[SBS2003] Policies worden niet geapplied, default weghalen ?

[Verwijderd]

Ik heb een vreemd probleem op een SBS2003 machine waar ik policies wil toepassen.

Bij een standaard installatie van SBS2003 is een policy standaard altijd goed toe te passen, echter loop ik hier tegen een vreemd probleem aan.

Er staan standaard policies op het systeem welke ik op dit moment gedisabled heb om te testen waar het mis gaat.

Het viel mij op dat ik standaard al niet de Firewall kon aanzetten of uitzetten op de clients, iets wat normaal gesproken wel kan. Het blijkt dat er verschillende default policies aanwezig zijn waar ik zo 1,2,3 even niet kan zeggen of deze preinstall deze destijds zo gehad heeft aangezien ik deze problemen nog nooit tegen
gekomen ben op een standaard SBS install from scratch.

Ik pas wat regels in de Laptops policy toe en waar ik de users welke een laptop hebben ook aan deze policy toegevoegd heb, echter wordt niets toegepast !

Alle andere policies hebben "Authenticated users" als users staan, dit zou wellicht een probleem kunnen zijn.

Ik ben van mening dat het in de policy editor zit, dus wil daarom een deze post maken om te vragen of iemand iets geks ziet aan de hand van deze screenshot.

Dat de policies gedisabled zijn weet ik, dit heb ik zelf gedaan... wellicht dat de lockout geen slim plan is

[Jazzy]

Tenzij je een hele goede reden hebt om af te wijken van de standaard, zou ik om te beginnen de uitgeschakelde PGO's weer aanzetten. Dat maakt het werken in ieder geval een stuk makkelijker. Daarnaast kun je bij twijfel op een andere SBS installatie kijken om te controleren hoe het default staat.

Verder is het dan even standaard GPO troubleshooting. Om te beginnen moeten de computeraccounts in de juiste OU zitten, bij een nette SBS installatie zitten die in SBSComputers. Vervolgens ga je op de computer kijken of de policy wel van toepassing is (gpresult) en doet eventueel een herstart of gpupdate /force.

Als er dan iets mis lijkt te gaan kun je in bovenstaande concole de Group Policy Results wizard draaien om te kijken of het in de praktijk wel werkt hoe jij denkt dat het werkt.

[ Voor 7% gewijzigd door Jazzy op 17-11-2008 12:27 ]

[Verwijderd]

Jazzy schreef op maandag 17 november 2008 @ 12:20:
Tenzij je een hele goede reden hebt om af te wijken van de standaard, zou ik om te beginnen de uitgeschakelde PGO's weer aanzetten. Dat maakt het werken in ieder geval een stuk makkelijker.

Zal ik doen, ik moest even wat proberen om te kijken waar het probleem zat.

Het viel me op dat ze niet allemaal op "enabled" stonden maar op "Usersettings Disabled" of "Computersettings Disabled".

Ik vind dit zelf niet geheel logisch....

Verder is het dan even standaard GPO troubleshooting. Om te beginnen moeten de computeraccounts in de juiste OU zitten, bij een nette SBS installatie zitten die in SBSComputers. Vervolgens ga je op de computer kijken of de policy wel van toepassing is (gpresult) en doet eventueel een herstart of gpupdate /force.

Als er dan iets mis lijkt te gaan kun je in bovenstaande concole de Group POlicy Results wizard draaien om te kijken of het in de praktijk wel werkt hoe jij denkt dat het werkt.

Ik denk dat ik goed doe aan een force inderdaad, ik was al met gpresult aan de gang

[Jazzy]

Verwijderd schreef op maandag 17 november 2008 @ 12:25:
Het viel me op dat ze niet allemaal op "enabled" stonden maar op "Usersettings Disabled" of "Computersettings Disabled".

Ik vind dit zelf niet geheel logisch....

Daar zit wel een gedachte achter hoor. Als je een GPO gebruikt voor alleen computer settings dan kun je het user gedeelte uitschakelen. Dit komt de performance ten goede.

Ik denk dat ik goed doe aan een force inderdaad, ik was al met gpresult aan de gang

En loop dan zeker even door die Group Policy Results wizard in de GPMC, dan weet je in ieder geval precies welke policies van toepassing zijn op je laptops en in welke instellingen dat resulteert.

[ Voor 25% gewijzigd door Jazzy op 17-11-2008 12:31 ]

[_H_G_]

Verwijderd schreef op maandag 17 november 2008 @ 11:52:
Alle andere policies hebben "Authenticated users" als users staan, dit zou wellicht een probleem kunnen zijn.

Als je de scope bedoelt, da's -net zoals de benodigde rechten- van belang ja. Maar standaard zet ie de scope op authenticated users, dus heb je het zelf aangepast?

Je mist trouwens de Vista WMI Filter. Nog wat niet-toegepaste updates?

[Verwijderd]

Jazzy schreef op maandag 17 november 2008 @ 12:27:
[...]
Daar zit wel een gedachte achter hoor. Als je een GPO gebruikt voor alleen computer settings dan kun je het user gedeelte uitschakelen. Dit komt de performance ten goede.
[...]
En loop dan zeker even door die Group Policy Results wizard in de GPMC, dan weet je in ieder geval precies welke policies van toepassing zijn op je laptops en in welke instellingen dat resulteert.

Dat is waar, echter zag ik de logica niet geheel in van de settings zoals ze gezet waren.

Ik heb nu alles op enabled staan en zal kijken wat handig is om standaard te ignoren.

Ik zoek naar een document waar dit in uitgelegd staat waarom deze standaard policies deels gedisabled staan op user of computer gebied. Jouw uitleg zegt al veel, ik wil er alleen nog wat over lezen

[Jazzy]

Verwijderd schreef op maandag 17 november 2008 @ 12:33:
Ik zoek naar een document waar dit in uitgelegd staat waarom deze standaard policies deels gedisabled staan op user of computer gebied. Jouw uitleg zegt al veel, ik wil er alleen nog wat over lezen

U vraagt, wij draaien: http://technet.microsoft.com/en-us/library/cc779168.aspx

Do not process policy settings that are not configured.
If a Group Policy object contains only settings that are set to Not Configured, you can avoid processing these settings by disabling User Configuration or Computer Configuration. This expedites the startup and logon processes for those users and computers that are subject to the Group Policy object.

[Jazzy]

Verwijderd schreef op maandag 17 november 2008 @ 12:33:
Ik heb nu alles op enabled staan en zal kijken wat handig is om standaard te ignoren.

Mocht je er wat aan hebben, dit is hoe het default staat:


Alleen heb ik Windows Small Business Server 2003: Windows Vista- en Outlook 2007-compatibiliteitsupdate wel geïnstalleerd, gebruik ik WSUS 3.0 SP1 en folder redirection.

[Verwijderd]

Dank je ! Hier heb ik echt veel aan, mijn dank !

Ik krijg de policy alleen niet geforced, laat ik zeggen, mijn policy wordt niet geapplied, dit wordt dus even gpresult erop naslaan en goed zoeken.
Qua updates is alles wel prima, aangezien hier geen vista draait had ik die update er nog niet bij staan, dit had gekund als een laptop welke met Home geleverd werd nu niet met XP Pro in het netwerk gehangen zou worden

Toch heb ik eigenlijk nog nooit meegemaakt dat een policy by default niet werd opgepikt, want een GPO aanmaken, iets aanpassen, een gebruiker er aan hangen en dan inloggen werkte eigenlijk altijd wel op dergelijke installs.

Ik kom vast wel wat extra info tegen voor in de rugzak

Ah, hij hing niet goed onder de forest

[ Voor 4% gewijzigd door Verwijderd op 17-11-2008 13:24 ]

[Jazzy]

Dus alles werkt nu?

Overigens, computers voeg je toe door in Server Manager, Computers een computeraccount aan te maken. Vervolgens ga je op de computer naar http://sbsserver/ConnectComputer en volg je de wizard. Als je het op deze manier doet staat het object gelijk op de juiste plek en voorkom je dit soort problemen.

[Verwijderd]

Jazzy schreef op dinsdag 18 november 2008 @ 11:29:
Dus alles werkt nu?

Overigens, computers voeg je toe door in Server Manager, Computers een computeraccount aan te maken. Vervolgens ga je op de computer naar http://sbsserver/ConnectComputer en volg je de wizard. Als je het op deze manier doet staat het object gelijk op de juiste plek en voorkom je dit soort problemen.

Yep alles werkt nu zoals het hoort.

Ik hang normaal gesproken de computer in het domein en laat een user inloggen. Aan de user hang ik een Policy en verder eigenlijk weinig gekke dingen.

Ik merk wel dat, mede doordat ik eerst de Application data ook naar de server gemapt had in de policy dat de Quick Launch iet meer aangemaakt kan worden, op geen enkele manier, ook niet als ik die mapping weer weg haal.

Verder werkt alles perfect met de policies, toch bedankt voor de laatste tip !