Hallo zusammen!

Folgendes Szenario:
Windows 2003/2008 Domäne, XP Clients
In einer Domänen-GPO werden die Einstellungen von WSUS vorgenommen - Uhrzeiten, Updateverhalten etc.
Die einzelnen OUs (z.B. verschiedene Etagen) haben GPOs, die den Gruppennamen der WSUS Gruppe mitgeben. Das alles funktioniert.

Jetzt geht es um einzelne Clients, die in verschiedenen OUs sind, die aber eine andere Gruppe eingetragen bekommen sollen, als die anderen PCs in der jeweiligen OU. Dies funktioniert nicht per Registry. Wenn sowohl Targetgroup als auch TargetGroupEnabled gesetzt wird, meldet sich dieser manuelle Client nicht am WSUS Server. Wird eine lokale Richtlinie erstellt, dann funktioniert es. Wo ist der Unterschied und gibt es auch eine Möglichkeit, das per Registry zu lösen?

Danke und Gruß

Karl

Das geht in dem Fall schlecht - wegen der Übersichtlichkeit soll die OU Struktur gleich bleiben. Dann werden wir eben die lokalen Richtlinien setzen müssen.

sandipom2004 schrieb on 23.07.12 um 14:28:32:



Lass doch die OU Struktur so. Erstell eine Sicherheitsgruppe, in die packst Du die Rechner, die diese eine spezielle GPO bekommen sollen.

Die neue GPO siedelst Du sehr weit oben an, in die Sicherheitsfilterung der GPO trägst Du die Sicherheitsgruppe ein, schon dürfen nur die Rechner die GPO übernehmen, die in der Gruppe sind.

Die gleich Gruppe trägst Du in den anderen GPOs auch ein, allerdings verweigerst Du dann dieser Gruppe das Lesen und Übernehmen der GPO.

In einer Windows Domain haben lokale Richtlinien nichts zu suchen. Das macht man einfach nicht.

Ich würde die Gruppenzuordnung via GPP-Registryeintrag machen.
Da läßt sich für jede Zuordnung exakte eindeutige Bedingungen definieren. Von der OU bis hin zur Gruppenmitgliedschaft oder OS-Version. Die Abarbeitungshirachie sorgt für Ersetzungen nach dem Prinzip "Vom Allgemeinen zum Speziellen ...". Das bedeutet, das als erstes an die Spitze eine Defaulteinstellung gestellt werden kann.
Alle Zuordnungen in einer GPO!
WICHTIG!!!
Die Verarbeitung von GPO und GPP verlaufen nach verschiedenen Prinzipen. Daher ist dringend zu empfehlen, wenn ein Registryeintrag per GPP gesteuert werden soll, muss das Pedant in allen GPO's als "Nicht konfiguriert" durchgeschliffen werden!

Gruß Dani