Windows Server 2025 / So erstellen Sie ein GPO und verknüpfen es mit einer OU

Um CLIENT1 per Gruppenrichtlinie zu konfigurieren, erstellen Sie ein Gruppenrichtlinienobjekt (GPO), verknüpfen es mit der Organisationseinheit (OU) seines Computerobjekts und prüfen das Ergebnis auf dem Client. Computereinstellungen richten sich nach der Position des Computerobjekts und weiteren Anwendungsbedingungen, nicht nach der OU des angemeldeten Benutzers. Ein erstelltes GPO ohne passende Verknüpfung legt diesen Anwendungsbereich noch nicht fest.

Den Test auf CLIENT1 begrenzen

CLIENT1 muss bereits Mitglied von ad.example.test sein und wie in der Übung zu Benutzern, Gruppen und OUs unter Lab → Workstations liegen. Das normale Konto labuser1 darf in LabUsers bleiben: Hier wird der Computer konfiguriert, nicht das Benutzerkonto. In Workstations sollen nur die vorgesehenen Laborgeräte liegen. Verwenden Sie weder Default Domain Policy noch die OU Domain Controllers für diese Übung.

Öffnen Sie auf DC1 oder einem Rechner mit Remoteserver-Verwaltungstools (RSAT) die Gruppenrichtlinienverwaltung (GPMC) über gpmc.msc. Benötigt werden passende Rechte zum Erstellen, Bearbeiten und Verknüpfen des GPO; dies sind getrennte Berechtigungen. Lokale Administratorrechte auf CLIENT1 reichen dafür nicht aus. Trennen Sie privilegierte Verwaltung von der täglichen Nutzung. Die offizielle Gruppenrichtlinienübersicht erklärt die Zusammenhänge. Prüfen Sie mit dem Modul ActiveDirectory und einem berechtigten Konto zunächst die Position des Computers:

Get-ADComputer -Identity 'CLIENT1' | Select-Object Name,DistinguishedName

DistinguishedName sollte CLIENT1 unter OU=Workstations,OU=Lab,DC=ad,DC=example,DC=test ausweisen. Steht dort CN=Computers oder eine andere OU, prüfen Sie das richtige Objekt und verschieben es bewusst zum Laborziel, bevor Sie fortfahren. Notieren Sie den vorherigen Ort und berücksichtigen Sie andere dort wirksame Richtlinien. Verschieben Sie keinen Domänencontroller, um diese Vorgabe zu erfüllen.

GPO erstellen und mit Workstations verknüpfen

1. Erweitern Sie in der Gruppenrichtlinienverwaltung Gesamtstruktur → Domänen → ad.example.test → Lab → Workstations. Markieren Sie Workstations und nicht die Domäne.
2. Klicken Sie mit der rechten Maustaste auf Workstations und wählen Sie Gruppenrichtlinienobjekt hier erstellen und verknüpfen (Create a GPO in this domain, and Link it here).
3. Geben Sie im Dialog für das neue GPO genau Lab-Computer-Message ein und bestätigen Sie. Existiert es bereits, untersuchen Sie vor einer Wiederverwendung seine Einstellungen und Verknüpfungen, statt gleichnamige Kopien anzulegen.
4. Wählen Sie das GPO und prüfen Sie den Bereich (Scope): Die Verknüpfung muss auf Workstations zeigen und aktiviert sein. Lassen Sie Erzwingen (Enforced) ausgeschaltet und fügen Sie keinen Filter der Windows-Verwaltungsinstrumentation (WMI) hinzu. Prüfen Sie auch, dass der Computerteil des GPO nicht deaktiviert ist.
5. Dokumentieren und behalten Sie die anfängliche Sicherheitsfilterung bei. Authentifizierte Benutzer umfasst üblicherweise Benutzer und Computer; CLIENT1 benötigt Lesen und Gruppenrichtlinie übernehmen. Die OU-Verknüpfung begrenzt diesen Test. Ersetzen Sie den Filter nicht durch labuser1 und ändern Sie Rechte nicht versuchsweise, um eine Computerrichtlinie zur Anwendung zu bringen.

Unter Gruppenrichtlinienobjekte befindet sich das eigentliche GPO der Domäne; der Eintrag unter Workstations ist eine Verknüpfung darauf. Ein GPO kann mehrere Verknüpfungen besitzen. Seine Bearbeitung kann deshalb alle Ziele betreffen, an denen es angewendet wird, nicht nur den gerade ausgewählten Eintrag. Prüfen Sie bei bestehenden GPOs vorher sämtliche Verknüpfungen und Verwendungen. New-GPLink erläutert auch den Unterschied zwischen aktivierter und erzwungener Verknüpfung.

Eine Anmeldemeldung für den Computer konfigurieren

Verwenden Sie nur eine harmlose Labormeldung. Erfassen Sie vorher, ob bereits ein wirksamer Titel und Text vorhanden sind und welches GPO sie vorgibt. Bei einem verwalteten Gerät mit einem echten organisatorischen Hinweis führen Sie die Übung stattdessen auf einem isolierten Testclient aus. Ersetzen Sie keinen bestehenden Hinweis durch erfundene Rechtstexte und verändern Sie keine anderen Sicherheitsoptionen.

1. Klicken Sie mit der rechten Maustaste auf Lab-Computer-Message und wählen Sie Bearbeiten. Öffnen Sie Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Sicherheitsoptionen. Verwenden Sie nicht Benutzerkonfiguration.
2. Öffnen Sie Interaktive Anmeldung: Nachrichtentitel für Benutzer, die sich anmelden wollen. Aktivieren Sie das Definieren dieser Richtlinieneinstellung und tragen Sie genau Lab computer als Wert ein; bestätigen Sie den Dialog.
3. Öffnen Sie die zugehörige Option Interaktive Anmeldung: Nachricht für Benutzer, die sich anmelden wollen. Definieren Sie dafür genau Windows Server course lab und bestätigen Sie. Die englischen Zeichenfolgen sind Laborwerte, nicht Namen der Einstellungen.
4. Schließen Sie den Editor und kontrollieren Sie beide Werte in der GPMC-Registerkarte Einstellungen (Settings). Prüfen Sie GPO und Verknüpfung erneut; bei mehreren Controllern muss auch die Weitergabe der Konfiguration und von SYSVOL berücksichtigt werden, bevor ein älterer Clientbefund als Fehler bewertet wird.

Titel und Text sind zwei zusammengehörige Einstellungen. Die offizielle Richtlinienzuordnung hilft bei ihrer Identifikation; diese Übung nutzt deren GPO-Einstellungen und führt keine Verwaltung mobiler Geräte (MDM) ein. Laut den Einstellungsbeschreibungen für den Nachrichtentitel und den Nachrichtentext benötigen diese beiden Optionen keinen Geräteneustart. Sichtbar werden sie beim nächsten Anmeldevorgang, nicht auf dem bereits geöffneten Desktop.

Ergebnis auf CLIENT1 nachweisen

Öffnen Sie auf CLIENT1 Windows PowerShell als lokaler Administrator und führen Sie die folgenden Zeilen aus. gpupdate /target:computer /force wendet die Computerrichtlinien erneut an, nicht nur das GPO dieser Übung. Warten Sie auf das Ergebnis und behandeln Sie angezeigte Fehler, bevor Sie von einer erfolgreichen Aktualisierung ausgehen. gpresult erzeugt einen HTML-Bericht für den Computerbereich im temporären Ordner des ausführenden Benutzers; der Zeitstempel unterscheidet ihn von älteren Berichten.

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gpresult-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

Die letzte Zeile gibt den Dateipfad aus und öffnet noch keinen Browser. Öffnen Sie den Pfad im Browser auf CLIENT1 und kontrollieren Sie Computername und Aktualität des Berichts. Suchen Sie Lab-Computer-Message unter den angewendeten GPOs und prüfen Sie Quelle und wirksame Werte der beiden Anmeldeoptionen. Speichern Sie danach Ihre Arbeit und melden Sie sich vollständig ab. Beim nächsten Anmelden sollen der Titel Lab computer und der Text Windows Server course lab erscheinen. Der GPO-Name im Bericht und die tatsächlich sichtbaren Werte sind zwei getrennte Nachweise.

Eine erfolgreiche Aktualisierung ändert nicht jede Richtlinie unmittelbar in einer laufenden Sitzung; andere Einstellungen benötigen mitunter Anmeldung oder Neustart. Für diese Meldung ist kein Neustart erforderlich: Speichern Sie die Arbeit, melden Sie sich ab und prüfen Sie die Laborkonsole. Meldet der Bericht fehlende Daten, verweigerten Zugriff oder eine Filterablehnung, klären Sie diese Ursache statt eine Anwendung zu behaupten. Unter Windows auf ARM64 dokumentiert Microsoft eine Einschränkung von gpresult /h; dieses Beispiel bleibt beim x64-Laborclient.

Änderungen gezielt zurücknehmen

Um nur die Labormeldung zu entfernen, öffnen Sie dasselbe GPO und beide Anmeldeoptionen erneut. War der dokumentierte Ausgangszustand ohne Meldung und wirkt keine andere Richtlinie darauf ein, lassen Sie jede Einstellung definiert, leeren aber ihren Textwert. Bestätigen Sie die Änderungen, aktualisieren Sie die Computerrichtlinie auf CLIENT1 und erstellen Sie einen neuen Bericht. Prüfen Sie die wirksamen Werte und die nächste Anmeldung ohne Meldung. Gab es zuvor legitime Werte, stellen Sie diese und ihren Verwaltungsweg wieder her, statt sie zu löschen. Nicht definiert oder das Entfernen einer Verknüpfung bedeutet keine allgemeine Rückkehr zu früheren Werten; Microsoft beschreibt die mögliche Persistenz von Sicherheitseinstellungen.

Das Entfernen der ausgewählten Verknüpfung unter Workstations unterscheidet sich vom Löschen des GPO unter Gruppenrichtlinienobjekte. Prüfen Sie vor beiden Aktionen andere Verwendungen und die tatsächliche Rücknahme auf den Clients. Behalten Sie Lab-Computer-Message für spätere Übungen; zum Abschluss dieser Prüfung muss es nicht gelöscht werden. Fehlt das Ergebnis, untersuchen Sie die tatsächliche OU von CLIENT1, Computer- gegenüber Benutzerkonfiguration, aktivierte Verknüpfung, Vererbung, Filter, Rechte und Controllerzugriff. Erweitern Sie den Test nicht auf die ganze Domäne und aktivieren Sie nicht Erzwingen, um ein Problem des Anwendungsbereichs zu überdecken.