[SBS 2003] GPO voor Office 2003 werkt niet

[demasterbaas]

Ik heb een GPO met Office instellingen gemaakt, alleen die doet het niet goed...

code:

Office 2003 SP3 Config 
Data collected on: 9-3-2010 15:15:13 show all 

Generalhide
Detailsshow
Domain xxx 
Owner xxx\Domain Admins 
Created 26-1-2010 19:51:18 
Modified 18-2-2010 20:07:48 
User Revisions 11 (AD), 11 (sysvol) 
Computer Revisions 3 (AD), 3 (sysvol) 
Unique ID {xxx} 
GPO Status Enabled 

Linksshow
Location Enforced Link Status Path 
Computers No Enabled xxx/xxx/Computers 
Servers No Enabled xxx/xxx/Servers 

This list only includes links in the domain of the GPO.
Security Filteringshow
The settings in this GPO can only apply to the following groups, users, and computers:Name 
Everyone 
NT AUTHORITY\Authenticated Users 
xxx\Iedereen 

WMI Filteringshow
WMI Filter Name None 
Description Not applicable 

Delegationshow
These groups and users have the specified permission for this GPOName Allowed Permissions Inherited 
Everyone Read (from Security Filtering) No 
NT AUTHORITY\Authenticated Users Read (from Security Filtering) No 
NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS Read No 
NT AUTHORITY\SYSTEM Edit settings, delete, modify security No 
xxx\Domain Admins Edit settings, delete, modify security No 
xxx\Enterprise Admins Edit settings, delete, modify security No 
xxx\Iedereen Read (from Security Filtering) No 

Computer Configuration (Enabled)hide
Software Settingshide
Assigned Applicationsshow
Microsoft Office Professional Editie 2003show
Product Informationshow
Name Microsoft Office Professional Editie 2003 
Version 11.0 
Language Dutch (Netherlands) 
Platform Intel 
Support URL http://www.microsoft.com/support 

Deployment Informationshow
General Setting 
Deployment type Assigned 
Deployment source \\xxx\SYSVOL\xxx\scripts\Office 2003 SP3\PRO11.MSI 
Uninstall this application when it falls out of the scope of management Disabled 

Advanced Deployment Options Setting 
Ignore language when deploying this package Disabled 
Make this 32-bit X86 application available to Win64 machines Enabled 
Include OLE class and product information Enabled 

Diagnostic Information Setting 
Product code {xxx} 
Deployment Count 0 

Securityshow
PermissionsType Name Permission Inherited 
Allow xxx\Domain Admins Full control No 
Allow NT AUTHORITY\SYSTEM Full control No 
Allow NT AUTHORITY\Authenticated Users Read No 
Allow xxx\Domain Admins Read, Write Yes 
Allow xxx\Enterprise Admins Read, Write Yes 
Allow CREATOR OWNER Read, Write Yes 
Allow NT AUTHORITY\SYSTEM Read, Write Yes 
Allow NT AUTHORITY\Authenticated Users Read Yes 
Allow NT AUTHORITY\ENTERPRISE DOMAIN CONTROLLERS Read Yes 
Allow xxx\Iedereen Read Yes 
Allow Everyone Read Yes 
Allow inheritable permissions from the parent to propagate to this object and all child objects Enabled 

Advancedshow
Upgrades Setting 
Required upgrade for existing packages Enabled 
Packages that this package will upgrade GPO 
None 
 
Packages in the current GPO that will upgrade this package None 

Categories 
None 

Transforms 
\\xxx\SYSVOL\xxx\scripts\Office 2003 SP3\Silent.MST 


Microsoft Office Access 2003/Tools | Macro/Security...hide
Policy Setting 
Security Level Enabled 
Security Level Low 
 
Policy Setting 
Trust all installed add-ins and templates Enabled 
Check to enforce setting on; uncheck to enforce setting off Enabled 
 
In Access this setting is used for COM add-ins only.

Elke keer als ik een gebruiker aanmaak moet ik handmatig die Access security instellingen gaan doen. Dit is volgens mij met alle dingen die automatisch moeten gaan (dus ook bijvoorbeeld AutoArchiveren uitzetten in Outlook...)
Iemand een idee wat er mis gaat?? Moet ik enforce doen?

[vinniel83]

Je hebt de policy wel op de juiste OU gezet? op welke OU heb je hem nu staan?

[alt-92]

Waarom zet je je transform + instal in je SYSVOL?

[sanfranjake]

alt-92 schreef op dinsdag 09 maart 2010 @ 20:26:
Waarom zet je je transform + instal in je SYSVOL?

Zie ik veel in het mkb, complete libraries in de netlogon

Wordt overigens als je de setup met de hand uitvoert de aanpassing wel meegenomen? Dus "setup.msi TRANSFORMS=blaat.mst"

Verder bestaan er voor Office 2003 (en andere versies) ook ADM templates welke je rechtstreeks in group policy kan laden. Dan kan je zelfs nog verschillende instellingen voor verschillende groepen gebruikers toepassen:
Office 2003 Service Pack 3 Administrative Template (ADM), OPAs, and Explain Text Update

Ook moet je een volume-licentieversie van Office hebben om een MST toe te passen op deze manier, met bijvoorbeeld OEM krijg je daar ook een duidelijke melding van in je eventlog/rsop

[ Voor 62% gewijzigd door sanfranjake op 09-03-2010 20:32 ]

[alt-92]

Okee dan.
Dan ben ik nu weg

offtopic:
en laat alleen de hint achter dat Office configuratie policies user-policies zijn en alleen werken als je de Office ADM templates ook gebruikt.

[demasterbaas]

vinniel83 schreef op dinsdag 09 maart 2010 @ 18:41:
Je hebt de policy wel op de juiste OU gezet? op welke OU heb je hem nu staan?

Computers No Enabled xxx/xxx/Computers
Servers No Enabled xxx/xxx/Servers

Daar zitten alle pctjes en terminal server in...

alt-92 schreef op dinsdag 09 maart 2010 @ 20:26:
Waarom zet je je transform + instal in je SYSVOL?

Tja... kan netter, maar is een beetje zo ontstaan...

sanfranjake schreef op dinsdag 09 maart 2010 @ 20:28:
[...]
Wordt overigens als je de setup met de hand uitvoert de aanpassing wel meegenomen? Dus "setup.msi TRANSFORMS=blaat.mst"

Ja

Verder bestaan er voor Office 2003 (en andere versies) ook ADM templates welke je rechtstreeks in group policy kan laden. Dan kan je zelfs nog verschillende instellingen voor verschillende groepen gebruikers toepassen:
Office 2003 Service Pack 3 Administrative Template (ADM), OPAs, and Explain Text Update

Ook moet je een volume-licentieversie van Office hebben om een MST toe te passen op deze manier, met bijvoorbeeld OEM krijg je daar ook een duidelijke melding van in je eventlog/rsop

ADM templates heb ik geladen is dezelfde GPO. Er is dus 1 GPO met daarin alle office instellingen en de msi installer met blaat.mst erachter. Nu ik dit zo schrijf bedenk ik me ineens dat ik dat misschien ook de OU met de users eraan moet linken, gezien het in het user register moet worden aangepast. Toch?

Het betreft een VL.

alt-92 schreef op dinsdag 09 maart 2010 @ 20:31:
Okee dan.
Dan ben ik nu weg

offtopic:
en laat alleen de hint achter dat Office configuratie policies user-policies zijn en alleen werken als je de Office ADM templates ook gebruikt.

In elk geval bedankt voor de hint, ADM's heb ik dus...

[sanfranjake]

demasterbaas schreef op woensdag 10 maart 2010 @ 16:05:
ADM templates heb ik geladen is dezelfde GPO. Er is dus 1 GPO met daarin alle office instellingen en de msi installer met blaat.mst erachter. Nu ik dit zo schrijf bedenk ik me ineens dat ik dat misschien ook de OU met de users eraan moet linken, gezien het in het user register moet worden aangepast. Toch?

Het zijn user-templates inderdaad, dus de gpo moet aan users toegewezen worden.

Overigens wellicht NTFS op die MST file zo staan dat de computer 'm niet kan lezen?

[demasterbaas]

sanfranjake schreef op woensdag 10 maart 2010 @ 16:22:
[...]

Het zijn user-templates inderdaad, dus de gpo moet aan users toegewezen worden.

Overigens wellicht NTFS op die MST file zo staan dat de computer 'm niet kan lezen?

Waarschijnlijk staat alles in SYSVOL omdat dan alles door iedereen kan worden geopend (en de MST dat dus erft.)
Maar eigenlijk is het probleem dat de ADM files niet goed uitgevoerd worden. Die MST gebruik ik voornamelijk om aan te geven welke onderdelen geinstalleerd moeten worden en Outlook account. Via ADM moeten dan de instellingen bepaald worden.

Wellicht een idee om er even twee GPO's van te maken (1 voor install aan computer OU en 1 voor settings aan gebruiker OU). Ik ga morgen wel ff testen!

[sanfranjake]

demasterbaas schreef op woensdag 10 maart 2010 @ 16:34:
Wellicht een idee om er even twee GPO's van te maken (1 voor install aan computer OU en 1 voor settings aan gebruiker OU). Ik ga morgen wel ff testen!

Formidabel idee Als de settings nu aan een pc ou hangen is het dus logisch als het niet werkt