[2003] Internet explorer maintenance policies werken niet

[Verwijderd]

Ik draai een windows 2003 Enterprise edition server met domein + ad. De clients met Windows xp pro sp2 staan allemaal in het domein aangemeld en de computerpolicies worden goed toegepast. Maar de internet explorer policies bij de user configuration niet(users hebben allemaal een roaming profile), de rest van de user policies wel. Als ik op de client met rsop.msc kijk zie ik bij user configuration een uitroepteken staan, ook gpupdate helpt niet en gpresult zegt dat de policy gewoon wordt toegepast.

Ik heb al met de search gezocht:
http://gathering.tweakers...D=&select_forum=#hitstart
http://gathering.tweakers...-A&select_forum=#hitstart

Wie weet wat ik moet doen?

Als ik op de server met de account inlog leest ie de policy trouwens wel gewoon.

[alt-92]

als gpresult zegt dat de policy wel toegepast is, maar rsop geeft aan dat niet alle settings doorkomen zou je met gpmc natuurlijk ook kunnen kijken waarom die settings niet meegegeven worden

[Verwijderd]

gpmc zegt '' internet explorer branding failed due te error listed below and failed to log resultant set of policy informayion''

''additional information may have been logged. review the policy events tab in the console of the application event log for events.''

ga ik naar logboeken/toepassing geeft ie n fout aan met als bron usernv:'' de groepsbeleidextensie van de client internet explorer branding kan geen RSoP-gegevens in het logboek registreren. Controleer of er al eerder fouten zijn gerapporteerd door deze extensie.''

RsoP geeft trouwens aan dat de volgende .adm files niet kunnen geladen worden:
wmplayer.adm
locatie: \\computer\admin$\system32\grouppolicy\adm\wmplayer.adm
fout: toegang geweigerd
inetres.adm
locatie: \\computer\admin$\system32\grouppolicy\adm\inetres.adm
fout: toegang geweigerd
conf.adm
locatie: \\computer\admin$\system32\grouppolicy\adm\conf.adm
fout: toegang geweigerd
system.adm
locatie: \\computer\admin$\system32\grouppolicy\adm\system.adm
fout: toegang geweigerd''
wuau.adm
locatie: \\computer\admin$\system32\grouppolicy\adm\quau.adm
fout: toegang geweigerd.

Op de map group policy staan de rechten: geverifieerde gebruikers, alle rechten behalve schrijven.
Dit is dus een lokale fout lijkt me.

[alt-92]

Is niet zo vreemd natuurlijk als je dat UNC pad bekijkt.... Vanaf welk systeem heb je die GPOs ingesteld joh?

[Verwijderd]

Ik heb de GPO's ingesteld vanaf de server, en //computer bedoel ik dus het workstation mee, maar m'n rechten staan dus niet goed op de grouppolicy map in system32?

[alt-92]

Daar hoef je niet eens aan te zitten, default permissies staan goed.

Heb je soms ingesteld staan dat de GPOs altijd de lokale adms moeten gebruiken van de machine ipv die van de server?

[Verwijderd]

nee, want alleen op m'n server heb ik office 2003 adm's geinstalleerd en niet op de client en die werken wel gewoon. En de andere policies vanaf de server ingesteld werken wel gewoon(''prohibit access to the controlpanel'' bv) en die zit volgens mij is system.adm en die krijgt ook de foutmelding vanaf het workstation.

edit: Ook in een nieuwe ou met een nieuwe GPO geeft ie de fout, lijkt me dus helemaal niet dat de policies vanaf het lokale systeem worden gedraaid. Ik ga zo even een nieuwe XP image erop zetten en dan kijken of het werkt.

[ Voor 30% gewijzigd door Verwijderd op 26-12-2005 13:17 ]

[mutsje]

als je met images werkt hou er rekening mee als dit image reeds aangemeld was bij het domain dat je kerberos ticket voor het computeraccount dan verlopen zijn dus krijg je geen goede aanmelding op het domain. Uit het domain verwijderen en opnieuw toevoegen zou de trick moeten doen. Verder zou ik zo weinig mogelijk unc paths in policies verwerken of je moet al met redirect policies werken (folder redirection).

Verder zoals al vermeld in een e-mail naar je ga geen policies op je server instellen hiermee kan je je server behoorlijk in de prak helpen met alle gevolgen van dien.

[Verwijderd]

Ik meld het systeem steeds opnieuw aan in het domein bij een nieuwe installatie, en ik gebruik met de test GPO geen folder redirection, want daar geeft hij wel een error op, maar de redirection werkt wel gewoon. Als ik met gpedit.msc een lokale internet explorer maintenance policy aanmaak werkt die wel gewoon terwijl hij wel dezelfde ADM files gebruikt als met een domain policy.

Dit zei eventid over het event id:
Source: Userenv
Type: Error
Description: The Group Policy client-side extension IP Security failed to log RSOP (Resultant Set of Policy) data. Please look for any errors reported earlier by that extension.

De client geeft ook aan dat hij hem niet kan loggen in de RSOP data...

[MrJ]

Ik had een tijdje geleden een soortgelijk probleem.

Dat bleek uiteindelijk te liggen aan het feit dat ik de GPO via mijn XP machine maakte. Deze op de 2k3 machine aanmaken was hier toen de oplossing...

[Verwijderd]

Ik heb naar mijn weten lokaal geen GPO'S ingesteld, kan het toevallig aan mijn DNS server liggen?
Ik ga het nu even testen op een Win 2k Pro machine, even kijken of het daar wel werkt.

[Verwijderd]

En nou komt het vage.... Win 2k systemen lezen de policy wel uit maar windows xp systemen niet...

[Verwijderd]

en de gebruikers zijn op win2k wel local admin maar niet op xp?
(admin$ is admin share en moet je dus local admin voor zijn om daar rechten te hebben; dit in tegenstelling tot policies op je server, die de sysvol share proberen te benaderen en elke domain user heeft hier read rechten).

[Verwijderd]

nee, op beide geen local admin..

Moet ik iedere user dan local admin maken op het workstation?

Hm, dat werkt ook al niet.

[ Voor 66% gewijzigd door Verwijderd op 27-12-2005 16:16 ]

[mutsje]

geef het eventid nummertje eens dan kunnen wij meezoeken. er staat altijd een nummer bij.

[Verwijderd]

Het was het eventid 1091.

[alt-92]

MrJ schreef op dinsdag 27 december 2005 @ 11:18:
Ik had een tijdje geleden een soortgelijk probleem.

Dat bleek uiteindelijk te liggen aan het feit dat ik de GPO via mijn XP machine maakte. Deze op de 2k3 machine aanmaken was hier toen de oplossing...

Dat is één oplossing.

Je kan ook kiezen het gedrag van je GPOs met betrekking tot het meenemen van adm templates te beinvloeden (al zou dat niet nodig moeten zijn; als je met een admin-user vanaf een XP sp2 werkstation met GPMC policies voor je domain aanmaakt levert dat met default settings niet dit soort problemen op).

Dat je policies naar \\pc\admin$\reuteldereutel kijken klopt gewoon voor geen meter.

[ Voor 7% gewijzigd door alt-92 op 27-12-2005 19:36 ]

[Verwijderd]

nee, inderdaad, maar het windows 2000 pro systeem doet het wel goed(daar ben ik ook geen admin), hij hoort toch gewoon naar je server policies te kijken ipv naar lokale policies?

En als hij de lokale ADM files al niet kan benaderen waarom werken de andere policies dan wel?

Moet ik eens de lokale adm's op een andere lokatie zetten en kijken wat hij dan doet?

[ Voor 37% gewijzigd door Verwijderd op 27-12-2005 20:07 ]

[ZeRoC00L]

Heb je ook folderredirections in dezelfde policy zitten ??
http://support.microsoft.com/?kbid=888254

[Verwijderd]

Folder redirections werken idd ook niet helemaal fijn..

Ik heb de instructies(van die registerkeys toevoegen) gedaan, maar dit mocht ook niet helpen.

[ Voor 48% gewijzigd door Verwijderd op 27-12-2005 21:23 ]

[ZeRoC00L]

Verwijderd schreef op dinsdag 27 december 2005 @ 20:33:
Folder redirections werken idd ook niet helemaal fijn..

Ik heb de instructies(van die registerkeys toevoegen) gedaan, maar dit mocht ook niet helpen.

Nee, je moet ook de hotfix bij microsoft 'bestellen' !

[Verwijderd]

hm, hotfix geinstalleerd, het probleem is opgelost!

[ Voor 41% gewijzigd door Verwijderd op 28-12-2005 16:18 ]