Windows Server Uwe Bünning, Jörg Krause. Einrichtung und Administration von Unternehmensnetzen mit Standard und Enterprise Edition

Transkript

1 Windows Server 2003 Uwe Bünning, Jörg Krause Einrichtung und Administration von Unternehmensnetzen mit Standard und Enterprise Edition ISBN Leseprobe Weitere Informationen oder Bestellungen unter sowie im Buchhandel

2 12.6 Gruppenrichtlinien administrieren Öffnen Sie den Dialog EIGENSCHAFTEN und füllen die Felder nach Bedarf aus. Folgende Informationen können Sie eintragen: - Name, Beschreibung - Rufnummern, - Adresse - Organisationsinformationen (Vorgesetzter, Abteilung etc.) Es ist möglich, Kontakten Verteiler- oder Sicherheitsgruppen zuzuweisen. Da sich Kontakte nicht anmelden können, mag dies nicht sinnvoll erscheinen. Sie können aber an Gruppen s versenden. Wenn Kontakte Mitglieder von Gruppen sind, erhalten sie auch die . Es gibt also durchaus sinnvolle Einsatzfälle. So könnten Sie externe Techniker, beispielsweise vom Service des Computerherstellers, in eine bestimmte Administratorengruppe einbinden und so mit relevanten Informationen versorgen, gemeinsam mit den intern arbeitenden Technikern. Kontakte können ebenso wie Benutzer, Drucker und Computer gesucht werden. Kontakten Gruppen zuweisen Suchen Freigaben Die Verwaltung von Freigaben im Active Directory wird im Zusammenhang mit der detaillierten Erörterung des Windows- Freigabenkonzeptes im Abschnitt Freigaben für Ordner einrichten ab Seite 834 behandelt. Am anderen Ort 12.6 Gruppenrichtlinien administrieren Gruppenrichtlinien sind in einem Active Directory-basierten Netzwerk ein wesentlicher Bestandteil für eine effiziente und sichere Administration geworden. In den nachfolgenden Abschnitten wird gezeigt, wie Sie die Richtlinien setzen und die Gruppenrichtlinienobjete verwalten. In Abschnitt 6.7 Gruppenrichtlinien ab Seite 419 finden Sie viele Informationen zu den technischen Grundlagen. Grundlagen ab Seite Gruppenrichtlinienobjekt-Editor Für die Bearbeitung der Gruppenrichtlinien steht ein separates Snap-In für die Managementkonsole zur Verfügung. Lokales Gruppenrichtlinienobjekt bearbeiten Eine vorgefertigte Managementkonsole für die lokalen Gruppenrichtlinien ist standardmäßig vorhanden. Sie können diese über GPEDIT.MSC

3 Administration des Active Directory Abbildung 12.66: Gruppenrichtlinienobjekt-Editor mit den lokalen Richtlinien eine Eingabeaufforderung oder den Punkt AUSFÜHREN im Startmenü aufrufen: Gpedit.msc Die lokalen Richtlinien haben allerdings in einer Active Directory- Umgebung nur einen untergeordneten Wert. Hier sollten Sie die Gruppenrichtlinienobjekte im Verzeichnis anlegen und den Organisationseinheiten zuweisen. Das grundsätzliche Aussehen und Verhalten des Gruppenrichtlinienobjekt-Editors ist im Übrigen gleich, egal ob Sie das lokale oder ein Gruppenrichtlinienobjekt in der Domäne bearbeiten. Verzeichnis-Gruppenrichtlinienobjekte bearbeiten Für die Bearbeitung eines im Active Directory angelegten Gruppenrichtlinienobjekts können Sie den Editor über die Managementkonsole Active Directory-Benutzer und Computer aufrufen. Um beispielsweise die Standard-Richtlinien für die Domäne zu bearbeiten, markieren Sie den Domänenstammeintrag. Wählen Sie im Menü AKTION oder im Kontextmenü den Punkt EIGENSCHAF- TEN. Markieren Sie dann in der Registerkarte GRUPPENRICHTLINIE das gewünschte Gruppenrichtlinienobjekt und klicken Sie auf BE- ARBEITEN. Ein neues, leeres Gruppenrichtlinienobjekt können Sie hier ebenfalls anlegen, indem Sie auf die Schaltfläche NEU klicken. In beiden Fällen öffnet sich der Gruppenrichtlinienobjekt-Editor und Sie können alle Richtlinien anpassen.

4 12.6 Gruppenrichtlinien administrieren 991 Abbildung 12.67: Eigenschaften-Fenster zu einem Containerobjekt (hier der Domänenstamm) mit Zugang zu den zugewiesenen Gruppenrichtlinienobjekten Alternativ können Sie auch die GPMC einsetzen. Diese wird in Abschnitt Gruppenrichtlinienverwaltungs-Konsole (GPMC) ab Seite 1006 näher erläutert. GPMC Grundsätzliches Vorgehen Wenn Sie das erste Mal im Editor stöbern und die einzelnen Zweige unterhalb der Computer- beziehungsweise Benutzerkonfiguration öffnen, werden Sie vor der Vielzahl der Einstellmöglichkeiten vielleicht zurückschrecken. Um ein wenig Klarheit in die Sache zu bringen, sollen daher an dieser Stelle einige Hinweise zum grundsätzlichen Vorgehen gegeben werden: Auf welche Computer/Benutzer sollen sie wirken? Überlegen Sie zuerst genau, auf welcher Ebene Richtlinien wirken sollen. Wollen Sie beispielsweise nur einen bestimmten Kreis von Computern (etwa alle Computer in der Verwaltung) oder Benutzern (alle Mitarbeiter des Telefon-Supports) mit Richtlinien beeinflussen, dann sollten Sie ein eigenes Gruppenrichtlinienobjekt erzeugen und einer selbst erstellten Organisationseinheit zuordnen. Sollen die Einstellungen hingehen global für alle Computer oder Benutzer wirken, können Sie diese auch in der Default Domain Policy ändern. Computer- oder Benutzerrichtlinien verwenden? Es gibt wie bereits erwähnt Computer- und Benutzerrichtlinien. Die Einstellungen sind teilweise identisch. Konkurrierende An-

5 Administration des Active Directory Administrative Vorlagen vor allem für Anpassungen der Benutzeroberflächen gaben werden, von wenigen Ausnahmen abgesehen, von den Benutzereinstellungen dominiert. An erster Stelle sollte aber die Überlegung stehen, ob Sie mit einer gesetzten Richtlinie dafür sorgen wollen, dass Einstellungen für einen bestimmten Computer beeinflusst werden sollen. Das ist dann unabhängig davon, welcher Benutzer sich hier anmeldet. Die Softwareverteilung beispielsweise kann meist sinnvollerweise an die Computer gekoppelt werden. Damit stellen Sie sicher, dass bestimmte Computer (wie die der Verwaltung) mit identischen Programmen ausgestattet sind. Andere Einstellungen sollen jeweils nur für bestimmte Benutzer gelten. Einer Aushilfskraft im Büro können Sie damit beispielsweise ein eingeschränktes System zusammenstellen. Nur bestimmte Programme lassen sich dann starten, der Zugriff auf die lokalen Laufwerke wird unterbunden etc. Administrative Vorlagen nutzen Die meisten Einstellungen, die zur Anpassung der Benutzeroberflächen der Clientcomputer dienen, sind in den administrativen Vorlagen zu finden. In Abschnitt Administrative Vorlagen ab Seite 994 werden diese näher vorgestellt. Außerhalb der administrativen Vorlagen finden Sie die Zweige SOFTWAREEINSTELLUNGEN und WINDOWS-EINSTELLUNGEN. Besonders hervorzuheben sind hierbei diese Möglichkeiten: - SOFTWAREINSTALLATION In Abschnitt 15.3 Softwareverteilung ab Seite 1284 wird gezeigt, wie Sie Software über die integrierten Funktionen des Betriebssystems Windows Server 2003 verteilen können. - SKRIPTS Trotz der umfassenden Möglichkeiten, die Sie mit Gruppenrichtlinien haben, werden Sie vielleicht das eine oder andere Mal auf ein Skript nicht verzichten wollen. Im Zweig COM- PUTERKONFIGURATION hinterlegen Sie die Skripte, die beim Start oder beim Herunterfahren des Computers ausgeführt werden sollen. Unter BENUTZERKONFIGURATION hingegen können Skripte untergebracht werden, die beim An- oder Abmelden benötigt werden (Mapping von Netzwerklaufwerken via net use oder das Löschen temporärer Ordner). - SICHERHEITSEINSTELLUNGEN Komplex sind die Möglichkeiten, die hier zur Absicherung der Windows-Betriebssysteme geboten werden. So können Sie etwa unter KONTORICHTLINIEN KENNWORTRICHTLINIEN festlegen, wie komplex Benutzerkennwörter sein sollen und wie lange sie Gültigkeit haben. Darüber hinaus lassen sich Funknetzwerke mit einer entsprechenden Drahtlosnetzwerkrichtlinie besser absichern oder der Umgang mit dem

6 12.6 Gruppenrichtlinien administrieren 993 verschlüsselnden Dateisystem steuern. Im vorliegenden Buch wird an verschiedenen Stellen immer wieder auf konkrete Anwendungsfälle eingegangen. Ändern eines Richtlinieneintrags Viele Richtlinien sind in Form von administrativen Vorlagen implementiert. Zum Ändern eines solchen Richtlinieneintrags doppelklicken Sie auf diesen. Im dann folgenden Dialogfenster können Sie die Einstellung der Richtlinie vornehmen. Sie können meist eine der folgenden Optionen wählen: NICHT KONFIGURIERT Die Richtlinie wird ignoriert. AKTIVIERT Die Richtlinie kommt zum Einsatz. DEAKTIVIERT Die Richtlinie kommt explizit nicht zum Einsatz. Abbildung 12.68: Ändern eines Richtlinieneintrags Zusätzlich können für den Fall der Aktivierung einer Richtlinie weitere Optionen zur Auswahl kommen. Überblick über geänderte Richtlinieneinstellungen Die Gruppenrichtlinien umfassen hunderte von Einstellungen, über die Sie schnell den Überblick verlieren können. Für alle Richtlinien, die Sie über administrative Vorlagen einstellen, kann im Editor ein Anzeigefilter aktiviert werden. Über diesen Filter lassen sich beispielsweise Richtlinien selektieren, die Sie geändert haben. So aktivieren Sie den Anzeigefilter: 1. Markieren Sie in der Managementkonsole GRUPPENRICHTLINIE einen der Zweige ADMINISTRATIVE VORLAGEN (oder einen Zweig oder Eintrag unterhalb dieser Struktur). 2. Wählen Sie im Menü ANSICHT den Punkt FILTERUNG. Anzeigefilter Filter aktivieren

7 Administration des Active Directory Abbildung 12.69: Dialogfenster FILTE- RUNG Im Dialogfenster FILTERUNG können Sie die folgenden Optionen einstellen: NACH ANFORDERUNGSINFORMATIONEN FILTERN Filtern Sie die Gruppenrichtlinien nach bestimmten Kriterien, beispielsweise um herauszufinden, welche eine bestimmte Systemumgebung voraussetzen oder Einstellmöglichkeiten für eine spezielle Windows-Komponente bieten. NUR KONFIGURIERTE RICHTLINIENEINSTELLUNGEN ANZEIGEN Diese Option kann sehr nützlich sein, wenn Sie nur die Richtlinien angezeigt haben wollen, die Sie geändert haben. NUR VOLLSTÄNDIG VERWALTBARE RICHTLINIENEINSTELLUNGEN ANZEIGEN Diese Option ist standardmäßig aktiviert und blendet»unechte«richtlinieneinstellungen aus (siehe auch Abschnitt Echte und unechte Richtlinien ab Seite 424). Die Filter-Einstellungen beziehen sich nur auf den jeweiligen Hauptzweig ADMINISTRATIVE VORLAGEN. Filter-Einstellungen, die Sie unter COMPUTERKONFIGURATION vorgenommen haben, sind unter BENUTZERKONFIGURATION nicht wirksam und umgekehrt Administrative Vorlagen Über administrative Vorlagen können Sie viele Gruppenrichtlinien setzen. In diesem Abschnitt werden diese Vorlagen näher betrachtet und es wird gezeigt, wie Sie eigene erstellen können.

8 12.6 Gruppenrichtlinien administrieren 995 Standardvorlagen Mit Windows Server 2003 werden einige vorgefertigte administrative Vorlagen geliefert. Sie finden sie im folgenden Verzeichnis: %Systemroot%\inf Administrative Vorlagen haben die Dateierweiterung ADM. Eine vollständige Liste aller durch administrative Vorlagen einstellbaren Gruppenrichtlinien erhalten Sie in Form des Excel-Datenblattes POLICYSETTINGS.XLS, welches Sie über die Microsoft Download- Website erhalten. Geben Sie den folgenden URL im Browser ein und lassen Sie nach der Datei suchen: Dieses Datenblatt enthält auch Informationen über die Wirksamkeit auf bestimmten Betriebssystemen und erlaubt entsprechende Filterfunktionen. Die Vorlagen sind editierbare Textdateien, in denen Kategorien und Unterkategorien stehen. Die Einträge bestimmen, was die Snap-Ins für Gruppenrichtlinien anzeigen. Festgelegt werden letztlich immer Schlüssel und Werte in der Windows-Registrierung des Computers, auf den die administrative Vorlage angewendet wird. POLICYSETTINGS.XLS Was sind Vorlagen? Einführung in eigene Vorlagen Eigene Vorlagen sind immer dann sinnvoll, wenn Software über Gruppenrichtlinien im Active Directory konfiguriert werden soll, für die Windows Server 2003 keine Vorlagen mitbringt. Voraussetzung für eigene Vorlagen sind folgende Informationen: Welche Funktionen werden über Registrierungs-Einträge gesteuert? Wie lauten die Registrierungs-Schlüssel und die benötigten Werte? Wie sollen die Dialogfelder zur Abfrage der Einstellungen aussehen? Administrative Vorlagen verwenden eine eigene»beschreibungssprache«, die den Aufbau der Dialoge im Gruppenrichtlinienobjekt-Editor steuert und als Reaktion auf die Einstellungen die entsprechenden Registrierungsschlüssel erzeugt. Administrative Vorlagen können für die Computer- oder Benutzerkonfiguration erstellt werden. Beim Einfügen muss dies nicht weiter beachtet werden. Die Vorlagendatei selbst kodiert das Ziel (CLASS MACHINE versus CLASS USER). Als Beispiel für den Aufbau soll hier die AutoRun-Funktion für CD-ROM-Laufwerke dienen. Das folgende Listing zeigt die Vorlage CD.ADM: Beispiel

9 Administration des Active Directory Listing 12.6: Vorlage CD.ADM CLASS MACHINE CATEGORY "Schnellkonfiguration" POLICY "Autorun" KEYNAME "Software\Microsoft\Windows\CurrentVersion \Policies\Explorer" EXPLAIN "Dieser Eintrag steuert das Verhalten des CD-Laufwerks bei Einlegen einer CD mit Autostart-Möglichkeit. " PART "Autorun_Box" DROPDOWNLIST REQUIRED VALUENAME NoDriveTypeAutoRun ITEMLIST NAME "Autorun_Ever" VALUE NUMERIC 181 DEFAULT NAME "Autorun_None" VALUE NUMERIC 255 END ITEMLIST END PART END POLICY END CATEGORY ; Schnellkonfiguration Erstellen Sie diese Datei und starten Sie den Gruppenrichtlinien- Editor. Gehen Sie auf den Eintrag ADMINISTRATIVE VORLAGEN des Zweigs COMPUTERKONFIGURATION. Im Menü AKTION der Managementkonsole wählen Sie VORLAGE HINZUFÜGEN/ENTFERNEN. Wählen Sie die Datei CD.ADM aus und klicken Sie dann auf SCHLIESSEN. Die Vorlage wird nun gelesen und kompiliert. Treten Fehler auf, wird ein Hinweis mit der jeweiligen Zeilennummer angezeigt. Ist alles fehlerfrei, erscheint die Vorlage im entsprechenden Zweig der Managementkonsole: Abbildung 12.70: Selbst erstellte Vorlage einbinden Nach dem Schließen des Dialogs erscheinen die neue Vorlage in der Auswahl und im rechten Teil der Managementkonsole die konfigurierten Richtlinien.

10 12.6 Gruppenrichtlinien administrieren 997 Abbildung 12.71: Die fertige Vorlage Erscheinen rechts keine Richtlinien, so sind Syntaxfehler in der Datei. Fehlermeldungen gibt es leider nicht, weshalb die Erstellung von Vorlagen nicht ganz einfach ist. Da neue administrative Vorlagen, die sich auf typische Windows- Programme beziehen, universell sind, ist ein Austausch leicht möglich. Am Ende des Abschnitts finden Sie Informationen über mögliche Quellen im Internet. Fertige Vorlagen Abbildung 12.72: Anzeige verwaltbarer Richtlinien Unterscheiden muss man bei den Richtlinien, wie diese auf dem jeweiligen Zielsystem wirksam werden. Dabei wird zwischen voll- Anzeige der Verwaltbarkeit

11 Administration des Active Directory Wirksamkeit der Registrierung ständig verwaltbaren Richtlinien, wie sie mit Windows 2000 eingeführt wurden, und den alten NT 4-Richtlinien unterschieden. Um nur die verwaltbaren Richtlinien anzuzeigen, aktivieren Sie unter ANSICHT FILTERUNG die Option NUR VOLLSTÄNDIG VERWALTBARE RICHTLINIENEINSTELLUNGEN ANZEIGEN. Um die Wirksamkeit von Registrierungsrichtlinien zu steuern, wie sie von administrativen Vorlagen erzeugt werden, gibt es eine weitere Gruppenrichtlinie REGISTRIERUNGSRICHTLINIENVERARBEI- TUNG. Diese finden Sie im Gruppenrichtlinienobjekt-Editor unter ADMINISTRATIVE VORLAGEN SYSTEM GRUPPENRICHTLINIEN (in beiden Stammzweigen). Die Richtlinie definiert zwei Optionen: WÄHREND REGELMÄSSIGER HINTERGRUNDVERARBEITUNG NICHT ÜBERNEHMEN Die Option verhindert, dass betroffene Richtlinien im Hintergrund aktualisiert werden, während der Benutzer am Computer arbeitet. Manche Programme reagieren undefiniert oder fehlerhaft, wenn zugrundeliegende Registrierungseinträge bei laufendem Betrieb verändert werden. GRUPPENRICHTLINIENOBJEKTE AUCH OHNE ÄNDERUNGEN BEAR- BEITEN Hiermit werden Richtlinien aktualisiert und neu angewendet, auch wenn sich die Richtlinien nicht verändert haben. Damit ist ein sauberes Zurücksetzen bei der Deaktivierung möglich. Darüber hinaus werden Richtlinien immer wieder angewendet, falls Benutzer die Einträge in der Registrierung selbst ändern. Abbildung 12.73: Kontrolle der Richtlinienwirkung bei administrativen Vorlagen

12 12.6 Gruppenrichtlinien administrieren 999 Prinzipieller Aufbau der Vorlagendatei Wenn Sie nun weitere Vorlagen erstellen möchten, ist die Kenntnis der Syntax der Vorlagendateien wichtig. Dies wird nachfolgend detailliert behandelt. Der prinzipielle Aufbau erfolgt immer nach folgendem Muster: CLASS (USER MACHINE) CATEGORY <zweig> [KEYNAME] POLICY [KEYNAME] EXPLAIN VALUENAME CLIENTEXT END POLICY END CATEGORY Der Parameter CLASS bestimmt, ob diese Richtlinie in der Kategorie Benutzer- oder Computerrichtlinie erscheint. Zulässig sind nur die Werte MACHINE oder USER. Dieser Zweig wird nicht geschlossen; wenn eine weitere Definition beginnt, endet die erste. CATEGORY steht für den Knoten unterhalb der Kategorie. Sie können diesen Eintrag verschachteln, um eine eigene Hierarchie aufzubauen. Der Name steht in Anführungszeichen. Jede Klasse kann mehrere Kategorien enthalten. Der Schlüssel ist optional und kann auch im Zweig POLICY definiert werden. POLICY ist die Richtlinieneinstellung, im Beispiel AUTORUN. Auch dieser Name ist frei wählbar und muss in Anführungszeichen stehen. Innerhalb von POLICY sind folgende Schlüsselwörter zulässig: KEYNAME Dies ist der Schlüssel mit komplettem Pfad, wie er in die Registrierung eingetragen wird. Der führende Name, HKEY_LOCAL_MACHINE bzw. HKEY_LOCAL_USER, muss entfallen, weil diese Angabe bereits durch die Wahl der Klasse erfolgt ist. EXPLAIN Dieser Eintrag bestimmt den Hilfetext, der vom Snap-In angeboten wird, wenn der Benutzer auf die Registerkarte ERKLÄ- RUNG wechselt. PART Der Abschnitt PART...END PART kann beliebig oft wiederholt werden. Die daraus resultierenden Formularfelder werden in einer rollbaren Liste angezeigt, wenn der Platz in der Maske nicht ausreicht. Innerhalb dieser Abschnitte werden jetzt Felder und deren Vorgabewerte definiert. Listing 12.7: Prinzipieller Aufbau der Vorlagendatei CLASS CATEGORY POLICY KEYNAME EXPLAIN PART END PART

13 Administration des Active Directory VALUENAME Wert des Schlüssels aus der Registrierung, der geändert werden soll CLIENTEXT Dieser Eintrag bezeichnet ein ActiveX-Steuerelement oder eine DLL, beispielsweise in Form einer GUID, mit denen die Einträge vorgenommen werden. Dies ist immer dann der Fall, wenn kein Standardelement zur Verfügung steht. Softwareentwickler können diese Elemente als Erweiterungen zu Snap-Ins erstellen. Beachten Sie, dass CLIENTEXT tatsächlich nur mit einem»t«geschrieben wird. Aufbau von Formularen in administrativen Vorlagen Innerhalb von PART können weitere Elemente stehen: DROPDOWNLIST Eine Dropdown-Liste, deren Definition anschließend folgt LISTBOX Eine Box mit frei wählbaren Werten. Editierfunktionen sind vorhanden. Angezeigt werden Schaltflächen zum Hinzufügen und Entfernen von Elementen. Damit lassen sich Einträge vom Typ REG_MULTISZ erzeugen. COMBOBOX Schlüssel vom Typ REG_SZ werden hiermit eingetragen. Die Auswahl der Werte kann jedoch aus einer Liste erfolgen. EDITTEXT Ein einfaches Texteingabefeld für Schlüssel vom Typ REG_SZ CHECKBOX Erzeugt ein Kontrollkästchen. Die Werte werden in der Registrierung als REG_DWORD erzeugt. Wenn das Kontrollkästchen deaktiviert wird, wird der Wert 0 eingetragen. TEXT Freier Text, beispielsweise für Erklärungen, der direkt neben den Elementen angezeigt wird Einige der Elemente lassen sich mit verschiedenen Optionen modifizieren: VALUENAME Name der Option. Wenn dieser nicht innerhalb eines anderen Elements steht und nur einen Wert enthält, wird er nicht explizit angezeigt. VALUEON, VALUEOFF Bei binären Werten bezeichnen diese Elemente die beiden zulässigen Zustände. Wird vor allem mit CHECKBOX eingesetzt.

14 12.6 Gruppenrichtlinien administrieren 1001 ITEMLIST Ein Eintrag in einem der Listenelemente ADDITIVE Normalerweise überschreiben neue Werte einer LISTBOX die in der Registrierung vorhandenen. Mit diesem Parameter werden die Einträge jedoch angefügt. EXPLICITVALUE Gibt Wertepaare der LISTBOX vor. VALUEPREFIX Setzt für jeden Wert der LISTBOX ein Präfix. MIN, MAX Vorgabe für Drehfelder mit numerischen Werten. Es können der niedrigste und höchste Wert angegeben werden. MAXLEN Maximal zulässige Länge des Eintrags bei Elementen vom Typ TEXT DEFAULT Der Standardwert des Feldes SPIN Die Schrittweite bei Drehfeldern mit Mausbedienung NUMERIC Mit NUMERIC kann angegeben werden, dass es sich um numerische Werte handelt. OEMCONVERT Wandelt die Einträge vom Windows-ANSI-Zeichensatz in OEM und bei der Anzeige wieder zurück. SUGGESTIONS, END SUGGESTIONS Vorschlagwerte für COMBOBOX ACTIONLISTON, ACTIONLISTOFF Zusätzliche Informationen beim Aktivieren bzw. Deaktivieren von Kontrollkästchen REQUIRED Dieser Zusatz bezeichnet Elemente, die bei aktiver Gruppenrichtlinie angegeben werden müssen. Als Parameter der Schlüsselwörter kann auch eine Variable dienen, die später in der Datei definiert wird. Verweise dieser Art beginnen mit zwei Ausrufezeichen»!!«. Zeilenumbrüche können mit \n eingefügt werden. Anführungszeichen müssen nicht gesondert markiert werden und werden auch nicht doppelt geschrieben. Sie können also entweder die Angabe von Werten direkt vornehmen: CATEGORY "Meine Kategorie" Variablen

15 Administration des Active Directory Kommentare Schreibweisen Oder Sie können dies mit Variablen erledigen: MyCat = "Meine Kategorie" CATEGORY!!MyCat Abschließend sei noch darauf hingewiesen, dass Kommentare mit einem Semikolon oder zwei Schrägstrichen am Anfang der Zeile beginnen: // Hier folgen bestimmte Definitionen Die Schreibweise!!Wert ist eine andere (zulässige) Syntax für Zeichenketten der Form Wert. Beschaffung fertiger Vorlagen Die voranstehende Darstellung hat möglicherweise deutlich gemacht, dass die Erstellung eigener administrativer Vorlagen eine echte Herausforderung ist. Glücklicherweise finden sich immer wieder Anwender bereit, ihre Werke im Internet zu veröffentlichen, und so entstehen umfassende Sammlungen von administrativen Vorlagen. Microsoft selbst bietet einige Vorlagen für seine Office-Produkte an. Eine gute Anlaufstelle für die weitere Suche ist die Office- Website: MMC Active Directory-Benutzer und Computer GPMC ab Seite 1006 Für kleinere Verzeichnisstrukturen reicht die Verwaltung der Gruppenrichtlinienobjekte und deren Verknüpungen mit den Organisationseinheiten oder der Domäne über die MMC Active Directory-Benutzer und Computer sicherlich aus. Das ist auch die standardmäßig einzig verfügbare Methode. Nachfolgend finden Sie einige Hinweise, wie Sie diese MMC verwenden können. Als gelungene Alternative, die optional erhältlich ist, bleibt die GPMC, die in Abschnitt Gruppenrichtlinienverwaltungs-Konsole (GPMC) ab Seite 1006 näher beschrieben wird. Organisation der Gruppenrichtlinienobjekte Die Verwaltung der Gruppenrichtlinienobjekte ist mit der MMC Active Directory-Benutzer und -Computer nicht unbedingt sehr übersichtlich. So werden Gruppenrichtlinienobjekte im Verzeichnis genau genommen nur genau einmal physisch gespeichert (siehe auch Abschnitt Speicherorte von Gruppenrichtlinien ab Seite 428). Die Zuordnungen zu einem oder mehreren Organisationseinheiten erfolgt dann über Verknüpfungen. Dieser Unterschied wird in der MMC allerdings nicht deutlich.