Verknüpfen, vererben, gewinnen
Vererbung folgt dem Baum
Eine GPO an der Domäne gilt für alle OUs darunter. Eine GPO an OU=Berlin gilt für Berlin
und alle Unter-OUs. Das nennt man Vererbung.
Domäne corp.lab GPO_Domain_Haertung (gilt überall)
└── OU=Berlin GPO_Standort_Berlin (gilt für Berlin)
└── OU=Benutzer GPO_Benutzer_Haertung (gilt nur hier)
└── Anna
Anna bekommt alle drei – sofern sie sich nicht widersprechen.
Die Reihenfolge: LSDOU
Windows wendet Richtlinien in dieser Reihenfolge an:
- Local – lokale Richtlinie des Rechners
- Site – Standort (bei mehreren Standorten)
- Domain – Domänen-GPOs
- OU – OUs von oben nach unten
Später gewinnt. Die OU-Einstellung überschreibt also die Domäneneinstellung. Innerhalb einer OU gewinnt die weiter unten verknüpfte GPO – und bei gleicher Ebene die mit höherer Link Order (in der Konsole weiter oben).
Merke
Merksatz: Local → Site → Domain → OU. Je näher am Objekt, desto stärker.
Blockieren und Erzwingen
Zwei Ausnahmen durchbrechen die Regel:
| Mechanismus | Wirkung | Wann sinnvoll |
|---|---|---|
| Vererbung blockieren | GPOs von oben greifen nicht mehr | Abteilung mit eigenen Regeln |
| Erzwingen (Enforced) | GPO gewinnt gegen Blockieren | Sicherheitsvorgaben der Zentrale |
Beides ist mächtig und wird schnell missbraucht. Wer überall „erzwingen“ setzt, hat keine sichtbare Struktur mehr – nur noch Zufall.
Achtung
„Vererbung blockieren“ blockiert auch Sicherheitsrichtlinien von oben. In echten Umgebungen
prüft man danach mit gpresult /h report.html, welche Einstellungen tatsächlich ankommen.
GPOs debuggen statt raten
gpupdate /force– Richtlinien sofort neu anwenden.gpresult /r– welche GPOs gelten für Benutzer und Computer?gpresult /h bericht.html– vollständiger HTML-Bericht inklusive Gewinner-Einstellung.- Group Policy Results in der Konsole – dasselbe ohne Kommandozeile.
Was der Simulator zeigt
Der Reiter Gruppenrichtlinien speichert GPOs, Verknüpfungen, Aktivierungsstatus und Einstellungen. Die Wirkungs-Vorschau zeigt, welche Untercontainer eine Verknüpfung erbt. Nicht simuliert werden die tatsächliche Client-Anwendung, Link Order und Sicherheitsfilter – die Konzepte dazu stehen oben.