Re: group policy - filozofia

moneo <biuro.skasuj@moneo.skasuj.pl> wrote in message
news:dsqog1pjeldp4gsi3ri6sbq8bm21n1d7fj@4ax.com
> qaniam,
> zebym sie upewnil ze robie (lub nie) z glowoa..
> w ad mam kontener 'komputery'; sa to komputery zwyklych userow,m.in.
> ze wskazaniem dla ustawien ie serwera proxy, ktory wycina wszystkie
> pliki wykonywalne, sporo stron xxx i inne takie. dziala toto i to
> nawet niezle..
> z przyczyn roznych potrzebuje kilku userom odciac dostep do inetu
> calkowicie. pierwsze co mi przyszlo do glowy to utworzyc kontener
> rownolegly i przypicac w nim polisy takie jak dla 'komputery', przy
> zym zmienic narzucane ustawienia proxy na serwer nieistniejacy. userzy
> wrzuceni do kontenera nie mieliby - tak mysle - inetu..
> potem wymyslilem ze skoro kontener dziecko bedzie dziedziczyl od
> kontenera rodzica, to nowy kontener dla koomputerow bez inetu zrobie
> nie jako rownolegly do 'komputery', ale wewnatrz 'komputery'. zrobilem
> nowy kontener 'no-inet' wewnatrz komputery i pytania:
> - w 'noinet' nie mam zadnych polis; czy polisa w 'komputery' i tak sie
> dziedziczy?
Tak.

> - w 'noinet' moge dodac link do polisy znajdujacej sie w 'komputery';
> to koniezne zeby polisy byly te same?
Jeżeli utworzysz "noinet" jako podrzędne OU względem "komputery", to nie
musisz dodawać linków. Ustawienia zostaną odziedziczone.

> - jezeli 'noinet' dziedziczy polisy z 'komputery', to zeby jedno z
> tych ustawien zmienic, musze stworzyc nowa polise wlasciwa dla
> 'noinet' i umiescic ja 'nad' polisa skopiowana/dziedziczona z
> 'komputery'?..
Nie ma to większego sensu... :) Jeżeli tę nową polisę przypiszesz na
poziomie OU komputery, a nie noinet, to obie polisy będą aplikowane dla
wszystkich obiektów. Również tych znajdujących się w OU komputery. W
zależności więc od pozycji danej GPO na liście, albo wszyscy będą mieli
poprawne proxy, albo nikt. :)

> pozdrawiam
> t

Generalnie dobrze kombinujesz. :)
Mała uwaga odnośnie terminologii. _Kontener_, to np. "Users", "Computers",
"Builtin", "System". Zauważ, że do nich nie możesz bezpośrednio podpiąć
żadnego GPO. Ale za to OU (Organizational Unit) czy też, jeżeli ktoś woli,
JO (Jednostka Organizacyjna), to już całkiem inna sprawa. ;)
Więc mowa o OU. Jeżeli Twoje problemy rozwiąże konfiguracja IE na klientach
z nie istniejącym proxy, to faktycznie wystarczy, że w OU Komputery
utworzysz nową OU noinet i utworzysz dla niej nowe GPO w którym to ustawisz
jedynie proxy. W ten sposób obiekty znajdujące się w OU noinet, odziedziczą
wszystkie ustawienia z GPO przypisanej do OU Komputery, a na końcu
zaaplikują konfigurację IE z GPO noinet.

-- 
Darek (DAKOTA)