Verteilte GPO auf Client zurücksetzen

[Eratum]

Servus zusammen,

dank einiger interner Umstellungen müssen wir Stück für Stück unsere Clients (Vista) von einer AD-OU in eine andere "umziehen". Damit einher geht, dass es ein komplett neues set an GPOs gibt. An sich sollte das denke ich kein Problem sein, nur gibt es die Möglichkeit GPOs so bereit zu stellen, dass die getätigten Einstellungen auch mit Verteilung von neuen GPO bestehen bleiben (so lange diese nicht überschrieben werden). Entsprechende Einstellungen wurde, glaube ich, auch getätigt.

Meine Frage (ohne, dass ich jetzt ewig Zeit für Recherche aufgewendet hätte):

Was muss ich tun um meine Clients GPO-mäßig wieder in "Auslieferungszustand" zu versetzen?

Reicht löschen der secedit.sdb?

Müssen die RegKeys auch fliegen? Wenn ja: Welche?

Mein Vorgehen wäre ja jetzt:

1. Löschen der RegKeys
   
2. Löschen der secedit.sdb
   
3. gpupdate /force /boot
   

Hab ich was vergessen?

Gibt's weiteres zu beachten?

Oder ist das so wie gedacht gar nicht möglich?

Irgendwer hat sich sicher schonmal damit auseinander setzen müssen und kann ein kurzes Statement abgeben, oder?

MfG Eratum

p.s.: Die Domain bleibt die gleiche...

[Tiro]

So lange Du nicht mit GPPs arbeitest, gilt die GPO nur, wenn sich der Benutzer oder Rechner in der eingehängten OU befindet.

Ein gpupdate ist eigentlich nicht notwendig, weil die GPOs regelmäßig zwischen 60 und 120 min eh neu gezogen wird. Beim Neustart prinzipiell auch. Benutzerrichtlinien halt bei der Anmeldung.

Und die alten und neuen GPOs kannst Du ja auf die neue OU mit drauf hängen. Wenn sie nicht konkurrieren ist es schnurz. Wenn doch, dann kannst Du das ggfs. über die Hierarchie der Verarbeitungsreihenfolge lösen.

PS: löschen brauchst Du auch nichts.

[Eratum]

Danke Tiro!

Aber die alten GPO sollen ja in der Tat runter, so dass sich der Client "nackig" anmelden kann, bzw. nichts von den alten Richtlinien behält, was nicht in den neuen definiert ist.

Die "alten" GPO auf die neuen Container legen ist in unserem Fall nicht Zielführend, da sich verwaltungsmäßig einiges zentralisiert und der neue Container zunächst genutzt werden soll um zu prüfen, ob diverse Sachsen dann auch noch funktionieren.

Und dafür wär's halt blöd, wenn sich Einstellungen beharken, bzw. für die Fehlersuche hilfreich, wenn die Clientseinstellungsmäßig "nackt" sind.

Ich hoffe man kann das einigermaßen verstehen