Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Grundlagen von Gruppenrichtlinien 187
Abbildung 7.1 Anzeigen des lokalen Gruppenrichtlinienobjekts mit der Microsoft Management
Console in Windows Server 2008
Hinweis Wenn im Startmenü Ihres Windows Server 2008-Systems die Programmgruppe Verwaltung
aktiviert ist, finden Sie dort den Eintrag Lokale Sicherheitsrichtlinie. Wenn Sie dieses Tool starten, öffnet
sich das MMC-Snap-In Gruppenrichtlinien-Editor, in das der Zweig Sicherheit des lokalen Gruppenrichtlinienobjekts
geladen ist, also die Sicherheitseinstellungen unter Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen.
Dieses Tool bietet eine bequeme Möglichkeit, wenn Sie nur die Sicherheitsoptionen
innerhalb des lokalen Gruppenrichtlinienobjekts anzeigen und bearbeiten wollen. Aber vergessen
Sie nicht, dass diese Einstellungen nur das lokale Gruppenrichtlinienobjekt betreffen.
Das lokale Gruppenrichtlinienobjekt auf einem Windows-System wird auf alle Benutzer
angewendet, die sich an diesem System anmelden. Systeme vor Windows Vista boten keine
Möglichkeit zu steuern, auf welche Benutzer, die sich beim lokalen System anmeldeten, die
Richtlinien aus dem lokalen GPO angewendet wurden. Alle Benutzer bekamen dieselben
Einstellungen. In Windows Vista und Windows Server 2008 gibt es nun aber die Möglichkeit,
mehrere benutzerspezifische lokale GPOs zu erstellen. Das ist nützlich, wenn Sie nicht
Active Directory verwenden, aber die Auswirkungen des lokalen GPOs davon abhängig
machen wollen, wer sich am System anmeldet. Auf den Einsatz mehrerer lokaler GPOs
komme ich gleich noch zurück.
Active Directory-Gruppenrichtlinienobjekte
Sie haben nur eingeschränkte Steuerungsmöglichkeiten, wenn Sie lokale GPOs verwenden.
Aber sobald Sie Active Directory bereitgestellt haben, steht Ihnen die volle Leistungsfähigkeit
der Gruppenrichtlinien zur Verfügung. Trotz des Worts »Gruppe« in Gruppenrichtlinien
werden GPOs nur auf Benutzer- und Computerobjekte innerhalb Ihrer Active Directory-
Umgebung angewendet. Gruppenrichtlinienobjekte sind mit Containern innerhalb von Active
Directory verknüpft. Über diese Verknüpfung können Sie steuern, welche Benutzer und
Computer ein bestimmtes GPO verarbeiten (Abbildung 7.2).
Sie können GPOs mit Active Directory-Standorten (einer Sammlung von IP-Subnetzen),
Domänen und Organisationseinheiten (Organizational Unit, OU) verknüpfen. Sie können
sogar mehrere GPOs mit jeder dieser Containerebenen verknüpfen, sodass unter Umständen
Hunderte von GPOs auf einen bestimmten Benutzer oder Computer angewendet werden.