Gruppenrichtlinie ignoriert?

[FranzvonAssisi]

Hey,

eigentlich kümmert sich hauptsächlich mein Kollege um die Domäne, aber wir sind gerade beide am Rätseln:

Eine neue Gruppenrichtlinie für eine globale Sicherheitsgruppe wird einfach nicht übernommen. gpresult zeigt die nicht mal an, obwohl die Richtlinie verknüpft ist, die Rechte passend vergeben sind und alles korrekt auf den sekundären Domain-Controller übernommen wurde.

Die Standard-Richtlinie zeigt er hingegen korrekt als "Verweigert" an, da die Gruppe keinen Zugriff darauf hat.

Über die Gruppenrichtlinienverwaltung sieht man auf den Accounts der zugewiesenen Gruppe aber die Gruppenrichtlinie, d.h. sie ist korrekt verteilt, wird aber halt nicht angewendet!

Habt ihr noch Ideen?

Wahrscheinlich fehlt irgendwo ein Häkchen?

LG und Danke

 

[snakesh1t]

Guck doch mal in der Gruppenrichtlinienverwaltungsrolle bei Gruppenrichtlinienobjekte auf dem vorhandenem Objekt, wie da der Status ist! RMT und dann "Objektstatus". Damit kann man User oder Computerrichtlinien einzeln deaktiveren. Wenn man zbs. nur Computerrichtlinien in einer GPO hat soll man die Userrichtlininen deaktivieren. Dadurch soll der Abruf schneller gehen. Vllt haste dich da selbst mit deaktiviert.

Ansonsten guckst du weiter oben in der OU bei den zugewiesenen Gruppenrichtlininen, ob die GPO auf "Verknüpfung aktiviert" steht.

 

[Zero_Official]

wenn die GPO nicht an "Authentifizierte Benutzer" sondern an eigene Gruppe zugewiesen ist musst du
"Authentifizierte Benutzer" lese recht geben, hier:

danach wird die angewendet.

 

[FranzvonAssisi]

Guck doch mal in der Gruppenrichtlinienverwaltungsrolle bei Gruppenrichtlinienobjekte auf dem vorhandenem Objekt, wie da der Status ist! RMT und dann "Objektstatus"

Da steht Aktiv

wenn die GPO nicht an "Authentifizierte Benutzer" sondern an eigene Gruppe zugewiesen ist musst du
"Authentifizierte Benutzer" lese recht geben, hier:

Das wars tatsächlich xD

Danke euch beiden

 

[Sebbo]

Kleiner Nachtrag, auch die Computer selbst müssen die Richtlinie lesen können, damit sie von einer Benutzergruppe übernommen werden kann. Und am einfachsten geht das eben, wenn immer die "Authentifizierten Benutzer" mit Leserechten dabei sind. Microsoft hat vor drei Jahren (?) mal nebenbei ein Update rausgebraucht, das das zur Pflicht gemacht hat.