Eine Einführung in AGPM (Erweiterte Gruppenrichtlinien-Verwaltung)

Was ist AGPM?

AGPM ist die Abkürzung für Advanced Group Policy Management / Erweiterte Gruppenrichtlinienverwaltung. Es ist Teil des Microsoft Desktop Optimization Pack (MDOP), das ein Zusatz zu dem mit SA abgeschlossenen Unternehmensvertrag ist. Die meisten Unternehmen mit Windows Enterprise haben bereits Zugriff auf MDOP und seine Komponenten, wie AGPM.

Mit dem Advanced Group Policy Management (AGPM) von Microsoft können Sie GPOs genauer verwalten. Mit AGPM müssen Sie zum Beispiel das GPO auschecken, um Änderungen vorzunehmen, wodurch verhindert wird, dass jemand versehentlich Änderungen vornimmt, während andere Änderungen vornehmen. Sie können die Genehmigung der vorgeschlagenen Änderungen beantragen; das ist integriertes Change Management. Wenn die von Ihnen vorgenommenen Änderungen Probleme verursachen, können Sie mit AGPM auch zur vorherigen Version des GPO zurückkehren.

Versionen von AGPM

AGPM 4.0 SP3 unterstützt Windows 10, Windows Server 2019, Windows Server 2016, Windows Server 2012 R2, Windows 8.1, Windows Server 2012, Windows Server 2008 R2, Windows 7, Windows Server 2008 und Windows Vista mit SP1.

AGPM 4.0 SP2 unterstützt Windows Server 2012 R2, Windows 8.1, Windows Server 2012, Windows Server 2008 R2, Windows 7, Windows Server 2008 und Windows Vista mit SP1.

AGPM 4.0 SP1 unterstützt Windows Server 2012, Windows Server 2008 R2, Windows 7, Windows Server 2008 und Windows Vista mit SP1.

AGPM 4 unterstützt Windows Server 2008 R2, Windows 7, Windows Server 2008 und Windows Vista mit SP1.

AGPM 3 unterstützt Windows Server 2008 und Windows Vista mit SP1.

AGPM 2.5 unterstützt Windows Vista (32-Bit) und Windows Server 2003 (32-Bit) ohne Service Packs.

AGPM-Serveranforderungen

AGPM Server 4.0 erfordert die GPMC in Windows Server 2008 R2, Windows Server 2008, Windows 7 und Remote Server Management Tools (RSAT) oder Windows Vista mit SP1 und GPMC in RSAT. Es werden sowohl 32-Bit- als auch 64-Bit-Versionen unterstützt.

Auch lesen: Top 4 Lösungen: RSAT kann nicht auf einem Windows-PC installiert werden.

Bevor Sie den AGPM-Server installieren können, müssen Sie Mitglied der Gruppe Domain Admins sein und über die folgenden Windows-Funktionen verfügen, sofern nicht anders angegeben:

GPMC

Windows Server 2008 R2 oder Windows Server 2008: Wenn GPMC nicht vorhanden ist, wird es automatisch von AGPM installiert.

Windows 7: Vor der Installation von AGPM müssen Sie GPMC über RSAT installieren. Weitere Infos finden Sie unter Remote Server Management Tool für Windows 7

Windows Vista SP1: Vor der Installation von AGPM müssen Sie GPMC von RSAT aus installieren. Weitere Infos finden Sie unter Windows Vista Remote Server Management Tool mit Service Pack 1.

.NET Framework 3.5 oder höher

Windows Server 2008 R2 oder Windows 7: Wenn .NET Framework 3.5 oder höher nicht vorhanden ist, wird AGPM automatisch .NET Framework 3.5 installieren.

Windows Server 2008 oder Windows Vista SP1: Bevor Sie AGPM installieren, müssen Sie .NET Framework 3.5 oder höher installieren.

Für den AGPM-Server sind die folgenden Windows-Funktionen erforderlich. Wenn diese Funktionen nicht vorhanden sind, werden sie automatisch installiert:

1. WCF-Aktivierung; Nicht-HTTP-Aktivierung

2. Windows Prozess-Aktivierungsdienst

    • Prozess-Modell

    • .NET-Umgebung

    • API konfigurieren

Auch lesen: So überprüfen Sie die Version von .NET Framework unter Windows 10 [3 Methoden].

So richten Sie AGPM ein

AGPM ist relativ einfach einzurichten. Sie brauchen nur zwei Konten, einen Server und einen Client.

Der Server muss nicht speziell für AGPM eingerichtet werden; Sie brauchen nur den Server, auf dem die Funktion Gruppenrichtlinien-Verwaltungskonsole installiert ist. Auf Server 2008 R2 oder höher werden die GPMC und die erforderlichen .NET-Funktionen bei Bedarf vom AGPM-Installationsprogramm installiert. Diese beiden Konten sind das AGPM-Administratorkonto und das AGPM-Dienstkonto. Bevor Sie AGPM einrichten, müssen Sie dem Dienstkonto Zugriff auf alle bestehenden GPOs gewähren.

Dann müssen Sie nur noch die Server-AGPM-Software und den Client einrichten. Wenn Sie die Client-Software an einem Ort verwalten wollen, können Sie die Client-Software und die Server-Software auf demselben Server installieren. Wenn Sie GPOs von anderen Workstations aus verwalten möchten, muss die Client-Software Windows RSAT installieren.

Sobald Sie die Serversoftware eingerichtet haben, sperrt sie alle bestehenden GPO-Berechtigungen, so dass nur Domänenadministratoren von der Standard-GPMC aus mit der rechten Maustaste auf GPO-Objekte klicken und diese bearbeiten können. Alle anderen Anwender müssen den AGPM-Client verwenden, um das GPO auszuchecken und zu bearbeiten.

Sie können es noch weiter einschränken, indem Sie der Gruppe der Domänenadministratoren die Berechtigung verweigern, das GPO explizit zu bearbeiten, um zu verhindern, dass Domänenadministratoren es außerhalb von AGPM bearbeiten. Auf diese Weise wird jeder gezwungen, AGPM zu verwenden, damit Sie Änderungen kontrolliert verwalten und genehmigen können.