[SBS2003] Permissions verkeerd na crash?

[Verwijderd]

Ik heb een SBS2003 die door een kapotte harde schijf is gecrashed. Nadat deze vervangen was leek alles gewoon goed te werken tot ik deze fout tegen kwam in de event log:

Windows cannot access the file gpt.ini for GPO CN={B4FAB572-823D-4B5E-8689-DA9101F05736},CN=Policies,CN=System,DC=<domein>,DC=local. The file must be present at the location <\\<domein>.local\SysVol\<domein>.local\Policies\{B4FAB572-823D-4B5E-8689-DA9101F05736}\gpt.ini>. (The system cannot find the file specified. ). Group Policy processing aborted.

Ik heb over deze foutmelding erg veel gevonden, maar niets dat hier werkt. Wat me nu opviel is dat als ik op de server zelf naar //<domein>/sysvol browse, er om gebruikersnaam en wachtwoord wordt gevraagd (en hierbij werkt de login van de administrator niet). Op //<domein> kan ik trouwens wel komen, maar op geen enkele van de subfolders, terwijl ik vanaf een werkstation zonder problemen overal op kan komen.

Ik heb nu alle permissions nagekeken, maar alles lijkt te kloppen, mijn vraag is of ik hier iets mis wat ook nog het probleem kan zijn?

[ Voor 4% gewijzigd door Verwijderd op 13-02-2007 09:46 ]

[Jazzy]

Twee tellen Google: How To Reset User Rights in the Default Domain Group Policy in Windows Server 2003

[Verwijderd]

Ik denk dat het probleem hier niet kan zitten, maar dat het ergens eerder al misgaat. Als ik bijvoorbeeld onder administrative tools op "domain controller security policy" click, dan krijg ik een foutmelding dat ik hier geen rechten toe heb en dan: "the system cannot find the path specified". Dat zal dan wel weer het pad //<domein>/nogwat zijn. Dus daar gaat het al mis meteen...

[Jazzy]

Waar staan die policies dan volgens jou?

[Verwijderd]

De policies waar hij toegang op probeer tte krijgen staan iig onder //<domein>/sysvol/nogwat en daar heb ik vanuit de server geen toegang op... lokaal wel op de c:\windows\sysvol\sysvol trouwens.

[Question Mark]

Probeer je default security even terug te zetten:

How to apply predefined security templates in Windows Server 2003

[Verwijderd]

Ik vind net ook nog een foutmelding "failed to find the domain controller", wellicht dat er in de dns iets is misgegaan. Is er ook voor dns een manier om de default settings terug te zetten?

[Question Mark]

Verwijderd schreef op dinsdag 13 februari 2007 @ 11:20:
Is er ook voor dns een manier om de default settings terug te zetten?

Nee, dat zul je handmatig aan moeten passen. Wel kun je met de tools "Netdiag" en "DCDiag" eenvoudig je netwerk- en DNS-settings troubleshooten. Beide tools maken onderdeel uit van de Support Tools.

[Jazzy]

Verwijderd schreef op dinsdag 13 februari 2007 @ 11:20:
Ik vind net ook nog een foutmelding "failed to find the domain controller", wellicht dat er in de dns iets is misgegaan. Is er ook voor dns een manier om de default settings terug te zetten?

Wat heb je nu al uitgevoerd van deze adviezen?

[Verwijderd]

Ik ben nu even aan het kijken naar die dns settings, ik wil eerst effe kijken of daar het probleem zit.

Dit geeft dcdiag:

C:\Program Files\Support Tools>dcdiag /fix

Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: Default-First-Site-Name\AD
Starting test: Connectivity
......................... AD passed test Connectivity

Doing primary tests

Testing server: Default-First-Site-Name\AD
Starting test: Replications
......................... AD passed test Replications
Starting test: NCSecDesc
......................... AD passed test NCSecDesc
Starting test: NetLogons
[AD] An net use or LsaPolicy operation failed with error 5, Access is d
enied..
......................... AD failed test NetLogons
Starting test: Advertising
......................... AD passed test Advertising
Starting test: KnowsOfRoleHolders
......................... AD passed test KnowsOfRoleHolders
Starting test: RidManager
......................... AD passed test RidManager
Starting test: MachineAccount
Could not open pipe with [AD]:failed with 5: Access is denied.
Could not get NetBIOSDomainName
Failed can not test for HOST SPN
Failed can not test for HOST SPN
* Missing SPN :(null)
* Missing SPN :(null)
......................... AD failed test MachineAccount
Starting test: Services
Could not open Remote ipc to [AD]:failed with 5: Access is denied.
......................... AD failed test Services
Starting test: ObjectsReplicated
......................... AD passed test ObjectsReplicated
Starting test: frssysvol
[AD] An net use or LsaPolicy operation failed with error 5, Access is d
enied..
......................... AD failed test frssysvol
Starting test: frsevent
......................... AD failed test frsevent
Starting test: kccevent
Failed to enumerate event log records, error Access is denied.
......................... AD failed test kccevent
Starting test: systemlog
Failed to enumerate event log records, error Access is denied.
......................... AD failed test systemlog
Starting test: VerifyReferences
......................... AD passed test VerifyReferences

Running partition tests on : ForestDnsZones
Starting test: CrossRefValidation
......................... ForestDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... ForestDnsZones passed test CheckSDRefDom

Running partition tests on : DomainDnsZones
Starting test: CrossRefValidation
......................... DomainDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... DomainDnsZones passed test CheckSDRefDom

Running partition tests on : Schema
Starting test: CrossRefValidation
......................... Schema passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Schema passed test CheckSDRefDom

Running partition tests on : Configuration
Starting test: CrossRefValidation
......................... Configuration passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Configuration passed test CheckSDRefDom

Running partition tests on : <domein>
Starting test: CrossRefValidation
......................... <domein> passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... <domein> passed test CheckSDRefDom

Running enterprise tests on : <domein>.local
Starting test: Intersite
......................... <domein>.local passed test Intersite
Starting test: FsmoCheck
......................... <domein>.local passed test FsmoCheck

[Jazzy]

Je krijgt een Access Denied op je SYSVOL en alles wat daarin zit. Ik begrijp niet waarom je nu overal zit te zoeken en niet gewoon de rechten herstelt met bovengenoemd artikel.

Wat verwacht je nu precies?

[Verwijderd]

Het is niet alleen sysvol, maar alle shares

//<dc>.<domein>/ kom ik gewoon op vanaf de server
//<domein>/ kom ik niet op vanaf de server
//<dc>.<domein>/eenshare/ kom ik niet op vanaf de server

Het er niet opkomen betekend dat ik een login scherm krijg waarop geen enkel wachtwoord werkt. Vanaf een werkstation kom ik overal wel gewoon op.

Vandaar dat ik dus aan het kijken was naar de dns instellingen, want de permissions lijken gewoon goed te staan...

[Question Mark]

Lijkt dus gewoon op een security setting die niet goed staat:

You cannot open file shares or Group Policy snap-ins when you disable SMB signing for the Workstation or Server service on a domain controller

Symptomen en errors zijn identiek aan de jouwe. Uit het artikel

CAUSE
This behavior occurs if the SMB signing settings for the Workstation service and for the Server service contradict each other. When you configure the domain controller in this way, the Workstation service on the domain controller cannot connect to the domain controller's Sysvol share.

Also, if SMB signing policies are set by the default domain controller security policy, the problem affects all the domain controllers on the network. Therefore, Group Policy replication in the Active Directory directory service will fail, and you will not be able to edit Group Policy to undo these settings.

Oplossing staat in het artikel genoemd.

[Verwijderd]

Die heb ik ook al bekeken, maar ik kan de Group Policy snapins wel gewoon openen (maar geen msi's meer deployen: "Cannot extract deployment information").

Ik kan wel de domain controller security policy en domain security policy snapins niet openen, hierbij krijg ik de error: "you may not have the appropriate rights -> system cannot find the path specified".

Ik heb heel google al afgezocht maar nergens heb ik een oplossing kunnen vinden voor ditzelfde probleem, alleen problemen die er wat op lijken...

[Jazzy]

Wat gebeurde er toen je de default security template opnieuw toepaste?

[Verwijderd]

Heb ik gedaan, blijft hetzelfde probleem geven.

[Question Mark]

Verwijderd schreef op woensdag 14 februari 2007 @ 09:00:
Die heb ik ook al bekeken, maar ik kan de Group Policy snapins wel gewoon openen (maar geen msi's meer deployen: "Cannot extract deployment information").

Maar heb je de resolution dan ook al uitgevoerd? De errors en symptomen zijn exact gelijk aan wat jij ervaart.

Iets meer info over wat je precies gedaan en getest hebt zou wel gewenst zijn.

[Verwijderd]

Die van "You cannot open file shares or Group Policy snap-ins when you disable SMB signing for the Workstation or Server service on a domain controller" is ook uitgevoerd, veranderd niets.

De kern van het probleem blijft dat ik vanaf een werkstation op //<domein>/willekeurigeshare kan komen (bijv. sysvol), maar vanaf de server zelf niet (wel op //<domeinnaam> trouwens), dan vraagt hij op een username en password (die nooit werkt). Alle permissions staan nu helemaal goed dus het probleem komt ergens anders van... ik heb geen enkel idee waar ik nu nog kan zoeken...

[Question Mark]

Verwijderd schreef op woensdag 14 februari 2007 @ 09:00:
Ik kan de domain controller security policy en domain security policy snapins niet openen, hierbij krijg ik de error: "you may not have the appropriate rights -> system cannot find the path specified".

Verwijderd schreef op woensdag 14 februari 2007 @ 11:41:
De kern van het probleem blijft dat ik vanaf een werkstation op //<domein>/willekeurigeshare kan komen (bijv. sysvol), maar vanaf de server zelf niet

Kun je de snapins wel vanaf een workstation openen en editten? (aangezien je vanaf een werkplek wel op de shares kunt komen).

Je test trouwens zowel op de DC als de werkplek wel met hetzelfde account? Probeer ook eens te testen op de DC met een ander account.

[Verwijderd]

Ik teste inderdaad niet met hetzelfde account, maar nu blijkt dat ik op de werkplek niet als domein-administrator op het domein kan inloggen...

[Question Mark]

Waarschijnlijk problemen met dit domain-admin account.

Probeer eens aan te loggen op de DC met een ander admin account en test nog eens.

[Verwijderd]

Ik heb het probleem op kunnen lossen, iemand gaf me de tip dat het opnieuw installeren van file en printersharing misschien zou helpen. Dit heeft inderdaad de meeste foutmeldingen opgelost, dus bij die crashe was daar iets aan kapotgegaan waarschijnlijk.

Nu is alleen nog het probleem met de administrator account waarop ik vanaf een werkstation niet kan inloggen en bij het toekennen van rechten aan groepen waar administrator in zit blijkt administrator toch vaak geen toegang te krijgen... Maar goed, ik ben alweer iets verder.