docusnap-dude
Goto Top

WMI Filter bauen für OU

WMI Filter zum setzen in einer GPO

Hallo,

ihr merkt schon ich bin derzeit Dauergast. heute nun:

ich hab da eine Policy für Users. diese soll aber nur für Computerkonten gelten, welche in einer speziellen OU sind.

Beispiel: Policy soll gelten für User PeterPan aber nur auf dem Laptop NB0815 und nicht auf dem Desktop PC4711.

Verlinken der Policy: ja schön aber der Container User existiert nicht um dort die verlinkung im AD zu setzen.

Nun suche ich eine WMI-filterung; aber wie!

Danke für eure Hilfe.

Frank

Content-Key: 130793

Url: https://administrator.de/contentid/130793

Ausgedruckt am: 28.03.2024 um 15:03 Uhr

Mitglied: -bugg-
-bugg- 02.12.2009 um 20:25:21 Uhr
Goto Top
Hallo

vielleicht versteh ich dein Problem falsch, aber warum verknüpfst du nicht die GPO mit dem Maschinenkonto ?

-bugg-
Mitglied: DocuSnap-Dude
DocuSnap-Dude 02.12.2009 um 20:31:17 Uhr
Goto Top
Weil: Maschinenkonto kein Thema jedoch: es ist ein Usersetting; kein Machinesetting. Die Policy zieht aber nunmal nur auf Userebene. Da der User aber nicht in der OU "Workstations" ist gehts nicht. Oder hab ich nen Denkfehler?
Mitglied: -bugg-
-bugg- 02.12.2009 um 20:37:27 Uhr
Goto Top
Du kannst der OU in der deine PCs stecken eine Richtlinie zuordnen in der du Benutzerkonfigurationen eintragen kannst. Folglich zieht die Richtlinie für Benutzer die sich an diesem PC anmelden und wenn sie an einem anderen (andere OU) sind nicht. Fällt mir jetzt so aus dem Kopf ein verbessere mich wenn das falsch ist.
Mitglied: DocuSnap-Dude
DocuSnap-Dude 02.12.2009 um 20:42:42 Uhr
Goto Top
See my commands:


Du kannst der OU in der deine PCs stecken eine Richtlinie zuordnen in
der du Benutzerkonfigurationen eintragen kannst.

Richtig; dort sind Policys drinne (in der OU "Workstations" welche auch funktionieren auf Machine-ebene)

Folglich zieht die Richtlinie für Benutzer die sich an diesem PC anmelden und wenn sie an einem anderen (andere OU) sind nicht.

Nein; es werden trotz hinzugfügten "authenticated USers" nur die Machinesettings durchgesetzt; nicht die Usersettings


Sprich: ich möchte auf der Machine ein Spezielles Usersetting setzen welches nicht umgestezt wird (teste das mit rsop.msc)

Meinst du ich sollte einfach mal "everyone" dort setzen?
Mitglied: -bugg-
-bugg- 02.12.2009 um 20:51:57 Uhr
Goto Top
ich kann jetzt nur spekulieren. ich meine aber das ich sowas schonmal machen musste ich schau morgen auf der arbeit mal nach und wenn ich es finde poste ichs hier rein.
Mitglied: DocuSnap-Dude
DocuSnap-Dude 02.12.2009 um 20:53:17 Uhr
Goto Top
Danke Dir. Wie gesagt: ich möchte den HKEY-Current_User per GPO beeinflussen und nicht den HKEY_local_Machine aber NUR auf bestimmten rechnern (daher meine Denkweise mit WMI-Filtern)
Mitglied: -bugg-
-bugg- 02.12.2009 um 20:56:05 Uhr
Goto Top
wenn du grade von registry sprichst. Welches OS läuft auf dem Server? Falls Win 2008 kannst du dir mal GPP http://www.gruppenrichtlinien.de/index.html?/Vista/gpp_group_policy_pre ... anschauen. Damit kann man recht einfach Einträge in der Registry verändern auch auf Maschinenebene.
Mitglied: DerWoWusste
DerWoWusste 03.12.2009 um 00:25:42 Uhr
Goto Top
http://support.microsoft.com/kb/231287 wäre schonmal eine Möglichkeit. Auch per GPPs kann man eine solche Filterung erlangen, wie Du sie wünscht (genannt "item level targeting").
Mitglied: DocuSnap-Dude
DocuSnap-Dude 03.12.2009 um 09:49:38 Uhr
Goto Top
Win2003 in Umgebung mit XP-Clients
Mitglied: DerWoWusste
DerWoWusste 03.12.2009 um 10:42:44 Uhr
Goto Top
@-bugg-
Falls Win 2008 kannst du dir mal GPP http://www.gruppenrichtlinien.de/index.ht ... anschauen
Auch mit Windows 2000 oder 2003 gehen GPPs. Dazu muss man die Server über RSAT von Vista oder Windows 7 aus verwalten.
Mitglied: DocuSnap-Dude
DocuSnap-Dude 03.12.2009 um 11:49:28 Uhr
Goto Top
Hey der Link war gut! Das kannte ich überhaupt noch nicht!

hast du noch eine idee wie ich ein automatisches Synchro der Policies & Loginscripts hinbekomme? ich würd gern das der Client automatisch die Loginscripte vom Server kopiert damit diese auch laufen wenn er Offline ist (suche da irgendeine policy evtl.). Gibt ja den Pfad %systemroot%\system32\GroupPolicy\Machine\Scripts und der ist standardmäßig auf den Clients leer.
Mitglied: DerWoWusste
DerWoWusste 03.12.2009 um 19:39:41 Uhr
Goto Top
Du kannst auf den Clients eine lokale GPO festlegen, die ein Anmeldeskript setzt. Dann packst Du an dessen Stelle immer eine Kopie der gerade aktuellen Skripte, die Du nutzen willst (wiederum einfach per Dom.-Abmeldeskript kopieren lassen) - so läuft es auch offline. Sogar den Pfad zum Anmeldeskript kannst Du automatisch setzen lassen - dies müsste ein Registryeintrag sein, such den Pfad eines manuell gesetzten Skriptes mal in der Registry.
Mitglied: -bugg-
-bugg- 03.12.2009 um 20:32:59 Uhr
Goto Top
Also bei uns werden Benutzerdefinierte GPOs ausgeführt, welche mit der OU der Workstations verknüpft sind.
Mitglied: DerWoWusste
DerWoWusste 03.12.2009 um 21:05:30 Uhr
Goto Top
Sicher. Das erzähl mal den AD-Leuten bei MS face-smile Der erste Grundsatz ist doch: Benutzerrichtlinien wirken nur auf Benutzerobjekte und Comp. auf Compobjekte.
Bei gpresult steht dann: rausgefiltert.
Mitglied: -bugg-
-bugg- 03.12.2009 um 21:27:45 Uhr
Goto Top
Hatte vorhin nicht viel Zeit zum schreiben, habe mich vll nicht richtig ausgedrückt. Ich habe über GPPs Registry Keys verändert für Local Machine und Users.
Das funktioniert auf Maschinenebene. So hoffe jetzt stimmts face-wink
Mitglied: DerWoWusste
DerWoWusste 03.12.2009 um 21:33:40 Uhr
Goto Top
Das stimmt nur, wenn man "item level targeting" benutzt - keinen Plan, wie das auf Deutsch heißt.
Mitglied: DocuSnap-Dude
DocuSnap-Dude 04.12.2009 um 09:59:37 Uhr
Goto Top
und du hast da nur die "Authentticated users" als Policy-Security-Filtering - Users eingefügt? bei mir geht das echt nur wenn ich die oben beschriebene GPP-Option (das Looping) setze.
Mitglied: Cobra77
Cobra77 15.03.2010 um 09:40:46 Uhr
Goto Top
Mitglied: DocuSnap-Dude
DocuSnap-Dude 15.03.2010 um 15:41:50 Uhr
Goto Top
Hää? Was will mir Cobra damit sagen? Irgendwie leer deine Antwort :-S