Frage zur Gruppenrichtlinienverwaltung in einer Domäne

[Eleu]

Hallo,
angenommen man möchte bei 5 Rechnern in der Domäne, unabhängig vom angemeldeten Benutzer, dass diese 5 Rechner nicht mehr heruntergefahren werden können.
Dann könnte man es doch so machen, dass man diese 5 Rechner im AD in eine eigene Gruppe (OU) verschiebt und man dann in der Gruppenrichtlinienverwaltung eine 
neue GPO erzeugt, in der folgendes konfiguriert ist: Benutzerkonfiguration -> Richtlinien -> Administrative Vorlagen -> Startmenü und Taskleiste -> Befehle "Herunterfahren, 
"Neu starten, "Energie sparen" und "Ruhezustand" entfernen und Zugriff darauf verweigern auf aktiv gesetzt.
Diese neue GPO wäre dann nur mit dieser separaten OU verknüpft und würde nur auf diese 5 Rechner wirken. Alle anderen GPO`s in der Gruppenrichtlinienverwaltung, 
beeinflussen diese 5 Rechner dann nicht mehr..

Habe ich das richtig verstanden?

Gruß
Eleu

[Maniska]

Benutzerkonfiguration ist falsch, damit das zieht musst du das auch Benutzerkonten verknüpfen. Du suchst die selbe Einstellung unter "Computerkonfiguration", da würde es klappen.

Allerdings kannst du damit nicht verhindern, dass ein User über "Alt-F4" oder "shutdown /s" den Hobel trotzdem herunter fährt.

Nur weil es der User nicht mehr sieht, ist ja nicht weg

 

 

[Eleu]

vor 42 Minuten schrieb Maniska:

Benutzerkonfiguration ist falsch, damit das zieht musst du das auch Benutzerkonten verknüpfen. Du suchst die selbe Einstellung unter "Computerkonfiguration", da würde es klappen.

Allerdings kannst du damit nicht verhindern, dass ein User über "Alt-F4" oder "shutdown /s" den Hobel trotzdem herunter fährt.

Nur weil es der User nicht mehr sieht, ist ja nicht weg

 

 

O.k. danke dir, das hab ich kapiert.

Wenn ich unter Computerkonfiguration nichts finde, müsste ich dann im AD eine OU bilden mit einer Sub OU Benutzer und eine Sub OU Rechner. Die 5 Rechner dann in die Sub OU Rechner und die Benutzer in die Sub OU Benutzer. Die GPO dann im Gruppenrichtlinienvrwaltung mit der Stamm OU verknüpfen?

Im AD natürlich die Benutzer in der Sub OU Benutzer anlegen..

Es geht mir nur um das grundlegende Verständnis. Ist also nix konkretes..

Gruß 

Eleu

Bearbeitet 25. Juni 2020 von Eleu

[Thanks-and-Goodbye]

Du denkst viel zu kompliziert... man kann das viel eleganter lösen.

https://www.gruppenrichtlinien.de/artikel/statt-loopback-benutzer-richtlinien-auf-eine-gruppe-von-computern-filtern/

[Eleu]

vor 13 Stunden schrieb Chief Wiggum:

Du denkst viel zu kompliziert... man kann das viel eleganter lösen.

https://www.gruppenrichtlinien.de/artikel/statt-loopback-benutzer-richtlinien-auf-eine-gruppe-von-computern-filtern/

Vielen Dank.

Ich hätte noch eine Frage: In meinem Beispiel geht es ja darum, bestimmten Benutzer auf bestimmten Computern etwas zu verbieten. In dem Fall, das Herunterfahren des Computers. Nun ist es in einer Standard Domäne so, dass man z.B. für das Deaktivieren einer LAN Schnittstelle, Administratorrechte benötigt.

(Benutzerkonfiguration/Administrative Vorlagen/Netzwerk/Netzwerkverbindungen/ Aktivieren Deaktivieren einer LAN Verbindung zulassen)

 

Würde es auch über diesen Weg funktionieren, wenn ich nur bestimmten Benutzern, auf bestimmten Computern das Deaktivieren bzw. Aktivieren einer LAN Schnittstelle erlaube? In der GPO wäre dieses Element dann auf „Aktiviert“ und alles andere wäre so wie es in dem Link es beschrieben ist, vorzunehmen. Müsste doch funktionieren, oder?  Oder wird das in einer Domäne, von der default domain policy überschrieben? Es ist doch so, dass jede GPO von der default domain policy erbt, aber die Einstellungen der letzten GPO an der OU gewinnt?

 

[Maniska]

vor 14 Minuten schrieb Eleu:

Es ist doch so, dass jede GPO von der default domain policy erbt, aber die Einstellungen der letzten GPO an der OU gewinnt?

Im Normalfall gewinnt die GPO, die am nächsten am Objekt liegt, also wenn sich die spezielle GPO und die Default Domain Policy widersprechen gewinnt die GPO die direkt auf der OU liegt.

Du kannst auch im GPO-Editor schauen, ganz unten gibt es den Punkt "Gruppenrichtlinienergebnisse", da kannst du schauen welche Einstellungen von welchen Richtlinien übernommen werden wenn User X und Rechner Y "zusammenkommen".

€dit: Wenn eine Richtlinie auf der OU erzwungen wird, sticht diese allerdings afaik immer, egal was drunter ggf noch kommt.