GPO Probleem

[nachtwaker]

Voor een klant ben ik de boel aan het inrichten. Nu heb ik voor de terminal server een apart gpo ingesteld waar wat instellingen instaan zoals het niet tonen van een aantal items uit de control panel. Maar nu wil die gpo maar niet actief worden. Hij werkt wel zodra ik hem onder een de OU Users hang. Maar hij werkt niet als ik hem onder de OU TS hang. In de OU TS staat tevens de terminal server die je tegenkomt in AD.
Zodra ik hem onder de OU users hangt dan geldt deze policy voor alle servers en computers en dat willen we niet.



Server: Windows server 2012 R2

[Dennism]

Dit lijkt me eenvoudig op te lossen met Loopback processing, zie o.a.

https://gancrz.wordpress....opback-processing-in-gpo/

[ Voor 27% gewijzigd door Dennism op 24-02-2017 00:58 ]

[nachtwaker]

Hmm, ik krijg het niet voor elkaar via de loopback manier. Is er nog een andere manier?

[Killah_Priest]

nachtwaker schreef op maandag 27 februari 2017 @ 15:34:
Hmm, ik krijg het niet voor elkaar via de loopback manier. Is er nog een andere manier?

Loopback processing is echt de manier om dit te doen.
Wat krijg je precies niet voor elkaar? Als je de GP Modeling doet, wat geeft deze aan?

In het kort voor het inrichten van Loopback Processing :

• Zet Loopback Processing aan voor de betreffende machine (zij het via een lokale policy of via een GPO getarget op deze machine of OU waarin de RD Session Host zich bevind) : belangrijk is om te kiezen tussen Replace of Merge.
• Maak een aparte GPO aan in de OU van de RD Session Host (welke je eventueel op een aparte groep kunt targeten).

Goede kennis mbt hoe GPOs werken en hoe deze applied worden is wel essentieel om dit goed uit te rollen (in de zin van : dat je ook weet wat er precies gebeurd).

[Valen_76]

Komen de policies die je toepast uit de gebruikers-branch of uit de computersbranch? Vermoedelijk de Usersbranch omdat die wel tot uitvoering wordt gebracht.

[qwasd]

Wat al eerder is verteld heeft dit te maken met loopback processing. Kijk hier dus even naar.

Als alternatief kun je de gpo toepassen op de ou users voor een bepaalde groep/computer object i.p.v. de standaard groep authenticated users.

[Question Mark]

qwasd schreef op zondag 5 maart 2017 @ 22:11:
Als alternatief kun je de gpo toepassen op de ou users voor een bepaalde groep/computer object i.p.v. de standaard groep authenticated users.

Dat heeft niet zo heel veel zin als het computerobject van de Terminal Server niet in die OU staat Op die manier toepassen betekend dat de instellingen ook op gewone werkplekken toegepast gaan worden.

[ Voor 12% gewijzigd door Question Mark op 06-03-2017 14:31 ]

[qwasd]

Ik kan het verkeerd hebben, maar TS geeft aan:
Zodra ik hem onder de OU users hangt dan geldt deze policy voor alle servers en computers en dat willen we niet. Op deze manier kun je het dus filteren op een specifieke groep.

[m3gA]

Hoe staan de rechten op deze GPO ? En een export van je gpo is misschien ook handig.

[ Voor 42% gewijzigd door m3gA op 06-03-2017 15:18 ]

[chaoscontrol]

m3gA schreef op maandag 6 maart 2017 @ 15:17:
Hoe staan de rechten op deze GPO ? En een export van je gpo is misschien ook handig.

Inderdaad, als je deze enkel rechten geeft over bepaalde gebruikersgroep dien je bij delegation nog domain computers read rechten te geven.

[Question Mark]

qwasd schreef op maandag 6 maart 2017 @ 15:13:
Op deze manier kun je het dus filteren op een specifieke groep.

Alleen voor users, en dan niet afhankelijk van het soort computer waar op gewerkt wordt. En dat is nu net wat TS wél wil.

TS moet eerst maar eens duidelijk gaan maken hoe eea nu precies ingesteld staat, en wat er niet werkt.

Loopback Policy processing is dé manier om dit te regelen, en dit werkt ook gewoon. TS heeft dus ergens een configfout.

[qwasd]

Je kunt ook een groep computerobjecten i.p.v. userobjecten filteren met een groep of anders zelfs via een wmi filter. Het is dus niet specifiek voor gebruikers zoals je zegt.
Voorkeur is natuurlijk gewoon via loopback processing.
Als je dit juist configureert dan werkt het gewoon.

[Question Mark]

qwasd schreef op maandag 6 maart 2017 @ 16:01:
Je kunt ook een groep computerobjecten i.p.v. userobjecten filteren met een groep of anders zelfs via een wmi filter.

Alleen staat de Terminal Server niet in de OU met userobjecten, dus gaat die GPO nooit applied worden.

Filtering van GPO's heeft alleen zin als de objecten die je wilt filteren zich ook in de OU bevinden waar de GPO aan gelinked is.

[m3gA]

Even muggeziften trouwens.. Terminal Server bestaat niet meer sinds Windows 2008 Het heet nu Remote Desktop Services.

Voor die drive letters zijn ook efficientere methodes.

[qwasd]

Question Mark schreef op maandag 6 maart 2017 @ 16:08:
[...]

Alleen staat de Terminal Server niet in de OU met userobjecten, dus gaat die GPO nooit applied worden.

Filtering van GPO's heeft alleen zin als de objecten die je wilt filteren zich ook in de OU bevinden waar de GPO aan gelinked is.

TS geeft dit aan:
Hij werkt wel zodra ik hem onder een de OU Users hang. Maar hij werkt niet als ik hem onder de OU TS hang. In de OU TS staat tevens de terminal server die je tegenkomt in AD.

Dan moet dit wel een user policy zijn.

[mutsje]

Loopback processing gebruik ik al op terminal servers sinds metaframe 1.3 ofzo en dat werkt gewoon als een trein. Je stelt de zaken in de policy zet loopback processing aan en koppelt de GPO aan de OU waar de terminal server(s) in staan. Hierdoor krijgen de users gewoon de policy zoals de TS hem ingesteld heeft. Als de policy niet applied moet die maar eens gaan troubleshooten op zijn policy. Het principe van loopback processing is niet veranderd sinds ze de naam terminal server gewijzigd hebben

@creative misschien even inlezen hoe loopback group policy processing precies werkt. Er wordt door Question Mark al antwoord gegeven en dat is een behoorlijke diehard op TS/Citrix gebied ik pruts alleen maar wat aan zoals me naam al aangeeft