim Sicherheitsfilter?
     
    Du mußt nicht die Benutzergruppe filtern sondern die Computer in eine Gruppe
    stecken für die das GPO wirken soll. Sprich leg dir eine neue Gruppe an
    (lokale-Admin-PC-Gruppe) und steck dort die benötigten PCs Konten rein.
    Danach filterst du dein GPO auf genau diese Gruppe.
     
    Bye
    Norbert
     
     
    Dilbert's words of wisdom #32: If it wasn't for the last minute, nothing would get done.
    Donnerstag, 20. Mai 2010 14:40
    |

Alle Antworten

  • Question
    Anmelden
    1
    Anmelden
    "wayne7215" schrieb
    Hallo Wayne0815,
     
    > Wir haben eine OU mit dem Namen "Computer" und darunter eine mit
    > "Desktop", "Workstations", "Laptop" usw, in welchen alle Computerobjekte
    > verteilt liegen. Nun haben wir aber einige PC's welche lokale Admin Rechte
    > benötigen und da beginnt nun das Problem.
     
    OK.
     
    > Ich habe eine Sicherheitsgruppe erstellt mit dem Namen "G-LokaleAdmins"
    > und da sind die User enthalten, welche Adminrechte benötigen. Beim
    > "Sicherheitsfilter" der neu erstellten GP "Lokale Administratoren" habe
    > ich anstatt "Authentifizierte Benutzer" nur diese neue Sicherheitsgruppe
    > "G-LokaleAdmins" eingefügt und die GP dann auf das Objekt "Computer"
    > verknüpft mit Vererbung nach unten. Nur leider funktioniert das so nicht,
    > auf den PC's passiert nichts.
     
    Korrekt. Du willst also die Mitglieder der Gruppe in die lokale Admingruppe
    bestimmter PCs aufnehmen?
     
    > Sobald ich Testeshalber die GP anpasse und anstelle von "G-LokaleAdmins"
    > wieder auf "Authentifizierte Benutzer" im Sicherheitsfilter ändere,
    > funktioniert alles einwandfrei und die Gruppe "G-LokaleAdmins" wird bei
    > den Computern in die lokale Administratorengruppe aufgenommen.
    >
    > Was mache ich da falsch beim Sicherheitsfilter?
     
    Du mußt nicht die Benutzergruppe filtern sondern die Computer in eine Gruppe
    stecken für die das GPO wirken soll. Sprich leg dir eine neue Gruppe an
    (lokale-Admin-PC-Gruppe) und steck dort die benötigten PCs Konten rein.
    Danach filterst du dein GPO auf genau diese Gruppe.
     
    Bye
    Norbert
     
     
    Dilbert's words of wisdom #32: If it wasn't for the last minute, nothing would get done.
    Donnerstag, 20. Mai 2010 14:40
    |
  • Question
    Anmelden
    0
    Anmelden

    0815? Haha ;)

    Hallo Norbert

    Ok, ich hab das nun glaube ich begriffen :) Das hatte ich als Test ja auch einmal gemacht und das funktioniert soweit auch, nur wollte ich genau so eine Struktur vermeiden. Dann habe ich ja unter allen Computer OU's wieder OU's mit "Lokale Admins" mit "Lokale Hauptbenutzer" usw. und ich finde das dann arg unübersichtlich. Deswegen hoffte ich, dass man mit einem Filter auf der GP selbst da was machen könnte, dass die nicht für alle gilt in der OU mit der sie verknüpft ist.

    Oder könnte man es mit einem WMI Filter so hinbiegen, dass man nicht für alle Spezialfälle gleich eigene OU's machen muss?

    Vielen Dank für Deine Hilfe

    Gruss Wayne

    Donnerstag, 20. Mai 2010 17:39
    |
  • Question
    Anmelden
    0
    Anmelden

    Ich glaube du hast es noch nicht begriffen. ;) Denn sonst würdest du jetzt nicht mit weiteren OUs argumentieren die in so einem Fall vollkommen unnötig sind. Ich sagte SICHERHEITSGRUPPE und NICHT OU, falls meine erste Antwort nicht deutlich genug war. ;)

     

    Bye

    Norbert

    PS: WMI Filter wäre wahrscheinlich unhandlich, denn du müßtest ja ein Kriterium finden nach dem per WMI filterst ;)

    Dilbert's words of wisdom #32: If it wasn't for the last minute, nothing would get done.
    Donnerstag, 20. Mai 2010 17:45
    |
  • Question
    Anmelden
    0
    Anmelden

     

    Aaahh, man kriegt da ja auch Computerobjekte rein, grad entdeckt :)

    Jetzt hab ichs aber wirklich ;)

    Vielen Dank Norbert

    Cheers

    Donnerstag, 20. Mai 2010 18:50
    |
  • Question
    Anmelden
    0
    Anmelden
    "wayne7215" schrieb
     
    Hi,
     
    > Aaahh, man kriegt da ja auch Computerobjekte rein, grad entdeckt :)
     
    Irgendwie hab ich das von nem Novelli erwartet die Antwort. ;)
     
    > Jetzt hab ichs aber wirklich ;)
     
    Na dann viel Erfolg. ;)
     
    Bye
    Norbert
     
    Dilbert's words of wisdom #32: If it wasn't for the last minute, nothing would get done.
    Donnerstag, 20. Mai 2010 18:51
    |