💡 1. Theorie & Praxiskonzept
Jede GPO besteht aus zwei getrennten Knoten: Computerkonfiguration (wird beim Booten im Systemkontext ausgeführt, gilt maschinenweit) und Benutzerkonfiguration (wird bei der Benutzeranmeldung ausgeführt, gilt benutzerspezifisch). An Kiosk-PCs oder Terminalservern (RDS) will man oft, dass Benutzer-Einstellungen vom Standort des Computers abhängen – hierfür existiert der Loopback-Verarbeitungsmodus (Merge oder Replace).
Normalerweise nimmst du deine Lieblings-Radiosender im Auto überall hin mit (Benutzer-GPO). Betrittst du aber eine Hotelsuite (Terminalserver mit Kiosk-Zweck), soll das Radio im Zimmer fest auf den Hotelkanal eingestellt sein (Loopback Replace: Computer-Standort überschreibt deine persönlichen Vorlieben).
⚡ 2. Active Directory Cheat-Sheet
| Befehl / Konzept | Bedeutung & Funktion |
|---|---|
Computerkonfiguration | Wird beim Systemstart angewendet (NT AUTHORITY\SYSTEM). |
Benutzerkonfiguration | Wird bei Benutzeranmeldung angewendet (User-Token). |
Loopback: Replace | Ersetzt die regulären Benutzerrichtlinien vollständig durch die am Computer verknüpften Benutzerrichtlinien. |
Loopback: Merge | Kombiniert beide Richtliniensätze; bei Konflikten gewinnen die Einstellungen des Computer-Standorts. |
⚠️ 3. Häufige Stolperfallen & Best Practices
Enthält eine GPO ausschließlich Computereinstellungen, wird aber mit einer reinen Benutzer-OU verknüpft, passiert GAR NICHTS! Die GPO muss dort verknüpft sein, wo das Zielobjekt im AD liegt.
Aktiviert man versehentlich Loopback Replace auf regulären Büro-PCs, verlieren Mitarbeiter alle ihre persönlichen Desktop- und Anwendungseinstellungen!
🧠 Diagnostischer Selbst-Check
Überprüfe dein Verständnis zu Active Directory Architektur, FSMO, GPO und Sicherheit mit gezieltem Feedback: