Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

196 Kapitel 7: Gruppenrichtlinien
Weil nicht jeder Richtlinienbereich eigene Versionsinformationen verwaltet, sondern es
nur eine einzige Versionsnummer für das gesamte GPO gibt, kann folgender Fall eintreten:
Nehmen wir an, ein Clientcomputer muss zwei GPOs verarbeiten, GPO A und GPO B.
GPO A enthält Richtlinieneinstellungen aus den Zweigen Administrative Vorlagen und
Sicherheitseinstellungen. GPO B enthält nur Sicherheitsrichtlinieneinstellungen. Ein
Administrator nimmt eine Änderung an einer Einstellung in Administrative Vorlagen von
GPO A vor. Daraufhin wird die Versionsnummer von GPO A erhöht. Der Clientcomputer
muss GPO A verarbeiten, um die neue Einstellung aus Administrative Vorlagen zu übernehmen,
aber er muss auch GPO B verarbeiten, weil sowohl GPO A als auch GPO B
Sicherheitseinstellungen enthalten. Daher muss der Computer die Sicherheitseinstellungen
aus beiden GPOs verarbeiten, damit die Vorrangregeln beachtet werden.
Wie Sie Ihre GPOs organisieren und welche Richtlinienbereiche Sie in welchen Richtlinien
implementieren, kann also Auswirkungen darauf haben, wie sie verarbeitet werden.
Ich habe beschrieben, dass die Gruppenrichtlinien nicht während jeder Vorder- und Hintergrundverarbeitung
erneut ausgewertet werden, jedenfalls sofern sich nichts geändert hat.
Aber es gibt eine Ausnahme von dieser Regel: Die Einstellungen der Sicherheitsrichtlinie
werden in der Standardeinstellung alle 16 Stunden aktualisiert, selbst falls sich in der Gruppenrichtlinieninfrastruktur
nichts geändert hat. Dafür gibt es einen guten Grund. Falls ein
Benutzer es absichtlich oder versehentlich schafft, eine Änderung an der lokalen Sicherheitsrichtlinie
seines Systems vorzunehmen, kann es nützlich sein, wenn diese Richtlinie
alle 16 Stunden automatisch aus den Active Directory-Gruppenrichtlinien erneut angewendet
wird.
Auf der CD Die Begleit-CD enthält eine benutzerdefinierte ADMX-Datei namens Securityrefresh.ADMX
(und die zugehörige Securityrefresh.ADML),mit der Sie dieses Intervall über die Richtlinie Administrative
Vorlagen einstellen können.
Hinweis Sie können den Standardwert von 16 Stunden für das Aktualisierungsintervall über die CSE
(Client Side Extension) anpassen, indem Sie auf Clientcomputern den folgenden Registrierungswert ändern:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GP-
Extensions\{827D319E-6EAC-11D2-A4EA-00C04F79F83A}\MaxNoGPOListChangesInterval. Dieser
Eintrag legt fest, wie viele Minuten zwischen erzwungenen Aktualisierungsintervallen liegen. Der Standardwert
beträgt 960 (dezimal).
Sie können auch das Richtlinienverarbeitungsverhalten einer CSE steuern und sie zwingen, Richtlinien
sogar dann während jeder Vorder- und Hintergrundphase zu verarbeiten, wenn keine Änderungen vorgenommen
wurden. Das kann eine Menge zusätzlichen Netzwerkverkehr und Systembelastung verursachen,
stellt aber sicher, dass die Richtlinien einer bestimmten CSE immer auf dem neuesten Stand sind. Sie
können dazu für jeden Computer, den Sie konfigurieren wollen, das Richtlinienverarbeitungselement einer
CSE unter Computerkonfiguration\Administrative Vorlagen\System\Gruppenrichtlinie verändern.
Nachdem wir nun die Grundlagen zur Verarbeitung von Gruppenrichtlinien kennen, können
wir uns genauer ansehen, welche Änderungen an der Gruppenrichtlinienverwaltung in Windows
Server 2008 vorgenommen wurden.