Server 2008: Reg.Schlüssel werden per GPO nicht konsequent verteilt

[ibicis]

Ich habe eine Sicherheitseinstellung von Access, welche nicht durch eine ADM definiert wird, per Verteilung des Reg.Schlüssels auf Clients einer Domäne angewandt. Es betrifft diesen Schlüssel:

[HKEY_CURRENT_USER\Software\Microsoft\Office\12.0\Access\Security]

"VBAWarnings"=dword:00000001

Angelegt habe ich die Einstellung in Benutzerkonf. > Einstellungen > Windowseinstellungen > Registrierung. Ich wählte diesen Weg, da ich keine ADM fand, in der diese Einstellung möglich ist.

Die meisten Clients nehmen die Einstellung an und Makros werden ohne Warnung zugelassen. In demselben GPO habe ich per ADM noch eine weitere Einstellung definiert. Die Einstellung des ADM wird von allen Clients akzeptiert, jedoch nicht der Reg.Schlüssel. Es betrifft 1 XP- und 1 Vista-Client, die den Reg.Schlüssel nicht anwenden. Eine Reproduzierbarkeit/Gemeinsamkeit zw. beiden Rechnern ist nicht zu erkennen. Ich hatte zuerst Kaspersky AV in Verdacht, deaktivierte den proaktiven Schutz und schoss es schlussendlich komplett ab, trotzdem wird das GPO nicht übernommen.

Sind etwaige Fehler im Verteilen von Reg.Schlüsseln durch den Server 2008 bekannt bzw. Konstellationen an Clients, die die Verarbeitung trotz positiver Meldung nach "gpupdate /force" verhindern? Vergaß ich irgend etwas entscheidendes?

Danke vorab für jede konstr. Hilfe.

[lupo49]

Heißt das jetzt, das es nach einem manuellen "gpupdate /force" auch nicht gesetzt wird?

Was sagt gpresult und/oder rsop.msc (Ausgabe posten)?

Treten relevante Meldungen in der Ereignisanzeige auf?

[ibicis]

Heißt das jetzt, das es nach einem manuellen "gpupdate /force" auch nicht gesetzt wird?

Genau. Witzigerweise finde ich in "Gruppenrichtl.ergebnisse > Richtl.ereignisse" beim User keine Fehler, obwohl das GPO nicht greift.

Was sagt gpresult und/oder rsop.msc (Ausgabe posten)?

Ich habe mal die Gruppenrichtl.ergebnissätze von beiden PCs als Anhang angefügt.

Treten relevante Meldungen in der Ereignisanzeige auf?

Nein, und nach gpupdate /force nur dies:

Protokollname: System

Quelle: Microsoft-Windows-GroupPolicy

Datum: 30.07.2009 16:14:56

Ereignis-ID: 1502

Aufgabenkategorie:Keine

Ebene: Informationen

Schlüsselwörter:

Benutzer: SYSTEM

Computer: user2-pc

Beschreibung:

Die Gruppenrichtlinieneinstellungen für den Computer wurden erfolgreich verarbeitet. Es wurden neue 4-Gruppenrichtlinienobjekte erkannt und angewendet.

Die Gruppenrichtlinieneinstellungen für den Benutzer wurden erfolgreich verarbeitet. Es wurden neue 5-Gruppenrichtlinienobjekte erkannt und angewendet.

rsop.zip

[ibicis]

Das hatte ich noch vergessen:

Der Account von user2 befindet sich in der OU "Technik", mein Account steckt eine Ebene darunter in einer OU "Test".

technik (user2) < GPO ist hier verknüpft

|_test (user1)

Das GPO wird also durch Vererbung zu meiner OU durchgereicht. Doch selbst wenn ich mich selbst nach "Technik" verschiebe, bleibt der Effekt bestehen. Die Option "Erzwungen" ändert nichts am Effekt.