speficieke GPO deleten

[Veance]

Ik ben in een virtuele machine, in een server (win 2019) group policies aan het uitproberen. Heb op verschillende niveaus OU's aangemaakt, en enkele een aangemaakte GPO toegekend door ze ernaar toe te slepen.

Nu, eentje heb ik in de lijst GPO aangemaakt (GeenUSB) die voor het gehele domein bedoeld was en naar het domein gesleept. Maar deze is nu weg uit de lijst GPO. Ik zie die in elke OU staan en kan die nu niet meer deleten.

Ik vond op microsoft een mogelijkheid om via regedit dit weg te werken maar ik twijfel er toch serieus aan.
Ik lijk toch veel meer te moeten wegdoen dan 1 gpo.

https://learn.microsoft.c...gpm/delete-a-gpo-approver

Ik meen te geloven dat ik verkeerd was om op die manier een gpo aan een domein toe te kennen want het is toch de bedoeling dat je gpo's per wijziging in je gpo lijst kunt laten staan voor toekomstig gebruik of aanpassing?
Wat kan ik doen? Kan ik het verwijderen? ZOu logisch zijn.

[Hero of Time]

Ik ben niet bekend met de mogelijkheid om GPOs zomaar aan een OU te koppelen door deze te slepen. Ik maak ze altijd aan op de plek waar ik ze wil hebben via de optie "Create GPO and link here". Bestaat de GPO al en wil ik die aan een andere OU hangen, dan ga ik naar de betreffende OU en via rechtermuisknop "Link existing GPO".
Sleur & Pleur lijkt dus ongewenst gedrag te vertonen, namelijk spontaan de GPO uit zicht te gooien. Oftewel, compleet verplaatsen.

Staat er nog een betere locatie voor de 'Geen USB' gpo dan 'SCHOOL-VINCE..."? Het had namelijk wat fijner geweest als het niet afgebroken was qua tekst.

Heb je ook op het domein niveau gekeken of het daar niet onder staat? Het zou kunnen dat de weergave aan de linker zijde alleen maar het echte object onder 'Group Policy Objects' toont en links naar die items bij andere secties, waardoor het werkelijke object niet te zien is links. Maar aan de rechterkant zou die dan dus wel te zien moeten zijn.

Voor het verwijderen ervan, ik vraag mij af of het echt in het register van de domein controller wordt opgeslagen ipv dat het kijkt in SYSVOL en zo de weergave opbouwt.

Je linkt overigens naar een document over 'gpo approver', dat is denk ik wat anders dan wat je wilt en bedoelt.

[MAX3400]

Je zou toch minstens de GPO moeten terugvinden in je SYSVOL? That said, did you turn it off & on again? Zie je met (bijvoorbeeld) het domain administrator account de betreffende GPO ook niet? Heb je geen delegation toegepast en daarna het "owner" object weggegooid? Kan je met ADSIEdit de GPO ook niet terugvinden? Komt de GPO ook nog terug in een gpresult? Heb je (waarschijnlijk niet) errors in je AD replicatie?

[sniper20]

Of start de server is opnieuw op als het toch een testserver is. Of anders de GPO unlinken van de betreffende OU. Lukt dat ook niet ?

[Veance]

@Hero of Time @MAX3400
Sysvol? Ik ben via 'Tools' in de servermanager naar group policy manager gegaan. Daar vind ik echter geen SYSVOL terug.

@Hero of Time Ik zie de gpo 'geenUSB' onder 'Domain Controllers' staan. En onder 'Group Policy Inheritance' in mijn domain. Dit samen met nog een andere (default) waar ik wel op kan klikken. Als ik op de 'geenUSB' klik krijg ik een Unspecified error.
@sniper20 : nee lukt niet.

[Voor 3% gewijzigd door Veance op 15-10-2022 17:26]

[Hero of Time]

Je ziet ook best weinig OUs. Heeft een standaard domein niet meer OUs dan dit? Ik weet dat containers zoals 'Computers' niet bij de GPO editor worden getoond, omdat er geen GPOs aan gelinkt kunnen worden.

Waar Max en ik het over hebben mbt SYSVOL is een map die gedeeld wordt door je domain controllers waar alle clients hun beleid vandaan halen. Je vind die met verkenner.

Aangezien je al niet helemaal weet wat SYSVOL is en hoe je er bij komt, heb ik sterke twijfels of je wel echt verder moet gaan met waar je mee bezig bent. Want het sleur & pleur principe dat je hebt gedaan is iets wat ik niet heb geleerd bij mijn opleiding (zowel op het MBO als het HBO) en online bij wat tutorials e.d. wordt het ook niet genoemd.
Het zou mij daarom ook niet verbazen dat je nu een GPO hebt dat als gelinkt staat, maar feitelijk nergens meer is en problemen gaat geven. Zie je er iets over als je 'gpresult /r' uitvoert vanuit een command prompt of powershell venster?

[Veance]

jawel hoor : je systeem volume.
Maar ik dacht niet dat in GPO omgeving te gaan vinden. Vandaar mijn verrassing. En aangezien ik naar verkenner moet, ben ik juist wat dat betreft...
Met gpresult /r in de cmd krijg ik er eentje van de 2 die ik uitvoerde ( en gpupdate /force deed) te zien . Maar niet deze 'geenUSB'. Nochtans had ik die andere erook naar toe 'gesleurd' (geen idee wat een pleur is maar goed)

In ieder geval : opgelost door op 'refresh' te drukken.

[Hero of Time]

Sleur & pleur, of drag & drop. Oftewel, 'pleur het neer', gooien, laten vallen, etc.

Je hebt het nu opgelost met de weergave vernieuwen. Dat is iets waar wij niet over na zouden denken, want als iets even niet zichtbaar is, is dat juist hetgeen wat we als eerste doen. Of zelfs de hele editor opnieuw openen.

[MAX3400]

Wat ik al vroeg dus: That said, did you turn it off & on again?

Hint, ongetwijfeld is het testen en spelen maar "GPO omgeving" is toch echt een verzameling van files op disk, Powershell, een GUI, en objecten in je domain/forest. En een result kan je (vaak) ook al registry-entry terugvinden op je targets, zeker als het geen zichtbare setting is

Ga je eens verdiepen erin; het kan veel efficienter & leuker dan alleen maar gpmc opstarten.

[Killah_Priest]

Veance schreef op zaterdag 15 oktober 2022 @ 20:01:
jawel hoor : je systeem volume.
Maar ik dacht niet dat in GPO omgeving te gaan vinden. Vandaar mijn verrassing. En aangezien ik naar verkenner moet, ben ik juist wat dat betreft...

Naar mijn idee behoort het toch wel tot je basiskennis te horen hoe replication werkt op DCs en welke folders er bv meegenomen worden (in ieder geval als je ook policies gaat aanmaken en linken).

Top dat alles weer in orde is, maar ik adviseer je wel dringend om wat extra kennis op te doen omtrent dit onderwerp.

[sniper20]

Veance schreef op zaterdag 15 oktober 2022 @ 20:01:
In ieder geval : opgelost door op 'refresh' te drukken.

Dat zei ik dus. Een herstart kan het probleem verhelpen.

[Veance]

@Killah_Priest Inderdaad, maar dat ben ik net aan het doen.

Mag ik nog iets vragen?

Aangezien ik maar 1 van de 2 servers gepromoveerd heb tot domain controller en dus maar 1 keer Active Directory heb, is er bij mij dan nog geen sprake van Replicatie? Ik was van het idee dat replicatie alleen tot stand kwam tussen een bron DC en een doel DC?

[Voor 70% gewijzigd door Veance op 17-10-2022 20:48]