Hallo zusammen,
zu der Thematik AGPM 4.0 SP2 hätte ich ein paar Verständnisfragen, die ich hoffe, hier beantwortet zu bekommen.
1. In der deutschsprachigen Anleitung unter
http://technet.microsoft.com/de-de/library/ee378482.aspx ist im Schritt 3 die Konfiguration der AGPM-Serververbindung beschrieben.
Hier steht: "Doppelklicken Sie im Fenster Gruppenrichtlinienverwaltungs-Editor aufBenutzerkonfiguration, Richtlinien, Administrative Vorlagen,Windows-Komponenten und AGPM."
Trotz der erfolgreichen Installation der Server- und Client-Komponente wird mir dieser Punkt "AGPM" nicht in den GPOs angezeigt, er ist schlicht nicht vorhanden!
Frage: Was könnte hier falsch gelaufen sein und wie bekomme ich den Konfigurationspunkt "AGPM" in eine GPO?
Anmerkung: Neuinstallation der Serverkomponente hilft nicht...
2. In der deutschsprachigen Anleitung unter
http://technet.microsoft.com/de-de/library/ee378482.aspx steht im Schritt 5 Folgendes:
"Die Mitgliedschaft in der Gruppe Richtlinien-Ersteller-Besitzer sollte eingeschränkt werden, damit sie nicht zum Umgehen der AGPM-Verwaltung des Zugriffs auf Gruppenrichtlinienobjekte verwendet werden kann. (Klicken Sie in der
Gruppenrichtlinien-Verwaltungskonsole auf Gruppenrichtlinienobjekte in der Gesamtstruktur und Domäne, in der Sie Gruppenrichtlinienobjekte verwalten möchten, klicken Sie auf
Delegierung, und konfigurieren Sie anschließend die Einstellungen nach den Bedürfnissen Ihrer Organisation.)"
Die Delegierung sieht standardmäßig und nicht entfernbar die Gruppe der Domänen-Admins als Berechtigte vor, die GPOs erstellen und Verwalten dürfen.
In unserer Organisation sind alle User der EDV Abteilung Domänen-Admins (es ist jetzt mal egal, ob dies empfehlenswert ist oder nicht)! Sprich, auch wenn ich die Gruppe der
Richtlinien-Ersteller-Besitzer anpasse und z. B. nur die Gruppe der AGPM-Administratoren dort hinzufüge, besteht logischerweise für alle Dom-Admins, die z. B. nur AGPM-Bearbeiter sein sollen, weiterhin die Möglichkeit außerhalb von
AGPM GPOs zu erstellen und zu verknüpfen!
Frage: Ist AGPM also nur da sinnvoll, wo Nicht-Domänen-Admins GPOs verwalten sollen? Wie sieht ein praktisches Szenario bei euch aus (bei jenen, welche AGPM einsetzen)?
Vielleicht ist mir auch nur der Blick auf das Wesentliche und Einfache verloren gegangen aber irgendwie blicke ich es momentan nicht.
Vielen Dank für aussagekräftige Beiträge zur Sache...
Mit freundlichem Gruss - Harald Haas - MCSE Server Infrastructure 2012; MCTS Exchange Server 2010 Configuration;