Gruppenrichtlinien

Einrichtung der ersten Gruppenrichtlinien mit konsistenter Namensgebung

Um den Einstieg in die Active-Directory-Automatisierung zu erleichtern, legen wir alle benötigten Objekte und Richtlinien schrittweise an – mit klaren, sprechenden Namen für Test- und Produktionsumgebungen.

1. Globale Gruppen definieren

Zuerst legen wir über “Active Directory Users and Computers” (ADUC) zwei allgemeine, standortübergreifende Gruppen an:

• GL_GRP-ALL-USERS
  Enthält alle Domänen-User. Beispielsweise kann die Gruppe Domain Users hinzugefügt werden
• GL_GRP-ALL-COMPUTERS
  Enthält alle Domänen-Computer. Beispielsweise kann die Gruppe Domain Computers hinzugefügt werden

2. Globale Gruppen für Test- und Produktionsumgebung

Ergänzend erstellen wir je eine Gruppe für Maschinen und Benutzer in Test und Produktion:

Namensschema:
GL_GRP-<Umgebung>-<Objekttyp>
z. B. GL_GRP-PROD-COMPUTERS

Warum nutzen wir hierbei GL?
Damit auch auf CLI Ebene oder Tabellenansicht sofort erkannt werden kann, dass es sich hierbei um eine globale Gruppe handelt.

3. Organisationseinheiten (OUs) anlegen

Nun legen wir zwei OUs an, in denen die jeweiligen Computerobjekte abgelegt und Richtlinien verknüpft werden:

4. Gruppenrichtlinien (GPOs) erstellen und benennen

Für jede Umgebung legen wir eine Basis-Policy an:

Namensschema:
GPO-<Umgebung>-<Zweck>
z. B. GPO-PROD-Base

Anlegen in der GPMC:

1. Öffnen: Group Policy Management
2. Rechtsklick auf die OU → Create a GPO in this domain, and Link it here…
3. Name vergeben (siehe Schema) → OK

5. Beispielkonfigurationen in der Basis-Policy

• Kennwortrichtlinie
  • Minimum Passwortlänge: 12 Zeichen
  • Passwortkomplexität: Aktiviert
• Audit-Policy
  • Erfolgreiche Anmeldung protokollieren
  • Fehlgeschlagene Anmeldung protokollieren
• Windows-Update
  • Automatisches Herunterladen und geplantes Installieren (jeden Tag um 03:00)

Hinweis: Die konkreten Einstellungen können Sie unter
Computer Configuration → Policies → Windows Settings → Security Settings
bzw.
Computer Configuration → Policies → Administrative Templates → Windows Components → Windows Update vornehmen.

Zusammenfassung

Mit klaren Namenskonventionen und einer sauberen Trennung von Test- und Produktionsumgebung schaffen Sie die Basis für skalierbare und wartbare Automatisierungen. Auf dieser Grundlage lassen sich später auch komplexe GPO-Verknüpfungen oder fein granulare Delegationen problemlos umsetzen.