AD-Gruppenrichtlinienobjekte verwalten

Unter „GPO Management“ in der AD-Domänenverwaltung können Gruppenrichtlinienobjekte der Zieldomäne einschließlich Grunddaten, Richtlinieneinstellungen, Verknüpfungen, Sicherheits- und WMI-Filtern sowie Delegierung eingesehen und verwaltet werden. Ein AD-GPO ist keine Ping64-Endpunktrichtlinie. Eine erfolgreiche Verzeichnisänderung bedeutet nicht, dass alle Zielbenutzer oder Computer die Richtlinie angewendet haben; prüfen Sie das Ergebnis in der Zielumgebung.

Umgebung und Genehmigung vorbereiten

Die vollständige Konfiguration finden Sie unter Genehmigungsregeln für AD-Domänenoperationen.

1. Schließen Sie die Einrichtung der AD-Domänenverbindung und des Synchronisationsbereichs ab. Prüfen Sie Zieldomäne und die erforderlichen Anzeige-, Schreib- und Ausführungsrechte des Verzeichnisdienstkontos und der Administration. Wählen Sie die Domäne unter „GPO Management“ und warten Sie, bis die Schreibumgebung bereit ist. Bei Nichtverfügbarkeit prüfen Sie die Meldung und lassen Umgebung und Rechte durch die Verzeichnisadministration prüfen.
2. Ermitteln Sie betroffene Domänen, Organisationseinheiten, Benutzer und Computer. Prüfen Sie bestehende Verknüpfungen, Filter und Delegierungen, bewerten Sie Geschäftsfolgen und bereiten Sie eine Wiederherstellung vor. Testen Sie zunächst in einer Testdomäne oder an kontrollierten Zielen; führen Sie keine ungenehmigten Versuche mit Produktionsobjekten durch.
3. Falls Genehmigungen verlangt werden, prüfen Sie unter „Objects & Templates > Approval Templates“ eine passende AD-Domänenaktionsvorlage und ihre Genehmigenden. Prüfen Sie anschließend aktivierte Regeln unter AD-Domänenverwaltung > „Audit Events > Platform Operations > Operation Audit > Approval rule“. Verwenden Sie passende Einstellungen weiter; nur eine berechtigte Verwaltungsperson erstellt oder ändert Vorlagen und Regeln bei Bedarf.
4. Falls eine Regel erstellt oder geändert werden muss, wählen Sie die genehmigungspflichtigen GPO-Aktionen, etwa Erstellen, Ändern, Kopieren, Verknüpfungen, Filter, Delegierung, Einstellungen und Löschen, sowie die Vorlage. Legen Sie bei Bedarf Domäne, Zielanzahl, Antragstellerrolle und Priorität fest; aktivieren und speichern Sie die Regel. Testen Sie die Abdeckung mit kontrollierten Objekten. Aktionen ohne passende aktivierte Regel werden direkt ausgeführt und warten nicht automatisch auf Genehmigung. Einzelheiten finden Sie unter Genehmigungen für AD-Domänenaktionen bearbeiten.

Antragstellerrollen und Regelabdeckung: Bei mehreren ausgewählten Antragstellerrollen genügt eine beliebige aktive Rolle, nicht alle. Die gewählte Aktion und die übrigen Bedingungen müssen ebenfalls übereinstimmen. Wird eine gewählte Rolle deaktiviert oder gelöscht, entfernen oder ersetzen Sie sie vor dem Speichern der bearbeiteten Regel. Prüfen Sie nach Änderungen die Abdeckung mit kontrollierten Aktionen, damit nicht übereinstimmende Vorgänge nicht unerwartet direkt ausgeführt werden.

GPO suchen und erstellen

1. Öffnen Sie „GPO Management“, wählen Sie die Zieldomäne und suchen Sie nach Stichwort, Benutzer- oder Computerkonfiguration oder Verknüpfungsstatus. Öffnen Sie die Details und prüfen Sie Name, Konfigurationsstatus und bestehenden Geltungsbereich.
2. Wählen Sie zum Erstellen „Create GPO“, geben Sie Namen und bei Bedarf Beschreibung ein und prüfen Sie den Aktivierungsstatus der Benutzer- und Computerkonfiguration. Bestätigen Sie Domäne und Angaben und reichen Sie ein.
3. Verfolgen Sie bei Genehmigungspflicht zunächst die Genehmigung und danach die Verzeichnisausführung, sonst direkt die Ausführung. Aktualisieren Sie nach Abschluss die Liste und lesen Sie die Details erneut. Einreichung oder Genehmigung beweist keine abgeschlossene Erstellung.
4. Konfigurieren Sie Richtlinieneinstellungen und Verknüpfungen nach Bedarf und prüfen Sie Filter und tatsächliche Anwendung auf den Zielen. Das Erstellen allein bedeutet keine Anwendung der Richtlinie.

Einstellungen und Geltungsbereich konfigurieren

1. Wählen Sie beim Ziel-GPO „Edit Policy Content“. Wählen Sie im Einstellungsbaum Benutzer- oder Computerkonfiguration, suchen Sie die Einstellung und prüfen Sie Beschreibung, Status und Bearbeitbarkeit. Manche Einträge sind schreibgeschützt oder wegen Umgebung oder Rechten nicht verfügbar; gehen Sie nicht davon aus, dass alle bearbeitbar sind.
2. Nehmen Sie Änderungen vor und wählen Sie „Apply“ oder „Confirm“. Bestätigen Sie die Hinweise und verfolgen Sie Genehmigung oder Ausführung. Falls administrative Vorlagen benötigt werden, folgen Sie den Hinweisen zur ADMX-Synchronisation; wählen Sie danach die Einstellung erneut und prüfen Sie ihren Status. Reichen Sie nicht erneut ein, solange das Ergebnis unbestätigt ist. Bearbeiten Sie ungespeicherte Änderungen, bevor Sie „Sync ADMX“ wählen, die Einstellung wechseln oder die Seite verlassen. Wenn Sie im Bestätigungsdialog das Verwerfen wählen, gehen die ungespeicherten Änderungen verloren.
3. Öffnen Sie unter „Manage“ des GPO „GPO links“ und wählen Sie „Add link“. Wählen Sie den Zielort, prüfen Sie bestehende Verknüpfungen und passen Sie Aktivierung, Erzwingung und Reihenfolge bei Bedarf an. Reichen Sie ein und verfolgen Sie das Ergebnis. Bei gleichzeitigen Änderungen laden Sie die Zielverknüpfungen neu und prüfen Änderungen anderer Administrierender. Halten Sie vor der Änderung alle GPO-Verknüpfungen am Ziel einschließlich Reihenfolge, Aktivierungs- und Erzwingungsstatus fest. Bei einem Abbruch oder unklarem Ergebnis können auch andere Verknüpfungen am selben Ziel betroffen sein; gehen Sie nicht von unverändertem Zustand aus. Lesen Sie die vollständige Liste erneut, folgen Sie dem genehmigten Wiederherstellungsplan und prüfen Sie kontrollierte Ziele.
4. Prüfen Sie unter „Security filtering“ die zur Anwendung berechtigten Objekte. Die Seite warnt: Das Speichern eines leeren Sicherheitsfilters verhindert die Anwendung des GPO. Prüfen Sie Auswahl und Auswirkungen vor der Einreichung. Prüfen oder ändern Sie bei Bedarf WMI-Filter und Delegierung; kontrollieren Sie Richtlinienbereich und Verwaltungsrechte getrennt.
5. Lesen Sie die Konfiguration erneut und prüfen Sie die tatsächliche Anwendung auf kontrollierten Benutzern oder Computern gemäß Organisationsverfahren. Verknüpfungen, Filter, Status der Benutzer- und Computerkonfiguration und Zielumgebung beeinflussen das Ergebnis. Das Entfernen einer Verknüpfung ist nicht das Löschen des GPO.

Sicherheitsfilter und Delegierung verwalten

1. Öffnen Sie in der Manage-Ansicht des GPO Security filtering und wählen Sie Manage. Geben Sie einen Benutzer-, Computer- oder Sicherheitsgruppennamen ein, suchen Sie mit Enter und fügen Sie die benötigten Treffer hinzu. Bearbeitbare Einträge können entfernt werden; schreibgeschützte Einträge lassen sich hier nicht ändern. Prüfen Sie die vollständige Liste, wählen Sie Save und verfolgen Sie Genehmigung oder Ausführung.
2. Wechseln Sie zu Delegation und wählen Sie Manage. Suchen und ergänzen Sie Benutzer oder Gruppen. Wählen Sie für bearbeitbare Einträge Read, Edit settings oder Edit, delete, and modify security nach dem Prinzip der geringsten Rechte. Entfernen Sie bearbeitbare Einträge bei Bedarf; schreibgeschützte Einträge bleiben hier unveränderbar. Speichern und verfolgen Sie Genehmigung oder Ausführung.
3. Halten Sie vor dem Speichern ursprüngliche Listen und Rechte fest. Lesen Sie bei Fehler oder unklarem Ergebnis Sicherheitsfilter und Delegierung erneut und prüfen Sie den tatsächlichen Stand, bevor Sie erneut senden. Prüfen Sie danach auch die Richtlinienanwendung und Administratorrechte; die Übermittlung allein belegt keine Wirkung.

Ändern, kopieren und löschen

• Grunddaten: Wählen Sie die Bearbeitung der Grunddaten, prüfen Sie Name, Beschreibung sowie Status der Benutzer- und Computerkonfiguration, speichern Sie und verfolgen Sie das Ergebnis. Lesen Sie die Daten erneut.
• Kopieren: Wählen Sie „Copy“, geben Sie die Daten des neuen Objekts ein und reichen Sie ein. Laut Seite werden Richtlinieneinstellungen kopiert, jedoch keine Verknüpfungen, benutzerdefinierten Delegierungen, Sicherheitsfilter oder WMI-Zuweisungen. Prüfen und konfigurieren Sie diese bei Bedarf getrennt; nehmen Sie keinen identischen Geltungsbereich an. Schlägt der Kopiervorgang fehl oder ist das Ergebnis unklar, aktualisieren Sie die Liste und prüfen Sie, ob das neue GPO bereits existiert und vollständig konfiguriert ist. Entscheiden Sie erst danach über einen erneuten Versuch, um Duplikate oder unvollständig konfigurierte Objekte zu vermeiden.
• Löschen: Prüfen Sie zuvor Verknüpfungen, Filter, Delegierung und Geschäftsabhängigkeiten und bereiten Sie eine Wiederherstellung vor. Wählen Sie Löschen, geben Sie den GPO-Namen zur Bestätigung ein und verfolgen Sie Genehmigung oder Ausführung. Das Löschen integrierter Objekte ist eingeschränkt. Das System durchsucht die Gesamtstruktur nach Verknüpfungen und verweigert das Löschen, wenn ein Bereich nicht verifiziert werden kann. Beheben Sie die angezeigte Ursache, statt Schutz zu umgehen.

Beim Löschen versucht das System zunächst, die ermittelten Verknüpfungen zu entfernen, und löscht danach das GPO. Bei einem Abbruch oder unklarem Ergebnis können bereits einige Verknüpfungen entfernt sein, während das Objekt noch besteht. Senden Sie den Auftrag nicht ungeprüft erneut. Lesen Sie das Objekt und alle betroffenen Verknüpfungen erneut ein, folgen Sie dem genehmigten Wiederherstellungsplan und prüfen Sie die Zielumgebung.

Fehlerbehebung

• Schreibaktion nicht verfügbar: Prüfen Sie gewählte Domäne, Verwaltungsrechte und Bereitschaftsmeldung; wenden Sie sich bei Bedarf an die Verzeichnisadministration.
• Einstellung nicht bearbeitbar oder Vorlagen fehlen: Prüfen Sie Bearbeitbarkeit, Rechte und ADMX-Synchronisationsstatus. Die tatsächliche Unterstützung hängt von der Umgebung ab.
• Genehmigt, aber nicht angewendet: Prüfen Sie zuerst die Verzeichnisausführung, dann Konfiguration, Verknüpfungen, Filter und tatsächliche Anwendung auf kontrollierten Zielen. Eine Genehmigung beweist weder Ausführung noch Endpunktanwendung.
• Verknüpfung oder Objekt geändert: Laden Sie aktuelle Daten, prüfen Sie Änderungen anderer und deren Folgen und entscheiden Sie dann über die Einreichung. Wiederholen Sie keine Aktion bei unbekanntem Ergebnis.
• Löschen fehlgeschlagen: Prüfen Sie Namensbestätigung, Objektschutz, Verknüpfungssuche und Meldung. Entfernen Sie Schutz oder Verknüpfungen nicht ohne Folgenabschätzung.