Gibt es eine Möglichkeit, eine Gruppenrichtlinie nur für Benutzer festzulegen, die Mitglieder einer vertrauenswürdigen Active Directory-Domäne sind?
Antwort1
Alle für sie geltenden Benutzerrichtlinien stammen aus der Domäne, zu der ihr Konto gehört, es sei denn, Sie überschreiben die Benutzerrichtlinienverarbeitung durch die Loopback-Richtlinienverarbeitung.
Die Computerrichtlinie stammt von der Domäne, zu der der Computer gehört, bei dem Sie sich anmelden.
Denken Sie etwa so? „Wenn sich einer dieser Benutzer aus Domäne ABC bei einem der Computer anmeldet, der Mitglied der Domäne XYZ ist, möchte ich, dass bestimmte Gruppenrichtlinieneinstellungen gelten. Wenn sich ein ABC-Benutzer jedoch bei einem ABC-Computer anmeldet, möchte ich nicht, dass diese Einstellungen gelten. Wenn sich ein XYZ-Benutzer bei einem XYZ-Computer anmeldet, möchte ich auch nicht, dass diese Einstellungen gelten.“
Wenn ja, dann gibt es mit einfachen Gruppenrichtlinien keine Möglichkeit, das zu tun, was Sie beschreiben. Sie könnten die Funktionen der Gruppenrichtlinie mit einem Skript nachahmen, das die Anmeldedomäne des Benutzers überprüft, aber das Ausführen eines solchen Skripts im Kontext des Benutzers würde keine Änderungen an computerspezifischen Einstellungen zulassen.
Sagen Sie mir, inwieweit ich mit Ihrer Frage daneben liege, und ich werde es so bearbeiten, dass es Ihre eigentliche Frage beantwortet … (lächelt)
Antwort2
Evan hatte mit seinem ersten Satz recht. Das Aktivieren der Loopback-Verarbeitung der Benutzergruppenrichtlinie auf „Zusammenführen“ hat dieses Problem für mich behoben. Ich musste auch „Gesamtstrukturübergreifende Benutzerrichtlinie und Roaming-Benutzerprofile zulassen“ aktivieren.
Unsere Situation: Ein Benutzer in Domäne ABC meldet sich bei einem Computer in Domäne XYZ an. Ich wollte, dass benutzerspezifische Richtlinien nur in Domäne XYZ angewendet werden. Die spezifische Richtlinie bestand darin, die Möglichkeit zum Herunterfahren/Neustarten zu deaktivieren. Offensichtlich wollte ich nicht, dass dies für Computer in Domäne ABC (den PC des Benutzers) gilt.
Ich habe in XYZ ein neues Gruppenrichtlinienobjekt mit den folgenden Einstellungen erstellt:
- Computerkonfiguration\Administrative Vorlagen\System\Gruppenrichtlinie\Gesamtstrukturübergreifende Benutzerrichtlinie und Roaming-Benutzerprofile zulassen -Ermöglicht
- Computerkonfiguration\Administrative Vorlagen\System\Gruppenrichtlinie\Loopback-Verarbeitungsmodus für Benutzergruppenrichtlinien konfigurieren -Ermöglicht Modus: Zusammenführen
- Benutzerkonfiguration\Administrative Vorlagen\Startmenü und Taskleiste\Entfernen und verhindern Sie den Zugriff auf die Befehle Herunterfahren, Neustart, Ruhezustand und Energiesparmodus -Ermöglicht