3
Gruppenrichtlinienvererbung deaktiviert, trotzdem werden Einstellungen die auf Dom-Ebene gesetzt sind, angewandt
Ich habe die Vererbung auf einer ouPC deaktiviert. Es ist auf keiner Ebene bzw. auf keinem GPO-Objekt "Erzwungen" aktiv.
Trotzdem werden Einstellungen, z.B. die IE Startseite aus einer Gruppenrichtlinie, die auf DOM-Ebene liegt, angewandt.
Umgebung:
Mehrere DC´s 2008 bzw. 2012; Client mit Win7 und IE 11, frisch installiert.
Das ganze habe ich 1:1 in einer Testumgebung nachgestellt, gleiches Resultat:
In einer zweiten Firma ebenfalls. ich kann´s noch nicht ganz glauben.
Zum testen habe ich mehrere Benutzerkonten erstellt.
Wo liegt mein Fehler ?
Bem. Gruppenrichtlinienergebnis zeigt mir die Gruppenrichtlinien gleich zweimal an, Angewendete Gruppenrichtlinienobjekte und in den Abgelehnten Gruppenrichtlinienobjekten.
Das ist doch eine widersprüchliche Aussage. Bin mit meinem Latein und den Vererbungsregeln am Ende.
Wer´s nicht glaubt, kann jederzeit vorbeikommen.
Gruss aus dem heißen Süden.
Trotzdem werden Einstellungen, z.B. die IE Startseite aus einer Gruppenrichtlinie, die auf DOM-Ebene liegt, angewandt.
Umgebung:
Mehrere DC´s 2008 bzw. 2012; Client mit Win7 und IE 11, frisch installiert.
Das ganze habe ich 1:1 in einer Testumgebung nachgestellt, gleiches Resultat:
In einer zweiten Firma ebenfalls. ich kann´s noch nicht ganz glauben.
Zum testen habe ich mehrere Benutzerkonten erstellt.
Wo liegt mein Fehler ?
Bem. Gruppenrichtlinienergebnis zeigt mir die Gruppenrichtlinien gleich zweimal an, Angewendete Gruppenrichtlinienobjekte und in den Abgelehnten Gruppenrichtlinienobjekten.
Das ist doch eine widersprüchliche Aussage. Bin mit meinem Latein und den Vererbungsregeln am Ende.
Wer´s nicht glaubt, kann jederzeit vorbeikommen.
Gruss aus dem heißen Süden.
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 240747
Url: https://administrator.de/contentid/240747
Printed on: April 19, 2024 at 10:04 o'clock
3 Comments
Latest comment
Hi,
Arbeitest Du mit Loopback? Falls ja, kann es sein, dass der Benutzer diese über seinen Pfad zwar nicht erbt, aber über den Pfad des Computers?
Hast Du schon mal die Anwendung der GPO für einen Benutzer (oder Gruppe) explizit verweigert?
E.
Trotzdem werden Einstellungen, z.B. die IE Startseite aus einer Gruppenrichtlinie, die auf DOM-Ebene liegt, angewandt.
Auch bei einem frischen Benutzerprofil? (und im Defaultprofile ist diese Einstellung auch nicht drin)Bem. Gruppenrichtlinienergebnis zeigt mir die Gruppenrichtlinien gleich zweimal an, Angewendete Gruppenrichtlinienobjekte und in
den Abgelehnten Gruppenrichtlinienobjekten.
Könnte es sein, das diese beiden Erwähnungen einmal unter Computer und einemal unter Benutzer sind? Das wäre dann wieder möglich.den Abgelehnten Gruppenrichtlinienobjekten.
Arbeitest Du mit Loopback? Falls ja, kann es sein, dass der Benutzer diese über seinen Pfad zwar nicht erbt, aber über den Pfad des Computers?
Hast Du schon mal die Anwendung der GPO für einen Benutzer (oder Gruppe) explizit verweigert?
E.
Ja, auch bei einem frischem Benutzerprofil. Startseite per Preferences konfiguriert.
Loopback, Ja, die ouPC enthält Computerkonten.
Die "falsche" Startseite ist auf DOM-Ebene eingestellt, unter Benutzer.
Einmal die Anwendung der GPO für den User verweigert, dann hat sie wie gewünscht nicht gezogen.
Ein zweitesmal dem Computerkonto die GPO verweigert, Resultat: Keine Auswirkung.
Loopback, Ja, die ouPC enthält Computerkonten.
Die "falsche" Startseite ist auf DOM-Ebene eingestellt, unter Benutzer.
Einmal die Anwendung der GPO für den User verweigert, dann hat sie wie gewünscht nicht gezogen.
Ein zweitesmal dem Computerkonto die GPO verweigert, Resultat: Keine Auswirkung.
Dann scheint das alles logisch zu sein.
Fazit
Man sollte mit GPO auf Domänen- oder Standort-Ebene entweder so sparsam wie möglich sein oder eben diese ausreichend einschränken, sei es nun über die ACL oder über WMI-Filter.
E.
Loopback, Ja, die ouPC enthält Computerkonten.
Die "falsche" Startseite ist auf DOM-Ebene eingestellt, unter Benutzer.
Das macht bei Loopback keinen Unterschied, wenn etwas "nur" unter Benutzer eingetragen ist. Aktiviertes Loopback (egal welcher Modus) sorgt bloß dafür, dass auch über den Pfad des Computer-Objekts nach GPO's für Benutzer gesucht wird. Er findet also über disen Weg diese GPO.Die "falsche" Startseite ist auf DOM-Ebene eingestellt, unter Benutzer.
Einmal die Anwendung der GPO für den User verweigert, dann hat sie wie gewünscht nicht gezogen.
Das ist dann die Bestätigung. GPO-Client sucht über den Pfad des Computers und liest diese GPO nicht ein, weil der Benutzer nicht darf.Ein zweitesmal dem Computerkonto die GPO verweigert, Resultat: Keine Auswirkung.
Ist klar. Das ist ja auch eine Benutzereinstellung. Der Benutzer muss die GPO lesen & anwenden dürfen.Fazit
Man sollte mit GPO auf Domänen- oder Standort-Ebene entweder so sparsam wie möglich sein oder eben diese ausreichend einschränken, sei es nun über die ACL oder über WMI-Filter.
E.
