[Win2k3] Rechten verschil admins / Full control

[Ropniko]

Situatie
Wij hebben een antiek voorraad programma draaien waarmee een aantal personen nog steeds werkt. Dit programma heet Micro-legger en dat maakt gebruikt van RMCobol / de Cobol programmeertaal. Het programma heeft bepaalde mappen nodig om te kunnen draaien. Deze mappen stonden vroeger op een NT4 server, wat zonder problemen werkte.

Sinds 2006 zijn we overgestapt op een complete Win2k3 omgeving. Daarbij is ook het oude programma overgezet om die langzaam uit te faseren. Met de overgang hebben we al wat problemen gehad om het programma aan de praat te krijgen. Gelukkig vonden we een manier om het toch te laten draaien. Dit deden wij met een cmd bestandje met net use f: \\server\share paswoord /user:domein\loginnaam. Dat werkte opzich prima.

Tot eigenlijk een paar dagen geleden. Nu komt de melding 1219 steeds naar voren. Met de tekst:

Meerdere verbindingen met een server of een gedeelde bron van een gebruiker die meerdere gebruikersnamen gebruikt, zijn niet toegestaan. Verbreek alle eerdere verbindingen met de server of de gedeelde bron en probeer opnieuw..

Uiteraard heeft dit te maken met de manier van het aanmaken van de mapping dmv het administrator wachtwoord. Dat gebeurd na het aanmelden van de gebruikers en hij zal daarom waarschijnlijk deze melding geven. Vervolgens heb ik de mapping normaal gezet dus zonder login en paswoord (net use f: \\server\share\. En daar komt het aparte, vervolgens werkt de applicatie Micro-legger niet meer. het programma heeft blijkbaar iets nodig wat de administrator groep heeft maar wat ik niet kan instellen.

Na veel dingen geprobeerd te hebben (mappings anders aan laten maken, wissen van alle mappings, rechten toekennen aan de groepen, gebruikers in aparte groep plaatsen en opnieuw rechten geven, Cobol FAQ doorgenomen enz) ben ik echter geen steek verder gekomen. Zelfs het aanpassen van de eigenaar van de map werkt niet. Het programma werkt alleen als ik gebruikers toevoeg aan de groep Administrators maar dat is helaas niet de juiste oplossing vanwege een hoop andere gevoelige informatie op het netwerk.

Heeft iemand enig idee wat ik nog kan doen? En wat is het verschil tussen fullcontrol over een map (beveiliging > geavanceerd en daar gebruikers(groepen) toevoegen).

Overigens ook al met FilMon en RegMon zitten neuzen maar daar kan ik niet ontdekken waar de fout zit. Met RegMon zie ik geen verandering tussen een koppeling die werkt en een koppeling die niet werkt. En bij FilMon zie ik wel een aantal Not Founds staan maar geen Access Denied oid. Een verdere analyse van de logbestanden van Filmon laten wel een groot verschil zien in het aantal te openen bestanden, echter bij de instelling waarbij het programma niet draait, opent hij sowieso niks op het netwerk. Terwijl als ik admin ben hij dus wel bestanden gaat opzoeken op het netwerk.

[ Voor 10% gewijzigd door Ropniko op 24-08-2007 10:00 ]

[sh4dow]

Misschien een idee om een nieuwe gebruiker aan te maken, en deze lid te maken van de groep Administrators. Daarna met dit nieuwe account de netwerk verbinding openen met net use.

[Ropniko]

sh4dow schreef op vrijdag 24 augustus 2007 @ 10:01:
Misschien een idee om een nieuwe gebruiker aan te maken, en deze lid te maken van de groep Administrators. Daarna met dit nieuwe account de netwerk verbinding openen met net use.

Helaas lukt dit ook niet, op de een of andere manier weigert de server 2 accounts toe te laten vanaf dezelfde verbinding.

[elevator]

Dat is niet op de een of andere manier - dat is 'gewoon' een beperking die in Windows ingebakken zit (per 'verbindingsnaam' kan je maar met 1 gebruiker authenticeren).

Ik zeg 'verbindingsnaam' omdat je dus wel twee verbindingen kan maken, namelijk eentje op hostname (\\server\share$), en eentje op IP address (\\192.168.1.100\c$\) waarmee je je probleem dus theoretisch zou kunnen oplossen.

Wat ik echter raar vindt is de uitleg van je probleem - het lijkt mij er eigenlijk op dat er iets anders mis, als het namelijk enkel maar om een fileshare gaat (en er wordt dus niks anders gedaan dat heel het programma onder die user loopt, bijvoorbeeld) dan is er niks 'speciaals' aan een administrator account.

De vraag is dan ook een beetje - heb je niet per ongeluk bijvoorbeeld vergeten de share permissies aan te passen en op die manier enkel de NTFS permissies aangepast?

[Ropniko]

elevator schreef op vrijdag 24 augustus 2007 @ 10:32:
Dat is niet op de een of andere manier - dat is 'gewoon' een beperking die in Windows ingebakken zit (per 'verbindingsnaam' kan je maar met 1 gebruiker authenticeren).

Ik zeg 'verbindingsnaam' omdat je dus wel twee verbindingen kan maken, namelijk eentje op hostname (\\server\share$), en eentje op IP address (\\192.168.1.100\c$\) waarmee je je probleem dus theoretisch zou kunnen oplossen.

Wat ik echter raar vindt is de uitleg van je probleem - het lijkt mij er eigenlijk op dat er iets anders mis, als het namelijk enkel maar om een fileshare gaat (en er wordt dus niks anders gedaan dat heel het programma onder die user loopt, bijvoorbeeld) dan is er niks 'speciaals' aan een administrator account.

De vraag is dan ook een beetje - heb je niet per ongeluk bijvoorbeeld vergeten de share permissies aan te passen en op die manier enkel de NTFS permissies aangepast?

Dat met de \\servernaam \\ipadres is het euvel geweest. Heel apart dat het eigenlijk perongeluk altijd goed is gegaan. Vanwege een 'opruimactie' heb ik het een tijdje terug gezet naar \\ipadres . Thnx iig voor de uitleg van deze 'beperking' van windows

* Ropniko is een blij man zo vlak voor het weekeinde!

Maar dan blijft het apart dat ik met een normale gebruiker niet dezelfde dingen kan uitvoeren terwijl ik alle rechten heb aangezet op zowel share- als mapniveau op de server.

[mrsar]

En als je het account eigenaar maakt van de map? zou normaal niets uit moeten maken,maar je weet maar nooit.ik zat eigenlijk direct te denken aan een registry issue,maar als je daar niets vreemds op terug krijgt zou dat het niet zijn.
wat je mischien nog kan proberen is een lokaal admin groepje maken en daar alleen dat account in stoppen,Wie weet werkt dat