Hola,
Las políticas restrictas de los grupos no se combinarán… Significo, si usted crea vario GPOs que contiene ajustes restrictos de los grupos para controlar al mismo grupo local, el GPO aplicado pasado sobreescribo lo que han hecho el anteriores.
De hecho, una fuerza restricta de la política del grupo el contenido de un grupo local a emparejar exactamente qué se hace explícitamente en el GPO, nada más, nada menos.
Tan si usted quiere realmente utilizar a grupos restrictos para alcanzar su meta usted debe asegurarse de que un grupo local específico solamente UN GPO solicite en cada servidor y de que fuerza de GPO el contenido entero del grupo local.
Usted puede utilizar varios grupos restrictos GPO para controlar a varios grupos locales hasta que 2 de estos GPOs nunca actúen uno el mismo grupo local.
Si entendía bien su caso que usted quisiera que algunos grupos globales específicos fueran miembro de la dependencia del grupo local del Admin de la localización, el otro grupo global específico si el servidor es el miembro “del grupo de las computadoras de los servidores del DB”…
En mi opinión esto parece imposible de obtener por una manera razonable usar grupos restrictos, porque usted sería fuerza para tener un GPO para cada combinación de localización y de clase del servidor.
Y más clases del servidor usted tiene menos que es posible porque el número de combinaciones es exponencial.
En mi opinión, solamente el scripting puede darle una buena solución. Imaginémosnos eso:
1) usted tiene un primer GPO el contener de una escritura de lanzamiento que quite a todos los grupos globales en los “administradores” y agregue el grupo global de los admins corporativos solamente.
2) usted tiene otros GPO el contener de una escritura de lanzamiento que agreguen el grupo global de los admins de la ciudad en la dependencia del grupo local de los “administradores” del sitio del ANUNCIO (ejemplo: un GPO por sitio del ANUNCIO o solamente un GPO pero con la dependencia de la escritura actuando diferentemente del sitio del ANUNCIO).
3) usted tiene un tercer GPO que agregue “el grupo global de los admins del DB” al grupo local de los “administradores”.
4) usted tiene un cuarto GPO que agregue “el grupo global de los admins del Web” al grupo local de los “administradores”.
Entonces usted hace cosas en prioridad de GPO para aplicar el primer GPO al principio.
Para el tercer GPO usted utiliza a grupo que filtra para aplicar GPO solamente si el servidor es miembro de los “servidores del DB”
Para el cuarto GPO usted utiliza a grupo que filtra para aplicar GPO solamente si el servidor es miembro de “web server”
La orden de aplicación entre 2do, 3ro y 4to GPOs no es importante porque estas escrituras agregan solamente a nuevos miembros en “administradores” y no quitan nada
Otra manera es tener una escritura única que haga pruebas de calidades de miembro y actúe diferentemente dependencia de la calidad de miembro del servidor. Esto simplifica la estructura de GPO pero hace la escritura complicada.
El problema si usted utiliza scripting es que las “escrituras de lanzamiento” funcionan solamente una vez en el arranque del servidor. Los cambios en grupos de los “administradores” se aplicarán tan o reaplicarán solamente en la reinicialización.
Tener un buen día.
