rechten lokaal versus server

[benprint]

Wij hebben een probleem we hebben een klant met 40 gebruikers. Ze zitten achter elkaars computer en we moeten ze lokaal administrator maken om een printer te installeren. op verschillende computers. Dit is best veel werk. bij mijn weten kun je dit ook regelen vanuit het domein.via de gpo ik dacht heel simpel door een groep te maken de mensen lid te maken om een printer lokaal te instaleren. maar die optie is nergens te vinden(voor mij).op de server mischien iemand die mij in de richting kan sturen. De situatie is w2k ad en een stuk of 20 windows2000 clients. Ik ben bij google geweest en heb de got doorzocht maar geen goede oplossing kunnen vinden.

[mbaltus]

Nou, voorlopig ben je er nog niet.
Als je met policies wilt werken, dan zul je die los moeten laten op een OU (dat staat dus helemaal los van Windows groepen). MAAR voordat je hier aan begint, zou ik me eens goed inlezen, want je zult niet de eerste zijn die z'n policies zo verprutst dat hij zelf niets meer kan!

Overigens is het volgens mij niet nodig om een op het netwerk gedeelde printer (via de AD bijvoorbeeld) toe te voegen op de lokale PC. Hiervoor hoef je geen local admin of PU rechten te hebben.

[benprint]

Via netwerk lukt het ook wel dus een netwerk printer installeren als end user is ook geen probleem maar een lokale printer gaat niet. De optie van netwerkprinter is alleen maar te kiezen via de wizzard.

[alt-92]

Ook niet als je ze Printer Operators maakt?
Niet getest hoor.

(en anders werkt runas /<admin> ncpa.cpl ook nog wel om een Admin-powered Explorer shell te krijgen).

[mbaltus]

@BackSlash32: Is dat niet een groep op de DC waaraan alle Domain Users al zijn toegevoegd?

@benprint: Sorry, begreep niet dat het om lokaal aangesloten printers ging. Voor een uitleg waarom dat niet kan, zie MS KB artikel 297780.

Het enige dat je dus kunt doen is de gebruikers lid maken van de lokale Power Users groep op een PC en deze de in het KB artikel beschreven rechten erbij geven. Als het een selecte groep is, dan kun je er ook een aparte Windows groep van maken.

Ik hoop dat dit helpt....

edit:
typo

[ Voor 3% gewijzigd door mbaltus op 20-04-2006 12:46 ]

[benprint]

Is die niet vanuit de ds via de gpo te regelen dan?????????? omdat de andere settings wel lukken vanuit de ds hide icons on desktop en dat soort dingen.

[Romke]

Ik meende idd. dat er via gpedit.msc (Groepsbeleid/Group Policy) een mogelijkheid is om users de rechten te geven om drivers de loaden en unloaden.

Ik zal ff een windows bak hier zoeken.

edit:

Op mijn laptop is het (in het engels):

Local Computer Policy -> Computer Configuration -> Security Setting -> Local Policies -> User Rights Assignment

Daar kan ik 'Load and unload device drivers' toewijzen aan de groep 'users'

[ Voor 40% gewijzigd door Romke op 20-04-2006 19:31 ]

[benprint]

Dat heb ik geprobeerd maar dit lukte niet. Moet erbij opmerken dat als ik lokaal inlog ik wel de mogelijkheid heb om een lokale printer te installeren.Dus alleen als ik als gebruiker ingelog op het domain gaat het niet goed.

[mbaltus]

benprint schreef op vrijdag 21 april 2006 @ 13:29:
... opmerken dat als ik lokaal inlog ik wel de mogelijkheid heb om een lokale printer te installeren.Dus alleen als ik als gebruiker ingelog op het domain gaat het niet goed.

Maar log je lokaal dan in als administrator/power user?

[benprint]

Ik ben dan hoofdgebruiker dus geen administrator. Is dit ook via de gpo van de server te regelen, zodat ik niet langs elk werkstation moet gaan om alle gebruikers aan te maken en de rechten te veranderen

[ajhaverkamp]

benprint schreef op vrijdag 21 april 2006 @ 14:41:
Ik ben dan hoofdgebruiker dus geen administrator. Is dit ook via de gpo van de server te regelen, zodat ik niet langs elk werkstation moet gaan om alle gebruikers aan te maken en de rechten te veranderen

De gebruikers bestaan dus niet in het domein, maar zijn enkel als lokale gebruikers aangemaakt????

[Verwijderd]

Is het niet handiger om al die printers te delen op de lokale pc, opnemen in de AD en dan als netwerk printer te gebruiken daar hebben ze dan ook geen rechten voor nodig? of gewoon een centrale printer neerzetten dat gebruikers die printer gaan gebruiken (ook goedkoper dacht ik zo)

Andere oplossing is dmv een inlog script alle gebruikers lid te maken van de power users/administrators group. Ik heb tot nu toe deze optie niet kunnen vinden in de gp. Ook is er geen standaard groep in de AD voor lokale rechten.

[ Voor 4% gewijzigd door Verwijderd op 21-04-2006 15:08 ]

[benprint]

De gebruikers zijn allemaal aangemaakt op de server dus niet lokaal op een werkstation het was ook niet de bedoeling. Want dan is het juist een hell of a job per computer alle gebruikers aanmaken ppffff.
Maar als het technisch niet anders kan dan moet het maar.

[mbaltus]

En als je als administrator nou op de betreffende PC de printer aanmaakt en ervoor zorgt dat de gebruikers van deze printer gebruik kunnen maken. Een goede eerste aanzet hiervan is hier te vinden.

edit:
typo

[ Voor 8% gewijzigd door mbaltus op 21-04-2006 15:32 ]

[Verwijderd]

Verwijderd schreef op vrijdag 21 april 2006 @ 15:00:
Is het niet handiger om al die printers te delen op de lokale pc, opnemen in de AD en dan als netwerk printer te gebruiken daar hebben ze dan ook geen rechten voor nodig? of gewoon een centrale printer neerzetten dat gebruikers die printer gaan gebruiken (ook goedkoper dacht ik zo)

Andere oplossing is dmv een inlog script alle gebruikers lid te maken van de power users/administrators group. Ik heb tot nu toe deze optie niet kunnen vinden in de gp. Ook is er geen standaard groep in de AD voor lokale rechten.

restricted group policy waarmee je dus een domain group in een lokale group kan stoppen (kijk wel uit dat je niet teveel uit de groepen haalt).

[Verwijderd]

benprint schreef op vrijdag 21 april 2006 @ 15:27:
De gebruikers zijn allemaal aangemaakt op de server dus niet lokaal op een werkstation het was ook niet de bedoeling. Want dan is het juist een hell of a job per computer alle gebruikers aanmaken ppffff.
Maar als het technisch niet anders kan dan moet het maar.

Ik snap niet precies wat je hiermee bedoelt. Maar lokaal gebruikers aanmaken is helemaal niet nodig.

laten we eerst even kijken: Om hoeveel printers gaat het hier?
Hoeveel wisselende gebruikers (kan me niet voorstellen dat alle gebruikers continu wisselen)
Waarom zijn alle printers lokaal?
Is het misschien een id om een simpele printserver aan te schaffen?

Zo niet waarom wil je het persee lokaal houden?

[Romke]

Simpele printserver (bijv. mijn Linksys PSUS4) maakt nog steeds een lokale poort aan en ziet de printer als een lokaal ding.