GRUPPEN - RICHT LINIEN

Transkript

1 martin DAUSCH SCHNELL EINSTIEG 2. Auflage GRUPPEN - RICHT LINIEN IN WINDOWS SERVER 2012 UND 2008 R2 EIN PRAKTISCHER LEITFADEN FÜR DIE NETZWERKVERWALTUNG EXTRA: Mit kostenlosem E-Book Mit großem Stichwortverzeichnis zum»schnell-mal-nachschlagen«

2 Martin Dausch Gruppenrichtlinien in Windows Server 2012 und 2008 R2 Bleiben Sie auf dem Laufenden! Der Hanser Computerbuch-Newsletter informiert Sie regelmäßig über neue Bücher und Termine aus den verschiedenen Bereichen der IT. Profitieren Sie auch von Gewinnspielen und exklusiven Leseproben. Gleich anmelden unter

3

4 Martin Dausch Gruppenrichtlinien in Windows Server 2012 und 2008 R2 Ein praktischer Leitfaden für die Netzwerkverwaltung 2., erweiterte Auflage

5 Der Autor: Martin Dausch, Regensburg Alle in diesem Buch enthaltenen Informationen, Verfahren und Darstellungen wurden nach bestem Wissen zusammengestellt und mit Sorgfalt getestet. Dennoch sind Fehler nicht ganz auszuschließen. Aus diesem Grund sind die im vorliegenden Buch enthaltenen Informationen mit keiner Verpflichtung oder Garantie irgendeiner Art verbunden. Autoren und Verlag übernehmen infolgedessen keine juristische Verantwortung und werden keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieser Informationen oder Teilen davon entsteht. Ebenso übernehmen Autoren und Verlag keine Gewähr dafür, dass beschriebene Verfahren usw. frei von Schutzrechten Dritter sind. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Waren be zeich nungen usw. in diesem Buch berechtigt deshalb auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne der Warenzeichen- und MarkenschutzGesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürften. Bibliografische Information der Deutschen Nationalbibliothek: Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbiblio grafie; detaillierte bibliografische Daten sind im Internet über abrufbar. Dieses Werk ist urheberrechtlich geschützt. Alle Rechte, auch die der Übersetzung, des Nachdruckes und der Vervielfältigung des Buches, oder Teilen daraus, vorbehalten. Kein Teil des Werkes darf ohne schriftliche Genehmigung des Verlages in irgendeiner Form (Fotokopie, Mikrofilm oder ein anderes Verfahren) auch nicht für Zwecke der Unterrichtsgestaltung reproduziert oder unter Verwendung elektronischer Systeme verarbeitet, vervielfältigt oder verbreitet werden Carl Hanser Verlag München, Lektorat: Sieglinde Schärl Herstellung: Thomas Gerhardy Umschlagdesign: Marc Müller-Bremer, München Umschlagrealisation: Stephan Rönigk Satz: Kösel, Krugzell Datenbelichtung, Druck und Bindung: Kösel, Krugzell Ausstattung patentrechtlich geschützt. Kösel FD 351, Patent-Nr Printed in Germany Buch-ISBN E-Book-ISBN

6 Inhalt Vorwort zur zweiten Auflage Vorwort zur ersten Auflage Einleitung Was sind Gruppenrichtlinien? Auf welche Objekte wirken Gruppenrichtlinien? Wann werden Gruppenrichtlinien verarbeitet? Wie viele Gruppenrichtlinien sollte man verwenden? Wofür werden Gruppenrichtlinien am häufigsten verwendet? Muss man beim Ändern von Gruppenrichtlinien aufpassen? Was Sie brauchen, um die Aufgaben nachvollziehen zu können Die Gruppenrichtlinien verwaltung Einführung Gruppenrichtlinienverwaltung installieren Gruppenrichtlinienverwaltung erkunden Gruppenrichtlinienverknüpfungen und -objekte Gruppenrichtlinienobjekte im Detail Register Bereich einer Gruppenrichtlinie Register Details einer Gruppenrichtlinie Register Einstellungen einer Gruppenrichtlinie Register Delegierung einer Gruppenrichtlinie Register Status einer Gruppenrichtlinie Standorte und Gruppenrichtlinien Weitere Elemente der Gruppenricht linienverwaltung Gruppenrichtlinie erstellen Gruppenrichtlinie verknüpfen Gruppenrichtlinie bearbeiten

7 6 Inhalt 3 Verarbeitungs reihenfolge von Gruppen richtlinien Einführung Aus der Praxis Grundlagen der Gruppenrichtlinien verarbeitung Standardreihenfolge in der Gruppenrichtlinienverarbeitung Anpassungen der Verarbeitungsreihenfolge von Gruppenrichtlinien Erzwungen Vererbung deaktivieren Bereiche von Gruppenrichtlinien deaktivieren Verknüpfungen aktivieren/deaktivieren Gruppenrichtlinien filtern Praktisches Beispiel für die Verarbeitungsreihenfolge von Gruppenrichtlinien Kennwortrichtlinie Lokaler WSUS Bildschirmauflösung Standardbenutzer Bildschirmauflösung CAD-Benutzer Wartungs-Ingenieure Softwareverteilung Produktionsbenutzer Softwareverteilung Produktionsserver Loopbackverarbeitungsmodus Zusammenführen-Modus Ersetzen-Modus Loopbackverarbeitungsmodus einrichten OU (Organisational Unit)-Struktur für Gruppenrichtlinien Einführung Virtualisierung Gruppen Aufgaben von OUs Administrativer Ansatz Geographischer Ansatz Mischformen Softwareverteilung mit Richtlinien Einführung Konzepte Unterstützte Dateitypen Softwareverteilung an Benutzer oder Computer Zuweisen und Veröffentlichen Verteilung über OUs oder Standorte Kategorien

8 Inhalt 5.3 Praktisches Vorgehen Vorbereitung Gruppenrichtlinie für Zuweisung an Computer erstellen Gruppenrichtlinie konfigurieren Gruppenrichtlinienobjekt verknüpfen Verteilung testen Veröffentlichen für Benutzer Eigenschaften von Paketen bearbeiten Register Allgemein Register Bereitstellung von Software Register Aktualisierungen Register Kategorien Register Änderungen Register Sicherheit Windows-Einstellungen Computerverwaltung Aus der Praxis Einführung Namensauflösungsrichtlinie und DNSSEC Was ist DNSSEC? DNSSEC implementieren Kontorichtlinien Kennwortrichtlinien Kontosperrungsrichtlinien Kerberosrichtlinien Lokale Richtlinien Überwachungsrichtlinien Zuweisen von Benutzerrechten Sicherheitsoptionen Ereignisprotokoll Eingeschränkte Gruppen Systemdienste, Registrierung und Dateisystem Systemdienste Registrierung Dateisystem Richtlinien im Bereich Netzwerksicherheit Richtlinien für Kabelnetzwerke Windows-Firewall Netzwerklisten-Manager-Richtlinien Drahtlosnetzwerkrichtlinien Richtlinien für öffentliche Schlüssel Softwareeinschränkungen Netzwerkzugriffsschutz

9 8 Inhalt Anwendungssteuerung mit AppLocker IP-Sicherheitsrichtlinien Erweiterte Überwachungsrichtlinienkonfiguration Administrative Vorlagen der Computerverwaltung Einführung ADMX und ADML Zentraler Speicher ADM-Vorlagen hinzufügen Praktische Beispiele für administrative Vorlagen Drucker verwalten BranchCache verwalten Administrative Vorlagen Netzwerk Intelligenter Hintergrundübertragungsdienst Administrative Vorlagen Netzwerk Netzwerkisolation Administrative Vorlagen System Administrative Vorlagen System Gruppenrichtlinie Administrative Vorlagen Systemsteuerung Anpassung Administrative Vorlagen Windows-Komponenten Administrative Vorlagen Windows-Komponenten Biometrie Administrative Vorlagen Windows-Komponenten Einstellungen synchronisieren Administrative Vorlagen Windows-Komponenten Portables Betriebssystem Windows-Einstellungen Benutzerkonfiguration Einführung An- und Abmeldeskripts Beispiel: Anmelden.bat Beispiel: Abmelden.bat Software-Einschränkungen Profile und Ordnerumleitungen Aus der Praxis Einführung Ordnerumleitungen Richtlinienbasierter QoS (Quality of Service) Internet Explorer-Wartung Internet Explorer Administration Kit (IEAK) installieren IEAK verwenden Administrative Vorlagen der Benutzerkonfiguration Einführung

10 Inhalt 9.2 Administrative Vorlagen Desktop Administrative Vorlagen Desktop Active Directory Administrative Vorlagen Desktop Desktop Freigegebene Ordner Netzwerk Netzwerkverbindungen Offlinedateien Windows-Sofortverbindungen Startmenü und Taskleiste Startmenü und Taskleiste Benachrichtigungen System Anmelden Benutzerprofile Energieverwaltung Gebietsschemadienste Gruppenrichtlinie Internetkommunikationsverwaltung STRG+ALT+ENTF (Optionen) Wechselmedienzugriffe Systemsteuerung Anpassung Anzeige Drucker Programme Software Windows-Komponenten Anlagen-Manager Anwendungskompatibilität App-Laufzeit Datei-Explorer (Windows Explorer) Internet Explorer Richtlinien für die automatische Wiedergabe Sicherungskopie Windows-Anmeldeoptionen Einstellungen Einführung Voraussetzungen Zielgruppenadressierung Computerkonfiguration Einstellungen Windows-Einstellungen Umgebung Dateien Ordner

11 10 Inhalt INI-Dateien Registrierung Netzwerkfreigaben Verknüpfungen Computerkonfiguration Einstellungen Systemsteuerungseinstellungen Datenquellen Geräte Ordneroptionen Lokale Benutzer und Gruppen Netzwerkoptionen Energieoptionen Drucker Geplante Aufgaben Dienste Benutzerkonfiguration Einstellungen Windows-Einstellungen Anwendungen Laufwerkszuordnungen Benutzerkonfiguration Einstellungen Systemsteuerungseinstellungen Interneteinstellungen Regionale Einstellungen Startmenü Verwalten von Gruppen richtlinienobjekten Einführung Gruppenrichtlinienobjekte (GPOs) sichern und wiederherstellen GPO sichern GPO wiederherstellen Einstellungen importieren und migrieren Starter-Gruppenrichtlinienobjekte Arbeiten mit GPOs Fehlersuche und Problembehebung Einführung Gruppenrichtlinienergebnisse Gruppenrichtlinienergebnis-Assistent Gruppenrichtlinienergebnis untersuchen Gruppenrichtlinienmodellierung Gruppenrichtlinienmodellierungs-Assistent Gruppenrichtlinienmodellierung auswerten GPResult Erweiterte Fehlerbehebung und Protokolldateien

12 Inhalt 13 Erweitern von administrativen Vorlagen Einführung ADMX-Datei erweitern ADML-Datei an erweiterte ADMX-Datei anpassen ADM-Datei in ADMX-Datei umwandeln Gruppenrichtlinien filtern Einführung Filtern über Gruppenzugehörigkeiten Berechtigungen verweigern Sicherheitsfilterung verwenden WMI-Filter Beispiele von WMI-Abfragen für WMI-Filter WMI-Filter erstellen WMI-Filter anwenden WMI-Filter entfernen Index

13

14 Vorwort zur zweiten Auflage In der vorliegenden zweiten Auflage meines Buches finden Sie neben den Beschreibungen der Gruppenrichtlinien von Windows Server 2008 R2 und Windows 7 auch die neuen Richtlinien von Windows 8 und Server Teilweise werden dabei die Schwerpunkte auf die neuen Richtlinien verlagert, teilweise werden aber auch nach wie vor die alten Richtlinien beschrieben, da meiner Erfahrung nach nicht viele Netzwerke gleich auf eine neue Betriebssystemgeneration umgestellt werden. Betriebssysteme in der Praxis Viele Unternehmen haben sicherlich erst im Verlauf der letzten Jahre mit der Umstellung der Clientbetriebssysteme auf Windows 7 begonnen, und planen, Windows 8 auszulassen. Im Serverbereich ist hingegen damit zu rechnen, dass eine gewisse Anzahl von Servern auf das neue Betriebssystem umgestellt wird, um neue Features zu nutzen. Das Buch will versuchen, Sie bei der Verwaltung dieser heterogenen Umgebungen so ideal wie möglich zu unterstützen. Unter finden Sie die Beispiel-ADML- und ADMXDateien sowie alle Links aus dem Buch. Ich wünsche Ihnen viel Spaß bei der Arbeit mit Gruppenrichtlinien! Ihre Anregungen, Korrekturen oder Wünsche nehme ich gerne unter mdausch@regensburger-it-akademie.de entgegen. Regensburg, im November 2012 Martin Dausch Geschäftsführender Gesellschafter der Regensburger IT Akademie GmbH

15

16 Vorwort zur ersten Auflage Vor elf Jahren hat Microsoft mit Windows Server 2000 und Active Directory die Gruppenrichtlinien eingeführt. Mit ihnen entstand eine Fülle von komplexen Konfigurationsmöglichkeiten für Administratoren, die kaum überschaubar war. Im Laufe der Zeit sind immer neue Richtlinien hinzugekommen. Selbst erfahrene IT-Profis würden wohl nicht von sich behaupten, alle ca Richtlinien zu kennen. Wie die Idee für dieses Buch entstand Als Dozent versuche ich stets, meinen Zuhörern einen Zugang zur Eleganz richtlinienbasierter Problemlösungen zu vermitteln. Dabei stelle ich immer wieder fest, dass die unüberschaubare Anzahl an Einstellungsmöglichkeiten den Anfänger abschreckt. Und auch erfahrene Administratoren kennen häufig nur einen Bruchteil der Möglichkeiten, da sie wegen alltäglicher Feuerwehraufgaben nicht die Zeit haben, sich mit allen Richtlinien zu beschäftigen. Um dieses Dilemma zu beenden, habe ich das Buch geschrieben, welches Sie gerade in der Hand halten. Ziel des Buches Dieses Buch ist ein Leitfaden, der es Administratoren erlaubt, ein Gefühl für die Gruppenrichtlinien zu entwickeln, eine vollständige Übersicht aller Richtlinien kann und soll es nicht liefern. Vielmehr geht es mir darum, anhand praxisnaher Beispiele ein Gefühl dafür zu vermitteln, wo welche Einstellungen vorgenommen werden können, wie sich diese auswirken, und wie Sie in Ihrer alltäglichen Arbeit dadurch Zeit sparen können. Denn mit Gruppenrichtlinien lassen sich häufige Probleme des administrativen Alltags sehr elegant und mit geringem Zeitaufwand beseitigen. Für Aufgaben, die sich mit vorhandenen Richtlinien nicht lösen lassen, habe ich in den betreffenden Kapiteln beschrieben, wie Sie mit eigenen administrativen Vorlagen neue Einstellungen setzen können, um so neue Gegebenheiten des Netzwerks effizient über Gruppenrichtlinien anzugehen. Ich habe viel Zeit in Internetrecherchen und umfangreiche Tests in meiner praxisnahen und sehr komplexen Testumgebung investiert, die teilweise erstaunliche Ergebnisse lieferten. Diese habe ich zusammengetragen und niedergeschrieben, sodass Sie als Leser ohne großen Zeitaufwand sofort zum gewünschten Ergebnis kommen.

17 16 Vorwort zur ersten Auflage Darüber hinaus enthält dieses Buch ein ausführliches Register. Es soll Ihnen ermöglichen, bei alltäglichen Aufgaben schnell mal nachzulesen, ob es nicht eine Richtlinie für eine Aufgabe gibt. Was das Buch nicht leisten kann Nicht jede Richtlinie funktioniert so, wie es auf den ersten Blick scheint. Darum werden Sie in diesem Buch auch immer wieder Hinweise vorfinden, die Sie vor typischen Fallen warnen. Über manche davon musste ich selbst leidvoll stolpern, bevor ich einen Weg fand, wie sie zu umgehen sind. Bei einigen Richtlinien ist es aber leider so, dass ich diesen Weg noch nicht gefunden habe. In diesen Fällen möchte ich zumindest versuchen, Ihnen aufwendige Recherchen zu ersparen. Neuerungen Ein weiteres Hauptaugenmerk richte ich auf die Neuerungen, die mit Windows Server 2008 R2 Einzug in die Gruppenrichtlinien gefunden haben. Diese stellen zum Teil eine erhebliche Verbesserung gegenüber den Vorläufern dar. Ich hoffe, damit auch erfahrenen Administratoren ein Werkzeug an die Hand geben zu können, das ihnen eine effiziente Umsetzung im administrativen Alltag erlaubt. Umgang mit Warnungen Im Buch beschreibe ich immer wieder Wege, wie Sie mit Gruppenrichtlinien in der Praxis arbeiten sollen. Wenn ich dabei wiederholt auf ausgiebige Tests vor dem Einsatz in Ihrer Produktivumgebung hinweise, so tue ich dies aus elf Jahren Erfahrung als Consultant und Administrator. Oft genug musste ich in Netzwerken Schäden beseitigen, die durch kleine Unachtsamkeiten zu massiven Produktivausfällen führten. Dies möchte ich Ihnen ersparen. Nehmen Sie die Warnungen also bitte nicht auf die leichte Schulter! Was Sie erwartet Bei all der trockenen Materie, mit der sich dieses Buch zwangsläufig beschäftigen muss, habe ich doch versucht, durch zahlreiche Beispiele aus der Praxis einen lebendigen Ansatz einzubringen. Möge es mir gelungen sein, sowohl dem erfahrenen Administrator als auch dem Einsteiger die Nützlichkeit des Werkzeugs Gruppenrichtlinie aufzuzeigen. Besonderer Dank an dieser Stelle gilt dem Carl Hanser Verlag aus München für die Umsetzung meiner Ideen in Form des vorliegenden Buches! Stellvertretend für alle anderen seien an dieser Stelle namentlich Frau Sieglinde Schärl und Frau Julia Stepp genannt. Ich wünsche Ihnen viel Vergnügen bei der Lektüre und eine erfolgreiche Umsetzung des Gelernten, Ihr Martin Dausch Geschäftsführender Gesellschafter der Regensburger IT Akademie GmbH P. S. Auf Ihre Anregungen, Korrekturen oder Wünsche freue ich mich: