Active Directory Grundlagen
Lektion 5 von 7
Gruppenrichtlinien und zentrale Verwaltung
Verstehe Grundlagen von Gruppenrichtlinien und zentraler Konfigurationsverwaltung.
Lernziele
Nach Abschluss dieser Lektion kannst du:
- Zweck und Aufbau eines GPO erklären
- Benutzer- und Computerkonfiguration unterscheiden
- Site-, Domain- und OU-Links einordnen
- LSDOU, Vererbung und Rangfolge vorsichtig erklären
- Security Filtering konzeptionell verstehen
- lokale Richtlinie und Domain-GPO unterscheiden
- Policy und Preference unterscheiden
- gpresult als Diagnose und gpupdate als Verarbeitungsanforderung einordnen
Zentrale Konfiguration mit GPOs
Group Policy verwaltet viele Konfigurationen für Domänenbenutzer und -computer zentral, etwa Sicherheits-, Desktop-, Skript- und Systemeinstellungen. Nicht jede Windows-Einstellung ist damit steuerbar, und GPOs sind weder nur Login-Skripte noch nur Softwareinstallation.
Ein Group Policy Object (GPO) enthält Einstellungen und wird separat verwaltet. Es lebt nicht „in einer OU“, sondern kann an unterstützte Bereiche verlinkt werden: Site, Domain oder OU. Security Groups sind keine normalen Linkziele; Security Filtering und Berechtigungen können jedoch die Anwendbarkeit einschränken.
Benutzer, Computer und Verarbeitung
Computer Configuration wird im Computerkontext verarbeitet, User Configuration im Benutzerkontext. Das klassische Merkwort LSDOU beschreibt Local → Site → Domain → OU, danach verschachtelte OUs. Spätere anwendbare Einstellungen können frühere Konflikte überschreiben, aber „der letzte Wert gewinnt immer“ ist falsch: Manche Einstellungen wirken kumulativ oder folgen besonderen Regeln.
Links und Einstellungen können entlang der AD-Hierarchie vererbt werden. Child-OUs erhalten daher mögliche Domain- und Parent-OU-Richtlinien. Block Inheritance und Enforced existieren als fortgeschrittene Ausnahmen, sollten aber nicht reflexartig das Design ersetzen.
Domain Baseline
Link an firma.test
Client Policy
Link an OU Clients
- Domain firma.test
- OU Computer
- OU Clients
- PC01
PC01 kann anwendbare geerbte Domain-Einstellungen und die Client Policy erhalten. Security Filtering und weitere Verarbeitungsregeln können den tatsächlichen Umfang verändern.
OU-Design, lokale Richtlinie und Preferences
OUs sollten Verwaltung, Delegation und GPO-Targeting unterstützen, nicht ohne Bedarf ein Organigramm kopieren. Gruppen ersetzen keine OUs. Ein eigenständiges Windows-System kann lokale Richtlinien besitzen; nach dem Domain Join verschwinden diese nicht. Anwendbare Domain-GPOs können relevante lokale Einstellungen gemäß den Verarbeitungsregeln beeinflussen oder überschreiben.
Erzwungene Policy-Einstellungen und Group Policy Preferences konfigurieren Elemente mit unterschiedlichem Verhalten. Preferences sind nicht in jeder Hinsicht so erzwungen wie Administrative-Template-Richtlinien.
Erst untersuchen, dann aktualisieren
gpresult /rA · read-only: zeigt Resultant-Set-of-Policy-Informationen für den verfügbaren Benutzer-/Computerkontext; einige Computerdetails können erhöhte Rechte benötigen
gpresult /h report.html erzeugt eine Datei und gehört deshalb nicht zur verpflichtenden read-only Übung. gpupdate fordert eine Richtlinienaktualisierung an und verändert den Verarbeitungszustand. gpupdate /force ist kein universeller erster Troubleshooting-Schritt, sondern allenfalls eine autorisierte administrative Aktion nach der Diagnose.
Übung
Gruppenrichtlinien zuordnen
Wissenscheck
OU-Targeting
Typische Fehlvorstellungen
- Falsch: „GPO und OU sind dasselbe.“
- Falsch: „GPO wird direkt an Benutzergruppen gelinkt.“
- Falsch: „gpupdate /force ist immer der erste Troubleshooting-Schritt.“
- Falsch: „Nach Domain Join gibt es keine Local Policy mehr.“
- Falsch: „LSDOU bedeutet bei jeder Einstellung: letzter Wert gewinnt.“
- Falsch: „Jede GPO gilt automatisch für jedes Objekt in der Domäne.“
Dein Lernstand
Lektion in Bearbeitung
Das Öffnen startet die Lektion. Als erledigt zählt sie erst nach deiner ausdrücklichen Bestätigung.