Eingeschränkte Gruppen: Lokale Administratoren

Größe: px

Ab Seite anzeigen:

Download "Eingeschränkte Gruppen: Lokale Administratoren"

Hannelore Roth
vor 8 Jahren
Abrufe

1 Eingeschränkte Gruppen: Lokale Administratoren IT-Regionalbetreuer des Landes Vorarlberg 2005

2 Inhalt 1. Problem Lösung Lösung Lösung Lösung Kontrolle am Client...7 Änderungswünsche und Feedback bitte an Andreas Renner IT-Regionalbetreuer AHS BG Gallus Gallusstr. 4 A-6900 Bregenz Tel: Mail: support@bgbr.snv.at 1. Problem An den Clients werden Kustoden als lokale Benutzer der lokalen Gruppe Administratoren hinzugefügt. Nach einem Neustart des Clients, ist die Gruppenzugehörigkeit zur Gruppe der lokalen Administratoren verschwunden. Grund dafür ist eine Einstellung in der GPO AllePCs. Dort haben wir der Gruppe Administratoren die Domänengruppe LocalHero hinzugefügt. Wird über die Policy Eingeschränkte Gruppen eine Gruppenmitgliedschaft definiert, werden alle anderen Zugehörigkeiten zur betreffenden Gruppe gelöscht. Ausnahme sind Standardzugehörigkeiten von Standardbenutzern (Administrator zur Gruppe der Administratoren). Beispiel: Sie legen im Kustodiat Physik am Physik PC einen lokalen Benutzer Kustos an, der Mitglied der lokalen Gruppe Administratoren ist. Beim nächsten Neustart des Physik PCs hat der Benutzer Kustos seine Gruppenmitgliedschaft in der Gruppe der lokalen Administratoren wieder verloren. Ich habe mich im Juli 2007 während der Windows 2003 Schulung zu dieser spontanen Abweichung vom Standardkonzept überreden lassen, ohne sie getestet zu haben. Bei mir selbst habe ich diese Policy nicht konfiguriert, warum mir das Problem verborgen blieb. Eingeschränkte Gruppen: Lokale Administratoren Version / 7

Problem An den Clients werden Kustoden als lokale Benutzer der lokalen Gruppe Administratoren hinzugefügt.

3 2. Lösung 2.1. Lösung 1 GPO AllePCs. Löschen Sie die Einstellungen für Eingeschränkte Gruppen. Diese Lösung ist am einfachsten. Sie nimmt uns aber die Möglichkeit spontan einen Benutzer zur Gruppe LocalHero hinzuzufügen, der dann auf allen PCs Administratorenrechte hat Lösung 2 1. Erstellen Sie im Aktive Directory unter Schule/Computer eine OU (Organisationseinheit) KustodenPCs. 2. Fügen Sie alle PCs, an denen Kustoden Administratorrechte haben sollen, in diese OU. 3. In der Gruppenrichtlinienverwaltung erstellen Sie eine neue GPO (Gruppenrichtlinienobjekt) gpokustodenpcs. 4. Bearbeiten Sie die gpokustodenpcs: Computerkonfiguration Windows Einstellungen Eingeschränkte Gruppen 5. [RK] Gruppe hinzufügen: 6. Administratoren Eingeschränkte Gruppen: Lokale Administratoren Version / 7

Erstellen Sie im Aktive Directory unter Schule/Computer eine OU (Organisationseinheit) KustodenPCs. 2. Fügen Sie alle PCs, an denen Kustoden Administratorrechte haben sollen, in diese OU. 3.

4 Mitglieder Hinzufügen: AHS\Domänen Administratoren, AHS\LocalHero und die Kustoden im Beispiel AHS\albert.einstein (Physikkustos) 8. Wir deaktivieren die Benutzerkonfigurationseinstellungen der GPO 7 8 Fahren Sie mit Punkt 3 (Seite 7), Kontrolle am Client, fort. Eingeschränkte Gruppen: Lokale Administratoren Version / 7

$im Beispiel AHS\albert.einstein (Physikkustos) 8.$

5 2.3. Lösung 3 Wir wollen für unsere Kustoden PCs keine eigenen OUs erstellen, da diese unser Konzept unübersichtlicher machen. Anstatt die GPO gpokustodenpcs auf eine OU KustodenPCs anzuwenden, wird sie direkt von ausgewählten PCs übernommen. 1. Folgen sie allen Schritten in Lösung 2 ab Schritt 3 (Schritte 1 und 2 auslassen!) (2. Falls vorhanden: Löschen Sie die Verknüpfung zu gpokustodenpcs aus der OU KustodenPCs. Sie können sodann die OU KustodenPCs löschen, sofern sich darin keine PCs befinden!) 3. Erstellen Sie in der OU Schule\Computer die Verknüpfung zu gpokustodenpcs Im Bereich Sicherungsfilterung der GPO gpokustodenpcs entfernen Sie die Gruppe Authentifizierte Benutzer Hinzufügen 6. Objekttypen 7. Computer anhaken Eingeschränkte Gruppen: Lokale Administratoren Version / 7

$Erstellen Sie in der OU Schule\Computer die Verknüpfung zu gpokustodenpcs 3 2 4. Im Bereich Sicherungsfilterung der GPO gpokustodenpcs entfernen Sie die Gruppe Authentifizierte Benutzer. 4 5 5.$

6 Fügen sie nun alle Kustodiats-PCs ein. Sie erhalten jetzt als spezielles Recht das Übernehmen dieser GPO. 8 Eingeschränkte Gruppen: Lokale Administratoren Version / 7

3. Kontrolle am Client Prüfen sie das Ergebnis an den Client PCs in dieser OU mit 1. Eingabeaufforderung Start ausführen cmd 2. gpupdate /force 3. gpresult 4.

7 3. Kontrolle am Client Prüfen sie das Ergebnis an den Client PCs in dieser OU mit 1. Eingabeaufforderung Start ausführen cmd 2. gpupdate /force 3. gpresult 4. [RM] auf Arbeitsplatz Verwalten Lokale Benutzer und Gruppen Gruppen Administratoren Änderungswünsche und Feedback bitte an Andreas Renner IT-Regionalbetreuer AHS BG Gallus Gallusstr. 4 A-6900 Bregenz Tel: Mail: support@bgbr.snv.at Eingeschränkte Gruppen: Lokale Administratoren Version / 7

[RM] auf Arbeitsplatz Verwalten Lokale Benutzer und Gruppen Gruppen Administratoren Änderungswünsche und Feedback

Ähnliche Dokumente

Workaround Wake-On-Lan funktioniert nicht mit Windows 7

Workaround Wake-On-Lan funktioniert nicht mit Windows 7 Betrifft - paedml Windows 2.7 - Clientcomputer mit Windows 7 Störung Einige Clientcomputer, auf denen Windows 7 installiert ist, werden nicht aufgeweckt.