Inhaltsverzeichnis. Vorwort Über dieses Buch Zielgruppe Abgrenzung Danksagung... 19

Transkript

1 Inhaltsverzeichnis Vorwort Über dieses Buch Zielgruppe Abgrenzung Danksagung Gruppenrichtlinien ein erster Überblick Was sind Gruppenrichtlinien? Was ist neu in Windows Server 2012/2012 R2- und Windows 8/8.1- Gruppenrichtlinien? Remoteupdate (GPUpdate) mit der GPMC Remoteupdate (GPUpdate) mit PowerShell Domänencontroller-Replikationsstatus Erweiterte Auswertung beim Gruppenrichtlinienergebnissatz Gruppenrichtlinien-Zwischenspeichern Neue Steuerungsmöglichkeiten für Internet Explorer Gruppenrichtlinien und Active Directory Clients für Gruppenrichtlinien Standardrichtlinien Administrationstools für Gruppenrichtlinien Gruppenrichtlinien-Verwaltungskonsole WMI-Filter Starter-Gruppenrichtlinienobjekte Gruppenrichtlinienverwaltungs-Editor Gruppenrichtlinienobjekt-Editor Active Directory Administration Tool Advanced Group Policy Management Erste Schritte mit Gruppenrichtlinien Erstellen von Gruppenrichtlinien Der Aufbau von Gruppenrichtlinien Aktualisierung von Gruppenrichtlinien Zusammenfassung

2 6 Inhaltsverzeichnis 2 Planen und Verwalten von Gruppenrichtlinien-Infrastrukturen Testumgebung für Gruppenrichtlinien Variante 1 Gespiegelte (virtuelle) Testumgebung Variante 2 Autarke (virtualisierte) Testumgebung ohne echten Bezug zur produktiven Umgebung Variante 3 Eigene OUs in produktiver Umgebung Anforderungen identifizieren Technische Anforderungen Organisatorische Anforderungen Namenskonventionen Namenskonventionen für Berechtigungen Namenskonventionen für Gruppenrichtlinien Detailinformationen zu Gruppenrichtlinien dokumentieren Beispiele für eindeutige Namensgebung Gruppenrichtlinien-Design Erstellen oder Verknüpfen von Gruppenrichtlinienobjekten Gruppenrichtlinien im Detail Verknüpfungen verwalten Verknüpfungen hinzufügen Verknüpfungen löschen Übersicht über vorhandene Verknüpfungen Zentrale Administration dokumentieren Organisationseinheiten-Design Design-Grundüberlegungen Getrennte OUs für Benutzer- und Computerkonten Ändern der Standardcontainers für Benutzer und Computer Gruppieren von Computern mit gleichen Aufgaben Spezielle OUs für Administratoren Besondere OUs für besondere Aufgaben Weitere Überlegungen zum Gruppenrichtlinien-Design Richtige Verlinkungsebene wählen Möglichst einfaches Design Performance-Aspekte Deaktivieren von Gruppenrichtlinien Beispielszenario Gruppenrichtlinien deaktivieren Verknüpfung deaktivieren Vererbung von Gruppenrichtlinien Verknüpfungsebenen für Gruppenrichtlinien Weitere Steuerungsmöglichkeiten Vererbung deaktivieren Gruppenrichtlinien erzwingen Zusammenarbeit der Vererbungsregeln

3 Inhaltsverzeichnis 7 Filtern von Gruppenrichtlinien Sicherheitsfilterung Gruppenrichtlinien gefiltert anwenden WMI-Filter Funktionsweise Erstellen von WMI-Filtern Scriptomatic Beispiele für WMI-Filter Exportieren und Importieren von WMI-Filtern Loopbackverarbeitungsmodus für das erneute Laden von Gruppenrichtlinien Funktion Aktivieren des Loopbackverarbeitungsmodus Loopbackverarbeitungsmodus und Sicherheitsfilterung Standardrichtlinien in der Domäne Was ist in den Standard-Gruppenrichtlinien konfiguriert? Standardrichtlinien zurücksetzen mit DcGPOFix DcGPOFix in der Anwendung Change-Prozess für Gruppenrichtlinien Braucht man einen Change-Prozess für Gruppenrichtlinien? Zusammenfassung Verwalten von Gruppenrichtlinien Administrationsarbeitsplätze Windows 7 oder Windows 8/8.1? Installieren der Gruppenrichtlinienverwaltung auf Windows Server 2012 R Installieren der Gruppenrichtlinienverwaltung unter Windows Mit welchem Domänencontroller verbindet sich die GPMC? Replikationskonflikte Ändern des Domänencontrollers Verwalten mehrerer Gesamtstrukturen Tägliche und außergewöhnliche Administrationsaufgaben Anzeigen der gesetzten Einstellungen Gruppenrichtlinieneinstellungen dokumentieren Suchen nach Gruppenrichtlinien Advanced Group Policy Management Installieren und Konfigurieren von Advanced Group Policy Management Übernehmen der vorhandenen Gruppenrichtlinien in AGPM Verwalten von Gruppenrichtlinien mit AGPM Notfallwiederherstellung früherer Gruppenrichtlinien Berechtigungsdelegierung mit AGPM Microsoft Security Compliance Manager Mehrwert des Security Compliance Manager Vergleichen einer Gruppenrichtlinie mit einer Sicherheitsvorlage

4 8 Inhaltsverzeichnis Zusammenführen einer Sicherheitsvorlage mit einer Gruppenrichtlinie Anpassen von Einstellungen in einer Sicherheitsvorlage Übernehmen einer Sicherheitsvorlage in die GPMC Starter-Gruppenrichtlinienobjekte Berechtigungen für Gruppenrichtlinien Bearbeiten von Richtlinien Delegierung für Standorte, Domänen und OUs Delegierung für WMI-Filter Sichern und Wiederherstellen von Gruppenrichtlinien Sichern von Richtlinien Sicherungen verwalten Wiederherstellen von Richtlinien Duplizieren von Gruppenrichtlinien Kopieren von Gruppenrichtlinien Importieren von Gruppenrichtlinien Arbeiten mit Migrationstabellen GPMC-Skripting Korrekte Syntax Übersicht über die einzelnen Skripts PowerShell-Skripting Voraussetzungen Übersicht über alle PowerShell-Befehle rund um Gruppenrichtlinien Bericht über alle Gruppenrichtlinien erstellen Wie finde ich Gruppenrichtlinien ohne Kommentar? Automatisches Backup aller Gruppenrichtlinien GPUpdate mit PowerShell Wiederherstellen von Gruppenrichtlinien mit Restore-GPO Neue Gruppenrichtlinie aus einer Vorlage mit Copy-GPO erzeugen Einstellungen aus einer gesicherten Gruppenrichtlinie mit Import-GPO importieren Neue Gruppenrichtlinien mit New-GPO erzeugen Berechtigungen auf Gruppenrichtlinien setzen mit Set-GPPermissions Gruppenrichtlinienergebnisse mit Get-GPResultantSetOfPolicy abfragen Zusammenfassung Struktur und Verarbeitung von Gruppenrichtlinien Gruppenrichtlinien in Active Directory und im Dateisystem Aufbau von Gruppenrichtlinien-Containern in Active Directory Aufbau von Group Policy Templates im Dateisystem Versionierung von Gruppenrichtlinienobjekten Aufspüren von Inkonsistenzen Gruppenrichtlinien-Replikation Active Directory Replikation SYSVOL-Replikation Aktivieren der DFS-Replikation

5 Inhaltsverzeichnis 9 Verarbeitung von Gruppenrichtlinien Anwenden von Gruppenrichtlinien Hintergrundaktualisierungen Gruppenrichtlinien über RAS/VPN Laptops und langsame Verbindungen Clientseitige Erweiterungen Gruppenrichtlinienhistorie Übersicht über clientseitige Erweiterungen Lokale Richtlinien Zusammenfassung Softwareinstallation mit Gruppenrichtlinien Bereitstellungsmethoden für Pakete Paket zuweisen Paket veröffentlichen Voraussetzungen für Softwareinstallation Windows Installer MSI-Dateien installieren Keine MSI-Datei was nun? Softwareverteilungspunkte Verwenden eines Dateiservers Verwenden von DFS zur Erstellung von Verteilungspunkten Verwenden von Softwareinstallation Eigenschaften von Softwareinstallation Bereitstellen einer Anwendung Eigenschaften eines Pakets Praktische Hinweise Komponenten von Paketen Advertisement-Objekt Advertisement-Skript Verarbeitung von Paketen Anwenden von Softwarepaketen Anwendung von Softwareinstallationen Troubleshooting Zurücksetzen des Verarbeitungsstatus Software Installation Diagnostics Zusammenfassung Computerkonfiguration Windows-Einstellungen Namensauflösungsrichtlinie Skripts (Start/Herunterfahren) Hinzufügen von Skripts Konfigurieren der Verarbeitung Bereitgestellte Drucker

6 10 Inhaltsverzeichnis Kontorichtlinien Kennwortrichtlinien Kontosperrungsrichtlinien Kerberos-Richtlinie Fein abgestimmte Kennwortrichtlinien Lokale Richtlinien Überwachungsrichtlinien Zuweisen von Benutzerrechten Sicherheitsoptionen Ereignisprotokoll Eingeschränkte Gruppen Systemdienste Registrierung Dateisystem Zentrale Zugriffsrichtlinien Richtlinien für Kabelnetzwerke (IEEE 802.3) Windows-Firewall mit erweiterter Sicherheit Firewallprofile Eingehende und ausgehende Regeln Verbindungssicherheitsregeln Netzwerklisten-Manager-Richtlinien Drahtlosnetzwerkrichtlinien (IEEE ) Drahtlosnetzwerkrichtlinien für Windows XP Drahtlosnetzwerkrichtlinien für Windows Vista Richtlinien für öffentliche Schlüssel Allgemeine Einstellungen Verschlüsselndes Dateisystem Datenschutz BitLocker-Laufwerksverschlüsselung Zertifikat zur Netzwerkentsperrung für BitLocker-Laufwerksverschlüsselung Einstellungen der automatischen Zertifikatanforderung Vertrauenswürdige Stammzertifizierungsstellen Organisationsvertrauen Zwischenzertifizierungsstellen Vertrauenswürdige Herausgeber Nicht vertrauenswürdige Zertifikate Vertrauenswürdige Personen Richtlinien für Softwareeinschränkung Sicherheitsstufen Zusätzliche Regeln Erzwingen Designierte Dateitypen Vertrauenswürdige Herausgeber Ausschlaggebende Richtlinien

7 Inhaltsverzeichnis 11 Netzwerkzugriffsschutz Erzwingungsclients erstellen und verwalten Benutzeroberflächeneinstellungen Integritätsregistrierungseinstellungen Prüfen des NAP-Status Anwendungssteuerungsrichtlinien Regelerzwingung konfigurieren Regelsammlungen konfigurieren Effektive Regeln IP-Sicherheitsrichtlinien Die Standardrichtlinien Komponenten von IP-Sicherheitsrichtlinien Erweiterte Überwachungsrichtlinienkonfiguration Richtlinienbasierter QoS Grundlagen von QoS-Richtlinien Differentiated Services Control Point Drosselungsrate Einstellungen für QoS-Richtlinien Erweiterte QoS-Einstellungen Zusammenspiel mehrerer QoS-Richtlinien Sicherheitsvorlagen und Secedit Zusammenfassung Benutzerkonfiguration Windows-Einstellungen Remoteinstallationsdienste Skripts (Anmelden/Abmelden) Hinzufügen von Skripts Legacy-Anmeldeskripts Konfigurieren der Verarbeitung Richtlinien für öffentliche Schlüssel Zertifikatdienstclient Automatische Registrierung Zertifikatdienstclient Zertifikatregistrierungsrichtlinie Zertifikatdienstclient Serverspeicherung von Anmeldeinformationen Vertrauenswürdige Personen Richtlinien für Softwareeinschränkung Ordnerumleitung Planen der Ordnerumleitung Konfigurieren der Ordnerumleitung Richtlinienbasierter QoS Bereitgestellte Drucker Internet Explorer-Wartung Benutzeroberfläche des Browsers Verbindungen URLs

8 12 Inhaltsverzeichnis Sicherheit Programme Erweitert (nur Voreinstellungsmodus) Firefox Safari Chrome Firefox konfigurieren Safari konfigurieren Chrome konfigurieren Zusammenfassung Administrative Vorlagen Einführung in administrative Vorlagen Hunderte von Einstellungen Finden einer Einstellung Inhalt und Wirkung einer Einstellung Administrative Vorlagen und ADMX-Dateien Verarbeitung von administrative Vorlagen Registry.pol-Dateien Zentrale Verwaltung von ADMX-Dateien Und was ist mit Windows XP? Administrationsdisziplin Erweitern der Standardvorlagen Bereitstellen fertiger Vorlagen Erstellen eigener Vorlagen Identifizieren der Einstellungen Erstellen von ADMX-Dateien Erstellen einer Basisdatei Erstellen von Vorlagen mit ADMX Migrator Zusammenfassung Einstellungen Group Policy Preferences Group Policy Preferences vs. Richtlinien Group Policy Preferences und SYSVOL Was ist mit älteren Clients? Elemente im Detail Umgebung (C+B) Lokale Benutzer und Gruppen (C+B) Geräte (C+B) Netzwerkoptionen (C+B) Laufwerkzuordnungen (B) Ordner (C+B) Netzwerkfreigaben (C) Dateien (C+B) Datenquellen (C+B) INI-Dateien (C+B)

9 Inhaltsverzeichnis 13 Dienste (C) Ordneroptionen (C+B) Geplante Aufgaben (C+B) Registrierung (C+B) Drucker (C+B) Verknüpfungen (C+B) Interneteinstellungen (B) Startmenü (B) Regionale Einstellungen (B) Energieoptionen (C+B) Anwendungen (B) Gemeinsame Optionen Verarbeitungsoptionen Zielgruppenadressierung auf Elementebene Zusammenfassung Praktische Beispiele Active Directory-Design Organisationseinheiten Sicherheitsgruppen WMI-Filter Zielgruppenadressierung Erst testen, dann einsetzen Design für Gruppenrichtlinien-Inhalte Gruppenrichtlinien für unterschiedliche Betriebssysteme Gruppenrichtlinien für Benutzer Gruppenrichtlinien für Computer Gruppenrichtlinien für Anwendungen Abfragen mit Win32_Product Abfragen mit CIM_DataFile Zielgruppenadressierung und WMI-Filter Skripts ausführen Asynchron oder synchron Wie und wo aufrufen? Konfiguration von Administrative Vorlagen Einen Bildschirmschoner für alle Benutzer festlegen Bildschirmschoner je nach Benutzer (-gruppe) festlegen Bildschirmschoner je nach Computer (-gruppe) festlegen Hintergrundbild des Desktops festlegen Hintergrundbild der Anmeldeseite festlegen Internet Explorer konfigurieren Startseiten Favoriten Zonenzuweisungen Proxyeinstellungen

10 14 Inhaltsverzeichnis Kioskcomputer und Lockdown Kioskmodus konfigurieren Desktop einschränken Lokale Gruppen konfigurieren Eingeschränkte Gruppen GPP Lokale Benutzer und Gruppen Ordnerumleitung konfigurieren Netzlaufwerke verbinden Skripts Anmelden GPP Laufwerkzuordnungen Drucker konfigurieren Bereitgestellte Drucker GPP Drucker Lokale Drucker verwalten und Treiber installieren TCP/IP-Drucker dynamisch konfigurieren Anwendung»XYZ«konfigurieren Anwendung installieren Konfigurationswerte herausfinden Anwendung konfigurieren Zusammenfassung Troubleshooting Wo fange ich an? Protokolle rund um Gruppenrichtlinien Berichte der Gruppenrichtlinien-Verwaltungskonsole Protokolle der Ereignisanzeige Textbasierte Protokolle Weitere Protokolle Fehler beim Erstellen und Verwalten von Gruppenrichtlinien Inkonsistente Berechtigungen Datei nicht gefunden Objekt nicht gefunden Nicht verfügbar Fehler beim Bearbeiten von Gruppenrichtlinien Unbekannter Fehler Eine Zeichenfolge wurde erwartet Fehler beim Anwenden von Gruppenrichtlinien Fehler beim Aufruf nach x Millisekunden Das Einstellungselement wurde nicht entfernt Fehler bei der Softwareinstallation Die Anwendung wird nicht installiert Das Update ist nicht vorhanden

11 Inhaltsverzeichnis 15 Unerwartete Ergebnisse Echte Fehler ausschließen Angewendete und nicht angewendete Gruppenrichtlinien Die wirkungslose Gruppenrichtlinie Die sporadisch wirkungslose Gruppenrichtlinie Die deaktivierte Eingabeaufforderung Lange Start- und Anmeldezeiten Zeiten ermitteln Ursachen identifizieren und beheben Weitere Überlegungen zum Zeitbedarf Hilfsprogramme Dcgpofix Gphidedrive Gpinventory Gplogview GPOLogging-Vorlagen Gpotool GPSI Viewer Gptime Killpol Network Monitor Orca Policy Reporter Polviewer Regshot Sysinternals Suite Winmerge Wmiftest WMI Tools Zusammenfassung Stichwortverzeichnis Die Autoren