Problem z usuwaniem grupy użytkownicy uwierzytelnieni z obiektu zasad grupy

Witam.

Chciałem skonfigurować tak GPO aby zadanie w nim wskazane realizowane było tylko dla jednego lub kilku użytkowników domeny. W związku z tym utworzyłem obiekt zasad grupy powiązany z konkretnym kontenerem. W Filtrowaniu zabezpieczeń pozostawić tylko jednego użytkownika dla którego GPO ma zostać wykonane. Jednak przy próbie usunięcia grupy Użytkownicy uwierzytelnieni dostaję komunikat jak na screenie. Co może być tego powodem? Czy może ktoś z Was ma pomysł jak rozwiązać problem?


   

Na moje oko gpo "przypina się" do OU - jednostek organizacyjnych. Trzeba utworzyć sobie OU i do nich przypinać polityki GPO. Nigdy nie widziałem, żeby tak robić, jak Ty.
Proszę niech ktoś mądrzejszy się wypowie.

---

W OU mogą być użytkownicy i komputery zupełnie niezależnie i mogą być hierarchie.

Czyli np. w "logistyce" dodajesz sobie np. magazyny dajesz każdy magazyn np. magazyn1, magazyn2 itd.
W magazynach zakładasz takie ou wewnątrz: Użytkownicy, Admini, Serwery, Komputery i Grupy. W użytkownikach masz tylko użytkowników z tego magazynu i do nich przypinasz politykę GPO. Możesz przypinać też wyżej np. dla całej logistyki.


OU to co innego niż Security Groups.

---

Dostałem jeszcze przykład z dokumentacji OU dla domeny globalnej. Podział na kraje, oddziały (miasta) i w środku podzielne według typu: Użytkownicy, Admini, Serwery, Komputery i Grupy.

GPO jest przypięta do OU - Testowa, jak widać na screenie. W OU Testowa znajdują się użytkownicy. A ja chcę aby GPO zrealizowana była tylko dla jednego użytkownika który jest w OU, w tym wypadku dla użytkownik.testowy@... Dlatego muszę usunąć grupę użytkownicy uwierzytelnieni bo jeśli ją pozostawię GPO zrealizuje się dla wszystkich użytkowników uwierzytelnionych.    

W tym ou musi się znajdować ten jeden użytkowik trzeba tak poszatkować organizację, żeby na którymś poziomie OU mieć tylko tego jednego użytkowika i do tego OU przypiąć gpo.

Jak przypinasz politykę do OU to wykona się ona dla wszystkich obiektów danego typu wewnątrz OU. Tutaj tut jak przenosić użytkowników między OU.

Ten użytkownik znajduje się w OU Testowa. W tym tutorialu jest wszystko ładnie opisane. W 7 minucie następuje usunięcie grupy użytkownicy uwierzytelnieni. I pozostaje tylko 1 użytkownik. Ja niestety nie mogę tego zrobić bo zwraca mi komunikat jak w pierwszym moim wpisie.

Może być, że to to:

Cytat:https://support.microsoft.com/pl-pl/topi...64c874725d
Wszystkie użytkownika zasady grupy, łącznie z tymi, które zostały zabezpieczenia filtrowane na konta użytkowników i/lub grup zabezpieczeń może zakończyć się niepowodzeniem do zastosowania na komputerach przyłączonych do domeny.

Warto GP przypinać do całych OU i jeszcze dawać w nazwie GP do której jednostki OU są przypięte i datę przypięcia - datę utworzenia danej GP. Jak będzie ich sporo, nie idzie dojść do ładu.

A jeszcze ten tutorial to powinien kończyś się dodaniem usera do grupy projekt_zielioni i wysłaniem userowi mailem, że dane ma pod linkiem \\NAZWA\SERWERA\PROJEKT_ZIELONI. Już by mu śmigało.

Litery dysków robi się takie same globalnie, na poziomie lokalizacji. Takie dyski pomapowane indywidualnie, nie do całych OU to bałagan. Każdy będzie miał inne litery dysków, a aplikacje tego nie lubią.

Wszystko ładnie pięknie ale pytanie brzmi. Dlaczego przy próbie usunięcia grupy użytkownicy uwierzytelnieni pojawia się komunikat jak w pierwszym wpisie? W załączonym tutorialu dotyczącym "Mapowania udziału sieciowego", ten problem nie występuje

Kolega ci napisał, ja to rozumiem tak. Po zainstalowaniu poprawki MS16-072 tak może być:

Cytat:Znane Problemy
Objawy
Wszystkie użytkownika zasady grupy, łącznie z tymi, które zostały zabezpieczenia filtrowane na konta użytkowników i/lub grup zabezpieczeń może zakończyć się niepowodzeniem do zastosowania na komputerach przyłączonych do domeny.

Odinstaluj tę poprawkę i sprawdź.
P.S.
Tłumaczenie Microsoftu tych dokumentów jest podłe. Ciężko zrozumieć.