Active Directory.pdf - Gattner

Implementieren von Gruppenrichtlinien 429
Gruppenrichtlinien und Entwurf von Organisationseinheiten
Wie in Kapitel 5, „Entwerfen der Active Directory-Domänendienstestruktur“, besprochen, ist einer
der Faktoren beim Erstellen des Entwurfs von Organisationseinheiten die Berücksichtigung der
Gruppenrichtlinienverarbeitung. Dies ist besonders für Organisationseinheiten auf niedrigeren Ebenen
wichtig, auf denen die Gruppenrichtlinienanforderungen wohl der wichtigste Faktor mit Einfluss
auf den Entwurf sind. In den meisten Fällen sollte der Entwurf die Standardvererbung der
Richtlinieneinstellungen ausnutzen.
Auch wenn der Einsatz der Standardvererbung eines Ihrer Entwurfsziele ist, sind die meisten Großunternehmen
einfach zu komplex, um damit in allen Situationen zurechtzukommen. Sie können
beispielsweise einen Organisationseinheitsentwurf basierend auf Geschäftsbereichen oder Abteilungen
einrichten, da die meisten Benutzer im selben Geschäftsbereich voraussichtlich dieselben
Desktopeinstellungen und Anwendungszusammenstellungen nutzen. Doch einige der Benutzer in
den einzelnen Geschäftsbereichen gehören aller Wahrscheinlichkeit nach einem Team an, das
Abteilungsgrenzen überschreitet, entweder ständig oder für bestimmte Projekte. Die anderen Abteilungen
haben ggf. unterschiedliche Softwareanforderungen, weshalb der Benutzer auf Anwendungen
aller Abteilungen zugreifen können muss. Da diese Typen komplexer Konfigurationen in
den meisten Unternehmen vorkommen, bietet Windows Server 2008 die in diesem Abschnitt
beschriebenen Optionen zum Ändern der Standardanwendung von Gruppenrichtlinieneinstellungen.
Delegieren der Verwaltung von Gruppenrichtlinienobjekten
Wie in Kapitel 9, „Entwerfen der Active Directory-Domänendienstestruktur“, besprochen, ist einer
der Hauptvorteile von Active Directory die Möglichkeit, viele der administrativen Aufgaben innerhalb
des Unternehmens zu delegieren. Die Verwaltung von Gruppenrichtlinien bildet keine Ausnahme,
denn Sie können auch die Verwaltung dieses wichtigen Verwaltungsinstruments delegieren.
Für die Delegierung der Verwaltung von Gruppenrichtlinien gibt es drei Optionen. Erstens können Sie
die Berechtigung zum Erstellen, Löschen und Ändern von Gruppenrichtlinienobjekten delegieren.
Standardmäßig haben nur die Gruppen Domänen-Admins und Richtlinien-Ersteller-Besitzer und das
Konto System dieses Recht. Für die Gruppe Richtlinien-Ersteller-Besitzer gilt die zusätzliche Einschränkung,
dass die Mitglieder dieser Gruppe nur die Einstellungen von Gruppenrichtlinienobjekten
ändern können, die sie selbst erstellen.
Sie können das Recht zum Erstellen und Löschen von Gruppenrichtlinienobjekten anderen Gruppen
oder Benutzern erteilen, indem Sie auf der Registerkarte Delegierung des Containers Gruppenrichtlinienobjekte
auf Hinzufügen klicken. Abbildung 11.24 zeigt die Registerkarte Gruppenrichtlinienobjekte.
Die zweite Option zum Delegieren der Verwaltung von Gruppenrichtlinien ist die Delegierung des
Rechts zum Verwalten von Gruppenrichtlinienobjekt-Verknüpfungen. Diese Option erteilt nicht die
Administratorberechtigung zum Ändern von Gruppenrichtlinienobjekten, sondern das Recht zum
Hinzufügen oder Entfernen von Gruppenrichtlinienobjekt-Verknüpfungen für ein Containerobjekt.
Die einfachste Möglichkeit zum Erteilen dieser Berechtigungsstufe bietet der Assistent zum Zuweisen
der Objektverwaltung. Klicken Sie in der Konsole Active Directory-Benutzer und -Computer mit
der rechten Maustaste auf das Objekt, dessen Verwaltung delegiert werden soll, und klicken Sie
anschließend auf Objektverwaltung zuweisen, um den Assistenten zu starten.