[решено] Ошибка 1024 Userenv - Проблема с применением GPO на членах домена.

[rooty]

Dennis:


Цитата:



Во первых нехорошо крутить Default, создай подразделение, засунь туда компьютеры и пользователей, и закручивай им гайки.



Возникают тогда такие вопросы: а какие компы засовывать в новое подразделение (из переноса контроллера домена из родного контейнера без изменения ссылок политик вряд ли что хорошее получится)? стоит ли трогать стандартных пользователей? Да и вообще хочешь-не-хочешь а Default Domain Policy трогадь придется, хотя бы просто потому, что Account Policies всегда определяется политикой Default Domain Policies не зависимо от того есть ли там еще какие политики.



Но это лишь ИМХО. Поэтому хочется узнать кто и что думает по этому поводу. И еще. Существует ли у Microsoft документация по грамотной настройке Active Directory? Советы и рекомендации какие-нибудь или как надо делать, а как не надо.



Буду признателен за любое мнение и любые ссылки...

[monkkey]

rooty

Да

И кто Вам сказал, что Default Domain Policy "самая главная"? В принципе, F1 никто не отменял.

[monkkey]

rooty


Цитата:



а какие компы засовывать в новое подразделение



Если при меняете настройки политика для компьютеров, то эти компьютеры и надо положить. А вообще можно все компьютеры пользователей.


Цитата:



переноса контроллера домена из родного контейнера без изменения



А вот это точно не нужно. Зачем котроллер трогать? Он лежит в OI Domain Controllers и на него можно добавить свои политики, не трогая при этом default domain controller policy

Компьютеры пользователей лежат изначально в контейнере computers. К контейнеру не применяются политики. (точнее только default...)


Цитата:



хотя бы просто потому, что Account Policies всегда определяется политикой Default Domain Policies не зависимо



А это вы от куда взяли такую информацию?

Account Policies применятся к компьютерам, а если вы компьютеры пользваотелей не положили в OI, то естественно, так и будет. В случае OI все применяется.

И Default Policy может быть и заблокирована

[Serjione]

Здравствуйте Уважаемые форумчане, как я посмотрю у вас знаний немеренно тогда помогите разобраться.

Имеется Winda2000 Server и созданный на нем Organization Unit , в нем Группа безопасности с глобальной областью действия. Групповая политика прилинкованная к контейнеру Organization Unit распространяется только на юзеров которые находятся внутри етого контейнера, а вот на юзеров внутри Группы безопасности не действует. Как можно исправить ситуацию ?

[monkkey]

Serjione

Воспользуйтесь GPMC от МС, увидите, как распространяются политики.

[monkkey]

Serjione

во-первых - объекты групповой политики не применяются на группы. Их воздействие осуществляется на объекты безопаности - Учетные записи пользователей и компьютеров - те на те объекты, которые имеют параметры для настроек в этих ОГП. На группы все-таки можно настроить применение, однако все равно, учетные записи должны "попадать" под действие ОГП - те его прилинковывыют на высоких уровнях (домена или организационного подразделения.



во-вторых: правильно говорить организационное подразделение (Organisation Unit - в переводе), а не контейнер. Объект контейнер был введен специально - на него нельзя подключить ОГП. отчего фраза: Групповая политика прилинкованная к контейнеру Organization Unit - как вы понимаете абсурдная, к тому же подключают на саму ГП, а объект групповой политики - ОГП.

[Serjione]

Цитата:



На группы все-таки можно настроить применение, однако все равно, учетные записи должны "попадать" под действие ОГП - те его прилинковывыют на высоких уровнях (домена или организационного подразделения.



Это поподробнее можно ?

[monkkey]

Serjione

Помещаете группу безопасности в OU ( ОП ), делаете линк на существующую ГП. (Еще раз советую GPMC-

http://www.microsoft.com/downloads/d...displaylang=en

)

[SkyF]

подробее можно, но времени нет, извиняйте.

можно отправить вас во встроенную справку в раздел фильтрация применения ОГП при помощи групп



новая политика - на уровень домена - настройки для пользователей - свойства ОГП - безопасность - группу прошедшие проверку удаляем - на ее место с теми же разрешениями (чтение и применение) добавляем нужную группу.

результат - все из уч записей, кто в этой группе - применят настройки, кто не входит - право на это иметь не будут.

[Serjione]

Дело в том что мне нужно добавить(именно добавить а не переместить) пользователя находящегося в Domain Admins в группу где бы я ему смог бы обрезать права, чиста чтобы проверить есть такая возможность или нет. А правой кнопочкой на юзере есть пункт добавить только в группу, поетому создал Организационное подразделение, создал в нем новую группу безопасности и добавил туда етого юзера. Попробовал к нему привязать политику через GPMC (Спасибо monkkey) и как получается ето невозможно. Извиняйте если надоел.