Implementieren von GPO-Bereich und Vererbung
Richtlinieneinstellungen in GPOs definieren die Konfiguration. Sie müssen jedoch die Computer oder Benutzer angeben, für die das Gruppenrichtlinienobjekt gilt, bevor sich die Konfigurationsänderungen in einem Gruppenrichtlinienobjekt auf Computer oder Benutzer in Ihrer Organisation auswirken. Dies wird als Bereichsdefinition für ein GPO bezeichnet. Der Umfang eines Gruppenrichtlinienobjekts ist die Sammlung von Benutzern und Computern, die die Einstellungen im Gruppenrichtlinienobjekt anwenden.
Von Bedeutung
Sie definieren den Bereich eines GPOs, indem Sie es mit einer Organisationseinheit verknüpfen, die die Zielbenutzenden und -computer enthält.
Definieren des GPO-Bereichs
Sie können mehrere Methoden verwenden, um den Bereich von domänenbasierten GPOs zu verwalten. Der erste ist der GPO-Link. In AD DS können Sie GPOs verknüpfen mit:
- Standorte
- Domänen
- Organisationseinheiten
Der Standort, die Domäne bzw. die Organisationseinheit wird dann zum maximalen Bereich des GPO. Die Konfigurationen, die die Richtlinieneinstellungen im GPO angegeben werden, wirken sich auf alle Computer und Benutzer innerhalb des Standorts, der Domäne oder der Organisationseinheit aus, einschließlich der untergeordneten Organisationseinheiten. Sie können ein GPO mit mehreren Domänen, Organisationseinheiten oder Standorten verknüpfen.
Vorsicht
Das Verknüpfen von GPOs mit mehreren Websites in einer Gesamtstruktur mehrerer Domänen kann bei der Anwendung der Richtlinie Leistungsprobleme haben, und Sie sollten in dieser Situation vermeiden, dass GPOs mit mehreren Websites verknüpft werden. Dies liegt daran, dass die GPOs in einem Netzwerk mit mehreren Gesamtstrukturen und Standorten auf den Domänencontrollern in der Domäne gespeichert werden, in der die GPOs erstellt wurden. Dies hat zur Folge, dass Computer in anderen Domänen möglicherweise eine langsame WAN-Verbindung (Wide Area Network) durchlaufen müssen, um die GPOs zu erhalten.
Sie können den GPO-Bereich mit zwei verschiedenartigen Filtern, die in der folgenden Tabelle erläutert werden, weiter eingrenzen.
Filter
Beschreibung
Sicherheit
Diese geben Sicherheitsgruppen oder einzelne Benutzer- oder Computerobjekte an, die sich auf den Bereich eines Gruppenrichtlinienobjekts beziehen, auf das das Gruppenrichtlinienobjekt jedoch explizit angewendet werden soll oder nicht.
WMI
Diese geben einen Bereich mithilfe von Merkmalen eines Systems an, z. B. einer Betriebssystemversion oder freiem Speicherplatz.
Verwenden Sie Sicherheitsfilter und WMI-Filter, um den Geltungsbereich innerhalb des ursprünglichen Geltungsbereichs einzuschränken oder anzugeben, den die GPO-Verknüpfung erstellt hat. Im Folgenden sehen Sie ein Beispiel für einen WMI-Filter, der zu einer Liste von Computern unter Windows 10 führt.
select * from Win32_OperatingSystem where Version like "10.%"
GPO-Verarbeitungsreihenfolge
Die GPOs, die für einen Benutzer, Computer oder beide gelten, gelten nicht alle gleichzeitig. GPOs werden in einer bestimmten Reihenfolge angewendet. In Konflikt stehende Einstellungen, die später verarbeitet werden, können die zuerst verarbeiteten Einstellungen überschreiben.
Die Gruppenrichtlinie folgt der folgenden hierarchischen Verarbeitungsreihenfolge:
- Lokale GPOs.
- Standortverknüpfte GPOs.
- Domänenverknüpfte GPOs.
- Mit einer Organisationseinheit verknüpfte GPOs.
- Mit einer untergeordneten Organisationseinheit verknüpfte GPOs.
Von Bedeutung
In der Gruppenrichtlinienanwendung ist die Standardregel, dass die letzte Richtlinie (die spezifischste Richtlinie) angewendet wird.
Beispielsweise könnte eine Richtlinie, die den Zugriff auf die Auf domänenebene angewendete Systemsteuerung einschränkt, durch eine richtlinie, die auf der OU-Ebene für die In dieser bestimmten OE enthaltenen Objekte angewendet wird, rückgängig gemacht werden.
Wenn Sie mehrere Gruppenrichtlinienobjekte mit einer OU verknüpfen, erfolgt deren Verarbeitung in der Reihenfolge, die der Administrator auf der Registerkarte "Verknüpfte Gruppenrichtlinienobjekte der OU in der Gruppenrichtlinien-Verwaltungskonsole angibt. Standardmäßig ist die Verarbeitung für alle GPO-Links aktiviert. Sie können die GPO-Verknüpfung eines Containers deaktivieren, um die Anwendung eines GPOs vollständig für eine bestimmte Domäne oder Organisationseinheit vollständig zu blockieren. Wenn Sie z. B. vor kurzem eine Änderung an einem GPO vorgenommen haben und dadurch Produktionsprobleme verursacht wurden, können Sie die Verknüpfungen deaktivieren, bis das Problem behoben ist.
Hinweis
Beachten Sie Folgendes: Wenn das GPO mit anderen Containern verknüpft ist, wird das GPO weiterhin verarbeitet, wenn die jeweiligen Verknüpfungen aktiviert sind.
Darüber hinaus können Sie die Benutzer- oder Computerkonfiguration eines bestimmten GPOs unabhängig vom Benutzer oder Computer deaktivieren. Wenn ein Abschnitt einer Richtlinie als leer bekannt ist, kann das Deaktivieren des anderen Abschnitts die Richtlinienverarbeitung leicht beschleunigen. Wenn Sie beispielsweise über eine Richtlinie verfügen, die nur die Desktopkonfiguration des Benutzers bereitstellt, können Sie den Computerabschnitt der Richtlinie deaktivieren.
GPO-Vererbung
Sie können eine Richtlinieneinstellung in mehr als einem Gruppenrichtlinienobjekt konfigurieren, was dazu führen kann, dass Gruppenrichtlinienobjekte miteinander in Konflikt stehen. In diesem Fall bestimmt die Rangfolge der GPOs, welche Richtlinieneinstellung der Client anwendet. Ein GPO mit höherer Rangfolge hat Vorrang vor einem GPO mit niedrigerer Rangfolge. Die Rangfolge wird numerisch bestimmt. Jedes GPO hat einen Rangfolgewert. Je niedriger die Zahl, desto höher ist die Rangfolge. Daher hat ein GPO mit der Rangfolge 1 Vorrang vor allen anderen GPOs.
Das Standardverhalten von Gruppenrichtlinien besteht darin, dass GPOs, die mit einem Container höherer Ebene verknüpft sind, von Containern auf niedrigerer Ebene geerbt werden. Wenn ein Computer gestartet wird oder sich ein Benutzer anmeldet, überprüfen die Gruppenrichtlinien-Clienterweiterungen den Speicherort des Computer- oder Benutzerobjekts in AD DS und werten die GPOs aus, deren Bereich den Computer oder Benutzer beinhaltet. Anschließend wenden die clientseitigen Erweiterungen Richtlinieneinstellungen von diesen GPOs an. Richtlinien gelten sequenziell, beginnend mit den Richtlinien, die mit der Website verknüpft sind, gefolgt von denen, die mit der Domäne verknüpft sind, gefolgt von denen, die mit OUs verknüpft sind. Diese sequenzielle Anwendung von GPOs erstellt einen Effekt namens Richtlinienvererbung. Richtlinien werden geerbt. Dies bedeutet, dass der Ergebnissatz von Richtlinien (Resultsant Set of Policies, RSoPs) für einen Benutzer oder Computer die kumulative Auswirkung von Website-, Domänen- und OU-Richtlinien ist.
Vererbung blockieren
Sie können eine Domäne oder OU konfigurieren, um die Vererbung von Richtlinieneinstellungen zu verhindern. Dies wird als blockierende Vererbung bezeichnet. Um die Vererbung zu blockieren, klicken Sie mit der rechten Maustaste auf das Kontextmenü für die Domäne oder OU in der GPMC-Konsolenstruktur, und wählen Sie dann " Vererbung blockieren" aus.
Die Option „Vererbung deaktivieren“ ist eine Eigenschaft eines Containers, sodass alle Gruppenrichtlinieneinstellungen von GPOs deaktiviert werden, die mit übergeordneten Elementen in der Gruppenrichtlinienhierarchie verknüpft sind.
Vorsicht
Verwenden Sie die Option "Vererbung blockieren" sparsam, da das Blockieren der Vererbung das Auswerten der Rangfolge und Vererbung von Gruppenrichtlinien erschwert.
Tipp
Durch Filterung von Sicherheitsgruppen können Sie einen GPO-Bereich so präzise festlegen, dass es nur auf die gewünschten Benutzer und Computer angewendet wird und die Verwendung der Option „Vererbung deaktivieren“ unnötig wird.
Erzwingen einer GPO-Verknüpfung
Außerdem können Sie eine GPO-Verknüpfung erzwingen. Um eine GPO-Verknüpfung zu erzwingen, klicken Sie mit der rechten Maustaste auf die GPO-Verknüpfung in der Konsolenstruktur, und wählen Sie dann im Kontextmenü Erzwungen aus.
Wenn Sie eine GPO-Verknüpfung auf „Erzwungen“ festlegen, hat das Gruppenrichtlinienobjekt die höchste Rangfolge. Richtlinieneinstellungen in diesem Gruppenrichtlinienobjekt haben Vorrang vor allen widersprüchlichen Richtlinieneinstellungen in anderen Gruppenrichtlinienobjekten.
Von Bedeutung
Eine erzwungene Verknüpfung wird auch dann auf untergeordnete Container angewendet, wenn für diese Container „Vererbung deaktivieren“ festgelegt ist. Die Option "Erzwungen" bewirkt, dass die Richtlinie auf alle Objekte innerhalb des Gültigkeitsbereichs angewendet wird.
Die Erzwingung ist hilfreich, wenn Sie ein GPO konfigurieren müssen, das eine Konfiguration definiert, die von den IT-Sicherheits- und -Nutzungsrichtlinien Ihres Unternehmens vorgeschrieben wird. Daher sollten Sie sicherstellen, dass andere GPOs, die mit denselben oder niedrigeren Ebenen verknüpft sind, diese Einstellungen nicht außer Kraft setzen. Dies können Sie erreichen, indem Sie die Verknüpfung der GPO erzwingen.
Bewertung der Prioritäten
Um die Bewertung der GPO-Rangfolge zu erleichtern, können Sie einfach eine OU oder Domäne auswählen und dann die Registerkarte "Gruppenrichtlinienvererbung" auswählen. Auf dieser Registerkarte wird die resultierende Rangfolge von Gruppenrichtlinienobjekten angezeigt, wobei GPO-Verknüpfungen, Verknüpfungsreihenfolge, Vererbungssperre und Verknüpfungserzwingung berücksichtigt werden.
Von Bedeutung
Diese Registerkarte berücksichtigt keine Richtlinien, die mit einem Standort verknüpft sind, bzw. Sicherheits- oder WMI-Filter GPOs verwenden.
GPO-Bereich mithilfe von Sicherheitsprinzipalen filtern
Der durch eine GPO-Verknüpfung erstellte Geltungsbereich umfasst alle Benutzer und Computer im verknüpften Standort, in der Domäne oder in der OU. Mit der Sicherheitsfilterung können Sie diesen Gültigkeitsbereich eingrenzen, sodass das Gruppenrichtlinienobjekt nur auf bestimmte Sicherheitsprinzipale angewendet wird – Sicherheitsgruppen, einzelne Benutzer oder einzelne Computer.
Ein Computer oder ein Benutzer muss über zwei Berechtigungen für ein GPO verfügen, bevor der Client dessen Einstellungen anwendet:
- Lesen
- Anwenden von Gruppenrichtlinien
Standardmäßig werden beide Berechtigungen der Gruppe "Authentifizierte Benutzer " erteilt. Da authentifizierte Benutzer alle Benutzer- und Computerkonten beinhalten, die sich bei der Domäne authentifizieren, gilt ein neu verknüpftes Gruppenrichtlinienobjekt für alle innerhalb des Gültigkeitsbereichs.
Verwenden Sie zum Filtern des Geltungsbereichs den Abschnitt Sicherheitsfilterung auf der Registerkarte Geltungsbereich eines GPO:
- Entfernt authentifizierte Benutzer.
- Fügen Sie die Sicherheitsgruppen, Benutzer oder Computer hinzu, auf die das Gruppenrichtlinienobjekt angewendet werden soll.
Wenn Sie einen Prinzipal im Abschnitt "Sicherheitsfilterung" hinzufügen, gewährt die Gruppenrichtlinien-Verwaltungskonsole diesem Prinzipal automatisch die Berechtigungen " Lesen " und "Gruppenrichtlinien anwenden ".
Von Bedeutung
Nach dem Sicherheitsupdate MS16-072 ruft die Gruppenrichtlinie die Liste der GPOs im Sicherheitskontext des Computers statt in dem des Benutzers ab. Daher muss das Computerkonto mindestens über die Berechtigung Lesen für das GPO verfügen. Wenn Sie authentifizierte Benutzer aus der Sicherheitsfilterung entfernen, fügen Sie die Gruppe " Domänencomputer " (oder die relevanten Computerkonten) mit der Berechtigung "Lesen " hinzu, aber keine Gruppenrichtlinie anwenden, sodass benutzerorientierte GPOs weiterhin ordnungsgemäß verarbeitet werden.
Sie können einen Prinzipal auch explizit ausschließen. Wählen Sie auf der Registerkarte Delegierung des Gruppenrichtlinienobjekts die Option Erweitert aus, fügen Sie den Prinzipal hinzu, und legen Sie dann Gruppenrichtlinie anwenden auf Verweigern fest. Eine „Verweigern“-Berechtigung setzt ein „Zulassen“ immer außer Kraft, sodass das Gruppenrichtlinienobjekt für diesen Prinzipal nicht gilt, auch wenn es Mitglied einer einbezogenen Gruppe ist.
Tipp
Verwenden Sie "Verweigern" sparsam. Explizite Verweigern-Berechtigungen werden im Abschnitt „Sicherheitsfilterung“ nicht angezeigt, was die Fehlerbehebung sowie das Nachvollziehen von Priorität und Geltungsbereich erschweren kann.
GPO-Bereich mithilfe von WMI-Filtern filtern
Ein Windows Management Instrumentation (WMI)-Filter begrenzt den Geltungsbereich eines Gruppenrichtlinienobjekts anhand der Merkmale des Zielsystems, wie z. B. der Version des Betriebssystems, der Hardwareplattform, dem freien Speicherplatz oder ob es sich bei einem Computer um einen Laptop handelt. Ein WMI-Filter ist eine Abfrage, die in der WMI-Abfragesprache (WQL) geschrieben wurde, die für das WMI-Repository auf jedem Zielcomputer ausgewertet wird. Das GPO gilt nur, wenn die Abfrage wahr ergibt.
Das folgende Beispiel gibt "true" nur auf Computern zurück, auf denen eine Version von Windows ausgeführt wird, die mit 10 beginnt:
select * from Win32_OperatingSystem where Version like "10.%"
Das nächste Beispiel gibt „true“ nur auf Computern zurück, die einen Gehäusetyp melden, der einem tragbaren Computer (Laptop) entspricht:
select * from Win32_SystemEnclosure where ChassisTypes = "9" or ChassisTypes = "10" or ChassisTypes = "14"
Beachten Sie die folgenden Merkmale von WMI-Filtern:
- Ein Gruppenrichtlinienobjekt kann nur mit einem WMI-Filter verknüpft werden, aber ein einzelner WMI-Filter kann mit vielen GPOs verknüpft werden.
- Der WMI-Filter wird jedes Mal ausgewertet, wenn die Gruppenrichtlinie verarbeitet wird, wodurch zusätzlicher Aufwand entsteht. Die umfangreiche Verwendung von WMI-Filtern kann die Anmeldung und den Start verlangsamen.
- Eine WMI-Abfrage, die nicht erfolgreich ausgewertet werden kann (z. B. weil sie auf eine Klasse verweist, die auf dem Client nicht vorhanden ist), wird als „falsch“ behandelt, und das Gruppenrichtlinienobjekt wird nicht angewendet.
Um einen WMI-Filter anzuwenden, wählen Sie das GPO in der Gruppenrichtlinien-Verwaltungskonsole aus, und wählen Sie auf der Registerkarte "Scope" den Filter aus der Dropdownliste "WMI Filtering" aus.
Loopbackverarbeitung für Gruppenrichtlinien konfigurieren
Normalerweise stammen die Benutzerkonfigurationseinstellungen, die für einen Benutzer gelten, von den GPOs, die auf den Standort des Benutzers in AD DS festgelegt sind, und die Computerkonfigurationseinstellungen stammen von den GPOs, die auf den Standort des Computers festgelegt sind. In einigen Szenarien – z. B. Kioske, Klassenzimmer- und Laborcomputer und Remotedesktop Sitzungshosts – möchten Sie, dass die Benutzeroberfläche vom Computer bestimmt wird, bei dem sich der Benutzer anmeldet, nicht vom eigenen Kontospeicherort des Benutzers.
Die Loopbackverarbeitung wendet die Benutzerkonfigurationseinstellungen aus den GPOs an, die dem Computer zugeordnet sind, unabhängig davon, welcher Benutzer sich anmeldet. Sie aktivieren sie, indem Sie den Modus "Benutzergruppenrichtlinien-Loopbackverarbeitung konfigurieren" konfigurieren, der sich in "Computerkonfiguration\Richtlinien\Administrative Vorlagen\System\Gruppenrichtlinie" befindet. Die Einstellung bietet zwei Modi:
Mode
Verhalten
Ersetzen
Die Benutzereinstellungen, die normalerweise basierend auf dem Standort des Benutzers angewendet werden, werden nicht verarbeitet. Es gelten nur die Benutzereinstellungen in den GPOs, die auf den Computer beschränkt sind.
Zusammenführen
Die Benutzereinstellungen aus den Gruppenrichtlinienobjekten, die für den Benutzer gelten, werden zuerst angewendet, danach werden die Benutzereinstellungen aus den Gruppenrichtlinienobjekten angewendet, die für den Computer gelten. Wenn die beiden miteinander in Konflikt stehen, haben die computerspezifischen Benutzereinstellungen Vorrang, weil sie zuletzt angewendet werden.
Hinweis
Eine Loopback-Verarbeitung wirkt sich nur auf die Benutzerkonfigurationseinstellungen von Gruppenrichtlinienobjekten aus. Computerkonfigurationseinstellungen gelten immer basierend auf dem Standort des Computers in AD DS.