Probleme mit Item-level targeting bei notebooks

Question

Probleme mit Item-level targeting bei notebooks

Tilda Zimmermann 20

Hallo,

hat jemand Erfahrung mit dem Thema gemacht?

So wie ich das verstehe, werden unsere GPP-Laufwerkszuordnungen über das Item-Level Targeting (ILT) gesteuert, aber das Ganze wird auf einer bestimmten Gruppe von Laptops einfach nicht konsistent angewendet. Mal klappt die Verbindung, mal fehlen die Laufwerke nach dem Start komplett.

Da diese Ausfälle unregelmäßig auftreten, vermute ich die Ursache in den typischen ILT-Fallstricken. Die Frage ist, ob hier das Caching der Sicherheitsgruppen (insbesondere bei VPN-Verbindungen über WLAN) reinfingert oder ob WMI-Filter-Timeouts die Auswertung blockieren, bevor das System überhaupt eine Rückmeldung bekommt.

Wie sind eure Erfahrungen? Gibt es bekannte Fehlerquellen, die man hier zuerst prüfen sollte?

Vielen Dank!

0 Kommentare

Antwort, die vom Frageautor angenommen wurde

0 zusätzliche Antworten

Ihre Antwort

Answer 1

Hallo,

dein Verdacht ist absolut berechtigt: die größten Stolperfallen bei GPP‑Laufwerkszuordnungen mit Item‑Level Targeting liegen in der Abhängigkeit von Gruppenmitgliedschaften und WMI‑Filtern, die beim Systemstart nicht immer rechtzeitig ausgewertet werden. Gerade bei Laptops, die über WLAN oder VPN ins Netz gehen, kann es passieren, dass die Sicherheitsgruppen noch nicht gecacht oder die Verbindung zum DC nicht stabil genug ist, sodass die ILT‑Bedingungen fehlschlagen. Das Ergebnis ist dann ein inkonsistentes Verhalten – mal werden die Laufwerke gemappt, mal nicht.

Bekannte Ursachen sind zum einen die Verzögerung beim Laden des Gruppenmitgliedschaftstokens, zum anderen Timeouts bei WMI‑Abfragen. Wenn die Abfrage länger als der Standardtimeout braucht, wird die ILT‑Bedingung als „false“ gewertet und die Zuordnung übersprungen. Auch die Option „Apply once“ in GPP kann für Verwirrung sorgen, wenn sie versehentlich gesetzt ist.

Best Practice ist, die Ereignisanzeige auf den Clients zu prüfen, speziell unter Applications and Services Logs\Microsoft\Windows\GroupPolicy\Operational, um zu sehen, ob die ILT‑Bedingungen tatsächlich ausgewertet wurden oder ob ein Timeout vorlag. Zusätzlich lohnt es sich, die GPO‑Verarbeitung mit gpresult /h report.html zu kontrollieren, um zu erkennen, ob die Laufwerkszuordnung überhaupt in die Richtlinienauswertung einbezogen wurde.

Wenn du VPN‑Clients hast, ist es oft sinnvoll, die Laufwerkszuordnungen nicht ausschließlich über ILT zu steuern, sondern mit Logon‑Scripts oder mit „Always wait for the network at computer startup and logon“ in den GPO‑Einstellungen, damit die Gruppenmitgliedschaften und WMI‑Filter zuverlässig ausgewertet werden können.

Domic Vo.