Kuonen.VerzeichnisEine GPO gilt für alle Computer und Benutzer unterhalb des Containers, mit dem sie verknüpft ist – es sei denn, Sicherheitsfilterung, WMI-Filter oder eine gesperrte Vererbung schränken sie ein. Wer sie bearbeiten darf, regelt die Delegierung.
Sicherheitsfilterung
Reiter Bereich der GPO: oben die Verknüpfungen, darunter die Konten, für die die GPO gilt (Vorgabe: Authentifizierte Benutzer). Hinzufügen … nimmt Benutzer, Gruppen oder Computer dazu, ✕ entfernt sie. Änderungen gelten sofort; die Rechte im Ordner der GPO (SYSVOL) zieht die Oberfläche nach.
Wer „Authentifizierte Benutzer“ entfernt, nimmt ihnen nur das Recht „Gruppenrichtlinie übernehmen“; das Leserecht bleibt, weil die Computer auch die Benutzer-GPOs lesen müssen (MS16-072).
WMI-Filter
Knoten WMI-Filter im Baum: Neuer WMI-Filter legt einen Filter mit Name, Beschreibung und einer oder mehreren WQL-Abfragen an
(Namensraum meist root\CIMv2, etwa SELECT * FROM Win32_Battery für Laptops). Im Reiter Bereich einer GPO hängt man höchstens
einen Filter an. WMI-Filter löschen nimmt den Filter auch von allen GPOs.
Mac und Linux werten WMI-Filter nicht aus: Eine GPO mit WMI-Filter gilt dort nicht, und der Client nennt sie in zustand als
Hinweis. Windows wertet den Filter am PC aus.
Delegierung
Reiter Delegierung: wer die GPO lesen, ihre Einstellungen bearbeiten oder sie auch löschen und ihre Sicherheit ändern darf. Die Stufe neuer Konten wählt man vor „Hinzufügen …“, bestehende ändert man in der Zeile. Ein Konto aus der Sicherheitsfilterung behält „Lesen“; mindestens ein Konto muss die GPO voll verwalten dürfen. Selbst gebaute Rechte erscheinen als „Benutzerdefiniert“ und bleiben unberührt.
Standorte
Knoten Standorte: An einem Standort verknüpfte GPOs gelten vor denen der Domäne; „Vererbung deaktivieren“ an einer OU sperrt
auch sie. Mac- und Linux-Clients bestimmen ihren Standort über die Subnetze der Gesamtstruktur (das längste passende Präfix gewinnt),
sonst gilt der Standort ihres Domänencontrollers. Standorte und Subnetze legt man mit den RSAT-Werkzeugen („Active
Directory-Standorte und -Dienste“) oder mit samba-tool sites an.
Loopback-Verarbeitung
Karte Loopback-Verarbeitung im Computerteil einer GPO, etwa für Schulungs- oder Empfangsrechner:
| Modus | Wirkung an diesen Computern |
|---|---|
| Ersetzen | Für jeden Benutzer gelten nur die Benutzereinstellungen der GPOs, die am Computer hängen. |
| Zusammenführen | Erst die GPOs des Benutzers, dann die am Computer; diese gewinnen. |
Die Sicherheitsfilterung prüft dabei den Benutzer. Windows und der Kuonen-Client rechnen so bei jeder Anmeldung.
Richtlinienergebnis
Richtlinienergebnis im Ribbon beantwortet die Frage „Was gilt hier, und warum das andere nicht?“. Einen Computer und/oder einen Benutzer wählen (Abbrechen heisst „ohne“); bei mehreren Standorten fragt die Oberfläche nach dem Standort des Computers.
Rechts erscheinen je Teil:
- die angewendeten GPOs in Anwendungsreihenfolge (die spätere gewinnt), mit dem Container, an dem sie hängen,
- die nicht angewendeten mit Grund: Verknüpfung deaktiviert, Vererbung gesperrt, Teil deaktiviert, Sicherheitsfilterung, WMI-Filter, GPO fehlt,
- die zusammengeführten Einstellungen als Klartext.
Gerechnet wird wie auf dem Gerät, mit Loopback, wenn Computer und Benutzer gewählt sind. Einen WMI-Filter kann nur ein Windows-PC selbst auswerten; dort steht „nur wenn der WMI-Filter am PC zutrifft“.