So sperren Sie den Umbrella Roaming Client in AD

Einleitung

In diesem Dokument wird beschrieben, wie der Umbrella Roaming Client mithilfe von Gruppenrichtlinienobjekten (Group Policy Objects, GPOs) in einer Active Directory (AD)-Umgebung gesperrt wird.

Voraussetzungen

Anforderungen

Es gibt keine spezifischen Anforderungen für dieses Dokument.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf Umbrella Roaming Client

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Überblick

Sie möchten sicherstellen, dass Benutzer mit lokalen Administratorberechtigungen den Umbrella Roaming-Dienst nicht deaktivieren können.

Prozess

Führen Sie die folgenden Schritte auf einem Windows 2003/2008-Domänencontroller aus:

Anmerkung: Wenn der Dienst, den Sie konfigurieren möchten, nicht in der Liste vorhanden ist, müssen Sie GPMC auf einem Computer installieren, auf dem der Dienst ausgeführt wird.

1. Erstellen Sie in Active Directory eine neue Sicherheitsgruppe mit dem Namen Umbrella_Roaming.

• Dies ist erforderlich, da Sie bereits über eine Sicherheitsgruppe verfügen können, die verschiedene Mitglieder von Domänenadministratoren enthält.
  

2. Öffnen Sie den Gruppenrichtlinien-Editor (Start > Ausführen > Typ: gpmc.msc >), und erstellen Sie ein neues Gruppenrichtlinienobjekt mit dem Namen Umbrella.

3. Bearbeiten Sie die neue Gruppenrichtlinie, und navigieren Sie zu Computerkonfiguration > Richtlinien > Windows-Einstellungen > Sicherheitseinstellungen > Systemdienste.

• Der Umbrella Roaming Client-Dienst muss importiert werden, bevor er unter "Systemdienste" angezeigt wird. Weitere Informationen zum Abschließen dieses Vorgangs finden Sie in diesem Microsoft-Artikel.
  

4. Blättern Sie durch die aufgeführten Dienste, bis Sie den Dienst Umbrella Roaming Client erreichen.

• Nachdem die Konfiguration der Richtlinien abgeschlossen ist, stellen Sie sicher, dass der Client vor dem Testen mit dem Befehl gpupdate aktualisiert wird.

5. Konfigurieren Sie den Dienst, indem Sie auf den Dienstnamen doppelklicken, wählen Sie Diese Richtlinie definieren > Automatisch aus, und bearbeiten Sie dann die Sicherheitsgruppen.

6. Fügen Sie das Konto Netzwerkdienst hinzu, und gewähren Sie Leseberechtigungen. Entfernen Sie ggf. die Gruppe Administratoren und/oder Domänenadministratoren.

Warnung: Entfernen Sie NICHT die SYSTEM- oder INTERACTIVE-Konten aus der Liste.

Sie können nun die Gruppenrichtlinie auf die erforderlichen Container auf die übliche Weise anwenden und zulassen, dass die Richtlinie auf die Client-Computer angewendet wird.

Sie können die Funktionalität testen, indem Sie das Gruppenrichtlinienobjekt aktivieren und sich auf einem Clientcomputer als Administrator oder als Konto mit Gruppenberechtigungen, auf die Sie beschränkt haben, anmelden. Wenn Sie versuchen, den Dienst zu beenden, wird möglicherweise folgende Meldung angezeigt:

Could not stop the service on Local Computer. Error 5: Access is denied.

Alternativ ist die Option zum Beenden des Diensts abgeblendet und nicht verfügbar. In beiden Fällen wurde das Gruppenrichtlinienobjekt erfolgreich konfiguriert und auf den Client angewendet.

Wenn die Fehlermeldung nicht angezeigt wird und Sie einen eingeschränkten Dienst weiterhin stoppen können, überprüfen Sie, ob das Gruppenrichtlinienobjekt ordnungsgemäß konfiguriert wurde und ob es keine Konflikte mit Gruppenrichtlinienobjekten gibt. Weitere Informationen finden Sie in der Microsoft-Dokumentation.

Stellen Sie sicher, dass der Umbrella_Roaming-Gruppe die entsprechenden Administratoren hinzugefügt werden und dass das Service-Gruppenrichtlinienobjekt den Zugriff auf die Umbrella_Roaming-Gruppe zulässt.