17 Gruppenrichtlinien

Transkript

1 17 Gruppenrichtlinien 17.1 Konzept, Einrichten von Gruppenrichtlinien Im Gegensatz zu NTFS-Berechtigungen (engl. permissions), die den Zugriff auf Dateien, Ordner und Drucker steuern, gibt es auch (Benutzer-)Rechte (engl. rights). Rechte sind unabhängig von Dateien und Ordnern, zum Beispiel das Recht, Netzwerkkonfigurationen zu ändern, Programme zu installieren oder die Uhrzeit umzustellen. Gruppenrichtlinien (engl. group policies) dienen zur Steuerung von Benutzerrechten, aber auch zur zentralen Konfiguration von Benutzerumgebungen durch Ändern von Registry-Einträgen, zur Softwareverteilung oder Installation von X.509-Zertifikaten. Man unterscheidet Computerrichtlinien und Benutzerrichtlinien. Technisch gesehen bestehen Gruppenrichtlinien teils aus Registry-Einträgen, teils aus auf IntelliMirror-Technologie beruhenden Dateiübertragungsvorgängen. Die Gruppenrichtlinien werden in "Gruppenrichtlinienobjekten" (engl. group policy objects, GPOs) zusammengefasst. Beachten Sie: GPOs alleine wirken weder auf Benutzer- noch auf Computerobjekte. Dafür muss erst eine Gruppenrichtlinienobjektverknüpfung erstellt werden, die angibt, auf welchen Active Directory- Container (Standort, Domäne, Organisationseinheit) die Richtlinien in diesem Objekt wirken sollen. Diese Verknüpfung kann stattfinden: auf Standort-Ebene (Site-Ebene) auf Domänenebene (hier müssen Kennwort-, Überwachungs- und Kontorichlinien definiert werden; auch Anmeldeskripts werden hier eingebunden) auf Organisationseinheiten-Ebene auf der Ebene des lokalen PCs Dabei gilt, dass lokale Richtlinien beim Vorhandensein von Domänenrichtlinien überschrieben werden. Ein Gruppenrichtlinienobjekt besteht aus zwei Komponenten: Gruppenrichtlinienvorlage (GPT, Group Policy Template): Diese Vorlagen enthalten alle tatsächlichen Einstellungen und sind als Unterordner des Ordners %systemroot%\sysvol\domäne\policies sichtbar. Jede GPT ist durch eine GUID (Globally Unique Identifier) bezeichnet. Mag. Christian Zahler, Mai

2 Gruppenrichtliniencontainer (GPC, Group Policy Container): Darunter versteht man ein Active Directory-Objekt, in welchem Informationen zum Gruppenrichtlinienobjekt und zur Vorlage gespeichert sind. So ist etwa feststellbar, welche GUID das Gruppenrichtlinienobjekt hat. Die verfügbaren Einstellungen stammen aus XML-Dateien mit der Dateierweiterung *.admx, die unter C:\windows\policyDefinitions gespeichert sind. Standardmäßig werden alle *.admx-dateien geladen. (Anmerkung: Bis Windows XP/Windows 2003 waren es Textdateien mit der Dateierweiterung *.adm.) Jede Richtlinie ist in diesen Definitionen durch einen Abschnitt etwa folgender Gestalt repräsentiert (Beispiel: Abschalten der Vista-Sidebar): <policy name="turnoffsidebar_1" class="user" displayname="$(string.turnoffsidebar)" explaintext="$(string.turnoffsidebar_explain)" key="software\microsoft\windows\currentversion\policies\windows\sidebar" valuename="turnoffsidebar"> <parentcategory ref="sidebar" /> <supportedon ref="windows:supported_windowsvista" /> <enabledvalue> <decimal value="1" /> </enabledvalue> <disabledvalue> <decimal value="0" /> </disabledvalue> </policy> Der Wert im Attribut key entspricht der Registry-Einstellung, die durch diese Richtlinie beeinflusst wird. Die erklärenden Texte, die in der GPMC angezeigt werden, sind in Unterordnern dieses Ordners sprachlich getrennt enthalten (deutsche Texte im Unterordner de-de, englische Texte im Unterordner en-us usw.). Auf diesem Weg kann das Konzept der Gruppenrichtlinien jederzeit erweitert werden. Die Bezeichnung "Gruppenrichtlinien" ist insofern irreführend, als diese Richtlinien nicht mit Active Directory-Gruppen verknüpft werden können. Für die Verwaltung lokaler Gruppenrichtlinien öffnet man direkt die Konsolendatei gpedit.msc. Die Ausführung von Gruppenrichtlinien wird seit Windows Vista von einem eigenen Clientdienst durchgeführt, dem "Gruppenrichtlinienclient" (gpsvc). Aktualisieren von Gruppenrichtlinien: Durch Ausführen von gpupdate /force auf dem Zielcomputer (ab Windows XP) werden die Gruppenrichtlinien sofort aktualisiert. Ist auf dem Zielcomputer Windows 2000 installiert, so muss stattdessen folgender Befehl ausgeführt werden: secedit /refreshpolicy MACHINE_POLICY 226 Mag. Christian Zahler, Mai 2010

3 secedit /refreshpolicy USER_POLICY Das Programm secedit (mit einer Fülle von Parametern und Optionen) steht auch auf späteren Plattformen zur Verfügung, sollte aber durch die Tools gpupdate und gpresult ersetzt werden Komponenten von Gruppenrichtlinienobjekten Bei der Erstellung eines Gruppenrichtlinienobjekts wird im Ordner <domäne>\system\richtlinien ein Containerobjekt erstellt, das als Gruppenrichtlinienobjekt bezeichnet wird. Dieser Name ist eine GUID, die die Computer- und Benutzercontainer enthält. Die GUID eines GPOs kann auf mehrere Arten angezeigt werden. Anzeige mit ADSIEdit.msc: Im standardmäßigen Namenskontext (=Domänenpartition) navigieren Sie bis zum Container <domäne>\cn=system\cn=policies Das Attribut createtimestamp auf der Registerkarte Attribut-Editor gibt die Uhrzeit in Greenwich Mean Time (GMT) an, zu der Sie das Gruppenrichtlinienobjekt erstellt haben. Anzeige mit dsa.msc (Active Directory-Benutzer und Computer): Zur Anzeige des Gruppenrichtliniencontainers im Verzeichnisdienst Active Directory klicken Sie im Snap-In Active Directory-Benutzer und -Computer auf Erweiterte Funktionen. Erweitern Sie danach die Domäne, den Knoten System und schließlich den Knoten Policies. Die Funktionsweise des Gruppenrichtliniencontainers werden Sie besser verstehen, wenn Sie die in Active Directory erstellten Ursprungsdaten der Gruppenrichtlinie untersuchen. Eine Beispielausgabe des Supporttools Ldp.exe können Sie wie folgt untersuchen. 1. Öffnen Sie das Supporttool ldp.exe. Dieses Programm ist in von Microsoft Windows Server TM 2008 standardmäßig enthalten. 2. Klicken Sie auf Verbindung und danach auf Verbinden, und wählen Sie einen Windows Server 2008-Domänencontroller aus. Sie können den vollqualifizierten Domänennamen (FQDN) oder den NetBIOS-Namen (Network Basic Input/Output System) eingeben. Mag. Christian Zahler, Mai

4 3. Klicken sie auf Verbindung und danach auf Gebunden, und melden Sie sich als Active Directory-Domänenadministrator an. Sie können entweder den Prinzipalnamen des Benutzers oder den NetBIOS-Namen für den Benutzer und die Domäne eingeben. Klicken Sie danach auf OK. 4. Klicken Sie auf Anzeigen und danach auf Struktur. Geben Sie für BaseDN CN=Policies, CN=System, DC=DomänenName, DC=Com ein (setzen Sie für DomänenName den entsprechenden Namen ein), und klicken Sie auf OK. 5. Im linken Fensterbereich der Strukturansicht sollte sich ganz oben das Objekt CN=Policies befinden. Erweitern Sie dieses Objekt. Nun sollte für jede Gruppenrichtlinie der Domäne ein Eintrag angezeigt werden. In jedem Fall enthält das Objekt mindestens zwei Einträge: die Objekte CN={6AC1786C-016F-11D2-945F-00C04fB984F9} und CN={31B2F D-11D2-945F-00C04FB984F9}. Dies sind die GUIDs der Standard-Domänencontrollerrichtlinie und der Standarddomänenrichtlinie. 6. Erweitern Sie eines dieser Objekte. Im echten Fensterbereich werden nun alle Attribute des gewählten Objekts angezeigt. Der folgende Code ist eine Beispielausgabe des Programms Ldp.exe: dn:cn={46a82d4f-3c20-4b84-b5a4-6e8d3b837f6b},cn=policies,cn=system,dc=ihroot, DC=com changetype: add cn: {A6A82D4F-3C20-4B84-B5A4-6E8D3B837F6B} displayname: GPO Reskit flags: 0 gpcfilesyspath: \\ihroot.com\sysvol\ihroot.com\policies\{46a82d4f-3c20-4b84-b5a4-6e8d3b837f6b} gpcfunctionalityversion: 2 gpcmachineextensionnames: [{35378EAC-683F-11D2-A89A-00C04FBBCFA2}{0F6B957D-509E-11D1-A7CC-0000F87571E3}{ 53D6AB1D D1-A28C-00C04FB94F17}][{42B5FAAE D2-AE5A-0000F87571E3}{ 40B6664F D1-47CA-0000F87571E3}][{827D319E-6EAC-11D2-A4EA-00C04F79F83A}{ 803E14A0-B4FB-11D0-AODO-00A0C90F574B}][{B1BE8D72-6EAC-11D2-A4EA-00C04F79F83A}{ 53D6AB1D D1-A28C-00C04FB94F17}][{C6DC A-11D2-84D0-00C04FB169F7}{ 942A8E4F-A261-11D C04FB903F}][{E437BC1C-AA7D-11D2-A382-00C04F991E27}{ DEA8AFA0-CC85-11D0-9CE2-0080C7221EBD}] gpcuserextensionnames: [{25537BA6-77A8-11D2-9B6C-0000F }{88E729D6-BDC1-11D1-BD2A-00C04FB9603F}] [{3060E8D D2-842D-00C04FA372D4}{3060E8CE D2-842D-00C04FA372D4}] [{35378EAC-683F-11D2-A89A-00C04FBBCFA2}{0F6B957E-509E-11D1-A7CC-0000F87571E3}] [{42B5FAAE D2-AE5A-0000F87571E3}{40B D1-47CA-0000F87571E3}] [{A2E30F80-D7DE-11D2-BBDE-00C04F86AE3B}{FC C5FB-11D1-9EEF-00A0C90347FF}] [{C6DC A-11D2-84D0-00C04FB169F7}{BACF5C8A-A3C7-11D1-A760-00C04FB9603F}] instancetype: 4 distinguishedname:cn={a6a82d4f-3c20-4b84-b5a4-6e8d3b837f6b},cn=policies,cn=system,dc=ihroot, DC=com objectcategory:cn=group- Policy-Container,CN-Schema,CN-Configuration,DC=ihroot, DC=com objectclass: grouppolicycontainer objectguid: UApw3nn4IU+cGGLpV66Asg==name: {46A82DAF-3C20-4B84-B5A4-6E8D3B837F6B} showinadvancedviewonly: TRUE usnchanged: 5050 usncreated: 5005 versionnumber: whenchanged: Z In der folgenden Tabelle werden die einzelnen Attribute des vorangegangenen Codebeispiels beschrieben: DisplayName Syntax des Schemas PropertyName (LDAP-Anzeigename) Unicode- Zeichenfolge Beschreibung der Eigenschaft Der in der Benutzeroberfläche angezeigte Name des Gruppenrichtlinienobjekts. distinguishedname Unicode- Der vollständige Distinguished Name (DN) des Objekts 228 Mag. Christian Zahler, Mai 2010

5 Zeichenfolge grouppolicycontainer. Beispiel: CN={GUID},CN=Policies,CN=System, DC=ihroot,DC=com Cn Unicode- Der allgemeine Name (CN) des Objekts grouppolicycontainer. Zeichenfolge Dieses Attribut wird als GUID angegeben. Dadurch wird sichergestellt, dass es zwischen den Gruppenrichtlinienobjekten der gleichen Domäne zu keinem Namenskonflikt kommt. Flags Integer Eine Bitfolge, die angibt, ob die Benutzer- und Computereinstellungen des Gruppenrichtlinienobjekts aktiviert oder deaktiviert sind. Folgende Bitfolgen sind festgelegt: 0 (dez) = 00 (bin) = Beide aktiviert 1 (dez) = 01 (bin) = Computereinstellungen deaktiviert 2 (dez) = 10 (bin) = Benutzereinstellungen deaktiviert 3 (dez) = 11 (bin) = Beide deaktiviert GPC-File-Sys-Path GPC-Functionality- Version GPC-Machine- Extension-Names GPC-User- Extension-Names Unicode- Zeichenfolge Integer Unicode- Zeichenfolge Unicode- Zeichenfolge Gibt den Pfad im verteilten Dateisystem (DFS) zum Stamm des verknüpften GPT (GUID-Partitionstabelle)-Ordners an. Die Versionsnummer der Gruppenrichtlinienkomponente für das Betriebssystem. Diese Nummer wird mit jeder Ausgabe einer neuen Version der Gruppenrichtlinienkomponente inkrementiert. Die Funktionalitätsversion von Windows Server 2003 ist 2. Speichert die GUIDs von Gruppenrichtlinienerweiterungen, deren Computereinstellungen im Gruppenrichtlinienobjekt aktiviert sind. Die einzelnen Gruppenrichtlinienerweiterungen sind in der Unicode-Zeichenfolge jeweils durch eckige Klammer ([]) eingeschlossen. Jeder Erweiterungseintrag enthält zwei oder mehrere in geschweiften Klammern ({}) eingeschlossene GUIDs. Die erste GUID jedes Eintrags gibt die clientseitige Gruppenrichtlinienerweiterung an, die die aktiven Computereinstellungen verarbeitet und sie auf den Client anwendet. Alle anderen GUIDs geben die MMC (Microsoft Management Console)-Snap-Ins und -Erweiterungen an, die zur Verwaltung dieser Erweiterung verwendet werden. Speichert die äquivalente Liste der Gruppenrichtlinienerweiterungs-GUIDs für alle aktiven Benutzereinstellungen des Gruppenrichtlinienobjekts. Version-Number Integer Gibt die Versionsnummer der Benutzer- und Computerkomponenten des Gruppenrichtlinienobjekts als Hexadezimalwert an. Die Versionsnummer der Benutzer- oder Computerkomponente erhöht sich mit jeder Änderung in der betreffenden Komponente. Die oberen beiden Byte geben die Version der Benutzerkomponente an, die unteren beiden Byte die Version der Computerkomponente. Die dezimale Versionsnummer entspricht zum Beispiel der hexadezimalen Version In diesem Beispiel ist die Benutzerkomponente der Gruppenrichtlinie Version 7 und die Computerkomponente ist Version 12. GpcWQLFilter Unicode- Zeichenfolge Das Attribut GpcWQLFilter verweist auf die GUID eines WMI- Abfragefilters. Diese GUID entspricht einem Objekt in CN=SOM,CN=WMIPolicy,CN=System,DC=DOMAINNAME,D C=Com. Der WMI-Filter wird im Attribut GpcWQLFilter gespeichert. Mag. Christian Zahler, Mai

6 Untergeordnete Container des Gruppenrichtliniencontainers Der Container GroupPolicyContainer enthält mehrere untergeordnete Container. Die erste Ebene untergeordneter Container sind Benutzer und Computer. Beide gehören der Klasse Container an. In diesen Containern werden benutzerspezifische und computerspezifische Gruppenrichtlinienkomponenten getrennt voneinander gespeichert. Computer und Benutzercontainer Die Strukturen Computer\Klassenspeicher\Pakete und Benutzer\Klassenspeicher\Pakete enthalten die Computer- und Benutzercontainer. Die Objekte in diesen beiden Containern werden von den Erweiterungen Softwareinstallation und Wartung verwendet. PackageRegistration-Objekte werden im Klassenspeicher Pakete jedes Anwendungspakets erstellt, das dem Computer oder Benutzer zugewiesen bzw. für den Computer oder Benutzer veröffentlicht wird. Das Objekt packageregistration enthält aus der.msi- bzw..zap-datei extrahierte Informationen, die zur Veröffentlichung der Software auf der Arbeitssituation des Benutzers erforderlich sind. Diese Informationen beinhalten den im Dialogfeld Software angezeigten Paketnamen und die Versionsangaben. Außerdem beinhalten sie Informationen über die Paketankündigung, zum Beispiel die zugeordneten Dateinamenerweiterungen und die für die Paketanwendungen registrierten Klassen- IDs. Zusätzlich zu den Informationen im packageregistration-objekt gibt es für jedes Paket eine.ass- Datei (der Pfad dieser Datei ist im packageregistration-objekt angeben). Diese Datei enthält alle Ankündigungsinformationen, die für die Zuweisung des Pakets zum Benutzer oder Computer erforderlich sind. PackageRegistration-Objekte sind für jedes Gruppenrichtlinienobjekt eindeutig. Sie können nicht von anderen Gruppenrichtlinienobjekten verwendet werden oder zwischen den Objekten querverbunden werden. IPSecPolicy-Objekte Die Struktur Computer\Microsoft\Windows\IP-Sicherheit enthält IPSecPolicy-Objekte. Diese Objekte sind wichtige Verknüpfungen zu domänenweiten IPSecPolicy-Objekten im Container System\IP- Sicherheit. Die IPSecPolicy-Objekte im Container System\IP-Sicherheit enthalten die eigentlichen Gruppenrichtlinieneinstellungen. Die Verknüpfung erfolgt durch Zuweisung einer IPSec (Internetprotokollsicherheit)-Richtlinie eines bestimmten Gruppenrichtlinienobjekts. Im Gegensatz zu Softwareinstallationspaketen sind IPSec-Richtlinien also nicht für jedes Gruppenrichtlinienobjekt eindeutig, d. h., die gleiche IPSec-Richtlinie kann mit mehreren Gruppenrichtlinienobjekten verknüpft sein. Einem Gruppenrichtlinienobjekt können jedoch nicht mehrere IPSec-Richtlinien zugewiesen sein. 230 Mag. Christian Zahler, Mai 2010

7 17.3 Gruppenrichtlinienverarbeitung durch CSE (Client Side Extensions) Die Client Side Extensions sind der Grund, warum Gruppenrichtlinien überhaupt auf Windows 2000, XP, 2003, Vista und 2008 funktionieren und nicht auf älteren oder anderen Systemen. Gruppenrichtlinien werden zwar vom Server übergeben, aber nicht von Haus aus auf dem Client verarbeitet. Damit die Zielrechner "verstehen", was der Server da gerade übergeben möchte und "wie" diese Information vor allem "wo" angewendet wird, das entscheidet die CSE. Die Verarbeitung der Anweisung ist also komplett die Aufgabe des Ziels. Der Server stellt nur die Information zur Verfügung. CSEs werden über DLL-Dateien gesteuert die beim Anmeldeprozess (winlogon) in einer bestimmten Reihenfolge verarbeitet werden. Die lokal vorhandene Systemdatei (DLL) kann die Steuerungsinformationen, die über die Gruppenrichtlinie eingestellt ist für das lokalen System auslesen und in das System integrieren. Die Übernahme und der Eintrag der Richtlinien erfolgt mit SYSTEM-Berechtigungen. Nachdem die Funktion GetGPOList die Liste der zu verarbeitenden Gruppenrichtlinienobjekte ermittelt hat, geht der Clientcomputer die clientseitige Erweiterung durch, um festzustellen, ob die Gruppenrichtlinienobjekte Daten enthalten, die von den einzelnen Erweiterungen verarbeitet werden müssen. Wenn eine clientseitige Erweiterung Daten in den Gruppenrichtlinienobjekten verarbeiten muss, wird die Erweiterung ausgeführt und sie verarbeitet die Daten der betreffenden Gruppenrichtlinienobjekte. Muss eine clientseitige Erweiterung keine Daten verarbeiten, wird die Erweiterung auch nicht ausgeführt. Hinweis: Die CSE für die ab Vista/Windows Server 2008 neu hinzugekommenen Gruppenrichtlinienvorgaben sind zwar auf Windows XP nicht standardmäßig verfügbar, können aber von der Microsoft-Homepage downgeloadet werden. Microsoft Client Side Extensions, Reihenfolge und die dazugehörige DLL: Hinweis: Die mit Windows Server 2008 neu hinzugekommenen CSEs sind kursiv dargestellt. Reihenfolge Name der CSE Name der DLL Guid der Richtlinie 1 Registry / Registrierungrichtlinienverarbeitung userenv.dll {35378EAC-683F-11D2- A89A-00C04FBBCFA2} 2 Wireless Group Policy / Drahtlosnetzwerke gptext.dll {0ACDD40C-75AC- 47ab-BAA0- BF6DE7E7FE63} 3 Group Policy Environment - Umgebung {0E28E AD84-6DA3BA35BB75} 4 Group Policy Local Users and Groups / Lokale Benutzer und Gruppen {17D89FEC-5C B12D-241CAEF74509} 5 Group Policy Device Settings / Geräte {1A6364EB-776B ADE1-B63A406A76B5} 6 Folder Redirection / Ordnerumleitung fdeploy.dll {25537BA6-77A8-11D2-9B6C-0000F } 7 Microsoft Disk Quota dskquota.dll {3610eda5-77ef-11d2-8dc5-00c04fa31a66} 8 Group Policy Network Options / Netzwerkoptionen 9 QoS Packet Scheduler / Netzwerklastenausgleich gptext.dll {3A0DBA37-F8B DE-3E90BD5C261F} {426031c0-0b b0ca-ac3d37bfcb39} 10 Scripts Skriptrichtlinienverarbeitung gptext.dll {42B5FAAE d2- Mag. Christian Zahler, Mai

8 11 Process Group Policy For Zone Map / Internet Explorer Zonenzuordnung Windows Server 2008 R2: Active Directory iedkcs32.dll AE5A-0000F87571E3} {4CFB60C1-FAA6-47f1-89AA-0B18730C9FD3} 12 Group Policy Drive Maps / Laufwerke {5794DAFD-BE60-433f- 88A2-1A31939AC01F} 13 Group Policy Folders / Ordner {6232C319-91AC E70C2B099F0E} 14 Group Policy Network Shares / Netzwerkfreigaben {6A4C88C6-C502-4f74-8F60-2CB23EDC24E2} 15 Group Policy Files / Dateien {7150F9BF-48AD-4da4- A49C-29EF4A8369BA} 16 Group Policy Data Sources / Datenverbindungen {728EE C EF7-AB ED} 17 Group Policy Ini Files / INI Dateien {74EE6C B CAB} 18 Windows Search Group Policy / WDS - Windows Suche srchadmin.dll {7933F41E-56F8-41d6- A31C-4148A711EE93} 19 Security / Sicherheitsrichtlinien scecli.dll {827D319E-6EAC-11D2- A4EA-00C04F79F83A} 20 Deployed Printer Connections / Bereitgestellte Drucker gpprnext.dll {8A28E2C5-8D06-49A4- A08C-632DAA493E17} 21 Group Policy Services / Dienste {91FBB303-0CD BF42-E512A681B325} 22 Internet Explorer Branding / Internet Explorer Wartung 23 Group Policy Folder Options / Ordneroptionen 24 Group Policy Scheduled Tasks / Geplante Tasks iedkcs32.dll {A2E30F80-D7DE-11d2- BBDE-00C04F86AE3B} {A3F3E39B-5D B B82F0A8} {AADCED64-746C A97C- D } 25 Group Policy Registry / Registry {B087BE9D-ED37-454f- AF9C-04291E351182} 26 EFS recovery / Dateiverschlüsselung scecli.dll {B1BE8D72-6EAC- 11D2-A4EA- 00C04F79F83A} Group Policy dot3gpclnt.dll {B587E2B1-4D59-4e7e- AED9-22B9DF11D053} 28 Group Policy Printers / Drucker {BC75B1ED BB8-CBF0B166DF9D} 29 Group Policy Shortcuts / Verknüpfungen {C418DD9D-0D14-4efb- 8FBF-CFE535C8FAC7} 30 Microsoft Offline Files / Offline Dateien cscobj.dll {C631DF4C-088F B F0853CD8} 31 Software Installation appmgmts.dll {c6dc a-11d2-84d0-00c04fb169f7} 32 IP Security userenv.dll ab Vista/2008: polstore.dll {e437bc1c-aa7d-11d2- a382-00c04f991e27} 232 Mag. Christian Zahler, Mai 2010

9 33 Group Policy Internet Settings / Internet Einstellungen 34 Group Policy Start Menu Settings / Startmenü 35 Group Policy Regional Options / Regionale Einstellungen 36 Group Policy Power Options / Energie Optionen {E47248BA-94CC-49c4- BBB5-9EB7F05183D0} {E4F48E54-F38D BFB9-D4D2E5729C18} {E C46C B030-04FB2E545B00} {E62688F0-25FD-4c90- BFF5-F508B9D2E31F} 37 Group Policy Applications / Anwendungen {F9C A41-477E ACD617BD9E3} 38 Enterprise QoS gptext.dll {FB2CA36D-0B B-A13B252DE56C} Wie man der oberen Tabelle entnehmen kann, existieren mehr CSEs als einzelne DLLs. Das Schaubild verdeutlicht es etwas einfacher. Die Liste der registrierten Client Side Extensions findet man in der Registry unter: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions Quelle: Verarbeitung unveränderter Gruppenrichtlinieneinstellungen: Clientseitige Erweiterungen mit Ausnahme der Erweiterung Remoteinstallationsdienst verarbeiten standardmäßig nur Gruppenrichtlinieneinstellungen, die sich geändert haben, seit die Gruppenrichtlinie das letzte Mal von der betreffenden Erweiterung verarbeitet wurde. Dieses Standardverhalten bietet zwar beste Leistung, führt aber u. U. nicht zum gewünschten Ergebnis. Wenn ein Benutzer beispielsweise während einer Sitzung eine Einstellung ändert, die durch eine Gruppenrichtlinieneinstellung gesteuert wird, die Gruppenrichtlinieneinstellung selbst aber nicht im Gruppenrichtlinienobjekt geändert wird, wird die Änderung des Benutzers bei der nächsten Anwendung der Gruppenrichtlinie nicht rückgängig gemacht. Jede clientseitige Erweiterung kann so konfiguriert werden, dass sie alle anwendbaren Gruppenrichtlinieneinstellungen verarbeitet, unabhängig davon, ob sie sich geändert haben oder nicht. Diese Konfiguration wird in der administrativen Vorlage vorgenommen. Mag. Christian Zahler, Mai

10 17.4 Erstellen eines Central Store für *.admx und *.adml-dateien Die *.admx und *.adml-dateien sind standardmäßig lokal auf allen Windows Vista- bzw. Windows Server 2008-PCs gespeichert (im Ordner %systemroot%\policydefinitions). Es ist möglich, stattdessen einen zentralen Speicher im Sysvol-Ordner zu erstellen, sodass auch die Verwaltung von Vista-Gruppenrichtlinien über Windows Server 2003 möglich wird. Schritt 1: Öffnen Sie den Ordner Policies im Sysvol-Ordner: \\contoso.intern\sysvol\contoso.intern\policies Schritt 2: Erstellen Sie im Policies-Ordner einen Ordner mit dem Namen PolicyDefinitions: Schritt 3: Kopieren Sie alle *.admx- und *.adml-dateien aus dem Ordner %systemroot%\policydefinitions in den neu erstellten Ordner. Damit ist die Erstellung des Central Store abgeschlossen. Kontrolle: Kein Central Store Einstellungen kommen vom Ordner C:\Windows\PolicyDefinitions Central Store: \\contoso.intern\sysvol\policies\policydefinitions 234 Mag. Christian Zahler, Mai 2010