[Win2k Server] Gebruikers niet op alle machines inloggen

[MdO82]

Hallo,

De titeltopic zal niet helemaal juist zijn, maar ik zal het hier maar eens uitleggen .
We hebben op dit moment een Windows 2000 Mixed domein.

We hebben 1 hoofddomein en ongeveer 25 subdomeinen.
Dat is even een kleine schets hoe het netwerk opgedeelt is.

We hebben 160 nieuwe werkstations ontvangen.
Deze machines worden ingericht met Win2k met ArcGis 9.2
Diegene die ArcGis niet kennen.
Dit is een pakket die wij gebruiken om landschappen te tekenen.


Wat willen we doen?
De nieuwe machines worden naast de huidige machines geplaatst.
De gebruikers krijgen een nieuw useraccount die alléén mag inloggen op dit werkstation via het domein dus niet lokaal.
Collega's die hetzelfde werk doen mogen deze pc's ook gebruiken, maar andere collega's mogen niet inloggen.

Het domein is zo bij ons geregeld dat we gebruik maken van Roaming profiles.

Waarom een aparte opzet naast de huidige werkstation ?
We willen nu eindelijk eens een standaard op gaan zetten zodat alle medewerkers dezelfde software krijgen, maar in de tussentijd dat we hiermee bezig zijn moeten de gebruikers hun eigen werk nog kunnen doen. We kunnen het niet voor elkaar krijgen dat we tegen de gebruiker zeggen ja, sorry maar je kan je werk niet doen want dat mag niet.

Je kan in de active directory instellen dat een gebruiker op een bepaald aantal machines kan inloggen.
Om dit in te stellen moet je per account aangeven welke pc de gebruiker mag gebruiken.
Om dit bij een aantal gebruikers te doen is geen probleem, maar bij 150 á 200 wordt dat een beetje veel.

Is dit mogelijk door wellicht een GPO te regelen ?

[alt-92]

Ehm..

Ga rolebased werken?
Oftewel: geef op de nieuwe machines alleen login rechten aan een security group (je rol) waarin die accounts van die personen in zitten?

Dat kan je weer via je local security templates (allow logon locally) instellen, en die kan je weer met een GPO uitrollen.

[ Voor 27% gewijzigd door alt-92 op 22-03-2007 21:30 ]

[MdO82]

alt-92 schreef op donderdag 22 maart 2007 @ 21:23:
Ehm..

Ga rolebased werken?
Oftewel: geef op de nieuwe machines alleen login rechten aan een security group (je rol) waarin die accounts van die personen in zitten?

Dat kan je weer via je local security templates (allow logon locally) instellen, en die kan je weer met een GPO uitrollen.

Dit is niet helemaal wat wij bedoelen, maar wellicht heb ik het verkeerd uitgelegd in mijn verhaal.
De gebruikers mogen niet lokaal inloggen op welke machine dan ook dat mogen alleen de beheerders.
Wij willen het alleen voor elkaar krijgen dat een groep gebruikers mag inloggen op een bepaald aantal machines en andere medewerkers mogen dit niet.
Wat je aangaf om dit te regelen via allow logon locally dan kunnen de gebruikers op de machine zelf inloggen en niet via het domein.
Wellicht begrijpen we elkaar niet helemaal, maar dat kan natuurlijk

even kort samengevat.

Gebruikers in Groep A mogen inloggen op de PC A en B gebruikers van Groep B mogen inloggen op PC B en niet op A.

Hopelijk schept dit meer duidelijkheid.

[alt-92]

MdO82 schreef op donderdag 22 maart 2007 @ 22:42:
Wellicht begrijpen we elkaar niet helemaal, maar dat kan natuurlijk

Ik weet het wel zeker

even kort samengevat.

Gebruikers in Groep A mogen inloggen op de PC A en B gebruikers van Groep B mogen inloggen op PC B en niet op A.

Hopelijk schept dit meer duidelijkheid.

Lees voor Groep A Rol A en je hebt precies wat ik bedoel.
En "allow logon locally" moet je zien als aanmelden @ console (dus niet over netwerk/share of Remote Desktop).
Kijk voor een voorbeeld naar je local security policy, local policy > user rights assignment.

Client, service, and program incompatibilities that may occur when you modify security settings and user rights assignments

Daar lezen we onder meer:

d. Reasons to remove this user right
• Failure to restrict console access to legitimate user accounts could result in unauthorized users downloading and executing malicious code to change their user rights.
• Removal of the Allow log on locally user right prevents unauthorized logons on the consoles of computers, such as domain controllers or application servers.
• Removal of this logon right prevents non-domain accounts from logging on at the console of member computers in the domain.

Dus als je de default (domain)Users vervangt door de desbetreffende rol heb je precies wat je wilt.

[ Voor 30% gewijzigd door alt-92 op 22-03-2007 23:02 ]

[Verwijderd]

PC,s van de A-klasse moeten dan dus wel in aparte OU? En dan GPO koppelen met Allow log on locally voor de A-users?

[ Voor 36% gewijzigd door Verwijderd op 23-03-2007 18:27 ]

[alt-92]

Verwijderd schreef op vrijdag 23 maart 2007 @ 18:24:
PC,s van de A-klasse moeten dan dus wel in aparte OU? En dan GPO koppelen met Allow log on locally voor de A-users?

Of met een WMI filter als het allemaal dezelfde series betreft.
Selecteer bijvoorbeeld op chassis serie of een andere identifier die specifiek is voor de nieuwe PCs.