Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Grundlagen von Gruppenrichtlinien 193
Nachdem wir uns nun die Gruppenrichtlinien aus der Perspektive von Active Directory angesehen
haben, wollen wir uns damit beschäftigen, wie Gruppenrichtlinien aus Sicht des
Systems funktionieren, das eine Richtlinie verarbeitet.
Gruppenrichtlinienverarbeitung
Beim Thema Gruppenrichtlinien ist zwar wichtig zu wissen, wie GPOs erstellt und verwaltet
werden, aber Sie müssen auch wissen, wie Gruppenrichtlinien verarbeitet werden (oder
warum sie nicht verarbeitet werden). Nur so können Sie sicherstellen, dass Ihre Benutzer
und Computer die Sicherheitskonfiguration erhalten, die Sie vorgesehen haben. Daher sehen
wir uns in diesem Abschnitt die Clientseite von Gruppenrichtlinien an. Wie bereits erwähnt,
verarbeiten Benutzer- und Computerobjekte, die in Active Directory liegen, die Gruppenrichtlinienobjekte.
Das Modul zur Gruppenrichtlinienverarbeitung funktioniert im Prinzip
immer gleich, ganz egal, ob es sich um Windows Server 2008, Windows Vista oder eine
ältere Version handelt. Es werden zwei Arten von Gruppenrichtlinienverarbeitung durchgeführt,
Vordergrund- und Hintergrundverarbeitung:
Vordergrundverarbeitung findet statt, wenn ein Windows-Computer startet oder wenn
sich ein Benutzer anmeldet. Vordergrundverarbeitung ist wichtig, weil bestimmte Bereiche
der Gruppenrichtlinien, zum Beispiel Ordnerumleitung und Softwareinstallation, nur
während der Vordergrundverarbeitungsphase ausgewertet werden. Sie brauchen nämlich
exklusiven Zugriff auf die Computer- oder Benutzerumgebung, um ihre Aufgaben zu erfüllen.
Ohne diesen exklusiven Zugriff wäre es schwierig herauszufinden, in welchem
Zustand der Benutzer den Computer übergeben bekommt. Es ist nicht sinnvoll, dass
Software installiert wird, während Sie versuchen, diese Software auszuführen!
Hintergrundverarbeitung wird in regelmäßigen Abständen im Hintergrund durchgeführt.
Domänencontroller führen in der Standardeinstellung alle 5 Minuten eine Hintergrundverarbeitung
aus. Arbeitsstationen und Mitgliedserver führen die Hintergrundverarbeitung
alle 90 Minuten aus, mit einem zufälligen Offset von 0 bis 30 Minuten, um sicherzustellen,
dass nicht alle Systeme gleichzeitig die Richtlinien aktualisieren.
Tipp Sie können das Aktualisierungsintervall für Domänencontroller, Arbeitsstationen und Mitgliedserver
ändern, indem Sie die Richtlinieneinstellungen unter Computerkonfiguration\Administrative Vorlagen\System\Gruppenrichtlinie\Gruppenrichtlinien-Aktualisierungsintervall
für Domänencontroller beziehungsweise
Computerkonfiguration\Administrative Vorlagen\System\Gruppenrichtlinie\Gruppenrichtlinien-Aktualisierungsintervall
für Computer anpassen.
Neben diesen beiden Verarbeitungsmodi gibt es noch zwei Möglichkeiten, wie die Vordergrundverarbeitung
durchgeführt werden kann: synchron oder asynchron. Die Hintergrundverarbeitung
ist definitionsgemäß asynchron. Bei der synchronen Richtlinienverarbeitung
muss die Gruppenrichtlinienverarbeitung abgeschlossen sein, bevor der Benutzer einen Anmeldedialog
angezeigt bekommt (bei Computerrichtlinien) beziehungsweise bevor sich der
Desktop des Benutzers öffnet (bei Benutzerrichtlinien). So wird sichergestellt, dass die
Richtlinien, die unter Umständen Auswirkungen auf die aktuelle Sitzung haben, vollständig
verarbeitet wurden, bevor der Benutzer mit dem System arbeiten kann. Das verzögert allerdings
auch den Start- und Anmeldevorgang, daher ist in Windows XP und Windows Vista
standardmäßig die asynchrone Vordergrundrichtlinienverarbeitung aktiviert. Asynchrone
Verarbeitung bedeutet, dass das Gruppenrichtlinienmodul die Computerrichtlinien weiter
verarbeitet, während der Benutzer sich schon anmelden und am Desktop arbeiten kann,