Mir sind ein paar Dinge aufgefallen, was die Gruppen school-admin und global-admin betrifft:
Genereller Unterschied von school-admins zu global-admins: Bei mir (LML7.3) ist es so, dass ein school-admin sich zwar auf der WebUI anmelden darf, aber scheinbar nicht zum installieren von Software auf Domänen-Clients (Windows) berechtigt ist. Ist das so gewollt?
Noch merkwürdiges ist folgendes Verhalten: Anlegen eines neuen school-admin (z.b s-admin)→ sofort wieder löschen → Anlegen eines neuen global-admin mit dem gleichen Namen (wieder s-admin) → kann auch keine Software auf Domänen-Clients installieren.
Nur global-admin, welcher direkt als solcher angelegt wurde, kann Software installieren.
Die verwendete Richtlinie hängt davon ab, welche Reichweite das ganze haben soll. “sophomorix:school:default-school” ist gefährlich, falls die mal irgendwie neu erstellt wird. “Default Domain Policy” wirkt gleich auf die ganze Domäne.
von der Änderung der Default Domain Policy wird in jeder Windows-Server-Schulung abgeraten, da diese nicht einfach auf den ursprünglichen Zustand zurückgesetzt werden kann und nicht alle Standardwerte vollständig dokumentiert sind. Das heißt im Fehlerfall hat man keine einfache Möglichkeit zu den Ursprugswerten zurückzukehren. Besser ist es daher auf gleicher Ebene eine neue Richtlinie anzulegen und über die Verknüpfungsreihenfolge (Link Order) die Einstellungen der Default Domain Policy zu überlagern/überschreiben.
