Für IT-Spezialisten: Gruppenrichtlinien für Microsoft Office 2010

Transkript

1 Für IT-Spezialisten: Gruppenrichtlinien für Microsoft Office 2010 Microsoft Corporation Veröffentlicht: Januar 2011 Autor: Microsoft Office System and Servers Team Zusammenfassung Dieses Buch enthält Informationen zur Verwendung von Gruppenrichtlinien zum Bereitstellen und Konfigurieren einer Installation von Microsoft Office Zielgruppe sind IT-Universalisten, IT-Teams der Organisation, Personal aus dem Helpdesk- und Bereitstellungsteams, IT-Messagingadministratoren, Berater und andere IT-Spezialisten. Bei dem Inhalt dieses Buches handelt es sich um eine Kopie von ausgewählten Inhalten der technischen Bibliothek für Office 2010 Resource Kit ( zum Veröffentlichungsdatum. Der aktuelle Inhalt befindet sich in der technischen Bibliothek im Web.

2 Dieses Dokument wird wie besehen bereitgestellt. Die in diesen Unterlagen enthaltenen Angaben und Daten, einschließlich URLs und anderen Verweisen auf Internetwebsites, können ohne vorherige Ankündigung geändert werden. Sie tragen das volle Risiko der Verwendung. Einige Beispiele sind frei erfunden, soweit nichts anderes angegeben ist. Jede Ähnlichkeit mit der Realität ist rein zufällig. Mit diesem Dokument erhalten Sie keine Rechte an geistigem Eigentum in einem beliebigen Microsoft-Produkt. Sie können dieses Dokument als Kopie für eigene interne Referenzzwecke verwenden Microsoft Corporation. Alle Rechte vorbehalten. Microsoft, Access, Active Directory, Backstage, Excel, Groove, Hotmail, InfoPath, Internet Explorer, Outlook, PerformancePoint, PowerPoint, SharePoint, Silverlight, Windows, Windows Live, Windows Mobile, Windows PowerShell, Windows Server und Windows Vista sind entweder eingetragene Marken oder Marken der Microsoft Corporation in den Vereinigten Staaten und/oder anderen Ländern. Die in diesem Dokument enthaltenen Informationen stellen die behandelten Themen aus der Sicht der Microsoft Corporation zum Zeitpunkt der Veröffentlichung dar. Da Microsoft auf sich ändernde Marktanforderungen reagieren muss, stellt dies keine Verpflichtung seitens Microsoft dar, und Microsoft kann die Richtigkeit der hier dargelegten Informationen nach dem Zeitpunkt der Veröffentlichung nicht garantieren.

3 Inhalt Für IT-Spezialisten: Gruppenrichtlinien für Microsoft Office Abrufen von Hilfe I. Übersicht über Gruppenrichtlinien und Office Übersicht über Gruppenrichtlinien für Office Lokale und Active Directory-basierte Gruppenrichtlinien Gruppenrichtlinienverarbeitung Ändern der Verarbeitung von Gruppenrichtlinienobjekten durch Gruppenrichtlinien Administrative Vorlagen Echte Richtlinien und Benutzervoreinstellungen Gruppenrichtlinien-Verwaltungstools Office-Anpassungstool und Gruppenrichtlinien Siehe auch Planen von Gruppenrichtlinien in Office Planen von Gruppenrichtlinien Definieren von Unternehmenszielen und Sicherheitsanforderungen Bewerten der aktuellen Umgebung Entwerfen verwalteter Konfigurationen auf Grundlage der Geschäfts- und Sicherheitsanforderungen Ermitteln des Anwendungsumfangs Testen und Staging von Gruppenrichtlinienbereitstellungen Einbinden der Verantwortlichen Siehe auch FAQ: Group Policy (Office 2010) Q: When should I use Group Policy instead of Office Configuration Tool (OCT)? Q: Where can I download the Office 2010 Group Policy administrative template files?36 Q: Is there a separate download for different language versions of the administrative template files? Q: Where can I find a list of Group Policies that are available for Office 2010? Q: What is the difference between the two workbooks Office2010GroupPolicyAndOCTSettings_Reference.xls and Office2010GroupPolicyAndOCTSettings.xls? Q: What is the difference between.adm,.admx, and.adml administrative template files? Q: Do the Office 2010.admx template files work with the 2007 Office system? Or must I download the 2007 Office system template files separately? Q: How do I install the Office 2010 Group Policy templates?... 38

4 Q: How can I map a specific UI element in Office 2010 to a Group Policy setting? Q: How can I use Group Policy to disable commands and menu items? Q: Why does Microsoft not support the use of Group Policy Software Installation to deploy Office 2010? Q: What are the advantages and limitations of deploying Office 2010 using Group Policy computer startup scripts? Siehe auch Administrative Vorlagendateien (ADM, ADMX, ADML) für Office 2010 und das Office- Anpassungstool Übersicht über neue und entfernte Gruppenrichtlinien- und OAT-Einstellungen Speicherort von Gruppenrichtlinieneinstellungen Verhindern von Konflikten mit früheren Versionen von Gruppenrichtlinieneinstellungen Installieren der Einstellungen In diesem Download enthaltene Dateien Siehe auch II. Planen der Anpassung von Office 2010 mithilfe von Gruppenrichtlinien Planen der Barrierefreiheit in Office Erhöhen der Sichtbarkeit von Verletzungen Steuern der gemeldeten Merkmale Siehe auch Planen von Einstellungen für die Rechtschreibprüfung in Office Allgemeine Office 2010-Rechtschreibprüfungseinstellungen InfoPath 2010-Rechtschreibprüfungseinstellungen OneNote 2010-Rechtschreibprüfungseinstellungen Outlook 2010-Rechtschreibprüfungseinstellungen PowerPoint 2010-Rechtschreibprüfungseinstellungen Publisher 2010-Rechtschreibprüfungseinstellungen Word 2010-Rechtschreibprüfungseinstellungen Siehe auch Plan for using compatibility mode in Office 2010 (in englischer Sprache) Overview of Office document compatibility in Office Is using compatibility mode right for your organization? Preparing Office 2010 users for using compatibility features Changing default file formats and other settings for Office 2010 documents Planning security settings for binary files that are opened in Office Siehe auch Gruppenrichtlinieneinstellungen und Einstellungen im Office-Anpassungstool für das OpenDocument-Format und die Open XML-Formate im 2007 Office System... 80

5 Informationen zu den Einstellungen Excel 2010-Einstellungen PowerPoint 2010-Einstellungen Word 2010-Einstellungen Siehe auch III. Planen der Sicherheit mithilfe von Gruppenrichtlinien Security policies and settings in Office 2010 (in englischer Sprache) Siehe auch Planen der COM-Objektkategorisierung für Office Informationen zur COM-Objektkategorisierung Konfigurieren von Gruppenrichtlinien-Sicherheitseinstellungen für die COM- Objektkategorisierung Hinzufügen der COM-Objektkategorisierung in der Registrierung Planen von Einstellungen für den Zugriffsschutz für Office Blockieren von Dateiformattypen mit den Gruppenrichtlinien oder dem Office- Anpassungstool (OAT) Einstellungen für Gruppenrichtlinien und das Office-Anpassungstool (OAT) Siehe auch Administrative Vorlagendateien (ADM, ADMX, ADML) für 2007 Office System und Updates für das Office-Anpassungstool Informationen zum Planen von Einstellungen für die Kennwortlänge und -komplexität Erzwingen der Kennwortlänge und -komplexität Verwandte Einstellungen für die Kennwortlänge und -komplexität Siehe auch Planen von Einstellungen für digitale Signaturen für Office Was ist eine digitale Signatur? Digitales Zertifikat: Selbstsigniert oder von Zertifizierungsstellen ausgestellt Verwenden von digitalen Signaturen Planen von Datenschutzoptionen für Office Planung der Datenschutzoptionen Unterdrücken des Dialogfelds "Willkommen bei Microsoft Office 2010" Konfigurieren von Datenschutzoptionen Verwandte Datenschutzoptionen Siehe auch Planen der Verwaltung von Informationsrechten in Office Übersicht über IRM Funktionsweise von IRM in Office

6 Einrichten von IRM für Office Konfigurieren von IRM-Einstellungen für Office Konfigurieren von IRM-Einstellungen für Outlook Siehe auch IV. Planen von Outlook 2010 mithilfe von Gruppenrichtlinien Bestimmen der zu aktivierenden oder anzupassenden Features in Outlook AutoArchivierung Visitenkarten Unterhaltungsansicht Synchronisierung der globalen Adressliste Internetkalender Sofortsuche Navigationsbereich Outlook Connector für soziale Netzwerke Suchordner SharePoint Server-Kollegenimport-Add-In Siehe auch Planen einer Bereitstellung im Exchange-Cache-Modus in Outlook Übersicht Auswählen zwischen Exchange-Cache-Modus und Onlinemodus So lässt sich mit dem Exchange-Cache-Modus die Benutzerfreundlichkeit von Outlook verbessern Outlook-Features, die die Effektivität des Exchange-Cache-Modus beeinträchtigen können Überlegungen zu Synchronisierung, Speicherplatz und Leistung Verwalten des Verhaltens von Outlook für als langsam wahrgenommene Verbindungen Optionen für das Staging der Exchange-Cache-Modus-Bereitstellung Durchführen eines Upgrades aktueller Benutzer des Exchange-Cache-Modus auf Outlook Bereitstellen des Exchange-Cache-Modus für Benutzer, für die bereits OST-Dateien vorhanden sind Konfiguration des Exchange-Cache-Modus Zusätzliche Ressourcen Planen der Einhaltung von Vorschriften und der Archivierung in Outlook Planen der Bereitstellung einer Aufbewahrungsrichtlinie Planen der Bereitstellung eines persönlichen Archivs Siehe auch Auswählen von Sicherheits- und Schutzeinstellungen für Outlook Übersicht

7 Angeben, wie Sicherheitseinstellungen in Outlook erzwungen werden Interaktion von Administrator- und Benutzereinstellungen in Outlook Arbeiten mit Outlook-COM-Add-Ins Anpassen von Sicherheitseinstellungen für ActiveX und benutzerdefinierte Formulare in Outlook Anpassen programmgesteuerter Einstellungen in Outlook Zusätzliche Einstellungen Siehe auch Planen von Anlageneinstellungen in Outlook Übersicht Hinzufügen oder Entfernen von Dateinamenerweiterungen der Ebene Hinzufügen oder Entfernen von Dateinamenerweiterungen der Ebene Konfigurieren zusätzlicher Einschränkungen für Anlagendateien Siehe auch Planen der Kryptografie für -Messaging in Outlook Informationen zu kryptografischen Messagingfeatures in Outlook Verwalten kryptografischer digitaler IDs Sicherheitskennzeichen und signierte Empfangsbestätigungen Konfigurieren kryptografischer Einstellungen für Outlook Konfigurieren zusätzlicher kryptografischer Einstellungen Siehe auch Planen der Einschränkung von Junk- s in Outlook Übersicht Unterstützte Kontotypen Unterstützung in Exchange Server Konfigurieren der Benutzeroberfläche des Junk- -Filters Bereitstellen von standardmäßigen Junk- -Filterlisten Konfigurieren des automatischen Downloads von Bildern Siehe auch V. Planen von SharePoint Workspace 2010 mithilfe von Gruppenrichtlinien Gruppenrichtlinie für SharePoint Workspace Siehe auch VIII. Anpassen von Office 2010 mithilfe von Gruppenrichtlinien Anpassen des Setups von Sprachen und von Einstellungen für Office Übersicht Bevor Sie beginnen Bereitstellen einer Standardsprachversion von Office Angeben der zu installierenden Sprachen Bereitstellen unterschiedlicher Sprachen für verschiedene Benutzergruppen

8 Identifizieren der installierten Sprachen Anpassen von Spracheinstellungen Anpassen und Installieren von Office 2010 Proofing Tools Kit Siehe auch Erzwingen von Einstellungen mithilfe von Gruppenrichtlinien in Office Starten der Gruppenrichtlinien-Verwaltungskonsole Erstellen eines Gruppenrichtlinienobjekts Laden von administrativen Vorlagen für Office 2010 in ein Gruppenrichtlinienobjekt. 319 Bearbeiten eines Gruppenrichtlinienobjekts Verknüpfen eines Gruppenrichtlinienobjekts Siehe auch Deaktivieren von Benutzeroberflächenelementen und Tastenkombinationen in Office Deaktivieren von Elementen der Benutzeroberfläche und Tastenkombinationen mithilfe von Gruppenrichtlinien Deaktivieren von Befehlen mithilfe von Steuerelement-IDs Deaktivieren von Tastenkombinationen mithilfe von virtuellen Tastencodes Deaktivieren von vordefinierten Benutzeroberflächenelementen und Tastenkombinationen Siehe auch VII. Anpassen der Sicherheit mithilfe von Gruppenrichtlinien Konfigurieren der Sicherheit für Office Übersicht über das Verfahren Bevor Sie beginnen Konfigurieren von Sicherheitseinstellungen mithilfe des OAT Konfigurieren von Sicherheitseinstellungen mithilfe von Gruppenrichtlinien Siehe auch Konfigurieren der Verwaltung von Informationsrechten in Outlook Übersicht Bevor Sie beginnen Deaktivieren der Verwaltung von Informationsrechten Konfigurieren der automatischen Lizenzzwischenspeicherung für Outlook Erzwingen eines Ablaufzeitraums für s Bereitstellen von Vorlagen für Benutzerrechterichtlinien Siehe auch VIII. Anpassen von Outlook 2010 mithilfe von Gruppenrichtlinien Aktivieren des SharePoint Server 2010-Kollegenimport-Add-Ins in Outlook Übersicht Bevor Sie beginnen

9 Konfigurieren der Kollegensuche für "Meine Website" Siehe auch Konfigurieren von Outlook Anywhere in Outlook Übersicht Bevor Sie beginnen Verwenden des OAT zum Konfigurieren von Outlook Anywhere Verwenden von Gruppenrichtlinien zum Sperren von Outlook Anywhere-Einstellungen Überprüfung Siehe auch Konfigurieren des Exchange-Cache-Modus in Outlook Übersicht Bevor Sie beginnen Konfigurieren des Exchange-Cache-Modus Siehe auch Verwalten vertrauenswürdiger Add-Ins für Outlook Übersicht Bevor Sie beginnen Abrufen des Hashwerts für ein vertrauenswürdiges Add-In Angeben des vertrauenswürdigen Add-Ins mithilfe von Gruppenrichtlinien Entfernen des Security Hash Generator Tool Siehe auch Konfigurieren von Junk- -Einstellungen in Outlook Übersicht Bevor Sie beginnen: Erstellen und Bereitstellen von Junk- -Filterlisten Konfigurieren des Junk- -Filters Konfigurieren des automatischen Herunterladens von Bildern Siehe auch IX. Anpassen von SharePoint Workspace 2010 mithilfe von Gruppenrichtlinien Konfigurieren von SharePoint Workspace Konfigurieren und Anpassen von SharePoint Workspace Bevor Sie beginnen Überprüfen der Anpassungsoptionen für SharePoint Workspace Anpassen von SharePoint Workspace 2010 mithilfe von Active Directory- Gruppenrichtlinienobjekten oder Einstellungen des Office-Anpassungstools Überprüfen der Installation Siehe auch

10 Testen von SharePoint Workspace-Verbindungen Bevor Sie beginnen Testen der SharePoint Workspace-Synchronisierung mit SharePoint Server Testen der Synchronisierung von Groove-Arbeitsbereichen zwischen Peerclients Siehe auch

11 Abrufen von Hilfe Das Dokument wurde sorgfältig auf Korrektheit überprüft. Der Inhalt ist ebenfalls online verfügbar in der Office System-TechNet-Bibliothek. Falls es zu Unstimmigkeiten kommen sollte, so können Sie nach Update suchen unter: Sollten Sie keine Lösung im Onlineinhalt gefunden haben, können Sie eine - Nachricht an das Team von Microsoft Office System and Servers Content senden unter: Betrifft Ihre Frage Microsoft Office-Produkte und nicht den Inhalt dieses Buches, durchsuchen Sie das Microsoft-Hilfe- und Supportcenter oder die Microsoft Knowledge Base unter: 14

12 I. Übersicht über Gruppenrichtlinien und Office

13 Übersicht über Gruppenrichtlinien für Office 2010 Dieser Artikel enthält eine kurze Übersicht über Gruppenrichtlinienkonzepte. Zielgruppe für diesen Artikel sind IT-Administratoren, die Gruppenrichtlinien zum Konfigurieren und Erzwingen von Einstellungen für Microsoft Office 2010-Anwendungen verwenden möchten. Inhalt dieses Artikels: Lokale und Active Directory-basierte Gruppenrichtlinien Gruppenrichtlinienverarbeitung Ändern der Verarbeitung von Gruppenrichtlinienobjekten durch Gruppenrichtlinien Administrative Vorlagen Echte Richtlinien und Benutzervoreinstellungen Gruppenrichtlinien-Verwaltungstools Office-Anpassungstool und Gruppenrichtlinien Lokale und Active Directory-basierte Gruppenrichtlinien Gruppenrichtlinien sind eine Infrastruktur, mit der eine oder mehr gewünschte Konfigurationen oder Richtlinieneinstellungen auf eine Gruppe von Zielbenutzern und - computern in einer Active Directory-Verzeichnisdienstumgebung angewendet werden können. Die Gruppenrichtlinieninfrastruktur besteht aus einem Gruppenrichtlinienmodul und mehreren einzelnen Erweiterungen. Diese Erweiterungen dienen zum Konfigurieren von Gruppenrichtlinieneinstellungen, entweder durch Ändern der Registrierung über die Erweiterung Administrative Vorlagen oder durch Festlegen von Gruppenrichtlinieneinstellungen für Sicherheitseinstellungen, Softwareinstallation, Ordnerumleitung, Internet Explorer-Wartung, WLAN-Einstellungen und andere Bereiche. Jede Installation von Gruppenrichtlinien umfasst zwei Erweiterungen: Eine serverseitige Erweiterung des MMC-Snap-Ins (Microsoft Management Console) Gruppenrichtlinienobjekt-Editor zum Definieren und Festlegen der Richtlinieneinstellungen, die auf Clientcomputer angewendet werden Eine clientseitige Erweiterung, die vom Gruppenrichtlinienmodul zum Anwenden von Richtlinieneinstellungen aufgerufen wird Gruppenrichtlinieneinstellungen sind in Gruppenrichtlinienobjekten enthalten, die mit ausgewählten Active Directory-Containern verknüpft sind, z. B. Standorten, Domänen oder Organisationseinheiten. Wenn ein Gruppenrichtlinienobjekt erstellt wird, wird es in der Domäne gespeichert. Wenn das Gruppenrichtlinienobjekt mit einem Active Directory- Container, z. B. einer Organisationseinheit, verknüpft wird, ist die Verknüpfung eine Komponente des Active Directory-Containers. Die Verknüpfung ist keine Komponente 16

14 des Gruppenrichtlinienobjekts. Die Einstellungen in Gruppenrichtlinienobjekten werden von den betroffenen Zielen anhand der Active Directory-Hierarchie ausgewertet. Sie können beispielsweise ein Gruppenrichtlinienobjekt mit dem Namen Office Einstellungen erstellen, das nur Konfigurationen für Office 2010-Anwendungen enthält. Dieses Gruppenrichtlinienobjekt können Sie dann auf einen bestimmten Standort anwenden, sodass die Benutzer dieses Standorts die Office 2010-Konfigurationen erhalten, die Sie im Gruppenrichtlinienobjekt Office 2010-Einstellungen angegeben haben. Jeder Computer verfügt über ein lokales Gruppenrichtlinienobjekt, das immer verarbeitet wird, unabhängig davon, ob der Computer Mitglied einer Domäne ist oder ob es sich um einen eigenständigen Computer handelt. Das lokale Gruppenrichtlinienobjekt kann nicht durch domänenbasierte Gruppenrichtlinienobjekte blockiert werden. Allerdings haben Einstellungen in Domänen-Gruppenrichtlinienobjekten immer Vorrang, da sie nach dem lokalen Gruppenrichtlinienobjekt verarbeitet werden. Hinweis: Windows Vista, Windows Server 2008 und Windows 7 unterstützen die Verwaltung mehrerer lokaler Gruppenrichtlinienobjekte auf eigenständigen Computern. Weitere Informationen finden Sie unter Schrittweise Anleitung zum Verwalten mehrerer lokaler Gruppenrichtlinienobjekte ( Sie können lokale Gruppenrichtlinienobjekte zwar auf einzelnen Computern konfigurieren, alle Vorteile von Gruppenrichtlinien erzielen Sie aber in einem Windows Server oder Windows Server 2008-Netzwerk mit Active Directory. Gruppenrichtlinienverarbeitung Gruppenrichtlinien für Computer werden beim Starten des Computers angewendet. Gruppenrichtlinien für Benutzer werden bei der Benutzeranmeldung angewendet. Neben der anfänglichen Verarbeitung von Gruppenrichtlinien beim Starten und bei der Anmeldung werden Gruppenrichtlinien nachfolgend in regelmäßigen Abständen im Hintergrund angewendet. Während einer Hintergrundaktualisierung werden die Richtlinieneinstellungen durch eine clientseitige Erweiterung nur dann erneut angewendet, wenn auf dem Server in einem der Gruppenrichtlinienobjekte oder in einer der Listen von Gruppenrichtlinienobjekten eine Änderung aufgetreten ist. Für Softwareinstallation und Ordnerumleitung erfolgt die Gruppenrichtlinienverarbeitung nur während des Computerstarts oder der Benutzeranmeldung. Gruppenrichtlinieneinstellungen werden in der folgenden Reihenfolge verarbeitet: Lokales Gruppenrichtlinienobjekt: Jeder Computer verfügt über ein Gruppenrichtlinienobjekt, das lokal gespeichert wird. Dieses Gruppenrichtlinienobjekt wird sowohl für Computer- als auch für Benutzergruppenrichtlinien verarbeitet. Standort: Gruppenrichtlinienobjekte, die mit dem Standort verknüpft sind, zu dem der Computer gehört, werden als Nächstes verarbeitet. Die Verarbeitung erfolgt in der Reihenfolge, die vom Administrator in der Gruppenrichtlinien-Verwaltungskonsole auf der Registerkarte Verknüpfte Gruppenrichtlinienobjekte für den Standort angegeben wurde. Das Gruppenrichtlinienobjekt mit der niedrigsten 17

15 Verknüpfungsreihenfolge wird zuletzt verarbeitet und hat damit die höchste Priorität. Weitere Informationen zur Verwendung der Gruppenrichtlinien-Verwaltungskonsole finden Sie im Abschnitt Gruppenrichtlinien-Verwaltungstools weiter unten in diesem Artikel. Domäne: Mehrere mit der Domäne verknüpfte Gruppenrichtlinienobjekte werden in der Reihenfolge verarbeitet, die vom Administrator in der Gruppenrichtlinien- Verwaltungskonsole auf der Registerkarte Verknüpfte Gruppenrichtlinienobjekte für die Domäne angegeben wurde. Das Gruppenrichtlinienobjekt mit der niedrigsten Verknüpfungsreihenfolge wird zuletzt verarbeitet und hat damit die höchste Priorität. Organisationseinheiten: Die mit der höchsten Organisationseinheit in der Active Directory-Hierarchie verknüpften Gruppenrichtlinienobjekte werden zuerst verarbeitet, als Nächstes werden Gruppenrichtlinienobjekte verarbeitet, die mit der untergeordneten Organisationseinheit verknüpft sind, usw. Gruppenrichtlinienobjekte, die mit der Organisationseinheit verknüpft sind, die den Benutzer oder Computer enthält, werden zuletzt verarbeitet. Für die Verarbeitungsreihenfolge müssen die folgenden Bedingungen erfüllt sein: WMI-Filterung (Windows Management Instrumentation, Windows- Verwaltungsinstrumentation) oder Sicherheitsfilterung wird auf Gruppenrichtlinienobjekte angewendet. Domänenbasierte Gruppenrichtlinienobjekte (nicht lokale Gruppenrichtlinienobjekte) können mithilfe der Option Erzwingen erzwungen werden, sodass die Richtlinieneinstellungen nicht überschrieben werden können. Da ein erzwungenes Gruppenrichtlinienobjekt zuletzt verarbeitet wird, können keine anderen Einstellungen die Einstellungen in diesem Gruppenrichtlinienobjekt überschreiben. Wenn mehrere erzwungene Gruppenrichtlinienobjekte vorhanden sind, kann die gleiche Einstellung in den einzelnen Gruppenrichtlinienobjekten auf einen anderen Wert festgelegt sein. In diesem Fall wird das Gruppenrichtlinienobjekt mit den endgültigen Einstellungen anhand der Verknüpfungsreihenfolge bestimmt. Für jede Domäne oder Organisationseinheit (OU) kann die Vererbung von Gruppenrichtlinien selektiv auf Vererbung deaktivieren festgelegt werden. Da jedoch erzwungene Gruppenrichtlinienobjekte immer angewendet werden und nicht blockiert werden können, wird durch Deaktivieren der Vererbung nicht verhindert, dass Richtlinieneinstellungen aus erzwungenen Gruppenrichtlinienobjekten angewendet werden. Richtlinienvererbung Die Richtlinieneinstellungen, die für einen Benutzer und Computer in Kraft sind, sind das Ergebnis der Kombination von Gruppenrichtlinienobjekten, die auf einen Standort, eine Domäne oder eine Organisationseinheit angewendet werden. Wenn mehrere Gruppenrichtlinienobjekte auf Benutzer und Computer in diesen Active Directory- Containern angewendet werden, werden die Einstellungen in den Gruppenrichtlinienobjekten aggregiert. Standardmäßig werden Einstellungen, die in Gruppenrichtlinienobjekten bereitgestellt werden, die mit Containern auf höherer Ebene (übergeordneten Containern) in Active Directory verknüpft sind, an untergeordnete Container vererbt und mit Einstellungen kombiniert, die in mit den untergeordneten Containern verknüpften Gruppenrichtlinienobjekten bereitgestellt werden. Wenn mehrere Gruppenrichtlinienobjekte versuchen, eine Richtlinieneinstellung mit widersprüchlichen Werten festzulegen, wird die Einstellung durch das Gruppenrichtlinienobjekt mit der 18

16 höchsten Priorität festgelegt. Gruppenrichtlinienobjekte, die später verarbeitet werden, haben Vorrang vor Gruppenrichtlinienobjekten, die früher verarbeitet werden. Synchrone und asynchrone Verarbeitung Synchrone Prozesse können als eine Reihe von Prozessen beschrieben werden, bei denen jeweils ein Prozess abgeschlossen sein muss, bevor der nächste beginnt. Asynchrone Prozesse können in verschiedenen Threads gleichzeitig ausgeführt werden, da ihr Ergebnis von anderen Prozessen unabhängig ist. Administratoren können mithilfe einer Richtlinieneinstellung für jedes Gruppenrichtlinienobjekt das Standardverarbeitungsverhalten ändern, sodass die Verarbeitung asynchron statt synchron erfolgt. Bei der synchronen Verarbeitung gilt ein Zeitlimit von 60 Minuten, bis die Verarbeitung aller Gruppenrichtlinien auf dem Clientcomputer abgeschlossen sein muss. Clientseitige Erweiterungen, deren Verarbeitung nach 60 Minuten noch nicht beendet ist, erhalten ein Signal zum Beenden. In diesem Fall werden die zugeordneten Richtlinieneinstellungen möglicherweise nicht vollständig angewendet. Feature zur schnellen Anmeldungsoptimierung Das Feature zur schnellen Anmeldungsoptimierung ist standardmäßig sowohl für Domänen- und als auch für Arbeitsgruppenmitglieder festgelegt. Mit diesem Feature werden Richtlinien beim Starten des Computers und bei der Benutzeranmeldung asynchron angewendet. Diese Anwendung von Richtlinien ist vergleichbar mit einer Hintergrundaktualisierung. Damit können die Dauer bis zur Anzeige des Anmeldedialogfelds und die Dauer, bis der Desktop für den Benutzer verfügbar ist, reduziert werden. Administratoren können das Feature zur schnellen Anmeldungsoptimierung mithilfe der Richtlinieneinstellung Beim Neustart des Computers und bei der Anmeldung immer auf das Netzwerk warten deaktivieren. Diese befindet sich im Gruppenrichtlinienobjekt- Editor im Knoten Computerkonfiguration\Administrative Vorlagen\System\Anmelden. Verarbeitung bei langsamen Verbindungen Einige Gruppenrichtlinienerweiterungen werden nicht verarbeitet, wenn die Verbindungsgeschwindigkeit angegebene Schwellenwerte unterschreitet. In den Gruppenrichtlinien werden Übertragungsraten von weniger als 500 Kilobits pro Sekunde (KBit/s) standardmäßig als langsame Verbindungen behandelt. Gruppenrichtlinien-Aktualisierungsintervall Standardmäßig werden Gruppenrichtlinien alle 90 Minuten mit einer zufälligen Verzögerung von bis zu 30 Minuten verarbeitet, das maximale Gesamtaktualisierungsintervall beträgt also 120 Minuten. Sicherheitseinstellungen werden, nachdem Sie die Einstellungen für Sicherheitsrichtlinien bearbeitet haben, auf den Computern in der Organisationseinheit aktualisiert, mit der das Gruppenrichtlinienobjekt verknüpft ist: Beim Neustart eines Computers Alle 90 Minuten auf einer Arbeitsstation oder einem Server und alle 5 Minuten auf einem Domänencontroller Standardmäßig werden Sicherheitsrichtlinieneinstellungen, die durch Gruppenrichtlinien bereitgestellt werden, zudem alle 16 Stunden (960 Minuten) angewendet, selbst wenn ein Gruppenrichtlinienobjekt nicht geändert wurde. 19

17 Auslösen einer Gruppenrichtlinienaktualisierung Änderungen am Gruppenrichtlinienobjekt müssen zuerst auf den entsprechenden Domänencontroller repliziert werden. Daher sind Änderungen an Gruppenrichtlinieneinstellungen möglicherweise nicht sofort auf den Benutzercomputern verfügbar. In einigen Szenarien, z. B. beim Anwenden von Sicherheitsrichtlinieneinstellungen, ist es möglicherweise erforderlich, Richtlinieneinstellungen sofort anzuwenden. Administratoren können eine Richtlinienaktualisierung manuell von einem lokalen Computer auslösen, ohne die automatische Hintergrundaktualisierung abzuwarten. Dazu können Administratoren an der Befehlszeile gpupdate eingeben, um die Benutzer- oder Computerrichtlinieneinstellungen zu aktualisieren. Die Gruppenrichtlinien- Verwaltungskonsole kann nicht zum Auslösen einer Richtlinienaktualisierung verwendet werden. Mit dem Befehl gpupdate wird eine Hintergrundaktualisierung der Richtlinie auf dem lokalen Computer ausgelöst, auf dem der Befehl ausgeführt wird. Der Befehl gpupdate wird in Umgebungen mit Windows Server 2003 und Windows XP verwendet. Die Anwendung von Gruppenrichtlinien kann nicht bei Bedarf vom Server an die Clients übertragen werden. Ändern der Verarbeitung von Gruppenrichtlinienobjekten durch Gruppenrichtlinien Die primäre Methode zur Angabe der Benutzer und Computer, die Einstellungen von einem Gruppenrichtlinienobjekt empfangen, ist die Verknüpfung des Gruppenrichtlinienobjekts mit Standorten, Domänen und Organisationseinheiten. Sie können die Standardreihenfolge ändern, in der Gruppenrichtlinienobjekte verarbeitet werden, indem Sie eine der folgenden Methoden verwenden: Ändern der Verknüpfungsreihenfolge. Blockieren der Vererbung. Erzwingen einer Gruppenrichtlinienobjekt-Verknüpfung. Deaktivieren einer Gruppenrichtlinienobjekt-Verknüpfung. Verwenden der Sicherheitsfilterung. Verwenden der WMI (Windows-Verwaltungsinstrumentation)-Filterung. Verwenden der Loopbackverarbeitung. Diese Methoden werden in den folgenden Unterabschnitten erläutert. Ändern der Verknüpfungsreihenfolge Die Verknüpfungsreihenfolge der Gruppenrichtlinienobjekte für einen Standort, eine Domäne oder Organisationseinheit steuert, wann Verknüpfungen angewendet werden. Administratoren können den Rang einer Verknüpfung ändern, indem sie die Verknüpfungsreihenfolge ändern, d. h. die einzelnen Verknüpfungen in der Liste nach oben oder unten an die entsprechende Position verschieben. Die Verknüpfung mit dem höheren Rang (1 ist der höchste Rang) hat die höhere Priorität für einen Standort, eine Domäne oder Organisationseinheit. 20

18 Blockieren der Vererbung Durch das Blockieren der Vererbung für eine Domäne oder Organisationseinheit wird verhindert, dass mit höheren Standorten, Domänen oder Organisationseinheiten verknüpfte Gruppenrichtlinienobjekte automatisch vom Active Directory-Container der untergeordneten Ebene geerbt werden. Erzwingen einer Gruppenrichtlinienobjekt-Verknüpfung Sie können angeben, dass die Einstellungen in einer Gruppenrichtlinienobjekt- Verknüpfung Vorrang vor den Einstellungen untergeordneter Objekte haben, indem Sie die Verknüpfung auf Erzwungen festlegen. Erzwungene Gruppenrichtlinienobjekt- Verknüpfungen können nicht vom übergeordneten Container blockiert werden. Wenn Gruppenrichtlinienobjekte widersprüchliche Einstellungen enthalten und nicht von einem übergeordneten Container erzwungen werden, werden die Einstellungen der Gruppenrichtlinienobjekt-Verknüpfungen im übergeordneten Container der höheren Ebene durch Einstellungen in Gruppenrichtlinienobjekten überschrieben, die mit untergeordneten Organisationseinheiten verknüpft sind. Durch das Erzwingen behält die übergeordnete Gruppenrichtlinienobjekt-Verknüpfung immer den Vorrang. Standardmäßig werden Gruppenrichtlinienobjekt-Verknüpfungen nicht erzwungen. Deaktivieren einer Gruppenrichtlinienobjekt-Verknüpfung Sie können das Anwenden eines Gruppenrichtlinienobjekts durch Benutzer für einen Standort, eine Domäne oder Organisationseinheit vollständig blockieren, indem Sie die Gruppenrichtlinienobjekt-Verknüpfung für den betreffenden Standort bzw. die Domäne oder Organisationseinheit deaktivieren. Das Gruppenrichtlinienobjekt selbst wird dadurch nicht deaktiviert. Wenn das Gruppenrichtlinienobjekt mit anderen Standorten, Domänen oder Organisationseinheiten verknüpft wird, wird das Gruppenrichtlinienobjekt von diesen weiterhin verarbeitet, wenn die entsprechenden Verknüpfungen aktiviert sind. Verwenden der Sicherheitsfilterung Die Sicherheitsfilterung wird verwendet, um anzugeben, dass nur bestimmte Sicherheitsprinzipale in einem Container, mit dem das Gruppenrichtlinienobjekt verknüpft ist, das Gruppenrichtlinienobjekt anwenden. Administratoren können mithilfe der Sicherheitsfilterung den Gültigkeitsbereich eines Gruppenrichtlinienobjekts so eingrenzen, dass das Gruppenrichtlinienobjekt nur auf eine einzelne Gruppe, einen einzelnen Benutzer oder Computer angewendet wird. Die Sicherheitsfilterung kann nicht selektiv für verschiedene Einstellungen innerhalb eines Gruppenrichtlinienobjekts verwendet werden. Das Gruppenrichtlinienobjekt wird nur dann auf einen Benutzer oder Computer angewendet, wenn der betreffende Benutzer oder Computer über die Berechtigungen Lesen und Gruppenrichtlinie übernehmen für das Gruppenrichtlinienobjekt verfügt, entweder explizit oder effektiv durch Gruppenmitgliedschaft. Standardmäßig sind für alle Gruppenrichtlinienobjekte die Berechtigungen Lesen und Gruppenrichtlinie übernehmen für die Gruppe Authentifizierte Benutzer, die Benutzer und Computer umfasst, auf Zugelassen festgelegt. Auf diese Weise erhalten alle authentifizierten Benutzer die Einstellungen eines neuen Gruppenrichtlinienobjekts, wenn das Gruppenrichtlinienobjekt auf eine Organisationseinheit, Domäne oder einen Standort angewendet wird. Standardmäßig haben Domänenadministratoren, Organisationsadministratoren und das lokale System Vollzugriff, auch ohne den Zugriffssteuerungseintrag Gruppenrichtlinie übernehmen. Administratoren sind ebenfalls Mitglieder der Gruppe Authentifizierte Benutzer. Das bedeutet, dass Administratoren standardmäßig die Einstellungen im 21

19 Gruppenrichtlinienobjekt erhalten. Diese Berechtigungen können geändert werden, um den Geltungsbereich auf bestimmte Benutzer, Gruppen oder Computer innerhalb der Organisationseinheit, Domäne oder des Standorts einzuschränken. In der Gruppenrichtlinien-Verwaltungskonsole werden diese Berechtigungen als einzelne Einheit verwaltet. Die Sicherheitsfilterung für das Gruppenrichtlinienobjekt wird auf der Registerkarte Bereich angezeigt. In der Gruppenrichtlinien-Verwaltungskonsole können Gruppen, Benutzer und Computer als Sicherheitsfilter für jedes Gruppenrichtlinienobjekt hinzugefügt oder entfernt werden. Verwenden der WMI (Windows-Verwaltungsinstrumentation)- Filterung. Mithilfe der WMI-Filterung wird das Anwenden eines Gruppenrichtlinienobjekts durch Anfügen einer WQL-Abfrage (WMI Query Language, WMI-Abfragesprache) an ein Gruppenrichtlinienobjekt gefiltert. Die Abfragen können für WMI-Abfragen nach mehreren Elementen verwendet werden. Wenn eine Abfrage für alle abgefragten Elemente True zurückgibt, wird das Gruppenrichtlinienobjekt auf den Zielbenutzer oder -computer angewendet. Ein Gruppenrichtlinienobjekt wird mit einem WMI-Filter verknüpft und auf einen Zielcomputer angewendet. Der Filter wird dann auf dem Zielcomputer ausgewertet. Wenn der WMI-Filter mit False ausgewertet wird, wird das Gruppenrichtlinienobjekt nicht angewendet (außer wenn auf dem Clientcomputer Windows 2000 ausgeführt wird; in diesem Fall wird der Filter ignoriert und das Gruppenrichtlinienobjekt immer angewendet). Wenn der WMI-Filter mit True ausgewertet wird, wird das Gruppenrichtlinienobjekt angewendet. Der WMI-Filter wird im Verzeichnis als separates Objekt getrennt vom Gruppenrichtlinienobjekt verwaltet. Ein WMI-Filter muss mit einem Gruppenrichtlinienobjekt verknüpft sein, damit er angewendet wird, und ein WMI-Filter und das mit ihm verknüpfte Gruppenrichtlinienobjekt müssen sich in derselben Domäne befinden. WMI-Filter werden nur in Domänen gespeichert. Jedem Gruppenrichtlinienobjekt kann nur ein WMI-Filter zugeordnet sein. Ein WMI-Filter kann mit mehreren Gruppenrichtlinienobjekten verknüpft werden. Hinweis: Die WMI ist die Microsoft-Implementierung der Brancheninitiative Web-Based Enterprise Management, die Verwaltungsinfrastrukturstandards definiert und eine Möglichkeit bietet, Informationen aus verschiedenen Hardware- und Softwareverwaltungssystemen zu kombinieren. WMI macht Hardwarekonfigurationsdaten zu CPU, Arbeitsspeicher, Speicherplatz und Hersteller sowie Softwarekonfigurationsdaten zu Registrierung, Treibern, Dateisystem, Active Directory, Windows Installer-Dienst, Netzwerkkonfiguration und Anwendungsdaten verfügbar. Daten über einen Zielcomputer können für Verwaltungszwecke genutzt werden, z. B. zur WMI-Filterung von Gruppenrichtlinienobjekten. Verwenden der Loopbackverarbeitung Sie können diese Funktion verwenden, um sicherzustellen, dass auf jeden Benutzer, der sich an einem bestimmten Computer anmeldet, die gleiche Gruppe von 22

20 Richtlinieneinstellungen angewendet wird, unabhängig von der Position des Benutzers in Active Directory. Die Loopbackverarbeitung ist eine erweiterte Gruppenrichtlinieneinstellung, die auf Computern in bestimmten straff verwalteten Umgebungen nützlich ist, z. B. Servern, Kiosken, Laboren, Kursräumen und Empfangsbereichen. Durch Festlegen der Loopbackverarbeitung werden die Richtlinieneinstellungen unter Benutzerkonfiguration in Gruppenrichtlinienobjekten, die auf den Computer angewendet werden, auf jeden Benutzer angewendet, der sich an dem betreffenden Computer anmeldet, und zwar anstelle von (im Modus Ersetzen) oder zusätzlich zu (im Modus Zusammenführen) den Benutzereinstellungen unter Benutzerkonfiguration. Um die Loopbackverarbeitung festzulegen, können Sie die Richtlinieneinstellung Loopbackverarbeitungsmodus für Benutzergruppenrichtlinie verwenden. Diese Einstellung befindet sich im Gruppenrichtlinienobjekt-Editor unter Computerkonfiguration\Administrative Vorlagen\System\Gruppenrichtlinie. Zur Verwendung der Loopbackverarbeitung müssen sowohl das Benutzerkonto als auch das Computerkonto sich in einer Domäne mit Windows 2003 oder einer höheren Windows-Version befinden. Die Loopbackverarbeitung kann nicht für Computer verwendet werden, die Mitglied einer Arbeitsgruppe sind. Administrative Vorlagen Die Gruppenrichtlinienerweiterung für administrative Vorlagen besteht aus einem serverseitigen MMC-Snap-In zum Konfigurieren von Richtlinieneinstellungen und einer clientseitigen Erweiterung zum Festlegen von Registrierungsschlüsseln auf Zielcomputern. Richtlinien mit administrativen Vorlagen werden auch als registrierungsbasierte Richtlinien oder Registrierungsrichtlinien bezeichnet. Administrative Vorlagendateien Administrative Vorlagendateien sind Unicode-Dateien, die aus einer Hierarchie von Kategorien und Unterkategorien bestehen, in denen die Darstellung von Optionen im Gruppenrichtlinienobjekt-Editor und in der Gruppenrichtlinien-Verwaltungskonsole definiert ist. Sie geben außerdem die Registrierungsorte an, die von Richtlinieneinstellungskonfigurationen betroffen sind. Dazu gehören die standardmäßigen (nicht konfigurierten), aktivierten oder deaktivierten Werte der Richtlinieneinstellungen. Die Vorlagen sind in drei Dateiversionen verfügbar:.adm,.admx und.adml. Die ADM- Dateien können für Computer verwendet werden, auf denen ein beliebiges Windows- Betriebssystem ausgeführt wird. Die ADMX- und ADML-Dateien können für Computer verwendet werden, auf denen mindestens Windows Vista oder Windows Server 2008 ausgeführt wird. Die ADML-Dateien sind die sprachspezifischen Versionen der ADMX- Dateien. Die Funktionalität der administrativen Vorlagendateien ist beschränkt. ADM-, ADMXoder ADML-Dateien aktivieren eine Benutzeroberfläche zum Konfigurieren von Richtlinieneinstellungen. Administrative Vorlagendateien selbst enthalten keine Richtlinieneinstellungen. Die Richtlinieneinstellungen befinden sich in Dateien namens Registry.pol im Ordner Sysvol auf Domänencontrollern. Das serverseitige Snap-In für administrative Vorlagen stellt den Knoten Administrative Vorlagen bereit, der im Gruppenrichtlinienobjekt-Editor unter Computerkonfiguration und unter Benutzerkonfiguration angezeigt wird. Die Einstellungen unter Computerkonfiguration ändern Registrierungseinstellungen für den Computer. Die 23