Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Grundlagen von Gruppenrichtlinien 195
Optimierungen für die Richtlinienverarbeitung
Das Gruppenrichtlinienmodul hat die Aufgabe, GPOs zu verarbeiten, die auf den aktuellen
Computer oder Benutzer angewendet werden. Und wie ich bereits beschrieben habe, findet
die Verarbeitung in regelmäßigen Abständen im Vorder- und Hintergrund statt. Würde das
Gruppenrichtlinienmodul allerdings sämtliche angewendeten GPOs bei jeder Verarbeitung
erneut vollständig verarbeiten (unabhängig davon, ob überhaupt Änderungen an den angewendeten
GPOs vorgenommen wurden), wäre das eine Verschwendung von Netzwerk- und
Systemressourcen. Daher hat Microsoft einige Optimierungen in das Gruppenrichtlinienmodul
eingebaut. Die wichtigste ist, dass innerhalb einer Richtlinie keine Verarbeitung stattfindet,
falls sich innerhalb der Umgebung nichts verändert hat. Was eine Änderung ist, lässt
sich allerdings gar nicht so einfach bestimmen, es ist zumindest nicht offensichtlich. Es
beschränkt sich auf jeden Fall nicht auf eine Änderung an einem GPO, schließlich können
sich mehrere Faktoren darauf auswirken, welche GPOs auf einen bestimmten Computer
oder Benutzer angewendet werden. Und falls sich eines von 10 GPOs, die auf einen Computer
angewendet werden, geändert hat, müssen unter Umständen alle 10 erneut ausgeführt
werden, damit die weiter oben beschriebenen Vorrangregeln eingehalten werden.
Folgende Änderungen lösen aus, dass die Gruppenrichtlinienverarbeitung GPOs während
einer bestimmten Phase erneut verarbeitet:
Es wird eine Änderung an den Einstellungen innerhalb eines GPOs vorgenommen, das
auf den Benutzer oder Computer angewendet wird.
Die Liste der GPOs, die auf den Computer oder Benutzer angewendet werden, verändert
sich. (Anders ausgedrückt: Es wird ein neues GPO hinzugefügt oder eines, das vorher
angewendet wurde, wird entfernt.)
Es wird eine Änderung an der Sicherheitsgruppenzugehörigkeit des Benutzers oder
Computers vorgenommen, die sich auf die Sicherheitsgruppenfilterung auswirken kann.
Es wird eine Änderung an einem WMI-Filter vorgenommen (es wird ein Filter zu einem
GPO hinzugefügt oder daraus entfernt), der vom Computer oder Benutzer verarbeitet
wird.
So funktioniert’s: Versionskontrolle für Gruppenrichtlinien
Da das Gruppenrichtlinienmodul Richtlinien nur verarbeitet, wenn sich etwas verändert
hat, muss es offensichtlich einen Mechanismus geben, um zu erkennen, wann sich ein
GPO verändert. Das wird mithilfe einer Versionskontrolle erreicht. Jedes Mal, wenn Sie
eine Änderung an einer Einstellung innerhalb eines GPOs vornehmen, wird die Versionsnummer
dieses GPOs erhöht. Die Versionsnummer wird in den Active Directory- und
SYSVOL-Teilen des GPOs gespeichert, dem sogenannten GPC (Group Policy Container)
und der GPT (Group Policy Template). Wenn das Gruppenrichtlinienmodul auf einem
Clientsystem die Richtlinie verarbeitet, vergleicht es bei jedem GPO, das angewendet
werden soll, die Versionsnummern mit denen, die es in seine eigene Registrierung eingetragen
hat, als es die Gruppenrichtlinien das letzte Mal verarbeitet hat. Dieser Speicherort
ist der sogenannte Gruppenrichtlinienverlauf. Falls sich die Versionen in GPO und Verlauf
unterscheiden, weiß das Modul, dass es die Richtlinie während der aktuellen Phase
erneut verarbeiten muss.