# GPO Design & Implementation: Architektur für 10.000 Clients

TL;DR / Management Summary Ein schlechtes GPO-Design führt zu langsamen Logins (“Group Policy Processing…”) und unvorhersehbarem Verhalten. Wir nutzen das Modular GPO Design: Viele kleine Richtlinien mit klarem Fokus (z.B. “Win11-Firewall”) statt monolithischer GPOs. Wir minimieren den Einsatz von WMI-Filtern zugunsten von Item-Level Targeting in den Preferences und halten die Vererbung (LSDOU) flach.

# 1. Einführung & Architektur

Wie Richtlinien skaliert werden.

GPOs bestehen aus zwei Teilen:

1. Group Policy Container (GPC): Ein Objekt im Active Directory (LDAP), das Metadaten enthält.
2. Group Policy Template (GPT): Die eigentlichen Dateien (ADMX, Registry.pol) im SYSVOL Share der DCs.

# Performance-Faktor

Jede GPO, die mit einer OU verlinkt ist, erhöht die Boot-Zeit.

• Best Practice: Fassen Sie Einstellungen für die gleiche Zielgruppe zusammen, aber trennen Sie User- von Computer-Einstellungen (deaktivieren Sie ungenutzte Zweige via Registerkarte ‘Details’).

# 2. GPO Design-Modelle

Strukturierung der Macht.

# 1. Rollen-basiertes Design (Empfohlen)

• Base GPO: Einstellungen, die für JEDEN Computer gelten (z.B. Root-CA Zertifikate).
• OS GPO: Spezifisch für Win 10, Win 11 oder Server 2022.
• Role GPO: Spezifisch für Workloads (z.B. “CAD-Stationen”, “Helpdesk-PCs”).

# 2. Die ‘Flat Hierarchy’

Vermeiden Sie tief verschachtelte OUs. Jede Ebene fügt Rechenzeit beim Login hinzu.

# 3. Deep Dive: WMI Filter vs. Targeting

Intelligente Zuweisung.

# WMI Filter (Langsam)

WMI-Filter werden bei jedem GPO-Lauf evaluiert. Ein fehlerhafter Filter kann den PC für Sekunden einfrieren.

• Anwendungsfall: Nur wenn es keine andere Wahl gibt (z.B. “Nur auf physischer Hardware, keine VMs”).

# Item-Level Targeting (Schnell)

Teil der Group Policy Preferences (GPP).

• Vorteil: Die GPO wird immer geladen, aber nur das spezifische Setting (z.B. ein Drucker) wird angewendet, wenn die Bedingung erfüllt ist.
• Technik: Läuft im User-Space, hunderte Male schneller als WMI.

# 4. Day-2 Operations: Backup & Versionierung

Sicherheit im GPO-Chaos.

# GPO Backup via PowerShell

Sichern Sie Ihre GPOs vor jeder Änderung!

Backup-Gpo -All -Path "D:\Backups\GPO" -Comment "Backup vor Firewall-Änderung"

# AGPM (Advanced Group Policy Management)

Für große Teams ist AGPM (Teil von MDOP) Pflicht. Es bietet:

• Check-In / Check-Out von GPOs.
• Versionshistorie (Wer hat was geändert?).
• Approval-Workflow (Junior erstellt, Senior gibt frei).

# 5. Troubleshooting & “War Stories”

Wenn die Richtlinie nicht zieht.

# Top 3 Fehlerbilder

1. Symptom: GPO wird ignoriert (“Inaccessible”).

   • Ursache: Fehlende Leserechte für “Authenticated Users” oder “Domain Computers” am GPO-Objekt (Delegierung).
   • Lösung: Berechtigungen via GPMC korrigieren.

2. Symptom: Passwort-Richtlinien greifen nicht.

   • Ursache: Diese müssen auf Domänen-Ebene (Default Domain Policy) definiert sein. OUs ignorieren normale Passwort-GPOs.
   • Lösung: Nutzen Sie Fine-Grained Password Policies (FGPP) für Ausnahmen auf OU-Ebene.

3. Symptom: SYSVOL Replikations-Fehler (ID 13568).

   • Ursache: Die Dateisystem-Replikation (DFSR) zwischen den DCs ist stehen geblieben.
   • Lösung: dfsrdiag nutzen und ggf. einen “Non-Authoritative Restore” durchführen.

# “War Story”: Die “Loopback” Hölle

Ein Admin aktivierte den “Loopback-Verarbeitungsmodus” auf der Root-OU der Domäne (“Ersetzen”). Das Ergebnis: Alle User bekamen plötzlich die GPOs der Computer angewendet, auf denen sie sich einloggten. Alle Desktop-Icons und Verknüpfungen von 2000 Usern waren weg. Lehre: Loopback-Processing ist nur für Terminalserver (RDS) gedacht und sollte niemals global angewendet werden. Nutzen Sie immer den Modus “Zusammenführen” (Merge), wenn Sie unsicher sind.

# 6. Monitoring & Reporting

Transparenz im Regelwerk.

# GPO Health Check (PowerShell)

# Zeigt GPOs mit verwaisten Links oder ohne Einstellungen
Get-GPOReport -All -ReportType Html -Path "C:\Temp\GPOReport.html"

# 7. Fazit & Empfehlung

GPO Management ist die hohe Schule der Windows-Administration.

• Empfehlung: Halten Sie die Default Domain Policy sauber (nur Passwörter/Kerberos). Alle anderen Einstellungen in eigene GPOs.
• Strategie: Nutzen Sie den Central Store (Artikel 425) für ADMX-Files, um Versionskonflikte zwischen Admin-Laptops zu vermeiden.

# Anhang: Cheatsheet

# Referenzen

• Microsoft Learn: Group Policy Management Guide
• Best Practices for Group Policy Design
• Group Policy Search (Online Settings tool)