[XP+GPO] Start menu omleiden, users buiten pc OU

[Verwijderd]

Ik ben bezig om een nieuwe netwerksetup te maken, maar ik blijf toch iedere keer weer tegen het probleem aanlopen dat de User Configuration van een GPO niet op computer niveau wordt uitgevoerd.
Ik heb de volgende structuur binnen mijn ad:

code:

bedrijfsnaam
    straatnaam %huisnummer%
        verdieping %verdiepingnummer%
            cockpit
                computers moved to here
            loungeplek
                computers moved to here
            teamwerkplek
                computers moved to here
        gebruikers
            users created here

Ik heb dus de gebruikers NIET in de OU staan waar de computers staan. Hierdoor krijg ik de "User Configuration" niet werkend (opzich wel logisch). Echter loop ik tegen het probleem aan dat mijn zogeheten "Plus" werkplekken geen ander startmenu toegewezen krijgen (dit doe ik dmv startmenu redirection vanuit de GPO op de straatnaam+huisnummer).
Een "cockpit" moet dus een ander startmenu toegewezen krijgen als alle andere computers (die het vanaf de straatnaam toegewezen krijgen dus). Echter krijg ik dit niet voor elkaar, omdat dit een "user configuration" is.

Watvoor oplossing is er om er toch voor te zorgen dat hij toch de user configuration meeneemt vanaf dat nivo?

Wij zijn hier bezig met het zogeheten "Flexwerken". Niemand heeft dus een vaste werkplek, dus ik kan de gebruikers niet verplaatsen naar de OU cockpit. Een gebruiker mag overal gaan zitten waar hij dat maar wil doen.

[Verwijderd]

schop

Opzich is iedere manier om het startmenu de juiste icoontjes te geven welkom, het lieft zo netjes mogelijk. Het mag niet op computernaam gedaan worden, alleen op basis van GPO's.

Ik kan het opzich wel voor elkaar krijgen, op twee manieren:

1) Een opstartscript maken voor iedere computer (hoofd GPO) die bij het opstarten alle icoontjes mirror't naar de All Users (ofzo). En via de cockpit GPO extra icoontjes plaatsen op de zelfde manier.

2) In de GPO instellen dat hij het startmenu op de volgende locatie moet vinden:

code:

%LOGONSERVER%\settings$\start_%STMNUTYPE%

En dan op een of andere manier vanuit een computer GPO bepalen dat %STMNUTYPE% een waarde bevat. Echter weet ik niet of ik dit kan instellen vanuit een GPO op basis van computer.

[LauPro]

Als niemand een vaste werkplek geeft vraag ik me af waarom je wel verschillende verdiepingen onderscheid? In principe zou het niet uit mogen maken waar iemand in logd. Je moet dus sowieso alle rechten tussen computers en users los trekken.

Ik zou me af vragen of het echt wel wenselijk is dat iedereen een verschillend startmenu heeft. Welke applicaties zouden welke gebruikers dan niet mogen gebruiken? Op een school kan ik me het nog voorstellen maar bij een bedrijf lijkt het me onnodig. Maargoed dat is niet de discussie. Ik zou zeggen maak verschillende GPO's aan voor elk type start menu en hang dan 1 daarvan aan een object (dit geval de cockpit e.d.).

[Verwijderd]

LauPro schreef op woensdag 06 april 2005 @ 19:23:
Als niemand een vaste werkplek geeft vraag ik me af waarom je wel verschillende verdiepingen onderscheid? In principe zou het niet uit mogen maken waar iemand in logd. Je moet dus sowieso alle rechten tussen computers en users los trekken.

Ik zou me af vragen of het echt wel wenselijk is dat iedereen een verschillend startmenu heeft. Welke applicaties zouden welke gebruikers dan niet mogen gebruiken? Op een school kan ik me het nog voorstellen maar bij een bedrijf lijkt het me onnodig. Maargoed dat is niet de discussie. Ik zou zeggen maak verschillende GPO's aan voor elk type start menu en hang dan 1 daarvan aan een object (dit geval de cockpit e.d.).

Ik heb nu een aantal GPO's, per verdieping een GPO, per soort werkplek 1 (niet per verdieping & werkplek natuurlijk). Ik heb de GPO's allemaal opgeslagen in een OU waar alle GPO's in staan. Dan in de OU's als verdiepingen link ik naar de GPO's in de GPO OU. Hierdoor heb ik 1 GPO met de naam "werkplek-cockpit", die ik aan alle OU's heb hangen op iedere verdieping.

Het probleem is dat de user configuratie niet wordt meegenomen als een gebruiker niet in die desbetreffende OU staat. Dan kan ik dus wel settings instellen op een heel ander nivo (de cockpits container dus). Maar de users staan niet in die map, dus neemt hij die instellingen niet mee. Daar loop ik iedere keer weer tegen het probleem aan.

[ Voor 3% gewijzigd door Verwijderd op 06-04-2005 19:33 ]

[LauPro]

Haal je nu niet twee dingen door elkaar? Ik neem aan dat je het beleid op de users moet toepassen en niet op de computers (zijn immers flexplekken dus elke computer is 'gelijk', alleen de rechten per user niet).

[Verwijderd]

LauPro schreef op woensdag 06 april 2005 @ 21:31:
Haal je nu niet twee dingen door elkaar? Ik neem aan dat je het beleid op de users moet toepassen en niet op de computers (zijn immers flexplekken dus elke computer is 'gelijk', alleen de rechten per user niet).

Niet iedere computer is gelijk aan software, de plus werkplekken draaien o.a. Exact Globe. Deze keuze maak ik heus niet zelf, ik had er voor gekozen dat iedere pc voor 100% gelijk is. Maar dit is de keuze van het management.
Ik wil het dus op computer nivo toepassen en totaal niet op user nivo.

Tja dat krijg je er van als MS niet ingesteld is op nieuwe werk methode's
^{Daardoor kan ik printers ook al niet netjes toevoegen adhv verdieping (ja met computer location tracker, maar dan is het niet meer dynamisch (mac adres hard in dhcp), en dat moet wel). Is al opgelost met een stinkende oplossing, maar het is iig dynamisch en vanuit GPO's.}

[ Voor 30% gewijzigd door Verwijderd op 07-04-2005 01:11 ]

[DaRealRenzel]

Je kunt dit eenvoudig bewerkstelligen door 'Loopback' policies te gebruiken. Deze passen bij toepassing de user configuratie van de GPO welke actief is op de computer toe, en niet de user policy die op de user OU hangt. Er zijn twee modes, Merge en Replace. (spreken voor zich denk ik).
Loopback policies worden veel gebruikt in Terminal Servers waar apps op draaien. Daar wil je niet de gehele User Policy voor je kiezen, maar enkel de specifieke user settings voor de Terminal Server.

Wat je ook kunt doen is je GPO's op 'Straatnaam' toepassen (of zelfs hoger) en filteren met een Group Policy - Properties - Security - Apply Policy recht middels een group beperken.

Maar Loopbacks lijkt me in dit geval het meest elegant. (GPO's beperken met groups kost CPU tijd).

Oja, installer even GPMC op een XP beheerbak, en een W2K3 Domain Controller. GPMC laat je heel makkelijk zien hoe GPO's opgeslagen worden, wat de settings zijn. De W2K3 bak helpt je met het bepalen van RSOP's per gebruiker / systeem. Handig dus in What-If scenario's. tevens zie je meteen dat een separate GPO OU puur overbodig is omdat die al bestaat (echter hidden in W2K AD)

[ Voor 22% gewijzigd door DaRealRenzel op 07-04-2005 01:28 ]

[Verwijderd]

Ik draai het nou met loopbacks, dit lijkt me perfect te werken (na enkele tests). Bedankt daarvoor.

Voor ander mensen / searchwaardigheid: http://support.microsoft.com/kb/231287/EN-US/