lernbar/content/handouts/V5-gruppenrichtlinien.md

id, titel, block, woche, worum, rahmenplan, lernfeld, merksatz, karten

id	titel	block	woche	worum	rahmenplan	lernfeld	merksatz	karten
V5	Gruppenrichtlinien – Einstellungen für alle auf einmal	server	10	Mit Gruppenrichtlinien setzt man Einstellungen zentral, statt sie an jedem Rechner von Hand vorzunehmen. Wer die Reihenfolge der Anwendung nicht kennt, sucht lange nach dem Grund, warum eine Einstellung nicht greift.	B3 A6 A8	LF10	Lokal, Standort, Domäne, OU – was zuletzt kommt, gewinnt. gpresult sagt, was wirklich angekommen ist.	frage antwort In welcher Reihenfolge werden Gruppenrichtlinien angewendet, und welche setzt sich durch? Lokal, Standort, Domäne, Organisationseinheit (von oben nach unten) – kurz LSDOU. Bei widersprüchlichen Einstellungen gewinnt die zuletzt angewendete, also die der untersten OU – es sei denn, eine höhere Richtlinie ist als erzwungen markiert. frage antwort Mit welchen Befehlen prüft und erzwingt man die Anwendung von Gruppenrichtlinien auf einem Client? gpupdate /force wendet die Richtlinien sofort neu an. gpresult /r zeigt, welche Richtlinien für Computer und Benutzer tatsächlich angewendet oder herausgefiltert wurden. frage antwort Was ist der Unterschied zwischen Computer- und Benutzerkonfiguration einer Gruppenrichtlinie? Die Computerkonfiguration wirkt auf Computerkonten und greift beim Start des Rechners, die Benutzerkonfiguration wirkt auf Benutzerkonten und greift bei der Anmeldung. Eine Richtlinie mit Benutzereinstellungen an einer OU, die nur Computer enthält, bewirkt deshalb nichts.

Das Wesentliche

• Ein Gruppenrichtlinienobjekt (GPO) bündelt Einstellungen – etwa Bildschirmsperre, Laufwerkszuordnungen, Updates, Sicherheitsoptionen – und wird an einen Standort, die Domäne oder eine OU verknüpft.
• Computer- und Benutzerkonfiguration: Die eine wirkt auf Rechner beim Start, die andere auf Benutzer bei der Anmeldung. Wirksam wird nur, was zu den Objekten in der verknüpften OU passt.
• Reihenfolge LSDOU: lokal, Standort, Domäne, OU, bei geschachtelten OUs von oben nach unten. Was später kommt, überschreibt Früheres.
• Ausnahmen: Eine als erzwungen markierte Verknüpfung setzt sich gegen tiefere durch. An einer OU lässt sich die Vererbung deaktivieren. Beides sparsam einsetzen – jede Ausnahme ist eine Stelle, an der man später sucht.
• Filtern nach Sicherheitsgruppe, wenn eine Richtlinie nur für einen Teil der Objekte gelten soll – statt dafür eine eigene OU anzulegen.
• Aktualisierung: Clients holen Richtlinien beim Start, bei der Anmeldung und danach etwa alle 90 Minuten. Manche Einstellungen, etwa Softwareverteilung, greifen erst nach Neustart oder Neuanmeldung.
• Prüfen statt raten: gpresult /r zeigt am Client, was angekommen ist und was herausgefiltert wurde. gpupdate /force wendet sofort neu an.
• Eine Richtlinie, ein Zweck. GPO-Clients-Bildschirmsperre ist auffindbar und abschaltbar; eine Richtlinie mit 80 gemischten Einstellungen ist es nicht.

Übersicht

Vorhaben	Wo einstellen
Bildschirmsperre nach 10 Minuten für alle Clients	Computerkonfiguration, verknüpft an die OU der Clients
Laufwerk S: für die Buchhaltung	Benutzerkonfiguration (Einstellungen), gefiltert auf die Gruppe der Buchhaltung
Kennwortrichtlinie der Domäne	Standard-Domänenrichtlinie
Ausnahme für einen einzelnen Testrechner	Eigene OU oder Filterung – nicht die Vererbung für alle abschalten

Prüfungsfrage

Frage: Eine neue Gruppenrichtlinie für eine Bildschirmsperre wirkt auf den Rechnern der Verwaltung nicht. Beschreiben Sie Ihr Vorgehen bei der Fehlersuche.

Antwort: (1) Prüfen, ob die Richtlinie an die richtige OU verknüpft und die Verknüpfung aktiviert ist – und ob die Rechner tatsächlich in dieser OU liegen. (2) Prüfen, ob die Einstellung im passenden Teil steht: Liegen in der OU nur Computerkonten, muss sie in der Computerkonfiguration stehen. (3) Am Client gpupdate /force ausführen, ggf. neu starten, und mit gpresult /r prüfen, ob die Richtlinie angewendet oder herausgefiltert wurde – etwa durch eine Sicherheitsfilterung. (4) Prüfen, ob eine später angewendete oder erzwungene Richtlinie die Einstellung überschreibt oder die Vererbung an einer OU deaktiviert ist. (5) Bei Fehlern in gpresult die Erreichbarkeit des Domänencontrollers und die DNS-Einstellungen des Clients prüfen.