Vollständiges Tutorial zum Active Directory-GPO ⚡ Benutzer- und Computerrichtlinien erklärt

Was ein GPO eigentlich ist

Ein Gruppenrichtlinienobjekt ist einfach ein benanntes Einstellungspaket. Von alleine macht es nichts. Es beginnt erst zu funktionieren, wenn Sie es mit einem Container verknüpfen – einer Site, der Domäne oder einer Organisationseinheit (OU) – und gilt dann für die Benutzer- oder Computerkonten innerhalb dieses Containers.

Daraus ergeben sich zwei Tatsachen. Erstens sind das Bearbeiten eines Gruppenrichtlinienobjekts und das Verknüpfen eines Gruppenrichtlinienobjekts zwei separate Aufgaben. Ein perfekt konfiguriertes GPO, das nirgendwo verlinkt ist, ändert nichts. Zweitens kann ein GPO mit mehreren OUs verknüpft werden und eine OU kann viele GPOs empfangen.

Alles in diesem Tutorial geschieht in einer Konsole – der Gruppenrichtlinien-Verwaltungskonsole. Öffnen Sie es auf dem Domänencontroller oder auf einem beliebigen PC, auf dem die RSAT-Tools installiert sind, über das Feld „Ausführen“:

gpmc.msc

Computerrichtlinie vs. Benutzerrichtlinie – die beiden Hälften

Öffnen Sie ein beliebiges Gruppenrichtlinienobjekt und Sie sehen die gleichen zwei Abschnitte: Computerkonfiguration und Benutzerkonfiguration. Es handelt sich nicht um zwei Ansichten einer Liste, sondern um zwei unterschiedliche Toolboxen mit unterschiedlichen Einstellungen, die zu unterschiedlichen Zeiten auf unterschiedliche Konten angewendet werden.

Computerkonfiguration gilt für das Computerkonto. Es wird beim Starten des PCs verarbeitet, bevor sich jemand anmeldet. Softwareinstallation für Maschinen, Startskripte, USB-Blockierung, Windows Update-Verhalten und Sicherheitseinstellungen live hier.

Die Benutzerkonfiguration gilt für das Benutzerkonto. Es wird verarbeitet, wenn sich ein Benutzer an einem beliebigen PC anmeldet. Hier leben Hintergrundbilder, Laufwerkszuordnungen, Ordnerumleitung, Anmeldeskripts und Systemsteuerungsbeschränkungen.

Wo Sie verlinken, entscheidet darüber, wer es erhält

Gruppenrichtlinienobjekte sind auf drei Ebenen verknüpft: Standort (ein physischer Bürostandort), Domäne (jeder) und OU (eine Abteilung oder Gruppe). In kleinen und mittleren Büros erfolgt fast jede Verknüpfung auf OU-Ebene, da Sie Konten zunächst in OUs organisieren – eine für Büro-PCs, eine für Mitarbeiterbenutzer, eine für Laptops und so weiter.

Die beiden standardmäßig vorhandenen Gruppenrichtlinienobjekte – Standarddomänenrichtlinie (Passwort- und Kontoregeln) und Standarddomänencontrollerrichtlinie – lassen Sie am besten weitgehend unverändert. Erstellen Sie Ihre eigenen GPOs für Ihre eigenen Einstellungen, sodass Sie diese deaktivieren können, ohne die Standardeinstellungen zu ändern.

Erstellen, konfigurieren und verknüpfen Sie Ihr erstes GPO

Klicken Sie in gpmc.msc mit der rechten Maustaste auf Gruppenrichtlinienobjekte → Neu → geben Sie ihm einen Namen, der angibt, was es tut, z. B. Block-USB-Drives. Ehrliche Benennung ist wichtig: Nach sechs Monaten hat ein Büro vierzig Gruppenrichtlinienobjekte, und Namen wie „Neues Gruppenrichtlinienobjekt“ oder „Test2“ sagen nichts aus – Name nach Auftrag, nicht nach Datum.

Klicken Sie mit der rechten Maustaste auf das neue Gruppenrichtlinienobjekt → Bearbeiten. Der Editor öffnet sich mit den beiden Hälften. Konfigurieren Sie Ihre Einstellungen in der richtigen Hälfte und schließen Sie den Editor.

Klicken Sie in der GPMC mit der rechten Maustaste auf die Ziel-Organisationseinheit → Vorhandenes Gruppenrichtlinienobjekt verknüpfen → wählen Sie Ihr Gruppenrichtlinienobjekt aus. Starten Sie den Client-PC neu (für Computereinstellungen) oder melden Sie sich ab und wieder an (für Benutzereinstellungen) – oder erzwingen Sie die Aktualisierung mit den Befehlen im nächsten Schritt.

Erzwinge es und beweise es – gpupdate und gpresult

Richtlinien werden ungefähr alle 90 Minuten von selbst aktualisiert (mit einem zufälligen Versatz), aber niemand testet das langsam. Öffnen Sie auf dem Client-PC die Eingabeaufforderung und führen Sie Folgendes aus:

gpupdate /force
gpresult /r
gpresult /h report.html

gpupdate /force wendet jetzt alle Richtlinien erneut an. Einige Einstellungen erfordern ehrlich gesagt immer noch einen Neustart (Computereinstellungen, Softwareinstallationen) oder eine neue Anmeldung (Benutzereinstellungen) – /force kann die Physik nicht überspringen.

gpresult /r ist die Quittung: Sie listet genau auf, welche Gruppenrichtlinienobjekte auf den Computer und den Benutzer angewendet wurden und welche herausgefiltert wurden und warum. Für einen lesbaren Bericht erstellt gpresult /h report.html eine HTML-Seite, die jede erfolgreiche Einstellung und das Gruppenrichtlinienobjekt (GPO) zeigt, von dem sie stammt. Beurteilen Sie ein Gruppenrichtlinienobjekt niemals nach Hoffnung – gpresult /r sollte der erste Befehl sein, den Sie ausführen, wenn eine Richtlinie „nicht funktioniert“.