Gruppenrichtlinien: LSDOU und Vererbung
Gruppenrichtlinien sind das mächtigste Werkzeug zur zentralen Windows-Konfiguration. Aber wenn mehrere GPOs gleichzeitig auf ein Objekt wirken – Domain-GPO, OU-GPO, vielleicht noch eine Standort-GPO – welche Einstellung gilt dann? Die Antwort ist LSDOU: eine strikte Verarbeitungsreihenfolge. Diese Lektion geht tiefer als K27 – wir schauen uns die Ausnahmeregeln an (Enforce, Block Inheritance, Loopback) und lernen wie man GPO-Konflikte diagnostiziert.
Das Grundprinzip bleibt: Zuletzt verarbeitet gewinnt. Die Reihenfolge ist L (Lokal) → S (Site) → D (Domain) → O (OU). Mehrere GPOs auf derselben Ebene: Die mit der höchsten Link-Order (niedrigste Zahl = höchste Priorität) gewinnt. Die folgende Simulation zeigt wie das in einem konkreten Szenario aussieht:
1) LSDOU-Simulator – Einstellungskonflikte verstehen
Im folgenden Szenario bekommt ein Workstation-Computer in der OU=Workstations GPOs von mehreren Ebenen. Das Ziel: eine USB-Sperr-Einstellung. Klicke auf eine Ebene um zu sehen welche GPO dort aktiv ist und ob die Einstellung gesetzt wird. Die zuletzt geklickte Ebene gewinnt – es sei denn, Enforce ist aktiv:
2) Loopback Processing – wenn der Computer wichtiger ist als der Benutzer
Normal: Computerkonfiguration gilt beim Systemstart (wer auch immer sich anmeldet). Benutzerkonfiguration gilt beim Login des Benutzers (egal an welchem Computer). Was aber wenn ein Benutzer sich an einem Terminal-Server oder einem Kiosk-System anmeldet – und trotzdem spezielle Einschränkungen gelten sollen unabhängig davon wer er ist?
Die Lösung ist GPO Loopback Processing. Es gibt zwei Modi: Im Replace-Modus ersetzen die Benutzer-Richtlinien des Computers (aus dessen OU) die normalen Benutzerrichtlinien vollständig. Im Merge-Modus werden die Computer-seitigen Benutzerrichtlinien zusätzlich zu den normalen Benutzerrichtlinien angewendet (mit Computer-Seite als Gewinner bei Konflikten).
| Modus | Was passiert | Typischer Einsatz |
|---|---|---|
| Replace | Nur die Benutzer-GPOs aus der Computer-OU gelten – normale Benutzer-GPOs werden ignoriert | Kiosk-Systeme, Terminal-Server, Schulungsräume – maximale Einschränkung |
| Merge | Benutzer-GPOs aus Computer-OU + normale Benutzer-GPOs, Computer-OU-GPO gewinnt bei Konflikten | Zusätzliche Einschränkungen auf bestimmten Systemen ohne normale Rechte zu entfernen |
3) GPO-Diagnose in der Praxis
Wenn eine GPO scheinbar nicht greift – oder zu viel greift – sind diese zwei Werkzeuge deine erste Anlaufstelle. Das Verstehen welche GPOs auf einem System aktiv sind ist entscheidend für effektives Troubleshooting:
Zusammenfassung
LSDOU: Lokal → Site → Domain → OU. Zuletzt verarbeitet gewinnt. Enforce: überschreibt alle nachfolgenden GPOs inklusive Block Inheritance. Block Inheritance: erbt keine übergeordneten GPOs (außer Enforce). Loopback Processing: Computer-OU steuert Benutzer-GPOs (Replace oder Merge). Diagnose: gpresult /h für vollständige Auswertung, gpupdate /force zum Testen.