Gruppenrichtlinienmodellierung und Gruppenrichtlinienergebnisse
Verwenden Sie in Active Directory-Domänendienste-Umgebungen die Gruppenrichtlinienmodellierung in der Gruppenrichtlinien-Verwaltungskonsole (GPMC), um die Bereitstellung von Gruppenrichtlinienobjekten (GPOs) auf beliebigen Zielcomputern zu simulieren. Das primäre Tool zum Anzeigen der tatsächlichen Anwendung von GPOs ist die Verwendung von Gruppenrichtlinienergebnissen in der Gruppenrichtlinien-Verwaltungskonsole.
Voraussetzungen
Um die Gruppenrichtlinien-Verwaltungskonsole zu verwenden und Gruppenrichtlinienmodellierung durchzuführen, müssen Sie die folgenden Voraussetzungen erfüllen.
- Installieren Sie die Gruppenrichtlinienverwaltungsfunktion auf einem Computer mit Windows Server oder einem Windows-Clientbetriebssystem.
- Verfügen Sie über die Sicherheitsberechtigung Lesen für das Verzeichnis und GPOs.
- Um GPOs zu verknüpfen, benötigen Sie die Berechtigung zum Ändern auf dieser Site, Domäne oder OU. Standardmäßig verfügen nur Domänen-Administratoren und Unternehmensadministratoren über diese Berechtigung.
- Benutzer und Gruppen mit der Berechtigung zum Verknüpfen von GPOs mit einer bestimmten Site, Domäne oder OU können GPOs verknüpfen, die Linkreihenfolge ändern und die Vererbung auf dieser Website blockieren, do Standard oder OU festlegen.
Gruppenrichtlinienmodellierung
Der Gruppenrichtlinienmodellierungs-Assistent in der Gruppenrichtlinien-Verwaltungskonsole berechnet den simulierten Nettoeffekt von GPOs. Die Gruppenrichtlinienmodellierung kann auch Faktoren wie die Mitgliedschaft in Sicherheitsgruppen, die Auswertung von WMI-Filtern (Windows Management Instrumentation) und die Auswirkungen der Verschiebung von Benutzer- oder Computerobjekten in einen anderen Active Directory-Container simulieren. Ein Dienst, der auf dem Domänencontroller ausgeführt wird, führt die Simulation aus. Diese berechneten Richtlinieneinstellungen werden im HTML-Code gemeldet und auf der Registerkarte Einstellungen registerkarte im Detailbereich für die ausgewählte Abfrage im GPMC angezeigt. Um die Richtlinieneinstellungen unter jedem Element zu erweitern und auszublenden, wählen Sie Ausblenden oder Alle anzeigen aus, damit Sie alle Richtlinieneinstellungen oder nur einige wenige anzeigen können. Zum Durchführen der Gruppenrichtlinienmodellierung müssen Sie über die Berechtigung Gruppenrichtlinienmodellierungsanalysen durchführen für die Domäne oder Organisationseinheit verfügen, die die Objekte enthält, für die Sie die Abfrage ausführen möchten.
Führen Sie die Schritte aus, um eine Richtlinienbereitstellung für die Planung und das Testen zu simulieren.
Um die Gruppenrichtlinien-Verwaltungskonsole zu öffnen, wählen Sie "Start aus, geben Sie Gruppenrichtlinienverwaltung in das Suchfeld ein, und wählen Sie dann Gruppenrichtlinienverwaltung.
Klicken Sie in der GPMC-Konsolenstruktur mit der rechten Maustaste auf Gruppenrichtlinienmodellierung und wählen Sie den Gruppenrichtlinienmodellierungs-Assistenten.
Klicken Sie auf Weiter, um den Vorgang zu starten.
Wählen Sie die gewünschte Option aus Standard Sie modellieren möchten, und wählen Sie dann eine der folgenden Optionen aus:
Option Beschreibung Alle verfügbaren Domänencontroller die Windows 2003 oder höher ausführen Der nächste Domänencontroller verarbeitet die Simulation. Dieser Domänencontroller Gibt den Domänencontroller an, der die Simulation verarbeiten soll. Nachdem Sie eines der Optionsfelder ausgewählt haben, wählen Sie Weiter aus.
Wählen Sie entweder den Container aus, in dem sich die Benutzer befinden, oder geben Sie einen bestimmten Benutzer anhand des Distinguished Name (DN) des Benutzers an. Sie können Durchsuchen auswählen, um nach einem Container oder Benutzer zu suchen, anstatt den DN einzugeben. Wiederholen Sie diesen Schritt für den Computercontainer oder bestimmten Computer, und wählen Sie Weiter aus.
Wählen Sie Weiter oder optional die folgenden Informationen aus, um Richtlinieneinstellungen zu simulieren:
Option Beschreibung Langsame Netzwerkverbindung (z. B. eine DFÜ-Verbindung) Die Antwort auf eine langsame Richtlinienverbindung variiert je nach Richtlinien. Die Richtlinie kann die Antwort auf einen langsamen Link angeben. Sie können z. B. angeben, ob die Skriptverarbeitung über eine langsame Netzwerkverbindung zulässig ist. Loopbackverarbeitung Wählen Sie Ersetzen oder Zusammenführen. Informationen zum Loopbackverarbeitungsmodus finden Sie unter Gruppenrichtlinienverarbeitung. Site Wählen Sie den Active Directory-Site aus, für den die Richtlinieneinstellungen simuliert werden sollen. Nachdem Sie eines der Optionsfelder ausgewählt haben, wählen Sie Weiter aus.
Wählen Sie Weiter order optional Hinzufügen oder Entfernen, um die Auswirkungen von Änderungen an der Gruppenmitgliedschaft eines Benutzers zu simulieren. Nachdem Sie die zu simulierenden Gruppen bestätigt haben, wählen Sie Weiter.
Wählen Sie Weiter order optional Hinzufügen oder Entfernen, um die Auswirkungen von Änderungen an der Gruppenmitgliedschaft eines Computers zu simulieren. Nachdem Sie die zu simulierenden Gruppen bestätigt haben, wählen Sie Weiter.
Wählen Sie Weiter oder optional aus, um die Auswirkungen von Änderungen an den WMI-Filtern zu simulieren, die auf Benutzer angewendet werden, führen Sie die folgenden Informationen aus:
Option Beschreibung Alle verknüpften Filter Verwendet die derzeit auf eine der verknüpften Richtlinien angewendeten Filter. Nur diese Filter Wählen Sie Listenfilter aus, um die aktuell angewendeten Richtlinien anzuzeigen. Um bestimmte Filter zu entfernen, wählen Sie den Filter und dann Entfernen aus. Nachdem Sie die zu simulierenden Gruppen bestätigt haben, wählen Sie Weiter.
Überprüfen Sie den Bildschirm Zusammenfassung der Auswahl und wählen Sie Weiter aus, um die Simulation auszuführen.
Wählen Sie Fertig stellen aus, um den Assistenten abzuschließen.
Nachdem Sie den Assistenten abgeschlossen haben, werden die Ergebnisse so angezeigt, als ob sie aus einem einzelnen Gruppenrichtlinienobjekt stammen. Sie werden auch als Abfrage gespeichert, die in der Gruppenrichtlinienmodellierung als neues Element in der Gruppenrichtlinien-Verwaltungskonsole dargestellt wird. Unter der Überschrift "Gewinnendes Gruppenrichtlinienobjekt" zeigt die Anzeige auch an, welches Gruppenrichtlinienobjekt für jede Richtlinieneinstellung verantwortlich ist. Sie können auch detailliertere Rangfolgeinformationen anzeigen (z. B. welche GPOs versucht haben, die Richtlinieneinstellungen festzulegen, aber nicht erfolgreich waren), indem Sie mit der rechten Maustaste auf das Abfrageelement klicken und dann die Erweiterte Ansicht auswählen. Die erweiterte Ansicht wird geöffnet. Das Snap-In „Richtlinienergebnissatz“ wird geöffnet. Jede Richtlinieneinstellung verfügt über eine Registerkarte "Rangfolge", wenn sie die Eigenschaften für Richtlinieneinstellungen im Ergebnissatz der Richtlinie anzeigt.
Beachten Sie, dass die Gruppenrichtlinienmodellierung keine Auswertung lokaler Gruppenrichtlinienobjekte umfasst. In einigen Fällen wird daher möglicherweise ein Unterschied zwischen der Simulation und den tatsächlichen Ergebnissen angezeigt. Sie können Modellierungsergebnisse speichern, indem Sie mit der rechten Maustaste auf die Abfrage klicken und dann Bericht speichern auswählen.
Gruppenrichtlinienergebnis
Verwenden Sie den Gruppenrichtlinienergebnis-Assistenten, um zu bestimmen, welche Gruppenrichtlinieneinstellungen für einen Benutzer oder Computer wirksam sind, indem Sie RSoP-Daten vom Zielcomputer abrufen. Im Gegensatz zur Gruppenrichtlinienmodellierung werden die tatsächlichen Gruppenrichtlinieneinstellungen angezeigt, die auf den Zielcomputer angewendet wurden.
Die Richtlinieneinstellungen werden in HTML gemeldet. Der Bericht wird im GPMC-Browserfenster auf den Registerkarten „Zusammenfassung“ und „Einstellungen“ im Detailbereich für die ausgewählte Abfrage angezeigt. Sie können die Richtlinieneinstellungen unter jedem Element erweitern und reduzieren, indem Sie auf „Alle ausblenden“ oder „Alle anzeigen“ klicken, sodass Sie alle oder nur einige Richtlinieneinstellungen sehen können. Für den Remotezugriff auf die Gruppenrichtlinienergebnisdaten eines Benutzers oder Computers benötigen Sie die Sicherheitsberechtigung Remotezugriff auf Gruppenrichtlinienergebnisdaten für die Domäne oder Organisationseinheit, die den Benutzer oder Computer enthält. Um die Berechtigungen zu konfigurieren, wählen Sie zuerst die Domäne, den Container, die Organisationseinheit und dann die Registerkarte Delegation aus. Wählen Sie auf der Registerkarte Delegation im Dropdown-Menü die Option Remotezugriff auf Gruppenrichtlinienergebnisdaten aus. Alternativ müssen Sie Mitglied einer lokalen Administratorgruppe auf dem entsprechenden Computer sein und über eine Netzwerkverbindung zum Zielcomputer verfügen.
Führen Sie die folgenden Schritte aus, um den Gruppenrichtlinienergebnis-Assistenten auszuführen.
Klicken Sie mit der rechten Maustaste auf das Gruppenrichtlinienergebniselement, und wählen Sie dann den Gruppenrichtlinienergebnis-Assistenten aus.
Klicken Sie auf Weiter, um den Vorgang zu starten.
Wählen Sie Diesen Computer und dann Weiter aus. Optional können SieAnderer Computer auswählen, den Computernamen eingeben und dann Weiter auswählen.
Wählen Sie Aktueller Benutzer und dann Weiter aus. Optional können Sie Einen bestimmten Benutzer auswählen und den Benutzernamen aus der Liste der Benutzer auswählen, die sich am Computer angemeldet haben. Klicken Sie auf Weiter, um fortzufahren.
Überprüfen Sie den Bildschirm Zusammenfassung der Auswahl und wählen Sie Weiter aus, um die Ergebnisse der Gruppenrichtlinie auszuführen.
Wählen Sie Fertig stellen aus, um den Assistenten abzuschließen.
GPMC erstellt einen Bericht, der die RSoP-Daten für den Benutzer und den Computer anzeigt, den Sie im Assistenten angegeben haben. Unter der Überschrift "Gewinnendes Gruppenrichtlinienobjekt" zeigt die Anzeige an, welches Gruppenrichtlinienobjekt für jede Richtlinieneinstellung auf der Registerkarte Einstellungen verantwortlich ist.
Sie können Ergebnisse speichern, indem Sie mit der rechten Maustaste auf die Abfrage klicken und dann Bericht speichern auswählen.
Auswerten von Richtlinieneinstellungen über die Befehlszeile
Sie können auf dem lokalen Computer ausführen gpresult.exe, um dieselben Daten abzurufen, die Sie mithilfe des Gruppenrichtlinienergebnis-Assistenten in der Gruppenrichtlinien-Verwaltungskonsole abrufen können. Standardmäßig gibtgpresult.exe die Richtlinieneinstellungen zurück, die auf dem Computer wirksam sind, auf dem es ausgeführt wird. gpresult.exe gibt die Ergebnisse in einer HTML-Datei aus, die Sie mit Microsoft Edge oder einem anderen Webbrowser öffnen können.