„Welche Einstellung greift hier eigentlich?“

Es gibt eine Frage, die in jeder gewachsenen Windows-Domäne früher oder später gestellt wird. Meistens im Störungsfall, meistens unter Zeitdruck:

„Welche Einstellung greift an dieser OU eigentlich — und aus welcher Richtlinie kommt sie?“

Die Gruppenrichtlinienverwaltung beantwortet diese Frage nicht. Sie zeigt, welche Richtlinien verknüpft sind. Sie zeigt die Reihenfolge. Sie zeigt nicht, wer sich am Ende durchsetzt, wenn zwölf Richtlinien denselben Wert anfassen, drei davon erzwungen sind und eine OU dazwischen die Vererbung blockiert.

Genau an dieser Stelle setzt Version 4.0 an.

Der Anstoß kam von einem Kunden

Ein Systemhaus mit Mandantenbetrieb hat mir seine Anforderungen geschrieben. Keine Wunschliste, sondern sieben Sätze aus dem Alltag:

• Überblick über alle Richtlinien und ihre Verknüpfungen
• widersprüchliche und wirkungslose Einstellungen erkennen
• Altlasten finden, die niemand mehr braucht
• sehen, was sich gegenseitig überschreibt
• eine bestimmte Einstellung schnell finden — auch wenn der Name der Richtlinie nichts verrät
• belastbare Dokumentation aufbauen
• Fehlersuche und Bereinigung unterstützen

Dazu die Namenskonvention, nach der dort seit Jahren gearbeitet wird: Kundennummer – C – Name für Computerrichtlinien, Kundennummer – U – Name für Benutzerrichtlinien.

Das war kein Feature-Request. Das war eine Beschreibung davon, wie GPO-Betrieb in der Praxis wirklich aussieht.

Was daraus geworden ist

Wirksame Einstellungen — die Antwort auf die Kernfrage

Für jede Ziel-OU wird berechnet, welche Einstellung am Ende tatsächlich durchgesetzt wird. Nicht welche Richtlinie verknüpft ist — welche gewinnt.

Die Berechnung folgt dem echten Verarbeitungsmodell: Local, Site, Domain, OU; innerhalb eines Bereichs die Verknüpfungsreihenfolge; erzwungene Verknüpfungen zuletzt und in umgekehrter Reihenfolge, damit die domänennächste gewinnt. Vererbungssperren werden berücksichtigt, deaktivierte Verknüpfungen fliegen raus.

Das Ergebnis ist eine Liste: Einstellung, wirksamer Wert, Gewinner-Richtlinie, Wirkungsbereich — und daneben, welche Richtlinien überschrieben wurden. Ohne Interpretation, ohne Bauchgefühl.

Altlasten mit Punktesystem

Elf Kriterien bewerten jede Richtlinie: nicht verknüpft, leer, seit Jahren unverändert, ohne Anwenden-Berechtigung, doppelt vorhanden, mit ins Leere laufender Verknüpfung. Aus der Punktzahl wird eine klare Empfehlung: löschen, Verknüpfung entfernen, prüfen oder beobachten.

Inhaltsgleiche Richtlinien werden über einen Fingerabdruck ihrer Einstellungen erkannt — auch dann, wenn sie völlig unterschiedlich heißen. Das ist der Klassiker in gewachsenen Umgebungen: „Test“, „Test neu“, „Test final“ — alle drei identisch.

Namenskonvention im Klartext

Das Namensschema wird nicht mehr als regulärer Ausdruck gepflegt, sondern so aufgeschrieben, wie die Richtlinien heißen:

{Kunde} - {Typ} - {Name}      →   12345 - C - Hardening Member Server

Daraus leitet das Werkzeug Kundennummer und Typ ab und wertet Bestand, Verknüpfungen und Verstöße je Kunde getrennt aus. Acht Prüfungen decken dabei auch die unangenehmen Fälle auf — etwa eine Richtlinie, die als Computerrichtlinie benannt ist, aber Benutzereinstellungen enthält. Oder eine mit Kundennummer im Namen, die in einem völlig anderen Kundenzweig verknüpft ist.

Snapshots — der Nachweis

Der Zustand aller Richtlinien lässt sich als Zeitstand einfrieren und später vergleichen: neu, gelöscht, geändert — mit Verknüpfungen, Sicherheitsfilterung, Versionen und Inhalt.

Die Schwere jeder Abweichung wird nach ihrem Ausmaß gestaffelt. Eine Richtlinie, die von 166 auf 171 Einstellungen wächst, ist etwas anderes als eine, die von 74 auf 227 springt. Entfernte Einstellungen wiegen dabei bewusst schwerer als hinzugekommene — was weg ist, greift nicht mehr, und das fällt im Betrieb erst spät auf.

Wer eine Bereinigung durchführt, hat damit den Beleg. Nicht die Behauptung.

Einstellungs-Index

Volltextsuche über sämtliche Einstellungen aller Richtlinien — Klartextname, Wert, Kategorie, Registrierungsschlüssel, Wertname. Damit findet man eine Einstellung auch dann, wenn der Name der Richtlinie keinerlei Hinweis gibt. Genau die Anforderung aus der Kundenmail.

Und die Dokumentation

Ein Klick erzeugt den Strukturbericht: die vollständige Domänendokumentation als Word-Datei — GPO-Verzeichnis, Steckbriefe je Richtlinie, OU-Struktur, Anwendungsreihenfolge, Konflikte, Altlasten, Namenskonvention. Acht Kapitel mit Inhaltsverzeichnis, im Firmenlayout, übergabefähig.

Dokumentation, die nicht am Abend vor dem Audit entsteht.

Was gleich geblieben ist

Health Check mit zwanzig Prüfungen. Compliance gegen BSI IT-Grundschutz, CIS Benchmarks und NIST SP 800-53 — zusammen 181 Regeln, Baselinewechsel ohne erneute Abfrage des Verzeichnisdienstes. RSOP-Abgleich eines realen Zielrechners über WinRM gegen eine Microsoft Security Baseline. SYSVOL-Prüfung, ADMX-Auflösung, Berechtigungsanalyse, Sicherung im nativen GPMC-Format.

Für wen sich das lohnt

Administratoren — die eine über Jahre gewachsene Umgebung erstmals vollständig erfassen und aufräumen wollen.

Systemhäuser mit Mandantenbetrieb — die Richtlinien mehrerer Kunden in einer Domäne betreiben und je Kundennummer auswerten müssen.

Informationssicherheitsbeauftragte — die Compliance nicht behaupten, sondern belegen wollen.

Revision und Audit — die einen dokumentierten Nachweis brauchen — und den Vergleich zweier Zeitstände.

Helpdesk Level 2/3 — bei denen die Meldung „bei mir kommt die Richtlinie nicht an“ auf dem Tisch landet.

Rahmendaten

Alle Details und Screenshots →

Ich freue mich über Rückmeldungen aus der Praxis — gerade die unbequemen. Die letzten sieben Funktionen sind genau so entstanden.

Jörn Walter
IT-Service Walter · isw-adtools.de