Windows Server 2025 / Reihenfolge und Vererbung von Gruppenrichtlinien prüfen

Gruppenrichtlinien werden üblicherweise in der Reihenfolge lokal → Standort → Domäne → Organisationseinheiten (OUs) verarbeitet, innerhalb der OU-Hierarchie von oben zum Objekt hin. Definieren zwei Gruppenrichtlinienobjekte (GPOs) unterschiedliche Werte derselben Einstellung, entscheiden auch Verknüpfungsreihenfolge, Erzwingung, Vererbung, Filter und das Verhalten der jeweiligen Einstellung. Ermitteln Sie die tatsächlich wirksame Quelle im Ergebnisbericht, statt grundsätzlich die unterste OU als Gewinner anzunehmen.

Reihenfolge und Ausnahmen einordnen

Gruppenrichtlinien wirken kumulativ: Ein später verarbeitetes GPO löscht nicht alle unabhängigen Einstellungen vorheriger GPOs. Der Vorrang wird bei widersprüchlichen Werten derselben Einstellung relevant. Die offizielle Dokumentation zur Gruppenrichtlinienverarbeitung beschreibt die übliche Reihenfolge und ihre Ausnahmen.

Die Verknüpfungsreihenfolge vergleicht GPOs am selben Standort, derselben Domäne oder derselben OU. Die Nummer 1 unter Lab und die Nummer 1 unter Workstations bilden keine gemeinsame Rangliste. Laut Set-GPLink und seinem Parameter Order wird die kleinere Nummer innerhalb desselben Containers später verarbeitet und hat bei Konflikten höheren Vorrang. Diese Übung ändert die Aktivierung einer Verknüpfung, nicht deren Reihenfolge oder Erzwingung.

Sicherheitsfilter und Filter der Windows-Verwaltungsinstrumentation (WMI) können ein aufgrund seiner Verknüpfung zunächst passendes GPO von der Anwendung ausschließen. Auch Computer- und Benutzerkonfiguration sowie die Position des jeweiligen Objekts müssen passen. Ein herausgefiltertes GPO erhält nicht allein durch eine niedrige Reihenfolgenummer Vorrang. Ändern Sie zur Erklärung eines Befunds nicht gleichzeitig Filter, Vererbung und Erzwingung.

Ausgangszustand vorbereiten und dokumentieren

CLIENT1 muss zu ad.example.test gehören, unter Lab → Workstations liegen und die Controller über funktionierendes internes DNS erreichen können. Öffnen Sie die Gruppenrichtlinienverwaltung (GPMC) mit gpmc.msc und einem Konto mit passenden Erstellungs-, Bearbeitungs- und Verknüpfungsrechten für die Labor-OU. Prüfen Sie zunächst Lab-Computer-Message und seine aktivierte Verknüpfung unter Workstations. Haben Sie bei der Übung zum Erstellen und Verknüpfen eines GPO die Meldung zum Test geleert, definieren Sie wieder den Titel Lab computer und den Text Windows Server course lab. Aktualisieren und prüfen Sie diesen Ausgangszustand auf CLIENT1, bevor Sie das übergeordnete GPO hinzufügen.

Dokumentieren Sie an beiden OUs Reihenfolge und Aktivierung der Verknüpfungen, Erzwungen (Enforced), Vererbungsblockierung und Filter sowie beide Meldungswerte und deren wirksame Quelle. Diese Faktoren bleiben beim Vergleich unverändert. Die neue Verknüpfung an Lab kann alle Computer unterhalb dieser OU erreichen, beispielsweise auch FS1 unter Lab → Servers, soweit keine weiteren Bedingungen seine Anwendung ausschließen. Die Beobachtung auf CLIENT1 begrenzt den Geltungsbereich nicht auf diesen Rechner. Verwenden Sie nur den isolierten Laborbaum und fahren Sie nicht fort, wenn darin unbeteiligte Geräte liegen. Der Nachrichtentext bleibt in beiden GPOs identisch; nur der Titel unterscheidet sich.

Dieselbe Einstellung an zwei OU-Ebenen vergleichen

1. Erweitern Sie in GPMC Gesamtstruktur → Domänen → ad.example.test. Klicken Sie mit der rechten Maustaste auf die übergeordnete OU Lab und erstellen Sie dort ein neues, mit ihr verknüpftes GPO namens Lab-Parent-Message. Verknüpfen Sie es nicht an der Domäne oder an Workstations; prüfen Sie bei einem vorhandenen Objekt zunächst dessen Verwendungen.
2. Bearbeiten Sie Lab-Parent-Message unter Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Lokale Richtlinien → Sicherheitsoptionen. Definieren Sie Interaktive Anmeldung: Nachrichtentitel für Benutzer, die sich anmelden wollen mit dem exakten Wert Parent lab.
3. Definieren Sie die zugehörige Nachrichtentextoption mit Windows Server course lab, genau wie im unteren GPO. Kontrollieren Sie beide Werte auf der GPMC-Registerkarte Einstellungen.
4. Belassen Sie in Lab-Computer-Message den Titel Lab computer und denselben Nachrichtentext. Beide Verknüpfungen bleiben aktiviert, ohne Erzwingung oder neue Filter und mit aktiver Computerkonfiguration. Verändern Sie Vererbungsblockierung und Rechte nicht, um ein Ergebnis zu erzwingen; klären Sie Abweichungen des Laborzustands zuerst.
5. Öffnen Sie auf CLIENT1 Windows PowerShell als lokaler Administrator und führen Sie den folgenden Block aus. Warten Sie auf das Aktualisierungsergebnis, beachten Sie Fehler und prüfen Sie danach einen neuen Bericht sowie eine neue Anmeldung.

gpupdate /target:computer /force
$gpReport = Join-Path $env:TEMP ('gp-order-' + (Get-Date -Format 'yyyyMMdd-HHmmss') + '.html')
gpresult /scope computer /h $gpReport
$gpReport

Die letzte Zeile zeigt den HTML-Dateipfad im temporären Ordner des ausführenden Benutzers. Öffnen Sie ihn im Browser auf CLIENT1 und prüfen Sie Zeitpunkt, Computer, angewendete GPOs und wirksame Quelle des Titels. Speichern Sie die Arbeit und melden Sie sich vollständig ab, um die Meldung beim nächsten Anmelden zu sehen. Wiederholen Sie den Block in jeder Phase für einen Bericht mit neuem Zeitstempel; verwenden Sie keine alte Browseransicht als aktuellen Befund. Die erzwungene Aktualisierung betrifft Computerrichtlinien allgemein und ersetzt keine Ergebniskontrolle.

Sind beide Verknüpfungen aktiv, nicht erzwungen, durch keinen passenden Vererbungsblock ausgeschlossen und mit anwendbaren Filtern versehen, sollte CLIENT1 den Titel Lab computer aus Lab-Computer-Message unter Workstations verwenden. Für diese Einstellung hat die nähere OU normalerweise Vorrang. Erscheint Parent lab oder ein anderer Wert, prüfen Sie zunächst Quelle und reale Bedingungen: etwa ein anderes erzwungenes GPO, eine deaktivierte Verknüpfung, Filter oder eine andere Objektposition. Beide GPOs können als angewendet erscheinen, obwohl nur eines den wirksamen Titel liefert.

Nur die untere Verknüpfung deaktivieren und wieder aktivieren

1. Klicken Sie in GPMC nur auf die Verknüpfung von Lab-Computer-Message unter Workstations und entfernen Sie das Häkchen bei Verknüpfung aktiviert (Link Enabled). Löschen Sie sie nicht, deaktivieren Sie nicht den gesamten Computerteil des GPO und ändern Sie keine weiteren Verknüpfungen dieses Objekts.
2. Aktualisieren Sie CLIENT1 und erzeugen Sie einen neuen Bericht. Speichern Sie die Arbeit, melden Sie sich ab und prüfen Sie den nächsten Anmeldevorgang; alle übrigen Bedingungen bleiben unverändert.
3. Prüfen Sie, ob der Bericht nun Lab-Parent-Message als Titelquelle nennt und die Meldung Parent lab zeigt. Der Text muss weiterhin Windows Server course lab lauten. Andernfalls untersuchen Sie Quelle und Aktualisierungsergebnis, statt jede Abweichung automatisch der Vererbung zuzuschreiben.
4. Aktivieren Sie dieselbe Verknüpfung von Lab-Computer-Message unter Workstations wieder. Aktualisieren Sie CLIENT1, erzeugen Sie einen weiteren Bericht und bestätigen Sie Quelle Lab-Computer-Message und Titel Lab computer. Der Nachrichtentext bleibt gleich.

Hier liefern zwei GPOs ausdrücklich unterschiedliche Werte derselben Einstellung. Nach Abschalten der unteren Verknüpfung stellt das übergeordnete GPO weiterhin einen Wert bereit. Der Wechsel zu Parent lab beweist daher keine allgemeine Rücknahme aller Einstellungen beim Entfernen einer Verknüpfung. Filter und Nachrichtentext bleiben gleich. Fehlt der erwartete Wechsel, aktivieren Sie zuerst die untere Verknüpfung wieder und kontrollieren den Ausgangszustand, bevor Sie weitere Faktoren untersuchen.

Ausschließlich die Testkonfiguration entfernen

Bestätigen Sie zuerst, dass Lab-Computer-Message unter Workstations wieder aktiviert ist und CLIENT1 erneut Lab computer aus diesem GPO erhält. Prüfen Sie sämtliche Verwendungen von Lab-Parent-Message. Entfernen Sie nur dessen Testverknüpfung unter Lab und löschen Sie das GPO selbst nur dann, wenn es ausschließlich dieser Übung dient und anderweitig nicht verwendet wird. Entfernen Sie weder das untere GPO noch fremde Verknüpfungen zur Bereinigung. Aktualisieren Sie CLIENT1, erzeugen Sie einen weiteren Bericht und prüfen Sie weiterhin den ursprünglichen Titel und Text. Halten Sie fest, welche Testkomponenten entfernt wurden und welche Optionen unverändert blieben.

Für einen Vergleich von Benutzereinstellungen ist die OU des Benutzerobjekts maßgeblich. Ein GPO mit ausschließlich Benutzereinstellungen folgt normalerweise nicht einfach dem Computer, nur weil es an dessen OU verknüpft wurde. Loopbackverarbeitung kann die Liste der Benutzer-GPOs mit den Modi Zusammenführen oder Ersetzen verändern, benötigt aber eine eigene Planung und wird hier nicht aktiviert. Die Dokumentation zum Geltungsbereich von Gruppenrichtlinien trennt Verknüpfung, Filterung und tatsächliche Anwendung.