Lesezeichen per GPO verteilt - User funktioniert nicht

Ich verteile einige Einstellungen von Firefox mittels GPO, darunter auch Lesezeichen für alle Computer in der Domäne, also Computerkonfiguration. Das funktioniert.

Für Leute die in der Administration tätig sind möchte ich noch ein weiteres Lesezeichen verteilen. Dfür habe ich eine eigene GPO erstellt, welche auf Benutzerobjekte angewandt wird, die in der Gruppe für Administratoren sind (Benutzerkonfiguration). Diese GPO wird laut "gpresult -r" bei mir auch angewandt, aber das Lesezeichen erscheint nicht.

 Der Benutzer ist Mitglied der folgenden Sicherheitsgruppen
    ----------------------------------------------------------
        Domänen-Benutzer
        Jeder
        Remotedesktopbenutzer
        Benutzer
        Leistungsprotokollbenutzer
        INTERAKTIVE REMOTEANMELDUNG
        INTERAKTIV
        Authentifizierte Benutzer
        Diese Organisation
        LOKAL
        [... weitere ...]
        GG_GPO_Lesezeichen-EDV
        [... weitere ...]

Hat mir jemand eine Idee, wo das Problem liegen könnte?

Also ich benutze die Richtlinie unter "Benutzerkonfiguration" -> "Administrative Vorlagen" -> "Mozilla" -> "Firefox" -> "Lesezeichen" -> "Lesezeichen 01".

Einen Fehler-Reiter gibt es nicht.

Verwendet wird ein Windows Server 2022, Client ist ein Windows 10, 22H2 und Firefox ist Version 127.0, also zum Zeitpunkt der Fragestellung aktuell.

Wenn ihr weitere Infos benötigt lasst es mich bitte wissen.

Edit: Ach, ihr braucht natürlich noch die Information, welche Gruppenrichtlinien angewandt werden. Ich hatte nur die Sicherheitsgruppen gepostet.

Angewendete Gruppenrichtlinienobjekte
    --------------------------------------
        [...]
        [User] Lesezeichen-EDV
        [...]

Nein. Es tauchen nur die Lesezeichen auf, welche über die GPO verteilt werden, welche für alle Clients gilt.

Ich habe jetzt am gleichen GPO-Objekt mal testweise "about:config" blockiert. Sobald diese Änderung mit "gpupdate /force" am Client übernommen wurde konnte ich auch nicht mehr auf "about:config" zugreifen.

Das bedeutet also, dass das Richtlinienobjekt gezogen und angewandt wird.

Kann es sein, dass sich die GPO-Einstellungen für die Lesezeichen, welche für alle Clients gelten und die Einstellung für die Lesezeichen, die nur für ausgewälte Benutzer gelten sollen gegenseitig in die Quere kommen und letztens dann die Einstellung für alle, bzw. Computer "gewinnt" und die für User ignoriert wird?

Ich habe das Problem gefunden. In meiner Konfiguration steckt ein Deckfehler.

Hier die Lösung, falls noch wer anders darüber stolpert.

Zuerdt nochmal die Konfiguration:

Ich habe die Default GPO Lesezeichen und dort Lesezeichen 01, Lesezeichen 02. und so weiter konfiguriert. Diese gelten für alle Clients an der Domäne. (Authentifizierte Benutzer)

Nun habe ich ja noch die GPO für die Lesezeichen die nur die EDV erhalten soll und dort wieder Lesezeichen 01, Lesezeichen 02. und so weiter konfiguriert. Über die Sicherheitsfilterung wurden die Authentifizierte Benutzer entfernt und die Gruppe der EDV dafür rein (Nicht vergessen Authentifizierte Benutzer in die Delegierung lesend wieder einzufügen)

Nun passiert folgendes:

Die GPO der Lesezeichen für die EDV wird gelesen und konfiguriert. Da aber unter Clients ebenfalls Lesezeichen konfiguriert sind und in dem Fall die Client-Einstellung gewinnt wird die GPO der Lesezeichen für die EDV direkt wieder überschrieben. Daher gibt es auch keine Fehler im Ereignisprotokoll oder so, denn die Richtlinien werden ja ordnungsgemäß verarbeitet.

Die Lösung:

Man muss zuerst einmal die Lesezeichen für die Clients entfernen. Anschließend für die Benutzer zwei Richtlinien erstellen. Einmal die Lesezeichen für die Standardbenutzer und dann die Lesezeichen für die EDV.

Dabei muss man dann auch bei der EDV die Standardlesezeichen wieder eintragen, also von Lesezeichen 01 bis Lesezeichen XX und anschließend dann halt noch die zusätzlichen Lesezeichen für die EDV. Würde man jetzt direkt bei Lesezeichen 01 anfangen, und dort die Lesezeichen speziell für die EDV eintragen würden sich die GPOs wieder überschreiben und entweder wären nur die Lesezeichen der EDV da oder nur die Standardlesezeichen (Je nach Gruppenrichtlinenvererbung).

Deswegen muss man beachten, dass die Lesezeichen der EDV eine niedrige Zahl bei der Gruppenrichtlinenvererbung hat, damit diese erst nach den Standard Lesezeichen verarbeitet wird.

Nun aber das was ich dachte, gerne hätte und Frage an die Community:

Jetzt gibt es in einem Unternehmen aber nicht nur Standard und EDV, sondern auch noch Verwaltung, Buchhaltung, Personalwesen und was weis ich nicht alles.

Natürlich könnte man nun für jeden dieser Bereiche eine extra Lesezeichen GPO erstellen. Soweit kein Problem.

Was aber, wenn einzelne Personen aus der Verwaltung auch EDV machenund deswegen zusätzlich die Lesezeichen der EDV benötigen? Oder wenn Verwaltungskräfte auch Buchhaltung machen? Oder was wenn (hier Konstellation einfügen) So viele verschiedene GPOs kann und will niemand pflegen.

Ich hätte gerne die Möglichkeit neben den Standardlesezeichen, noch zusätzlich Lesezeichen mit zu geben, die benötigt werden.

Schön wäre es halt, wenn es so funktionieren würde, wie ich dachte, dass es funktioniert. Nämlich, dass die GPO der Standardlesenzeichen abgearbeitet wird und dann die EDV Lesezeichen zusätzlich! hinzugefügt werden würden und und je nach Rechtevergabe eben noch mehr zusätzlice Lesezeichen.

Hoffe ich konnte meine Denkweise und das was ich bezwecken will vermitteln.

Gibt es dafür eine Lösung?