Richtlinien und Benutzerprofile. Wie sichere ich mein Netzwerk?

Transkript

1 und Benutzerprofile Wie sichere ich mein Netzwerk?

2 IntelliMirror Verwaltung der Benutzereinstellungen Durch die Verwendung von Richtlinien kann der Administrator die Arbeitsumgebung des Benutzers steuern und er kann Active Directory ry nutzen, um diese Richtlinien u ber das Netzwerk verfu gbar zu machen. Verwaltung der Benutzerdaten Mit Hilfe der Funktionen von Active Directory fu r die Steuerung der Einstellungen fu r Benutzerprofile, Anmeldeskripte und Gruppenrichtlinien kann der Administrator sicherstellen, daä der Benutzer u ber eine einheitliche Speicherstruktur verfu gt. Diese Plattform sorgt daru ber hinaus auch fu r die Replikation und Sicherung der Benutzerdaten. Installieren und Warten von Software Durch die Verknu pfung der Software-Installation mit der Leistungsfahigkeit von Active Directory konnen Sie sicherstellen, daä eine Anwendung auch vorhanden ist, wenn sich der Benutzer an der Domane anmeldet, und daä diese auch betriebsbereit ist. NASS e.k. 2

3 Steuerungskonzepte Sicherheit und Komfort Aus sicherheitstechnischer Sicht ist das Haus, in das am wenigsten wahrscheinlich eingebrochen wird, dasjenige, das nicht zu sehen ist. Ein guter Mensch, der den Ordner fu r die Gehalter nie auf dem d Server sieht, wird aller Wahrscheinlichkeit nach ein guter Mensch bleiben. Ein Hacker, der das Symbol Netzwerkumgebung nicht sieht, wird sich die Liste der Server wohl eher nicht ansehen. Wenn W die Eingangstu r nicht zu sehen ist, ist die Versuchung einzubrechen nicht so gro». Das zweitsicherste Haus ist das, das gut beleuchtet ist. Wenn der Dieb davon ausgehen muss, von allen gesehen zu werden, wenn er in das Haus eindringt, ist die Versuchung weitaus geringer. Wenn Benutzern ein bestimmtes Aussehen und Gefu hl gegeben wird, wird ihnen bewusster, da»sie sich an einer Stelle befinden, an der sie sich eigentlich nicht befinden du rften. NASS e.k. 3

4 Beispiel Steuerungskonzepte Ein Beispiel dafu r ist ein Schulsystem, bei dem fu r die Anmeldung der Lehrer und Administratoren andere Symbole / Hintergru nde verwendet werden, als fu r die der Schu ler. Wenn ein Lehrer an einem Computer vorbeigeht und einen Schu ler mit dem Hintergrund fu r Lehrer auf dem Bildschirm sieht ( z.b. hellblau ), ist der SchuS ler ertappt. Der Schu ler wird auch nicht lange vor einem Bildschirm sitzen, der ruft: «Ich will gerade einbrechen.ö Fu r die meisten Benutzer ist es ein Alptraum, in einer Umgebung arbeiten zu mu ssen, in der sie die Daten von anderen vernichten oder vertrauliche Daten versehentlich sehen ko nnen. Es ist am besten, diese Benutzer in einer Arbeitsumgebung unterzubringen, die nur deren Tools und Daten enthalt. So befinden sich Benutzer in einer Umgebung, in der sie alle dargestellten Ressourcen nutzen ko nnen, ohne derartige Missgeschicke fu rchten zu mu ssen. Windows 2000 bietet wie Windows NT auch schon Tools, mit denen die Benutzerumgebung gesteuert und einige dieser Mo glichkeiten besser verfu gbar und nutzbar gemacht werden ko nnen. Zu diesen Tools geho ren die Benutzerprofile und die Richtlinien als Teil des Active Directory. NASS e.k. 4

5 Profile lokal Ein lokales Profil ist ein Profil, das vom lokalen Rechner angezeigt wird, wenn sich der Benutzer anmeldet. Wenn der Administrator keine andere Art von Profilen erstellt, ist dies das einzige Profil, das erstellt wird. Das Profil wird als lokal bezeichnet, da es sich auf dem lokalen Rechner befindet und jeweils pro Rechner erstellt wird. Daher wirken sich die Einstellungen, die auf einem Rechner definiert wurden, auf einem anderen Rechner nicht aus. Bei Windows 2000 sind lokale Profile im Verzeichnis Dokumente und Einstellungen\[USERNAME] im Ordner des Betriebssystems gespeichert. Wenn Sie diesen Ordner o ffnen, ko nnen Sie die Elemente im Startmenu und auf dem Desktop anzeigen und andern. NASS e.k. 5

6 NASS e.k. 6

7 Profile servergespeichert ( Windows NT/2000 ) Servergespeicherte Profile bieten eine Mo glichkeit, die Profileinstellungen auf jedem Arbeitsplatzrechner,, an dem sich der Benutzer anmeldet, verfu gbar zu machen. Ein servergespeichertes Profil muss nicht von v einem kontrollierten Konto aus erstellt werden. Es kann von jedem Konto o aus erstellt werden, das u ber ein Profil verfu gt, das unter Arbeitsplatz auf der Registerkarte Benutzerprofile aufgefu hrt ist. Daher sieht der Reisebezirksleiter seinen Desktop auch dann, wenn er wieder in einem e neuen Bu ro ankommt, denn sein Profil wird direkt von seinem Computer kopiert. Das, was im Eifer des Gefechts bei servergespeicherten Profilen haufig vergessen wird, ist, da die erforderlichen Ressourcen am neuen Standort auch verfu gbar sein mu ssen. Wenn beispielsweise ein Logo im Profil als Hintergrundbild gewahlt wird und dieses auf dem anzumeldenden Rechner nicht vorhanden ist, wird das Logo nicht als Hintergrundbild erscheinen. Wenn die Netzwerkfreigabe fu r die Zuweisung eines Laufwerks fehlt, wird das Laufwerk nicht zugewiesen. Schwierig wird es, wenn die «fehlende Ressourceö dazu fu hrt, da»eine Anwendung nicht mehr richtig oder u berhaupt nicht mehr funktioniert. Servergespeicherte Profile funktionieren in einer Umgebung mit Systemen S am besten, die mit identischer Software arbeiten. NASS e.k. 7

8 Profile verbindlich Verbindliche Profile verhindern, da»benutzer freigegebene Profile so andern, da»diese diese von anderen Benutzern nicht mehr verwendet werden ko nnen. Aus einem servergespeicherten Profil ein verbindliches zu machen, ist sehr einfach. Dazu mu ssen Sie lediglich die Datei NTUSER.DAT im Verzeichnis Profiles in NTUSER.MAN umbenennen. Diese Datei kann an unterschiedlichen Stellen gespeichert sein, je nachdem, wie Sie die Einstellungen der Benutzerprofile gespeichert haben. Der Standardspeicherort der Datei ist jedoch die NETLOGON-Freigabe des Doma nencontrollers.. Geben Sie in der Eingabeaufforderung einfach folgenden Befehl ein: ren ntuser.dat ntuser.man Bestatigen Sie mit der (Enter)-Taste. Wenn sich der Benutzer das nachste Mal anmeldet, ist das Profil verbindlich. NASS e.k. 8

9 Profile servergespeichert ( Windows 95/98 ) Servergespeicherte Windows 95/98-Profile sind zu Windows 2000-Profilen nicht kompatibel und werden anders gespeichert. Sie mu ssen folgende A nderungen am Netzwerk vornehmen, um servergespeicherte Profile fu r ein Windows 95/98-System zu verwalten: Sie mu ssen Benutzerprofile in Windows 95/98 aktivieren. Benutzerprofile werden bei Windows 95/98 in Ordnern im Verzeichnis PROFILES im Betriebssystemverzeichnis ( \Windows\Profiles ) erstellt. Wenn Profile aktiviert worden sind, gibt es hier fu r jeden Benutzer, der sich am Rechner angemeldet hat, ein Verzeichnis. Bei Windows 9x ist fu r das Erstellen eines servergespeicherten Profils P kein spezieller Kopiervorgang erforderlich.. Sie brauchen jedoch einen bestimmten Speicherort fu r Ordner und Dateien. Bei Windows 9x muss das Profil im Basisverzeichnis des Benutzers gespeichert werden. Daher muss ein Benutzer mit einem servergespeicherten Profil u ber ein Basisverzeichnis verfu gen. Fu r diese Benutzer ko nnen Sie auch ein verbindliches Profil erstellen. ellen. Aber auch dafu r ist ein Basisverzeichnis erforderlich. Um ein verbindliches Profil zu erstellen, erstellen Sie einfach ein servergespeichertes Profil und benennen Sie die Datei USER.DAT in jedem Verzeichnis, in das die Datei kopiert wird, in USER.MAN um. NASS e.k. 9

10 Einfu hrung Eine Benutzer- oder Gruppenrichtlinie steuert entsprechend der gewahlten Optionen die Registrierung von Windows 2000 sowie das Verhalten des Betriebssystems. Der Hauptunterschied zwischen einer Richtlinie und einem Profil besteht darin, da»bei einer Richtlinie aus einem Menu von Elementen die Elemente gewahlt werden ko nnen, die gesteuert werden en sollen, und da»die die Richtlinien Einzelnen oder Gruppen zugewiesen werden ko nnen. Ein Vergleich, der vielleicht hilft, da»sie sich unter Windows Richtlinien etwas vorstellen ko nnen: Stellen Sie sich diese Richtlinien einfach wie einen Unterbrecherschalter rschalter vor. Wenn jede Funktion des Betriebssystems an einer gro»en Schalttafel mit einem Schalter zu aktivieren bzw. zu deaktivieren ware, dann ware die Schalttafel vergleichbar mit den Richtlinien. Mit Hilfe der Richtlinien kann ein Administrator eine Funktion aktivieren, deaktivieren oder unverandert lassen. Wie bei Schalttafeln bleiben die Richtlinien von Windows NT und Windows 95/98 so, wie sie definiert wurden, bis sie wieder geandert werden. Im nachfolgenden ein Beispiel NASS e.k. 10

11 Beispiel Hier sind die Richtlinien fu r den Benutzer und den Desktop dargestellt. In diesem Beispiel kann der Administrator die Funktion deaktivieren, die dafu r sorgt, da»das das Symbol fu r die Netzwerkumgebung auf dem Desktop zu sehen ist. Es ist nicht viel Phantasie notwendig, um zu erkennen, wie sinnvoll es ist, die Ressourcen zu verstecken, die sich hinter diesem Symbol verbergen. NASS e.k. 11

12 Containerobjekte Windows 2000-Richtlinien beziehen sich auf Gruppen in Containerobjekten.. Benutzergruppen werden nur in Gruppenrichtlinien aus Gru nden der Sicherheit und zum Filtern von Gruppenrichtlinien (daru ber werden Sie spater mehr erfahren) verwendet. Bei einer Gruppe in Gruppenrichtlinien kann es sich um das Containerobjekt Standort, Domane oder Organisationseinheit handeln. Ebenso wie Anmeldeskripte Teil der Gruppenrichtlinie sind, ist die Gruppenrichtlinie Teil des Containerobjekts. In jedem Containerobjekt werden so genannte Gruppenrichtlinien- objekte erstellt. Samtliche Gruppenrichtlinienobjekte sehen zunachst gleich aus: leer, l ohne A nderungen der Registrierungen. Die Objekte werden erst nu tzlich, wenn sie so bearbeitet werden, da» an der Registrierung des Windows 2000-Rechners, mit dem der Container in Kontakt kommt, A nderungen vorgenommen werden. NASS e.k. 12

13 Anwendungsbereich Richtlinien werden, basierend auf der Verzeichnisstruktur, hierarchisch und im Gesamten angewendet. Das bedeutet, da»der der Benutzer samtliche Richtlinien von jedem Container, auf den diese sich beziehen, zugewiesen bekommt. Diese Richtlinien werden in der Reihenfolge Standort, Domane, Organisationseinheit und dann untergeordnete Organisationseinheiten, denen der Benutzer angeho rt angewandt. Das ist die Reihenfolge, die bereits fu r Anmeldeskripte gilt. Der Grund hierfu r ist, da»anmeldeskripte Teil der Richtlinienstruktur sind. NASS e.k. 13

14 Reihenfolge der Anwendung ( Teil 1 ) Wenn es in der NETLOGON-Freigabe (die Datei NTCONFIG.POL) noch Windows NT- Richtlinien gibt, werden diese vor den Richtlinien von Standort, Domane und Organisationseinheit angewendet. Wenn auf dem lokalen Computer, an dem sich der Benutzer anmeldet, lokale Computer-Richtlinien definiert sind, werden diese Richtlinien ebenfalls vor den Richtlinien von Standort, Domane und Organisationseinheit angewendet. Dies ist zwar eher unwahrscheinlich, dennoch ko nnen diese Informationen bei der Fehlersuche recht hilfreich sein. So wissen Sie, da»die die Richtlinien in einer anderen Reihenfolge, namlich in der Reihenfolge NTCONFIG.POL,, lokale Computer- Richtlinien, Standortrichtlinie, Domanenrichtlinie und Richtlinie e der Organisationseinheit, angewendet werden. NASS e.k. 14

15 Reihenfolge der Anwendung ( Teil 2 ) Jeder Container kann mehrere Gruppenrichtlinien enthalten. Diese Richtlinienobjekte werden entsprechend der Reihenfolge angewendet, in der Sie diese festlegen. Wenn Sie die Richtlinie auswahlen, die als erste angewendet werden soll, und dann auf die Schaltflache Nach oben klicken, ko nnen Sie die Reihenfolge andern, in der die Richtlinien angewendet werden. NASS e.k. 15

16 Reihenfolge der Anwendung ( Teil 3 ) Benutzerkonfiguration Einstellungen, die sich auf die Benutzer im Container beziehen u nd auf jedem Computer gelten. Computerkonfiguration Einstellungen, die sich auf den Computer beziehen und unabhangig von dem an diesem Computer angemeldeten Benutzer gelten. Der Unterschied zwischen diesen beiden Arten von Richtlinien wird d an den Einstellungen fu r Windows-Einstellungen und Skripte deutlich. Sowohl die Benutzerkonfiguration einer Richtlinie als auch die Computerkonfiguration einer Richtlinie verfu gen u ber Skripte. Die Computerkonfiguration hat jedoch kein Anmelde- und Abmeldeskript, da Computer sich weder an- noch abmelden. Statt dessen weist die Computerkonfiguration Skripte zum Starten und Herunterfahren auf. Diese Skripte werden erstellt, damit die Domane beim Starten bzw. Herunterfahren auf dem im Container enthaltenen System bestimmte Befehle geben kann. Dies gilt insbesondere bei einem Standort. NASS e.k. 16

17 Reihenfolge der Anwendung ( Teil 4 ) Computer-Richtlinien werden synchron angewendet, d.h., sie werden angewendet, bevor der Benutzer die Mo glichkeit hat, sich anzumelden. Diese Einstellung kann geandert werden, soda»die die Richtlinien asynchron angewendet werden. Das hat jedoch den Nachteil, da»es sehr schwierig wird, Konflikte mit anderen Richtlinien vorherzusehen ehen und zu korrigieren. Jede Richtlinie, die nach der Anmeldung ausgefu hrt werden soll, sollte einfach der Benutzerkonfiguration einer Richtlinie zugewiesen werden. Wenn Sie diese A nderung vornehmen mo chten, geschieht dies in der Konsole Gruppenrichtlinie unter Richtlinienname, Computerkonfiguration, Administrative Vorlagen, System, Gruppenrichtlinie. NASS e.k. 17

18 Reihenfolge der Anwendung ( 5. und letzter Teil ) Schlie»lich werden die Richtlinien auf dem Arbeitsplatzrechner kontinuierlich aktualisiert, soda»immer wieder im Laufe des Tages A nderungen vorgenommen und Benutzerfehler ohne Hilfe des Administrators korrigiert werden ko nnen. Diese Aktualisierung erfolgt standardma»ig alle 1,5 Stunden. Das Aktualisierungsintervall sollte wenn mo glich nicht geandert werden, da bei einer A nderung eine Kommunikation des Systems u ber das Netzwerk erforderlich und somit Netzwerkverkehr verursacht wird. Die Aktualisierung findet jedoch innerhalb des Standorts statt und sollte s sich nicht auf den Verkehr im WAN auswirken. Es kann von Nutzen sein, das Intervall zu ku rzen, wenn dies fu r die Benutzergruppe voraussichtlich erforderlich sein wird. Wenn Sie diese A nderung vornehmen mo chten, geschieht dies in der Konsole Gruppenrichtlinie unter Richtlinienname, Computer bzw. Konfiguration, Administrative Vorlagen, System, Gruppenrichtlinie, Gruppenrichtlinien-Aktualisierungsintervall fu r Benutzer bzw. Computer. NASS e.k. 18

19 Verwaltung Gruppenrichtlinienobjekte ko nnen von drei unterschiedlichen Stellen len aus verwaltet werden : vom Gruppenrichtlinien-Snap Snap-In (Microsoft Management Console = MMC), von der Konsole Active Directory-Benutzer und -Computer und von der Konsole Active Directory-Standorte und -Dienste aus. Der Grund dafu r ist der, da»die die Active-Directory Standorte und Container sowie die Gruppenrichtlinien miteinander verwoben sind. Am sinnvollsten ist es, Richtlinienobjekte von der MMC aus zu verwalten, um eine zentrale Stelle fu r die Verwaltung von Richtlinien zu haben. Sie mu ssen immer ein Gruppenrichtlinienobjekt angeben, wenn Sie mit einer Gruppenrichtlinie zu tun haben. Es ist vorstellbar, da»samtliche Gruppenrichtlinien in einer MMC gespeichert werden, da»jedoch bereits ein Container in der Form der Konsole Active Directory-Benutzer und -Computer existiert. Wenn Sie mit der rechten Maustaste auf ein Containerobjekt klicken und die e Option Eigenschaften wahlen, erscheint die Registerkarte Gruppenrichtlinie. NASS e.k. 19

20 Geht s noch??? NASS e.k. 20

21 Erstellen und Zuweisen von Gruppenrichtlinienobjekten ( Teil 1 ) Ein Gruppenrichtlinienobjekt kann nur u ber die Eigenschaften eines Containerobjekts erstellt werden. Das mag ein weiterer Grund dafu r sein, warum es sinnvoll ist, Gruppenrichtlinien u ber die Konsole Active Directory- Benutzer und -Computer oder die Konsole Active Directory-Standorte und -Dienste zu verwalten. Weil diese namlich von Anfang an Teil eines Standortes oder Containerobjekts sein mu ssen. NASS e.k. 21

22 Erstellen und Zuweisen von Gruppenrichtlinienobjekten ( Teil 2 ) O ffnen Sie die Konsole Active Directory-Benutzer und - Computer oder die Konsole Active Directory-Standorte und -Dienste und klicken Sie mit der rechten Maustaste auf den Standort oder das Containerobjekt, in dem das Gruppenrichtlinienobjekt erstellt werden soll. Wahlen Sie die Option Eigenschaften. Aktivieren Sie die Registerkarte Gruppenrichtlinie und klicken Sie auf die Schaltflache Neu Es erscheint ein leeres Richtlinienobjekt mit einem Bereich, in dem Sie den neuen Namen eingeben ko nnen. Geben Sie einen pragnanten Namen ein und dru cken Sie auf die Eingabetaste. NASS e.k. 22

23 Erstellen und Zuweisen von Gruppenrichtlinienobjekten ( Teil 3 ) Wenn die fu r den Container gewu nschte Gruppenrichtlinie bereits fu r einen anderen Container erstellt worden ist, kann diese Richtlinie zu dem Container hinzugefu gt werden, wobei lediglich der Standort geandert werden muss. O ffnen Sie die Konsole Active Directory-Benutzer und -Computer oder die Konsole Active Directory- Standorte und -Dienste und klicken Sie mit der rechten Maustaste auf den Standort oder das Containerobjekt, in dem das Gruppenrichtlinien-objekt erstellt werden soll. Wahlen Sie die Option Eigenschaften und klicken Sie dann auf die Schaltflache Hinzufu gen. Suchen Sie in der Explorer-Schnittstelle das Gruppenricht-linienobjekt, das Sie anwenden mo chten. Klicken Sie auf die Richtlinie und dann auf OK. NASS e.k. 23

24 Einstellungen Wenn eine Richtlinie zu einem Containerobjekt hinzugefu gt worden ist, ko nnen Verhaltens- und Steuereinstellungen definiert werden. Vergessen Sie nicht, da»das das Gruppenrichtlinienobjekt an samtlichen Standorten geandert wird, wenn Sie dieses an einem Standort bearbeiten. Das bedeutet jedoch nicht, da»eine A nderung in einem Gruppenrichtlinienobjekt dieselbe A nderung in allen Objekten zur Folge hat. Ein Gruppenrichtlinienobjekt, das in mehreren unterschiedlichen Containerobjekten verwendet wird, ist trotzdem immer noch da»elbe. Das ist der Grund dafu r, weshalb eine Organisationseinheit fu r die d Gruppenrichtlinien erstellt werden soll. Mit Hilfe einer solchen Organisationseinheit haben Sie eine bessere Kontrolle u ber die vorgenommenen A nderungen und deren mo glichen universellen Auswirkungen. Das Bearbeiten von Gruppenrichtlinienobjekten zu verstehen, ist sehr schwierig. Die Gruppenrichtlinien tatsachlich zu bearbeiten, ist dagegen einfach. NASS e.k. 24

25 Bearbeitung O ffnen Sie die Konsole Active Directory-Benutzer und -Computer oder die Konsole Active Directory-Standorte und Dienste. Klicken Sie mit der rechten Maustaste auf den Standort oder das Containerobjekt, in dem das Gruppenrichtlinienobjekt erstellt werden soll. Wahlen Sie die Option Eigenschaften. Aktivieren Sie die Registerkarte Gruppenrichtlinie und klicken Sie auf die Schaltflache Bearbeiten,, um das Bearbeitungsfenster zu o ffnen. Suchen Sie in der Explorer-Schnittstelle das Gruppenrichtlinienobjekt, das Sie andern mo chten. Hier ko nnen Sie nicht nur festlegen, wo ein Gruppenrichtlinienobjekt zu einer Gruppe hinzugefu gt wird, Sie ko nnen daru ber hinaus auch einen Filter definieren, mit dem festgelegt wird, wie ein Benutzer bzw.. eine Gruppe die Richtlinie nutzt. Gruppenrichtlinien werden so gefiltert, wie einer Datei Sicherhe itsrechte zugewiesen werden. Fu r Benutzergruppen oder auch fu r einzelne Benutzer kann eine Richtlinie so geandert werden, da»diese diese in Bezug auf die durch die Richtlinie definierten Einstellungen anders behandelt werden. NASS e.k. 25

26 Filtern eines Gruppenrichtlinienobjektes 1.O ffnen Sie die Konsole Active Directory-Benutzer und -Computer oder die Konsole Active Directory Standorte und -Dienste. 2.Klicken Sie mit der rechten Maustaste auf das Containerobjekt, das das zu bearbeitende Gruppenrichtlinienobjekt enthalt, und wahlen Sie die Option Eigenschaften. 3.Aktivieren Sie die Registerkarte Gruppenrichtlinie. 4.Wahlen Sie das Gruppenrichtlinienobjekt aus und klicken Sie auf die Schaltflache Eigenschaften. Aktivieren Sie die Registerkarte Sicherheitseinstellungen 5.Klicken Sie auf die Schaltflache Hinzufu gen, wahlen Sie die zu andernde Gruppe bzw. den zu andernden Benutzer und klicken Sie dann auf Hinzufu gen. 6.Wiederholen Sie diese Schritte, bis alle gewu nschten Benutzer und Gruppen im unteren Teil des Dialogfeldes aufgefu hrt sind. Klicken Sie NASS auf OK. e.k. 26

27 Filtern eines Gruppenrichtlinienobjektes ( Berechtigungen ) In Schritt 7 wurden die Steuermo glichkeit der Berechtigungen definiert. In der folgenden Tabelle sind die zuweisbaren Berechtigungen aufgefu hrt: NASS e.k. 27

28 Durchhalten, es ist gleich vollbracht!! NASS e.k. 28

29 Administration ( Erlauterung ) Ebenso wie bei jedem anderen Bereich von Active Directory ko nnen neben den Administratoren auch andere Benutzer und Gruppen Gruppenrichtlinien ien verwalten und sogar erstellen. Die Steuerungsmo glichkeiten bei Gruppenrichtlinien reichen vom Erstellen E und Zuweisen von Richtlinien bis einfach nur zum Lesen der Richtlinien. Die Zuweisung dieser Richtlinien erfolgt innerhalb der Eigenschaften des Containers selbst oder u ber die Registerkarte Sicherheit der Gruppenrichtlinie. Je nach Vorgehensweise gibt es unterschiedliche Mo glichkeiten, Berechtigungen zuzuweisen. Wenn das gewu nschte Ergebnis darin bestehen soll, da»der der Benutzer nur bereits vorhandene Gruppenrichtlinien bearbeiten ko nnen soll, lassen sich h diese Berechtigungen am einfachsten definieren, indem Sie den Benutzer zu einem Mitglied NASS e.k. 29

30 Administration ( Vorgehensweise 1. Teil ) Klicken Sie im Snap-In Active Directory-Benutzer und -Computer mit der rechten Maustaste auf die Organisationseinheit, die Sie verw alten mo chten, und wahlen Sie dann die Option Objektverwaltung zuweisen. Klicken Sie im Assistenten zum Zuweisen der Objektverwaltung auf Weiter,, um zur nachsten Seite zu gelangen. Sie werden aufgefordert, die Namen der Benutzer und Gruppen anzugeben, denen Sie die Aufgabe der Objektverwaltung zuweisen mo chten. Wahlen Sie eine zuvor definierte Gruppe bzw. einen zuvor definierten Benutzer aus und klicken Sie dann auf Weiter. Wahlen Sie aus der Liste der vordefinierten Aufgaben die Option Verwaltet Gruppenrichtlinien-Verknu pfungen und klicken Sie dann auf Weiter.. Klicken Sie auf Fertig stellen. NASS e.k. 30

31 Administration ( Vorgehensweise 2. Teil ) Wenn das gewu nschte Ergebnis darin bestehen soll, da»der der Benutzer bzw. die Gruppe Gruppenrichtlinienobjekte erstellen und verwalten ko nnen soll, gibt es mehrere Mo glichkeiten, zu diesem Ziel zu gelangen. Eine Mo glichkeit besteht darin, den Benutzer bzw. die Gruppe zu einem Mitglied der r Gruppe Ersteller-Besitzer der Gruppenrichtlinie fu r diese Domane zu machen. Das ist i allerdings die Holzhammermethode. Wenn Sie Rechte im Einzelnen zuweisen mo chten, ko nnen Sie dies u ber das Dialogfeld Eigenschaften des Richtlinienobjekts (siehe Abbildung 12.8) tun. Wenn Sie auf die Schaltflache Hinzufu gen klicken und eine Gruppe auswahlen, ko nnen Sie einzelne Eigenschaften fu r die Richtlinie hinzufu gen (siehe Anweisungen fu r das Hinzufu gen von Berechtigungen). gen). Wenn Sie fu r die Gruppenrichtlinie einzelne Berechtigungen definieren, haben Sie die beste Kontrolle daru ber, wer das Recht hat, Objekte in der Gruppenrichtlinie zu erstellen und zu verwalten. Dies fu hrt h jedoch auch zu einem weniger gut vorhersehbaren Ergebnis. Seien Sie vorsichtig, wenn Sie beispielsweise einen Administrator hinzufu gen mo chten, der Gruppenrichtlinien nur pru fen ko nnen soll. l. Eine Gruppe, die nur u ber die Berechtigung Lesen verfu gt, kann nicht einmal das Gruppenrichtlinien-Snap Snap-In o ffnen. NASS e.k. 31

32 Quellen : Microsoft Press Markt & Technik Eigene Praxis P A U S E!!! NASS e.k. 32