GPO-Loopback und Sicherheitsfilterung erklärt

Beginnen Sie mit der Standardeinstellung – Authentifizierte Benutzer

Standardmäßig verfügt jedes neue Gruppenrichtlinienobjekt über einen Sicherheitsfilter: Authentifizierte Benutzer, der über die Berechtigungen Lesen und Gruppenrichtlinie anwenden verfügt. Diese Gruppe ist größer, als es sich anhört – sie umfasst jeden angemeldeten Benutzer und jedes Domänencomputerkonto – und deshalb „funktioniert“ ein neues Gruppenrichtlinienobjekt „einfach“ für alle in der Organisationseinheit, mit der es verknüpft ist. Sie können den Filter in der Gruppenrichtlinien-Verwaltungskonsole sehen: Wählen Sie das Gruppenrichtlinienobjekt aus und sehen Sie sich das Feld Sicherheitsfilterung auf der Registerkarte „Bereich“ an. Alles in diesem Video ist eine bewusste Änderung dieser Vorgabe – und jede Überraschung beginnt dort.

Aktivieren Sie die Loopback-Verarbeitung

Die Loopback-Verarbeitung ist eine Computer-Einstellung. Bearbeiten Sie das Gruppenrichtlinienobjekt, das mit der Organisationseinheit verknüpft ist, in der sich die Computer befinden, und gehen Sie zu Computerkonfiguration → Richtlinien → Administrative Vorlagen → System → Gruppenrichtlinie. Öffnen Sie Benutzergruppenrichtlinien-Loopback-Verarbeitungsmodus konfigurieren und setzen Sie ihn auf Aktiviert. Von diesem Moment an werden die Benutzereinstellungen für jeden, der sich an diesen PCs anmeldet, von den Gruppenrichtlinienobjekten übernommen, die mit der Organisationseinheit des Computers verknüpft sind, und nicht nur von der eigenen Organisationseinheit des Benutzers. Loopback ändert nie die Computerhälfte der Richtlinie – Computereinstellungen werden immer normal verarbeitet.

Wählen Sie den Modus „Zusammenführen“ oder „Ersetzen“.

Die gleiche Einstellung fragt nach einem Modus, und die Auswahl ändert alles. Ersetzen überspringt die eigenen benutzerseitigen Gruppenrichtlinienobjekte des Benutzers vollständig – es gelten nur die Benutzereinstellungen der Gruppenrichtlinienobjekte des Computers. Dies ist der Modus für Kioske, Klassenzimmer und RDS-Server, bei denen die Maschine jedem eine identische, kontrollierte Umgebung bieten muss. Merge wendet zuerst die eigenen GPOs des Benutzers an und wendet dann die Benutzereinstellungen des Computers darüber an – und die Einstellungen des Computers gewinnen bei jedem Konflikt. Merge eignet sich für normale PCs, bei denen die Person die meisten ihrer üblichen Richtlinien behält, die Regeln der Maschine jedoch das letzte Wort haben müssen.

Richten Sie das Gruppenrichtlinienobjekt mit Sicherheitsfilterung aus

Mithilfe der Sicherheitsfilterung verhindern Sie, dass ein Gruppenrichtlinienobjekt an alle Personen in der Organisationseinheit weitergeleitet wird. Wählen Sie das Gruppenrichtlinienobjekt in der Konsole aus, öffnen Sie die Registerkarte Bereich und entfernen Sie im Abschnitt Sicherheitsfilterung Authentifizierte Benutzer und fügen Sie nur die Gruppe hinzu, die die Richtlinie erhalten soll. Um ein Gruppenrichtlinienobjekt zu erhalten, muss ein Konto sowohl die Gruppenrichtlinie lesen als auch anwenden. Bei nur einer dieser beiden Richtlinien wird das Gruppenrichtlinienobjekt entweder nie heruntergeladen oder aufgelistet, sondern übersprungen. Filtern ist die Standardmethode, um eine neue Richtlinie zunächst für eine kleine Gruppe zu testen oder eine einzelne Abteilung anzusprechen, ohne ein einzelnes Konto zwischen OUs zu verschieben.

Behalten Sie die Leseberechtigung der Computer bei (MS16-072)

Dies ist die Falle, die Administratoren seit Juni 2016 beschäftigt. Das Sicherheitsupdate MS16-072 hat die Art und Weise geändert, wie Gruppenrichtlinien abgerufen werden: Das Computerkonto ruft jetzt Benutzer-GPOs vom Domänencontroller im eigenen Sicherheitskontext des Computers ab. Daher muss der Computer über die Berechtigung Lesen für jedes GPO verfügen, das er abruft – einschließlich Benutzer-GPOs, die nach einer Gruppe gefiltert sind, der der Computer nicht angehört. Wenn Sie im vorherigen Schritt authentifizierte Benutzer entfernt haben, öffnen Sie die Registerkarte Delegierung des Gruppenrichtlinienobjekts, klicken Sie auf Hinzufügen und erteilen Sie authentifizierten Benutzern (oder Domänencomputern) nur die Berechtigung Lesen – das Lesen ist alles, was die Maschine benötigt; Bewerben bleibt bei Ihrer Zielgruppe.

Wenn Loopback und Filterung aufeinandertreffen

Die beiden Steuerelemente interagieren, und die Interaktion begeistert selbst erfahrene Administratoren. Die Benutzereinstellungen, die Loopback liefert, befinden sich weiterhin in Gruppenrichtlinienobjekten, die mit der Organisationseinheit des Computers verknüpft sind – aber es handelt sich weiterhin um Benutzereinstellungen, sodass die Person an der Tastatur weiterhin Gruppenrichtlinien anwenden auf diesem Gruppenrichtlinienobjekt anwenden muss und der Computer sie weiterhin lesen muss. Wenn Sie den Filter für ein Loopback-GPO nur auf eine Computergruppe verschärfen, ruft der Computer brav ein GPO ab, dessen Benutzereinstellungen niemand, der an ihm sitzt, anwenden darf: ein perfekt konfiguriertes Kiosk-GPO, das stillschweigend nichts liefert. Bevor Sie der Richtlinie selbst die Schuld geben, überprüfen Sie beide Hälften des Berechtigungspaars.

Beweisen Sie es mit gpresult

Raten Sie nicht – überprüfen Sie. Öffnen Sie auf dem betroffenen PC in der Sitzung des betroffenen Benutzers die Eingabeaufforderung und führen Sie den Proof-Befehl des Videos aus:

gpresult /h report.html

Öffnen Sie die generierte report.html und lesen Sie die Urteile. Angewandte Gruppenrichtlinienobjekte werden oben aufgeführt, und jedes abgelehnte Gruppenrichtlinienobjekt trägt seinen Grund: Verweigert (Sicherheit) bedeutet eine Filterentscheidung, Verweigert (nicht zugänglich) bedeutet einen Abruf- oder Berechtigungsfehler und Verweigert (leer) bedeutet, dass die Hälfte des Gruppenrichtlinienobjekts einfach keine Einstellungen hat. Wenn Loopback funktioniert, ist der Fingerabdruck unverkennbar – die GPOs, die die Benutzereinstellungen liefern, stammen aus der Organisationseinheit des Computers. Bearbeiten Sie die Beweise in dieser Reihenfolge – Umfang, Filter, Loopback – und die meisten Fälle „GPO nicht anwendbar“ erklären sich von selbst.