Gruppenrichtlinien – Handbuch für die Problembehebung
Beheben von Problemen bei Sicherheitseinstellungen
In diesem Abschnitt wird die Behandlung von Problemen in Bezug auf Richtlinien für Sicherheitseinstellungen erläutert. Hintergrundinformationen zum CSE für SicherheitseinstellungenDas CSE für Sicherheitseinstellungen stellt clientseitige Schnittstellen zum Sicherheitskonfigurationsmodul bereit und führt während der Richtlinienweitergabe eine Richtlinienergebnissatz-Protokollierung durch . Die Binärdatei, die das CSE für die Sicherheit enthält, ist Scecli.dll. Dieser Name wird normalerweise in Ereignissen, Fehlermeldungen und Protokolleinträgen angezeigt, die bei der Verarbeitung von Gruppenrichtlinienobjekten für die Sicherheit generiert und protokolliert werden. Scecli verwaltet die Anwendung der Sicherheitsrichtlinieneinstellungen, die im Gruppenrichtlinienobjekt-Editor im Knoten Sicherheitseinstellungen vorhanden sind. Scecli ist für die folgenden Bereiche verantwortlich:
Wird das CSE für die Sicherheit vom Gruppenrichtlinienmodul benachrichtigt, wird eine Liste der anzuwendenden Grupenrichtlinienobjekte bereitgestellt. Das CSE für die Sicherheit kopiert dann die Datei gpttmpl.inf aus der Ordnerstruktur der einzelnen Richtlinien in Sysvol. Diese Dateien werden lokal in den verborgenen Ordner %SYSTEMROOT%\Security\Templates\Policies kopiert. Die Einstellungen werden aus gpttmpl.inf in Sysvol gelesen und in eine temporäre Datei mit dem Namen tmpgptfl.inf geschrieben. Nach dem erfolgreichen Kopieren der Einstellungen wird die Datei kopiert und inkrementell beginnend bei gpt00000.inf benannt. Wenn das Gruppenrichtlinienobjekt mit der Domäne verknüpft ist, erhält die zwischengespeicherte Vorlage die Erweiterung DOM, andernfalls die Erweiterung INF. Dies erfolgt deshalb, weil einige Einstellungen nur angewendet werden, wenn sie mit der Domäne verknüpft sind. Weitere Informationen finden Sie in Gruppenrichtlinien-Anwendungsregeln für Domänencontroller auf der Microsoft-Website unter (http://go.microsoft.com/fwlink/?LinkId=39978). Die Vorlagen im zwischengespeicherten Pfad werden dann in aufsteigender Reihenfolge angewendet. Die Datei gpt00000.inf wird vor gpt00001.inf angewendet. Im Fall eines Konflikts hat gpt00001.inf Vorrang. Korrekturen für spezielle Probleme für SicherheitseinstellungenWählen Sie in der folgenden Liste das Problem aus, das Ihre Situation am besten beschreibt, und führen Sie dann die entsprechenden Schritte aus, um das Problem zu beheben: Auf dieser SeiteReplikation von Gruppenrichtlinieneinstellungen zwischen Domänencontrollern schlägt fehlReplikation von Gruppenrichtlinieneinstellungen zwischen Domänencontrollern schlägt fehl UrsacheWenn Sie falsche Berechtigungen für den Ordner %SystemRoot%\Winnt\Sysvol falsche Gruppen für das Benutzerrecht Auslassen der durchsuchenden Überprüfung zuweisen, kann ein Replikationsproblem auftreten. Das Replikationsproblem tritt auch auf, wenn die Berechtigungen für die sysvol-Freigabe zu restriktiv sind. LösungGehen Sie zur Problembehandlung folgendermaßen vor:
Änderungen von Kennwortrichtlinieneinstellungen werden nicht wirksamKennwortrichtlinieneinstellungen werden nicht wirksam. UrsacheWenn Änderungen an Kennwortrichtlinieneinstellungen vorgenommen wurden, diese jedoch nicht angewendet werden, weist dies möglicherweise darauf hin, dass die Richtlinieneinstellungen nicht aktualisiert wurden. LösungSo erzwingen Sie eine Richtlinienaktualisierung
Mit GPUpdate werden die lokalen Gruppenrichtlinieneinstellungen sowie die Gruppenrichtlinieneinstellungen aktualisiert, die in Active Directory gespeichert sind. Dies umfasst auch die Sicherheitseinstellungen. Mit diesem Befehl wird die nun veraltete Option /refreshpolicy des Befehls secedit vorweggenommen. Kontorichtlinienvorlagen werden nicht richtig übernommenEin Administrator wendet eine Sicherheitsvorlage an, mit der in den Kontorichtlinien Einstellungen festgelegt werden, die der Administrator nicht verwenden möchte, wie Einstellungen, die bewirken, dass Benutzer ihre Kennwörter zu einem Zeitpunkt ändern müssen, den der Administrator nicht für günstig hält. Das Problem lässt sich mit der Festlegung von Nicht definiert für die Kontorichtlinien nicht lösen. UrsacheUnrichtig angewendete Kontorichtlinieneinstellungen. Im vorliegenden Fall hat der Administrator eine Sicherheitsvorlage angewendet, die unerwünschte Auswirkungen zeigt. LösungGehen Sie wie folgt vor, um Probleme mit fälschlicherweise angewendeten Vorlagen zu lösen:
So weisen Sie die Standardsicherheitseinstellungen über die Windows-Oberfläche erneut zu
Die Anwendung einer gesamten Setup-Sicherheitsvorlage ist eine drastische Maßnahme, die möglichst vermieden werden sollte; der bessere Weg besteht darin, die Einstellungen auf die geringstmögliche Anzahl zu verringern. Verwenden Sie stattdessen das Befehlszeilentool secedit mit dem Schalter /areas, um die Standardeinstellungen für bestimmte Bereiche anzuwenden.
Für die Durchführung dieses Verfahrens sind verschiedene Berechtigungen erforderlich, und zwar je nach Umgebung, in der die Standardsicherheitseinstellungen erneut angewendet werden sollen. Sie möchten die Standardsicherheitseinstellungen auf dem lokalen Computer erneut anwenden: Für dieses Verfahren müssen Sie als Administrator oder als Mitglied der Gruppe der Administratoren für den lokalen Computer angemeldet sein. Ist der Computer in eine Domäne eingebunden, können auch Mitglieder der Gruppe der Domänenadministratoren dieses Verfahren ausführen. Als optimale Methode unter dem Aspekt der Sicherheit empfiehlt es sich, für diese Methode den Befehl Ausführen als zu verwenden. Sie möchten die Standardsicherheitseinstellungen auf einem Computer erneut anwenden, der in eine Domäne eingebunden ist: Für dieses Verfahren müssen Sie in Active Directory Mitglied der Gruppe der Domänenadministratoren oder der Gruppe der Organisations-Administratoren sein, oder Sie müssen über ein lokales Administratorkonto oder ein Konto in der Gruppe der lokalen Administratoren verfügen. So öffnen Sie die Sicherheitskonfiguration und -analyse
Der Standardpfad für die Protokolldatei lautet Systemroot\Dokumente und Einstellungen\Benutzerkonto\Eigene Dateien\Sicherheit\Protokolle. Wenn Sie die Standardsicherheitseinstellungen erneut anwenden, werden alle Einstellungen, die in Setup security.inf definiert sind, so festgelegt, wie dies von der Vorlage vorgegeben wird; andere Einstellungen, die in der Vorlage nicht definiert sind, bleiben jedoch möglicherweise erhalten. So wenden Sie die Standardsicherheitseinstellungen über die Befehlszeile erneut an
In der nachstehenden Tabelle werden die Secedit-Argumente erläutert, die bei diesem Verfahren verwendet werden.
So zeigen Sie die vollständige Syntax des Befehls "secedit" an
Richtlinien für Sicherheitseinstellungen werden mit Warnungen weitergegebenUnter Windows 2000 können die mit Scecli.dll zusammenhängenden Ereignisse 1202 und 1000 in bestimmten Fällen auf Domänencontrollern alle 5 Minuten und auf Clients alle 90 Minuten auftreten. Dementsprechend werden Sicherheitseinstellungen mit Warnungen weitergegeben, und die clientseitige Erweiterung für Gruppenrichtlinien-Sicherheitseinstellungen fällt möglicherweise aus. UrsacheDiese Scecli.dll-Ereignisse können in Fällen wie den folgenden auftreten:
Diese Ereignisse können als Fehler anzeigen, dass ein Sicherheitskonto zu einer Sicherheitskennung (SID) aufgelöst oder eine aufgehobene Vertrauensstellung wiederhergestellt werden muss. LösungIn der Warnungskategorie mit der Scecli.dll-Ereigniskennung 1202 wird eine Reihe unterschiedlicher Probleme protokolliert; diese werden kollektiv als "1202-Ereignisse" bezeichnet. Der Fehlercode der Warnung in der Ereignisanzeige gibt den Typ des aufgetretenen Problems an. So zeigen Sie Diagnose- und Problembehandlungsinformationen in Verbindung mit 1202-Ereignissen an
Beim Öffnen von Kontorichtlinien oder lokalen Richtlinien treten Scecli.dll-Fehler aufScecli.dll-Fehler können auftreten, wenn Sie Kontorichtlinien oder lokale Richtlinien in der Richtlinie für Lokaler Computer öffnen. UrsacheWenn Sie versuchen, Kontorichtlinien oder lokale Richtlinien in der Richtlinie für Lokaler Computer zu öffnen, erhalten Sie ggf. die folgenden Fehlermeldungen:
Diese Fehlermeldung kann auftreten, wenn die Protokolldateien der lokalen Gruppenrichtlinien beschädigt sind. Dies weist in der Regel darauf hin, dass die Datei secedit.sdb beschädigt ist. LösungSo können Sie die Datei "secedit.sdb" prüfen und wiederherstellen
Wenn Sie auf einem Computer unter Windows 2000 einen Reparaturversuch mit esentutl /p unternehmen, gehen die lokalen Sicherheitsrichtlinieneinstellungen verloren und müssen neu erstellt werden. Wenn Sie auf einem Computer unter Windows Server 2003 einen Reparaturversuch mit esentutl /p unternehmen, gehen die persistenten Sicherheitseinstellungen (auch als Tattoo-Tabelle bezeichnet) verloren, d. h. also, wenn die Gruppenrichtlinieneinstellungen undefiniert sind, werden die Einstellungen des Servers nicht auf die ursprünglichen Werten zurückgesetzt. Weitere Informationen finden Sie in den folgenden Artikeln, in denen weitere bekannte Probleme erläutert werden, die den Fehler 0x4b8 verursachen können.
Standard-Grupppenrichtlinienobjekte wurden beschädigt: Wiederherstellung in NotfällenDie GPOs der Standarddomäne wurden beschädigt, und es gibt keine Datensicherungen des GPOs der Standarddomänenrichtlinien und des GPOs der Standard-Domänencontrollerrichtlinie. UrsacheDie GPOs der Standarddomäne wurden beschädigt (z. B. aufgrund einer fehlerhaften Konfiguration), und Sie verfügen nicht über Datensicherungen des GPOs der Standarddomänenrichtlinie oder des GPOs der Standard-Domänencontrollerrichtlinie. LösungWenn Sie sich in einem Szenario zur Wiederherstellung im Notfall befinden, sollten Sie ggf. die Verwendung des Tools Dcgpofix in Betracht ziehen. Wenn Sie das Tool Dcgpofix verwenden, wird dringend empfohlen, dass Sie sofort bei dessen Ausführung die Sicherheitseinstellungen dieser GPOs prüfen und manuell so anpassen, dass sie Ihren Anforderungen gerecht werden. Mit Dcgpofix werden die standardmäßigen Gruppenrichtlinienobjekte auf ihren ursprünglichen Standardstatus nach der Erstinstallation eines Domänencontrollers zurückgesetzt. Das Tool Dcgpofix erstellt zwei neue standardmäßige Gruppenrichtlinienobjekte und legt die Einstellungen basierend auf den Vorgängen fest, die nur im Verlauf von Dcpromo durchgeführt werden. Es ist wichtig zu wissen, dass Dcgpofix nicht die Sicherheitseinstellungen in dem Stadium wiederherstellt, in dem sie sich vor der Ausführung von Dcpromo befunden haben.
Dcgpofix sollte nur als Tool für den äußersten Notfall verwendet werden. Zum Erstellen von regelmäßigen Datensicherungen der standardmäßigen Domänen-GPOs und aller anderen GPOs verwenden Sie die Gruppenrichtlinien-Verwaltungskonsole (GPMC). Es empfiehlt sich darüber hinaus, auch das Verzeichnis Sysvol immer im Rahmen eines regelmäßig angesetzten Datensicherungsverfahrens zu sichern. So führen Sie Dcgpofix aus
Dabei gilt: /ignoreschema ist ein optionaler Parameter. Wird dieser Parameter gesetzt, wird die Versionsnummer des Active Directory-Schemas ignoriert. /target: {domain | dc | both} ist ebenfalls ein optionaler Parameter, der die Zieldomäne, den Domänencontroller oder beides angibt. Wird /target nicht angegeben, verwendet Dcgpofix standardmäßig beides.
Dcgpofix finden Sie im Ordner C:\Windows\Repair. Zur Verwendung dieses Tools müssen Sie als Domänen- oder Organisations-Aministrator angemeldet sein. Dcgpofix prüft die Versionsnummer des Active Directory-Schemas, um die Kompatibilität zwischen der von Ihnen verwendeten Version von Dcgpofix und der Schemakonfiguration von Active Directory sicherzustellen. Sind die Versionen nicht kompatibel, wird Dcgpofix nicht ausgeführt. Die folgenden Erweiterungseinstellungen befinden sich in einem standardmäßigen Gruppenrichtlinienobjekt: Remoteinstallationsdienste (RIS), Sicherheitseinstellungen und verschlüsselndes Dateisystem (EFS). Die folgenden Erweiterungseinstellungen befinden sich nicht in einem standardmäßigen Gruppenrichtlinienobjekt und werden hiermit nicht wiederhergestellt: Softwareinstallation, Pflege von Internet Explorer, Skripts, Ordnerumleitung und administrative Vorlagen. Die folgenden Änderungen werden in einem standardmäßigen Gruppenrichtlinienobjekt nicht beibehalten oder wiederhergestellt: Sicherheitseinstellungen, die vom Setup von Exchange 2000 vorgenommen wurden, Sicherheitseinstellungen, die bei einer Aktualisierung von Windows NT auf Windows 2000 in die standardmäßige Gruppenrichtlinie migriert wurden, sowie Änderungen an Richtlinienobjekten, die von SMS (Systems Management Server) vorgenommen wurden. Sie können dieses Tool nur auf Server unter einem Produkt aus der Windows Server 2003-Familie ausführen. Weitere Informationen über die Verwendung von GPMC zum Sichern und Wiederherstellen von GPOs finden Sie im Whitepaper Administering Group Policy with GPMC (englischsprachig) auf der Microsoft-Website (http://go.microsoft.com/fwlink/?LinkId=17528). Weitere Informationen über das Wiederherstellen von Systemstatusdaten unter Verwendung des Datensicherheitstools von Windows Server 2003 finden Sie unter Backing Up and Recovering Data (englischsprachig) auf der Microsoft Website (http://go.microsoft.com/fwlink/?LinkId=22347). Weitere Informationen über das Verwalten des Verzeichnisses Sysvol finden Sie unter Best Practices for Sysvol Maintenance (englischsprachig und in maschineller Übersetzung) auf der Microsoft-Website (http://go.microsoft.com/fwlink/?LinkId=39986). Weitere Informationen über die Verwendung von Dcgpofix finden Sie unter The Dcgpofix tool does not restore security settings in the Default Domain Controller Policy to their orginal state (englischsprachig und in maschineller Übersetzung) auf der Microsoft-Website (http://go.microsoft.com/fwlink/?LinkId=35269). Windows-Sicherheitseinstellungen bleiben nach deren Entfernen weiterhin wirksamUrsacheDieses Problem tritt normalerweise auf, wenn eine Sicherheitseinstellung durch Gruppenrichtlinien definiert und später auf "nicht definiert." festgelegt wird. LösungUnter bestimmten Umständen bleiben Windows-Sicherheitseinstellungen wirksam, nachdem sie auf "nicht definiert" eingestellt wurden. Anhand des folgenden Flussdiagramms können Sie feststellen, ob die Sicherheitseinstellung aufgrund dieses Verhaltens wirksam bleibt. Kontorichtlinie, Zuweisen von Benutzerrechten und ÜberwachungsrichtlinieErmitteln Sie anhand des folgenden Flussdiagramms, wie sich die betreffende Einstellung beim Entfernen über Gruppenrichtlinien verhält, wenn sich die wirksame Sicherheitseinstellung unter Kontorichtlinie, Lokale Richtlinie\Zuweisen von Benutzerrechten oder Lokale Richtlinien\Überwachungsrichtlinie befindet:  Abbildung 1 SicherheitsoptionenErmitteln Sie anhand des folgenden Flussdiagramms, wie sich die betreffende Einstellung beim Entfernen über Gruppenrichtlinien verhält, wenn sich die wirksame Sicherheitseinstellung unter Sicherheitsoptionen befindet:  Abbildung 2 Ereignisprotokoll und SystemdiensteErmitteln Sie anhand des folgenden Flussdiagramms, wie sich die betreffende Einstellung beim Entfernen über Gruppenrichtlinien verhält, wenn sich die wirksame Sicherheitseinstellung unter Ereignisprotokoll oder Systemdienste befindet:  Abbildung 3 Eingeschränkte GruppenErmitteln Sie anhand des folgenden Flussdiagramms, wie sich die betreffende Einstellung beim Entfernen über Gruppenrichtlinien verhält, wenn sich die wirksame Sicherheitseinstellung unter Eingeschränkte Gruppen befindet:  Abbildung 4 Alle anderen Windows-SicherheitseinstellungenStellen Sie bei Windows 2003- und Windows XP-Sicherheitseinstellungen, die nicht in den obigen Abschnitten behandelt wurden, beim Entfernen über Gruppenrichtlinien wieder die vorherigen Werte ein. Windows 2000-Sicherheitseinstellungen, die nicht in den obigen Abschnitten behandelt wurden, werden automatisch wieder auf den vorherigen Wert eingestellt, es sei denn, die Einstellung ist in der lokalen Richtlinie festgelegt. In diesem Fall wird der Wert der lokalen Richtlinie verwendet. |
In diesem Beitrag
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Hinweis
Wichtig
