Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Grundlagen von Gruppenrichtlinien 189
Sicherheitsfilterung für GPOs
Damit Sie die Auswirkungen von Gruppenrichtlinien flexibler steuern können, bietet Ihnen
Windows die Möglichkeit, die Auswirkungen eines GPOs anhand von Sicherheitsgruppen
zu filtern. So können Sie genauer einstellen, wo ein GPO gültig wird, als wenn es einfach
auf alle Benutzer und Computer in der Domäne oder Organisationseinheit angewendet wird.
Sicherheitsgruppenfilterung ist relativ einfach zu benutzen, wenn Sie die Konsole Gruppenrichtlinienverwaltung
auf Ihrem Windows Vista- oder Windows Server 2008-System installiert
haben.
Tipp Die Konsole Gruppenrichtlinienverwaltung wird in Windows Vista standardmäßig installiert, aber
nicht in Windows Vista mit Service Pack 1. Sie können die Konsole Gruppenrichtlinienverwaltung auf Windows
Server 2008 installieren, indem Sie den Server-Manager starten und im Abschnitt Features das
Feature Gruppenrichtlinienverwaltung hinzufügen. Wenn Sie in Windows Vista mit Service Pack 1 Zugriff
auf die Konsole Gruppenrichtlinienverwaltung erhalten wollen, müssen Sie das Paket der Remoteserver-
Verwaltungstools (Remote Server Administration Tools, RSAT) auf diesem Vista-System installieren.
RSAT enthält die Konsole Gruppenrichtlinienverwaltung und weitere Active Directory-Verwaltungstools.
Sicherheitsfilter werden im GPO selbst eingestellt. Sie können in der Konsole Gruppenrichtlinienverwaltung
ändern, welche Gruppen ein bestimmtes GPO verarbeiten. In der Standardeinstellung
enthält ein neu erstelltes GPO im Sicherheitsfilter die Berechtigungen Lesen und
Gruppenrichtlinie übernehmen für die Gruppe Authentifizierte Benutzer. Trotz des Namens
umfasst diese Gruppe alle Benutzer- und Computerkonten in der Domäne. Das bedeutet, dass
normalerweise alle Benutzer oder Computer dieses GPO verarbeiten, wenn es mit einem
Container verknüpft wird, bei dem sie Mitglied sind. Damit eine Gruppe ein GPO verarbeiten
kann, muss es diese beiden Berechtigungen haben, Lesen und Gruppenrichtlinie übernehmen.
Eine Berechtigung allein reicht nicht aus. Glücklicherweise brauchen Sie sich nicht
weiter darum zu kümmern, wie Sie einzelne Berechtigungen vergeben, wenn Sie die Sicherheitsfilterung
in der Konsole Gruppenrichtlinienverwaltung verwalten. Im nächsten Abschnitt
gehen wir ein Beispiel schrittweise durch.
Ändern der GPO-Sicherheitsfilterung in der Konsole Gruppenrichtlinienverwaltung
1. Starten Sie die Konsole Gruppenrichtlinienverwaltung unter Windows Server 2008,
indem Sie im Startmenü auf Verwaltung und dann auf Gruppenrichtlinienverwaltung
klicken.
2. Falls Sie Ihre Active Directory-Gesamtstruktur noch nicht zur Konsole Gruppenrichtlinienverwaltung
hinzugefügt haben, können Sie das jetzt tun, indem Sie mit der rechten
Maustaste auf den obersten Knoten Gruppenrichtlinienverwaltung klicken und den
DNS-Namen Ihrer Gesamtstruktur-Stammdomäne eingeben.
3. Erweitern Sie den Gesamtstrukturknoten, um die gewünschte Domäne zu verwalten.
Falls die Domäne, die Sie verwalten wollen, sich nicht in der Gesamtstruktur-Stammdomäne
befindet, können Sie mit der rechten Maustaste auf den Knoten Domänen klicken
und den Befehl Domänen anzeigen wählen, um weitere Domänen einzubinden.
4. Unter jedem Domänenknoten befindet sich ein Knoten namens Gruppenrichtlinienobjekte.
Erweitern Sie diesen Knoten und wählen Sie das GPO aus, dessen Sicherheitsfilter
Sie ändern wollen.
5. Stellen Sie sicher, dass im rechten Fensterabschnitt die Registerkarte Bereich ausgewählt
ist. Der Abschnitt Sicherheitsfilterung liegt in der Mitte dieses Fensterabschnitts. Darin