Filtern Sie die Ordnerumleitungs-GPO mit authentifizierten Benutzern

Question

Befolgen Sie dieses Dokument, um die Ordnerumleitung einzurichten:https://technet.microsoft.com/en-us/library/jj649078(v=ws.11).aspx

UnterSchritt 3: Erstellen eines Gruppenrichtlinienobjekts für die OrdnerumleitungIch muss meine Gruppe „Benutzer der Ordnerumleitung“ zum Umfang der Gruppenrichtlinie hinzufügen, muss aber auch die Gruppe „Authentifizierte Benutzer“ löschen und wieder hinzufügen.

Da ich die Gruppe „Authentifizierte Benutzer“ im Umfang dieser Gruppenrichtlinie habe, bedeutet das, dass ALLE Benutzer in der Organisationseinheit betroffen sind, auf die sie angewendet wird, und nicht nur Mitglieder der Gruppe „Benutzer der Ordnerumleitung“? Verhindern die Berechtigungen, die Sie der Gruppe „Authentifizierte Benutzer“ erteilen, wenn Sie sie löschen und wieder hinzufügen, dass dies nicht passiert?

Answer 1

So since I have the "Authenticated Users" group in the scope of this GPO does that mean it will hit ALL users under the OU it is applied to and not just members of the "Folder Redirection Users" group? Do the permissions it has you grant the "Authenticated Users" group when you delete and add it back prevent this from happening?

Dies ist aufgrund des Sicherheitsupdates für Gruppenrichtlinien erforderlich, wie unter dem Link am Ende von Schritt 3 beschrieben. Dies ist erforderlich, damit das Gruppenrichtlinienobjekt von den entsprechenden Entitäten gelesen werden kann. Das Gruppenrichtlinienobjekt wird nur auf die Benutzer in der Gruppe in Ihrem Sicherheitsfilter angewendet.

https://support.microsoft.com/en-us/help/3163622/ms16-072-security-update-for-group-policy-june-14,-2016

Answer 2

Ihre Verwirrung rührt von dem Unterschied zwischen dem Lesen und Anwenden der Richtlinie her. Laut diesem Dokument können nur die „Benutzer der Ordnerumleitung“ die Richtlinie anwenden, aber jeder Benutzer kann den Inhalt sehen.

Answer 3

NEIN.

Klicken Sie auf die Registerkarte „Delegierung“ und dann auf „Hinzufügen“, geben Sie „Authentifizierte Benutzer“ ein, klicken Sie auf „OK“ und anschließend erneut auf „OK“, um die standardmäßigen Leseberechtigungen zu akzeptieren.

Dieser Schritt ist aufgrund von Sicherheitsänderungen inMS16-072.

Wie im Artikel erläutert, nur dieLesenBerechtigung wird angewendet und zwar nur auf das GPO-Objekt, nicht auf den NTFS-Ordner. Das bedeutet, dass jeder authentifizierte Benutzer die Gruppenrichtlinie sehen kann. Um die Richtlinie anzuwenden, müssen Sie explizit dieAnwendenErlaubnis.

Der Grund hierfür ist, dass aufgrund der erwähnten Sicherheitsänderung viele GPOs nun nur noch gelten, wenn sowohl Benutzer als auch Computerobjekt mindestensLesenBerechtigungen. Details im verlinkten Sicherheitsbulletin.