Ultimativer Leitfaden für Group Policy Management in Active Directory

Einführung in das Group Policy Management

Gruppenrichtlinie ist ein Feature von Microsoft Windows-Betriebssystemen, das Administratoren dabei unterstützt, Benutzer und Computer in Active Directory-Umgebungen zu verwalten und zu sichern. Gruppenrichtlinieneinstellungen sind in Gruppenrichtlinienobjekten (GPOs) zusammengefasst und werden auf Computer- und Benutzerobjekte innerhalb des Geltungsbereichs der GPO angewendet.

Beispielsweise können Gruppenrichtlinienobjekte verwendet werden, um Folgendes zu verwalten:

• Konfigurationen, wie Desktop-Einstellungen, Startskripte und Anmelde-/Abmeldeskripte
• Sicherheit, einschließlich Active Directory (AD) Passwortrichtlinien, Kontosperrrichtlinien und Firewall-Einstellungen
• Access to network resources like shared folders, printers and applications
• Softwarebereitstellung, einschließlich der Installation von Software auf ausgewählten Maschinen und der Planung von Patches und Updates.

Dieser Leitfaden erklärt die Schlüsselelemente von Group Policy management.

Tool für die Gruppenrichtlinienverwaltung

Um GPOs zu verwalten, verwenden Administratoren die Group Policy Management Console (GPMC). Sie können diesen Domain Group Policy-Editor über das Tools-Menü des Windows Server Managers aufrufen.

Sie können alle GPOs in einer Domäne sehen, indem Sie im linken Bereich der Group Policy Management Console auf den Container Group Policy Objects klicken. Unten sehen Sie, dass die AD domain ad.contoso.com nur eine GPO hat, Default Domain Policy:

Die Gruppenrichtlinienverwaltungskonsole enthält einen Gruppenrichtlinien-Editor, wie hier gezeigt:

Arten von Gruppenrichtlinieneinstellungen

Das linke Panel des untenstehenden Screenshots zeigt die Arten von Einstellungen in einer GPO:

Wie Sie sehen können, gibt es zwei Hauptkategorien: Computer Configuration und User Configuration.

Jeder dieser Punkte hat Policies und Preferences, die Sie erweitern können, um sie zu konfigurieren:

• Softwareeinstellungen
• Windows-Einstellungen
• Administrative Vorlagen

Richtlinien vs Einstellungen

Richtlinien und Einstellungen können beide verwendet werden, um Einstellungen für Active Directory-Computer- und Benutzerobjekte zu verwalten. Der primäre Unterschied ist wie folgt:

• Richtlinien können nicht von Benutzern geändert werden. Daher sollten Einstellungen, die mit Sicherheit und regulatorischer Konformität zusammenhängen, in Richtlinien festgelegt werden. Beispiele hierfür sind Passwortrichtlinien, Kontosperrrichtlinien, Firewall-Richtlinien und Softwareeinschränkungsrichtlinien.
• Einstellungen können von Benutzern geändert werden, daher sollten sie nur für Benutzererfahrung und Umgebungseinstellungen verwendet werden. Zum Beispiel könnten Sie eine Standardgruppe von Netzlaufwerken, Druckern oder Desktop-Verknüpfungen bereitstellen, aber wenn Sie diese über Einstellungen festlegen, können Benutzer sie an ihre eigenen Bedürfnisse anpassen.

Installation der Group Policy Management Console auf Windows Server

Um die Group Policy Management Console auf Windows Server zu installieren, führen Sie diese Schritte aus:

• Starten Sie den Server Manager, indem Sie im Startmenü auf Server Manager klicken.
• Im Server-Manager klicken Sie oben im Menü auf Verwalten und wählen dann Rollen und Features hinzufügen.

• Wählen Sie Role-based or feature-based installation und klicken Sie auf Weiter.

• Wählen Sie den Server aus, auf dem Sie GPMC installieren möchten, und klicken Sie auf Weiter.

• Auf der Seite „Serverrollen auswählen“ klicken Sie auf Weiter, da wir keine Rolle hinzufügen.
• Scrollen Sie nach unten, finden Sie „Group Policy Management“ und aktivieren Sie das Kästchen daneben.

• Klicken Sie nach Abschluss der Installation auf „Weiter“, um jegliche Bestätigungsmeldungen zu akzeptieren. Klicken Sie auf „Schließen“, um den Assistenten zu beenden.

Installation der Group Policy Management Console auf Windows

Wenn Sie Windows 10 Version 1809 oder höher verwenden, können Sie GPMC über die Einstellungen-App installieren:

1. Öffnen Sie die Einstellungen, indem Sie WIN+I drücken.
2. Suchen Sie nach optionalen Funktionen.
3. Klicken Sie + Funktion hinzufügen.
4. Klicken Sie auf RSAT: Group Policy Management Tools und dann auf Installieren.

Wenn Sie eine ältere Version von Windows verwenden, müssen Sie die richtige Version von RSAT von der Microsoft-Website herunterladen.

So erstellen Sie eine GPO

Um ein neues Gruppenrichtlinienobjekt zu erstellen:

• Öffnen Sie den Server-Manager, klicken Sie oben rechts auf Tools und wählen Sie Group Policy Management aus dem Dropdown-Menü aus.

• Öffnen Sie in der Group Policy Management Console den Wald und die Domäne, in der Sie die GPO verknüpfen möchten.
• Klicken Sie mit der rechten Maustaste auf die OU, Domäne oder Site, wo Sie die GPO verknüpfen möchten und wählen Sie die entsprechende Create-Option, wie zum Beispiel Erstellen Sie ein GPO in dieser Domäne und verknüpfen Sie es hier…

• Geben Sie einen beschreibenden Namen für das neue GPO ein und klicken Sie auf OK.

So bearbeiten Sie eine GPO

Um die Gruppenrichtlinie in der Gruppenrichtlinienverwaltungskonsole zu bearbeiten, führen Sie die folgenden Schritte aus:

• Erweitern Sie den Wald und die Domäne, zu der die GPO gehört.
• Navigieren Sie zur OU, Domäne oder Website, wo die GPO verknüpft ist.
• Klicken Sie mit der rechten Maustaste auf das zu bearbeitende GPO und wählen Sie Edit.

• Im Gruppenrichtlinienverwaltungs-Editor doppelklicken Sie auf die gewünschte Richtlinieneinstellung und ändern Sie diese gemäß Ihren Anforderungen.

Computereinstellungen werden angewendet, wenn Windows startet, und Benutzereinstellungen werden verwendet, wenn sich ein Benutzer anmeldet. Die Hintergrundverarbeitung von Gruppenrichtlinien wendet Einstellungen periodisch an, wenn eine GPO geändert wurde.

So verknüpfen Sie eine GPO

Damit eine GPO wirksam wird, muss sie mit mindestens einem Active Directory-Container verknüpft sein, wie einer OU, Domäne oder Site. Um eine GPO zu verknüpfen, gehen Sie wie folgt vor:

• Öffnen Sie in der Group Policy Management Console den Wald und die Domäne, in der Sie das GPO verknüpfen möchten.
• Klicken Sie mit der rechten Maustaste auf die OU, Domäne oder Website, wo Sie die GPO verknüpfen möchten und wählen Sie Link an Existing GPO.

• Wählen Sie die GPO, die Sie verknüpfen möchten, aus der Liste der verfügbaren GPOs und klicken Sie auf OK.

So aktivieren oder deaktivieren Sie eine GPO-Verknüpfung

Wenn ein GPO-Link deaktiviert ist, werden seine Einstellungen nicht auf die Objekte im verknüpften Container angewendet. So aktivieren oder deaktivieren Sie einen GPO-Link:

• In der Group Policy Management Console erweitern Sie den Active Directory-Wald und die Domäne, zu der das verknüpfte GPO gehört.
• Erweitern Sie den Container, in dem die GPO verknüpft ist, und klicken Sie mit der rechten Maustaste auf die GPO.
• Im Kontextmenü aktivieren Sie die Option Link Enabled um den Link zu aktivieren oder deaktivieren Sie die Option, um den Link zu deaktivieren.

So importieren Sie GPO-Einstellungen

Sie können ein GPO konfigurieren, indem Sie Einstellungen aus einem Backup-GPO oder einer Vorlagendatei importieren. So wird es gemacht:

• In der Group Policy Management Console navigieren Sie zur OU, Domäne oder Site mit dem GPO, in das Sie Einstellungen importieren möchten.
• Klicken Sie mit der rechten Maustaste auf das Ziel-GPO und wählen Sie Einstellungen importieren…
• Wählen Sie die Sicherungs- oder Vorlagendatei (.admx oder .adml) aus, die die gewünschten GPO-Einstellungen enthält, und klicken Sie auf Öffnen.
• Da Sicherungsorte mehrere GPOs enthalten können, wählen Sie dasjenige aus, von dem Sie Einstellungen importieren möchten.

• Klicken Sie zweimal auf Weiter und überprüfen Sie die Zusammenfassung, dann klicken Sie Fertig stellen um den Importvorgang abzuschließen.

GPO-Vererbung und Priorität

Die Vererbung und Priorität von Gruppenrichtlinien bestimmen, wie Gruppenrichtlinienobjekte auf Objekte angewendet werden.

Vererbung

Die Vererbung von Gruppenrichtlinien folgt der hierarchischen Struktur von AD-Domänen und OUs. Domänenrichtlinien gelten für alle Objekte (Benutzer, Computer, Gruppen) in der Domäne. OU-Richtlinien gelten für Objekte innerhalb einer spezifischen OU. Auf höherer Ebene angewandte Richtlinien werden von untergeordneten Objekten geerbt, sodass domänenweite GPOs von allen OUs in der Domäne geerbt werden und eine mit einer OU verknüpfte Richtlinie von allen darunter liegenden Sub-OUs geerbt wird.

Allerdings können Sie die Einstellung 'Block Inheritance' auf einer Website, Domäne oder OU verwenden, um zu verhindern, dass mit übergeordneten Objekten verknüpfte GPOs auf untergeordnete Objekte angewendet werden. Das Setzen des 'Enforced'-Flags bei einzelnen GPOs hebt die Einstellung 'Block Inheritance' auf.

Um die GPOs zu sehen, die ein Objekt von übergeordneten Objekten erbt, klicken Sie im GPMC auf das Objekt und gehen Sie zum Registerkarte Gruppenrichtlinienvererbung.

Vorrang

Ein bestimmter Domänen-, Standort- oder OU kann mehrere GPOs verknüpft haben, und diese Richtlinien könnten widersprüchliche Einstellungen haben. Gruppenrichtlinien-Vorrang steuert die Reihenfolge, in der GPOs angewendet werden und somit, welche Einstellung wirksam wird. Je später ein GPO in der Sequenz angewendet wird, desto höher ist sein Vorrang.

Die Reihenfolge, in der Richtlinien angewendet werden, ist wie folgt:

• Lokale Gruppenrichtlinie
• GPOs auf Standortebene
• GPOs auf Domänenebene
• GPOs auf OU-Ebene

Um die mit einem Objekt verknüpften GPOs anzuzeigen, klicken Sie auf das Objekt in GPMC und gehen Sie zum Tab Verknüpfte Gruppenrichtlinienobjekte. GPOs mit einer höheren Verknüpfungsreihenfolge haben Vorrang vor denen mit einer niedrigeren Nummer. Sie können die Verknüpfungsreihenfolge ändern, indem Sie auf ein GPO klicken und die Pfeile links verwenden, um es nach oben oder unten zu verschieben.

Erweiterbarkeit von Gruppenrichtlinien

Sie können die Funktionalität von Gruppenrichtlinien erweitern, indem Sie zusätzliche Funktionen, benutzerdefinierte Einstellungen oder Komponenten von Drittanbietern integrieren. Hier sind einige Aspekte der Erweiterbarkeit von Gruppenrichtlinien:

• Administrative Vorlagen (.admx-Dateien) — Administratoren können benutzerdefinierte Vorlagen erstellen, um zusätzliche Einstellungen zu verwalten oder benutzerdefinierte Richtlinien zu konfigurieren.
• Benutzerdefinierte Gruppenrichtlinieneinstellungen — Sie können benutzerdefinierte Einstellungselemente mithilfe von XML-Dateien oder Skripten erstellen. Diese ermöglichen Ihnen die Verwaltung von Dingen wie Netzlaufwerken, Druckern, Registrierungseinstellungen, Dateien und Verknüpfungen auf Client-Computern.
• Gruppenrichtlinien-Clienterweiterungen (CSEs) — Sie können benutzerdefinierte CSEs erstellen, um zusätzliche Einstellungen, Richtlinien oder Verwaltungsaufgaben hinzuzufügen.
• Gruppenrichtlinienfilter und WMI-Filter — Sie können Filter erstellen, um Gruppenrichtlinieneinstellungen basierend auf spezifischen Kriterien, wie Benutzer- oder Computerattribute, zu zielen.
• Tools für Gruppenrichtlinien von Drittanbietern — Lösungen von Drittanbietern bieten zusätzliche Verwaltungsfunktionen, Berichtsfunktionen, Überwachungswerkzeuge und Richtlinienvorlagen.

Sicherung von GPOs

Erstellen Sie regelmäßige Backups Ihrer GPOs, um sicherzustellen, dass Sie eine aktuelle Kopie für den Fall einer versehentlichen oder böswilligen Löschung, Beschädigung oder Fehlkonfiguration haben. Sie sollten auch GPOs sichern, nachdem Sie bedeutende Änderungen vorgenommen haben oder bevor Sie Wartungsaufgaben durchführen, die die Gruppenrichtlinieneinstellungen beeinflussen könnten.

Richten Sie einen zentralisierten Speicherort für die Speicherung von GPO-Backups ein, um einfachen Zugang und Verwaltung zu gewährleisten. Erwägen Sie, Backup-Dateien nach Domäne, Datum oder Zweck zu organisieren, um das Abrufen und die Wiederherstellung zu erleichtern. Verwenden Sie beschreibende Benennungskonventionen oder Metadaten, um Backup-Versionen und zugehörige Änderungen zu identifizieren. Führen Sie Versionskontrollpraktiken ein, um Änderungen an GPOs über die Zeit zu verfolgen und eine Historie von Backups zu pflegen.

Modellierung von Änderungen an Gruppenrichtlinieneinstellungen

Group Policy Modeling ist eine GPMC-Funktion, die es Administratoren ermöglicht zu simulieren, wie sich Gruppenrichtlinieneinstellungen für Benutzer und Computer in einer Active Directory-Umgebung verhalten würden. Es bietet eine Möglichkeit, das Ergebnis der Anwendung spezifischer Gruppenrichtlinieneinstellungen vorherzusagen, ohne sie zu implementieren.

Erweitertes Gruppenrichtlinienmanagement

Advanced Group Policy Management (AGPM) ist eine Komponente des Microsoft Desktop Optimization Pack (MDOP), die das Management, die Delegation, die Versionskontrolle und das Auditing von Gruppenrichtlinienobjekten verbessert.

Im Gegensatz zu GPMC ist AGPM eine Client/Server-Anwendung. Die Serverkomponente speichert GPOs und deren Verlauf offline. Von AGPM verwaltete GPOs werden als kontrollierte GPOs bezeichnet. Administratoren können sie ein- und auschecken, ähnlich wie Dateien oder Code in GitHub oder einem Dokumentenmanagementsystem gehandhabt werden.

AGPM bietet mehr Kontrolle über GPOs als GPMC. Neben der Versionskontrolle können Sie Rollen wie Prüfer, Editor und Genehmiger den Gruppenrichtlinienadministratoren zuweisen. Dies ermöglicht eine strenge Änderungskontrolle während des gesamten Lebenszyklus der GPO. Die AGPM-Audits bieten auch tiefere Einblicke in Änderungen der Gruppenrichtlinie.

Wie Netwrix helfen kann

Netwrix Auditor erweitert das traditionelle Gruppenrichtlinienmanagement um verbesserte Sichtbarkeit, Auditing, Änderungskontrolle und Berichtsfunktionen, die die Sicherheit und Compliance erhöhen. Zum Beispiel erhalten Administratoren detaillierte Einblicke darüber, was geändert wurde, wer es geändert hat und wann die Aktion stattfand. Über eine intuitive Schnittstelle können sie problemlos verschiedene Versionen von GPOs vergleichen, spezifische Änderungen identifizieren und sogar unerwünschte Modifikationen zurücksetzen.

Diese erhöhte Transparenz ermächtigt Administratoren dazu, sicherzustellen, dass Gruppenrichtlinieneinstellungen mit den organisatorischen Richtlinien, Sicherheitsstandards und regulatorischen Anforderungen übereinstimmen. Durch die Integration von Netwrix Auditor in ihre Strategie zur Verwaltung von Gruppenrichtlinien können Organisationen eine sicherere, konformere und effizienter verwaltete IT-Infrastruktur erreichen.

Häufig gestellte Fragen

Was ist Active Directory Group Policy Management?

Group Policy ist eine Funktion von Active Directory, die es Administratoren ermöglicht, die Konfigurationseinstellungen von Benutzern und Computern zu steuern. Die Verwaltung von Group Policy ist der Prozess des Erstellens und Aufrechterhaltens von Group Policy-Einstellungen, die Sicherheit durchsetzen, Software bereitstellen, Desktop-Konfigurationen verwalten und mehr.

Wie öffnen Sie die Gruppenrichtlinienverwaltungskonsole?

Um die Active Directory Gruppenrichtlinienverwaltungskonsole zu öffnen:

1. Drücken Sie Windows Key + R auf Ihrer Tastatur.
2. Im daraufhin erscheinenden Ausführen-Dialogfeld geben Sie gpmc. msc ein und drücken entweder Enter oder klicken Sie auf OK.

Wie kann ich die Group Policy Management Console installieren?

Um GPMC auf einem Windows Server zu installieren, führen Sie diese Schritte aus:

1. Starten Sie den Server-Manager. Sie finden ihn normalerweise in der Taskleiste oder Sie können ihn im Startmenü suchen.
2. Im Server-Manager klicken Sie oben rechts auf Manage und wählen dann Add Roles and Features.
3. Auf dem Bildschirm „Bevor Sie beginnen“, klicken Sie auf Weiter.
4. Auf dem Bildschirm „Installationstyp auswählen“ wählen Sie Role-based or feature-based installation und klicken dann auf Weiter.
5. Wählen Sie den Server aus, auf dem Sie das GPMC-Feature installieren möchten, und klicken Sie auf Weiter.
6. Auf dem Bildschirm „Funktionen auswählen“ markieren Sie das Kästchen neben Group Policy Management. Klicken Sie auf Weiter.
7. Überprüfen Sie Ihre Auswahl und klicken Sie auf Install.
8. Warten Sie, bis der Installationsprozess abgeschlossen ist. Sobald Sie eine Bestätigungsmeldung sehen, schließen Sie den Server-Manager.

Welche Benutzer erhalten automatisch Berechtigungen, um Gruppenrichtlinienverwaltungsaufgaben durchzuführen?

Die Gruppe Group Policy Creator Owners wird automatisch erstellt, wenn ein Active Directory-Wald erstellt wird. Mitglieder der Gruppe können Gruppenrichtlinienobjekte auf Domänenebene erstellen, bearbeiten und verwalten. Diese Gruppe wird typischerweise verwendet, wenn Administratoren die Kontrolle über die Gruppenrichtlinie delegieren möchten, ohne vollständige administrative Privilegien zu gewähren. Standardmäßig ist nur der Domänenadministrator Mitglied dieser Gruppe.