Gruppenrichtlinien: was eine GPO wirklich ist

Zwei Dinge, die oft verwechselt werden

• Das Gruppenrichtlinienobjekt (GPO) ist ein Container mit Einstellungen. Es liegt zentral im Verzeichnis und hat einen Namen.
• Die Verknüpfung verbindet dieses Objekt mit einer OU oder der Domäne. Erst dadurch wirkt es.

Ein GPO kann an mehreren Orten verknüpft sein; eine OU kann mehrere GPOs tragen. Die Reihenfolge entscheidet, welche Einstellung gewinnt.

GPO_Benutzer_Haertung ──verknüpft──▶ OU=Berlin
                                   └── OU=Benutzer
                                        └── Anna Schmidt  ← bekommt die Richtlinie

Computer- und Benutzerkonfiguration

Jede GPO hat zwei Hälften:

Ein Benutzer in OU A, der sich an einem Computer aus OU B anmeldet, bekommt beide Teile – aus unterschiedlichen Verknüpfungen. Das erklärt viele „warum greift das nicht?“-Fragen.

Der Weg einer Richtlinie

1. Erstellen – Name und Zweck, nicht „Test1“.
2. Konfigurieren – nur die nötigen Einstellungen.
3. Verknüpfen – mit OU oder Domäne.
4. Prüfen – gpresult /r zeigt, was tatsächlich ankam.
5. Aufräumen – nicht mehr genutzte Verknüpfungen entfernen.

Standardrichtlinien

Frisch installierte Domänen haben zwei GPOs:

• Default Domain Policy – domänenweite Kontorichtlinien (Passwort, Sperrung).
• Default Domain Controllers Policy – Härtung der DCs.

Diese beiden sollte man ändern, aber nicht löschen. Passwortregeln gehören in die Domänenrichtlinie; alles andere in eigene GPOs.