Kommentare zu: Active Directory: Benutzer GPOs mit Sicherheitsfilterung funktionieren nicht

Von: Haiko

Haiko — Mon, 22 Jul 2019 07:43:24 +0000

Als Antwort auf Arnd.

Servus!
Nach meinem Verständnis sind die domänenfremden Computer (egal ob selbe Gesamtstruktur oder trusted Domain) NICHT Bestandteil der „Domain Computers“ / „Domänen-Computer“. So entnehme ich es auch der Microsoft-Doku:

„This group can include all computers and servers that have joined the domain, excluding domain controllers. By default, any computer account that is created automatically becomes a member of this group.“
(https://docs.microsoft.com/en-us/windows/security/identity-protection/access-control/active-directory-security-groups#bkmk-domaincomputers)

Soweit ich weiß gibt es keine Gruppe wie „Authentifizierten Computer“ – ABER: Man könnte „Authentifizierte User“ (die ja ALLE Computer aller Domänen der Gesamtstruktur und alle Computer aus trusted Domains enthält) berechtigen und dann „Domänen-Benutzer“ verbieten / ausschließen.

LG
Haiko

Von: Arnd

Arnd — Sat, 20 Jul 2019 10:35:25 +0000

Hallo, ich bin durch Zufall auf diesen Post gestoßen. Sowohl die manuellen Lesenrechte als auch das hinzufügen der Domänen-Computer funktioneren. Danke!

Wie verhält es sich mit den Computern, aus der gleichen Organisation aber in jeweils unterschiedlichen Domänen? Sind diese „fremden“ Computer auch Mitglied von „Domänen-Computer“? Falls nicht, wäre eine Gruppe „Authentifizierte Computer“ praktisch 😉

VG, Arnd

Von: Haiko

Haiko — Sat, 13 Jul 2019 08:47:41 +0000

Als Antwort auf Uwe. Hallo Uwe. Der Grund ist recht einfach: In der Gruppe "Authentifizierte Benutzer" sind auch alle Domänen-Computer enthalten! :) LG, Haiko

Von: Uwe

Uwe — Fri, 12 Jul 2019 13:58:30 +0000

Hallo, eines ist mir noch nicht klar: Computerkonto-Leserecht wird benötigt. Aber warum funktioniert das dann, wenn man nur ‚Authentifizierte Benutzer‘ hinzufügt und keine Computer?

Von: Haiko

Haiko — Thu, 09 May 2019 12:30:03 +0000

Als Antwort auf Jens Banzhaf. Auch ein guter Ansatz... Danke!

Von: Jens Banzhaf

Jens Banzhaf — Thu, 09 May 2019 12:11:13 +0000

Ein anderer Ansatz wäre, über die Delegation das Recht für „Authentifizierte Benutzer“ auf „Lesen“ (nicht „Lesen(durch Sicherheitsfilterung)“) einzustellen und im Reiter Bereich dann einfach die Gruppen/Benutzer in die Sicherheitsfilterung aufzunehmen, für die diese GPO angewendet werden soll. Wenn man auch die Domänen-Computer in verschiedenen Gruppen eingeteilt hat, ist das ev. einfacher.

MFG

Von: Haiko

Haiko — Thu, 10 Jan 2019 17:43:04 +0000

Als Antwort auf DerHerbert. Danke für das Feedback!

Von: DerHerbert

DerHerbert — Thu, 10 Jan 2019 12:53:51 +0000

Danke!

Nicht nur fuer das HowTo, sondern eher fuer die ausfuehrliche und sehr gut verstaendliche schilderung. Hatte das Problem mehrfach in der Vergangenheit. Leider hatte ich immer nur Anleitungen gefunden, in denen Stand: Tu dies, tu jenes.
Nach deiner Erklaerung weiss ich jetzt wo das herkommt und habs damit auch verstanden. Somit muss ich es nicht auswendig lernen, verstehen reicht.

MfG