Website-Suche

Wie man Berechtigungen für GPOs delegiert

Dies ist ein detaillierter Leitfaden, wie man Berechtigungen für Gruppenrichtlinienobjekte an einen bestimmten Benutzer oder eine Gruppe delegiert.

Inhaltsverzeichnis

  • Wie man GPO-Bearbeitungsberechtigungen delegiert
  • Einem Benutzer oder einer Gruppe erlauben, GPOs in einer bestimmten OU zu erstellen.
  • Berechtigungen delegieren, um GPOs mit einer bestimmten OU zu verknüpfen
  • Best Practices für GPO-Delegationen

In diesem Leitfaden werde ich die Gruppenrichtlinien-Verwaltungskonsole (GPMC) verwenden, um einem bestimmten Benutzer die Berechtigung zu geben, GPOs zu bearbeiten, zu erstellen und zu verknüpfen. Sie können diese Schritte auch verwenden, um einer Gruppe Zugriff zu delegieren.

Wie man GPO-Bearbeitungsberechtigungen delegiert

Standardmäßig hat die Gruppe der authentifizierten Benutzer Leserechte auf GPOs, dies gibt allen Domänenbenutzern die Berechtigung, die GPO zu lesen und anzuwenden.

Wenn ein Benutzer die Gruppenrichtlinienverwaltungs-Konsole öffnete und versuchte, eine GPO zu bearbeiten, wäre die Bearbeitungsoption deaktiviert.

Um einem Benutzer oder einer Gruppe Berechtigungen zum Bearbeiten eines GPO zu geben, befolgen Sie diese Schritte.

Schritt #1: Öffnen Sie die Gruppenrichtlinienverwaltungskonsole

Schritt #2: Klicken Sie auf die Registerkarte Delegierung

Navigiere zu dem GPO, für das du Bearbeitungsrechte delegieren möchtest, und klicke auf den Tab "Delegation".

Schritt #3: Klicken Sie auf Hinzufügen

Klicken Sie im Delegationsbereich auf die Schaltfläche Hinzufügen.

Schritt #4: Benutzer oder Gruppe hinzufügen

In diesem Beispiel werde ich einem bestimmten Benutzer das Recht geben, die GPO zu bearbeiten.

Geben Sie den Benutzernamen oder Gruppennamen ein und klicken Sie auf „OK“. Sie können auch die Schaltfläche Erweitert klicken, um im Active Directory zu suchen.

Schritt Nr. 5: Berechtigungen zum Bearbeiten festlegen

Ändern Sie im Pop-up-Fenster die Berechtigungen auf „Einstellungen bearbeiten“ und klicken Sie auf „OK“.

Der Benutzer oder die Gruppe sollten jetzt die Berechtigungen haben, die GPO zu bearbeiten.

Hinweis: Der Benutzer muss die Gruppenpolizeiverwaltungskonsole installiert haben.

Einem Benutzer oder einer Gruppe erlauben, GPOs in einer bestimmten OU zu erstellen.

Hinweis: Es gibt kein solches Konzept, GPOs in einer OU zu erstellen. GPOs werden in der Domäne erstellt und dann mit einer OU verknüpft.

Um einem Benutzer zu ermöglichen, neue GPOs zu erstellen und diese mit einer bestimmten OU zu verknüpfen, folgen Sie diesen Schritten.

Schritt 1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole

Schritt 2. Wählen Sie „Gruppenrichtlinienobjekte“

Erweitern Sie die Bereiche und Ihren Bereich und wählen Sie dann „Gruppenrichtlinienobjekte“ aus.

Schritt 3. Klicken Sie auf „Hinzufügen“

Schritt 4. Geben Sie den Benutzer oder die Gruppe ein und klicken Sie auf „OK“.

An diesem Punkt kann der Benutzer oder die Gruppe neue GPOs erstellen, sie jedoch nicht mit einer OU oder der Domäne verknüpfen.

Schritt 5. Wählen Sie die OU

Wählen Sie die OU aus, für die Sie Berechtigungen zur Erstellung neuer GPOs delegieren möchten (Link zu).

Klicken Sie auf die Registerkarte „Delegieren“ und klicken Sie auf „Hinzufügen“.

In diesem Beispiel wähle ich meine „Buchhaltung“ OU.

Geben Sie den Benutzer oder die Gruppe ein und klicken Sie auf „OK“.

Wählen Sie im Popup die Berechtigungen aus und klicken Sie auf „OK“.

Jetzt kann der Benutzer GPOs erstellen und mit der OU „Buchhaltung“ verknüpfen.

Aber wenn der Benutzer versucht, eine GPO zu erstellen und mit einer anderen OU zu verknüpfen, ist dies nicht aktiviert. Im Screenshot unten sehen Sie, dass der Benutzer versucht hat, eine GPO in der Marketing-OU zu erstellen, aber die Optionen sind nicht aktiviert. Das ist zu erwarten und genau das, was Sie wollen. Sie möchten nicht, dass der Zugriff zur Erstellung und Verknüpfung von GPOs für alle OUs delegiert wird.

Berechtigungen delegieren, um GPOs mit einer bestimmten OU zu verknüpfen

Wenn Sie nur einen Benutzer benötigen, um GPOs mit einer OU zu verknüpfen, folgen Sie diesen Schritten. Dies wird dem Benutzer nicht erlauben, neue GPOs zu erstellen, sondern bestehende zu verknüpfen.

  1. Öffnen Sie die Gruppenrichtlinienverwaltungs-Konsole
  2. Klicken Sie auf die Registerkarte „Delegation“
  3. Klicken Sie auf „Hinzufügen“
  4. Geben Sie den Benutzer oder die Gruppe ein und klicken Sie auf „OK“.
  5. Wählen Sie die Berechtigungen aus, die Sie gewähren möchten, und klicken Sie auf „OK“.

Wenn es fertiggestellt ist, sollte es wie der Screenshot unten für den Benutzer oder die Gruppe aussehen, die Sie ausgewählt haben.

Best Practices für GPO-Delegationen

  1. Verwenden Sie Gruppen für die Delegation

    • Weisen Sie Berechtigungen Sicherheitsgruppen zu, anstatt einzelnen Konten. Dies erleichtert die Verwaltung, wenn Mitarbeiter ihre Rolle ändern oder das Unternehmen verlassen. In diesem Artikel habe ich ein einzelnes Konto anstelle einer Gruppe verwendet. Meine Domain ist nur eine Laborumgebung.

  2. Erlauben Sie keine Linkdelegation auf Domain-Ebene

    • Ich würde keine Berechtigungen delegieren, um GPOs auf die Domänenebene zu verknüpfen, lassen Sie diese Aufgabe den Domänenadministratoren. Erlauben Sie nur Nicht-Administratoren, GPOs zu erstellen und mit bestimmten OUs zu verknüpfen.

  3. Änderungsmanagement

    • Selbst wenn Sie die GPO-Verantwortlichkeiten delegieren, sollten Sie dennoch einen Änderungsmanagementprozess eingerichtet haben. Alle neuen oder Änderungen an GPOs sollten einen Genehmigungsprozess durchlaufen.

  4. Dokumentation

    • Führen Sie eine detaillierte Dokumentation darüber, welche Benutzer Berechtigungen zum Erstellen, Bearbeiten und Verknüpfen von GPOs haben. Die Verwendung von Gruppen macht dies einfacher, da Sie den Notizbereich für Details nutzen können.

  5. Auditiere und überwache GPOs

    • Es wird empfohlen, Änderungen an GPOs regelmäßig zu überprüfen und zu überwachen. Änderungen an GPOs werden in den Windows-Ereignisprotokollen gespeichert. Sie können GPO-Berechtigungen mit PowerShell und Drittanbieter-Tools auditieren.

Fazit

Die Delegierung von GPO-Berechtigungen ist ein wesentlicher Bestandteil des Managements einer Windows Active Directory-Umgebung, insbesondere in großen Organisationen. Dies ermöglicht es Ihnen, GPO-Verantwortlichkeiten an andere Mitarbeiter zu delegieren, um das Management von IT-Ressourcen zu optimieren. Durch die Einhaltung bewährter Verfahren können Sie das Risiko verringern, dass falsche Benutzer Änderungen an GPOs vornehmen, während Sie dennoch die Kontrolle über die Richtlinien behalten.