Active Directory-GPO

Active Directory-GPOs lassen sich auf Domänenebene mit Standorten, Domänen oder Organisationseinheiten (Organisational Unit, OU) verknüpfen. Eine OU ist dabei ein Container, dem bestimmte Ressourcen, Dienste oder Konten eines Unternehmens zugeteilt sind, wie zu einer Abteilung gehörende Server, Drucker oder Benutzerkonten.

Zum Beispiel kann eine Organisationseinheit namens "Notebooks" ein GPO enthalten, dessen Einstellungen nur Notebooks betreffen, jedoch keine anderen Rechner.

Alle unter einem Standort, einer Domäne oder einer Organisationseinheit zusammengefassten Clients müssen sich an die Anweisungen des zugeteilten GPOs halten. Administratoren können auch mehrere Gruppenrichtlinienobjekte zuweisen. Mit dieser Methode lässt sich die individuelle Rechteverteilung mittels Active Directory sehr fein abstimmen.

Um auf Active Directory-Ebene mit Gruppenrichtlinien zu arbeiten, braucht es jedoch ein passendes Betriebssystem wie Windows Server 2003 oder 2008. Beide verfügen ab Werk über Werkzeuge wie die Gruppenrichtlinien-Verwaltungskonsole gpmc.msc, um Gruppenrichtlinien im Active Directory-Netzwerk zu verteilen.

Mit dem Tool lassen sich zudem eigene Richtlinien assistentengesteuert definieren - eine Fähigkeit, die gewöhnlichen Windows-Versionen wie Vista und 7 fehlt. Beide unterstützen die Gruppenrichtlinien-Verwaltungskonsole zwar ebenfalls, verlangen für die Verwendung aber ein Benutzerkonto auf Domänenebene.

GPOs verknüpfen und vererben

Sollen bestimmte Gruppenrichtlinien für sämtliche Mitarbeiter oder Computer und unabhängig von der jeweiligen Abteilung gelten, lohnt es sich, dafür eine Gruppenrichtlinienverknüpfung anzulegen.

Dazu legen Administratoren zunächst die entsprechenden Einstellungen in einem organisationsübergreifenden GPO fest und verknüpfen es anschließend mit den im Active Directory definierten Abteilungs-Organisationseinheiten. Soll später eine Einstellung geändert werden, muss man lediglich das organisationsübergreifende GPO anpassen.

Richtlinien, die ein Administrator aktiviert oder deaktiviert hat, werden vom übergeordneten Gruppenrichtliniencontainer an alle Benutzer und Computer der untergeordneten Container vererbt. Die unterste Ebene bilden die lokalen Gruppenrichtlinien, dann folgen in aufsteigender Reihenfolge die Gruppenrichtlinien des Standorts, der Domäne und der Organisationseinheiten.

Kommen auf einem PC verschiedene Gruppenrichtlinien verschiedener Hierarchien zum Einsatz, arbeitet Windows sie von unten nach oben durch, fängt also zuerst mit den lokalen Gruppenrichtlinien an.