Netzlaufwerke verbinden mit Group Policy Preferences

Seit der Einführung von Group Policy Preferences (GPP) mit Windows Server 2008 besteht aber keine Notwendigkeit mehr, sich mit Programmierung von Scripts herumzuschlagen, um Netzlaufwerke oder Netzwerkdrucker zu verbinden. Durch das so genannte Item Level Targeting lassen sich fast alle Parameter einer Benutzerumgebung abfragen, um diesen gezielt Freigaben zuzuordnen. Dies funktioniert übrigens auch noch mit Windows XP, wenn man dort die erforderlichen Client Side Extensions installiert.

Erstellen eines GPO

Im ersten Schritt legt man über die Gruppen­richt­linien­verwaltung ein neues GPO an und öffnet es zur Bearbeitung mit dem Gruppen­richt­linien­verwaltungs-Editor. Dort navigiert man zu Benutzerkonfiguration => Einstellungen => Windows-Einstellungen => Laufwerkzuordnungen. Anschließend führt man aus dem Menü den Befehl Aktion => Neu => Zugeordnetes Laufwerk aus.

Bestehende Zuordnungen ersetzen oder aktualisieren

Der folgende Dialog bietet mehrere Einstellungen zur Auswahl, die meisten sind selbsterklärend. Das Hinterlegen von Passwörtern wurde aus Sicherheitsgründen schon vor einiger Zeit deaktiviert. Bereits gespeicherte Kennwörter können daher nicht mehr geändert und neue nicht mehr eingegeben werden, weil das entsprechende Feld ausgegraut ist (siehe dazu das entsprechende Support-Dokument von Microsoft).

Auf Anhieb nicht ganz klar ist die Entscheidung zwischen Erstellen, Ersetzen und Aktualisieren (default):

• Erstellen bedeutet, dass eine Zuordnung eingerichtet wird, wenn eine Freigabe \\server\share noch nicht verbunden wurde, andernfalls passiert nichts.
• Ersetzen löscht eine vorhandene Verbindung mit einem Share und richtet sie gemäß den GPP-Einstellungen neu ein. Wurde jedoch eine Freigabe noch nicht verbunden, dann erzeugen die Client Side Extensions eine neue Zuordnung.
• Aktualisieren verändert eine bestehende Zuordnung, indem die Einstellungen aus der GPP übernommen werden, wenn eine Verbindung für die Freigabe bereits besteht. Beispielweise würde dadurch der Laufwerksbuchstabe geändert. Existiert für ein Share keine Zuordnung, dann wird sie eingerichtet.

In der Regel wird man die Option Ersetzen wählen, um sicherzustellen, dass eventuell vom Benutzer angelegte Zuordnungen beseitigt und zentrale Vorgaben durchgesetzt werden. Wenn man möchte, dass die Verbindung mit einer Freigabe entfernt wird, sobald die Kriterien für die Zuordnung nicht mehr zutreffen (z.B. weil ein Benutzer aus einer Gruppe entfernt wurde), dann muss man ohnehin Ersetzen wählen.

Die Einstellung für das Entfernen einer Verbindung mit einem Netzlaufwerk findet sich auf der Registerkarte Gemeinsame Optionen, sie lässt sich nur in Kombination mit Ersetzen aktivieren.

Sichtbarkeit im Explorer steuern

Etwas rätselhaft wirken auf der ersten Seite des Dialogs die Abschnitte Laufwerk aus-/einblenden sowie Alle Laufwerke aus-/einblenden. Sie entscheiden darüber, ob die zugeordneten Laufwerke im Explorer angezeigt werden. Dabei setzt sich Laufwerk aus-/einblenden durch, wenn aus beiden Abschnitten sich widersprechende Einstellungen gewählt wurden.

Die bis zu diesem Punkt verfügbaren Einstellungen führen dazu, dass die damit definierten Laufwerkzuordnungen für alle User eines AD-Containers (Domäne, OU) gelten, mit dem das GPO verknüpft wurde.

Kriterien für die Zielgruppe festlegen

Die passgenaue Einschränkung auf bestimmte User erfolgt erst über die Zielgruppenadressierung auf Elementebene (Registerkarte Gemeinsame Optionen). In den meisten Fällen wird man hier die Zuordnung eines Share von der Gruppen­zuge­hörig­keit eines Benutzers abhängig machen (Option Sicherheitsgruppe). Beim folgenden Dialog zur Festlegung der Gruppe sollte man den Auswahldialog benutzen, weil nur so die SID der Gruppe eingetragen wird. Das Eintippen des Gruppennamens alleine reicht nicht.

Standardmäßig legt man mit der Auswahl einer oder mehreren Gruppen fest, dass die User ihr angehören müssen, damit die Regel greift. Allerdings besteht auch die Möglichkeit die Bedingung umzudrehen und das Laufwerk nur zuzuordnen, wenn User nicht Mitglied einer oder mehreren Gruppen sind. Zu diesem Zweck unterstützt das Item Level Targeting die Operatoren nicht, und, oder.

Einfachere Regeln durch Negation

Sinnvoll ist die Negation dann, wenn ein Netzlaufwerk für die meisten Benutzer verbunden werden soll, während wenige Gruppen außen vorbleiben. Diese Ausnahmen lassen sich innerhalb einer Regel mit dem Operator oder verketten und anschließend negieren. Das GPO kann man dann einer Domäne oder einer übergeordneten OU zuordnen.

Umgekehrt gilt natürlich auch, dass man die Mitgliedschaft als Kriterium dann wählt, wenn nur eine Minderheit ein Netzlaufwerk erhalten soll. Andernfalls müssten mehr Gruppen in die Liste aufgenommen werden als draußen bleiben, was auch die Abarbeitung der Bedingung verlangsamt.