[2003] Welke useraccount bij gebruik member server*

[cue]

He allemaal,

Krijg even niet goed voor de geest hoe ik het volgende moet oplossen..

Situatie:

1 SBS 2003 = domain controller
1 WIN 2003 Standaard = terminal server

Ik wil de windows 2003 standaard server graag in het domein hangen van de SBS. Alleen wat is dan handig?

Log ik dan met de windows 2003 standaard server in op het domein met het administrator account? Of is het handiger om een appart account op de SBS aan te maken? Indien het laatste geval is het denk ik wel noodzakelijk om dezelfde user ook lokaal aan te maken en deze administrator rechten te geven.

Of zie ik nu iets over het hoofd?

[mutsje]

om de terminal server te beheren gebruik je gewoon een account met afdoende rechten dat kan inderdaad Administrator zijn. Liefst natuurlijk een speciaal beheer account zodat je een erg sterk wachtwoord op het account Administrator kunt zetten en deze alleen in nood gebruikt.

Als je geen beheer pleegt gewoon als user op de terminal server inloggen zodat je niet per ongeluk zaken verkeerd configureerd.

[cue]

Klopt inderdaad.

Ik wil alleen dat als ik inlog als beheerder op de terminal server dat ik lokaal op die server administrator rechten heb zodat ik gewoon alles kan installeren en instellen zoals ik wil.

Zie ik het goed dat ik gewoon een beheer account aan maak en hiermee inlog op beide servers als ik die wil beheren .

Enige wat ik dan nog wel zal moeten doen is dit beheer account lokaal administrator maken op de SBS server en de terminal server?

Of zie ik het nu helemaal verkeerd?

[ Voor 4% gewijzigd door cue op 07-11-2007 13:02 ]

[Jazzy]

Je hoeft helemaal geen account aan te maken. Wanneer je de server toevoegt aan het bestaande domein dan kun je alle accounts gebruiken die op de SBS server aanwezig zijn. Dus alleen op de SBS server maak je accounts aan en beheer je wachtwoorden en dergelijke.

Server toevoegen aan het domein doe je door op de SBS server naar Server Management te gaan, Server computers, Set up server computers.

[cue]

ah het begint me nu wat duidelijker te worden..

Dacht dat er een verschil zat tussen lokale accounts en domein accounts.

Dat je dus iemand wel lokaal administrator kan maken maar in het domein een normale user is.

Had het idee dat dit op de terminal server ook moest gebeuren. Dit kan je dus blijkbaar allemaal aangeven in het domein (ook de lokale rechten)...

Zal er eens mee gaan spelen op een testbakkie

[Jazzy]

cue schreef op woensdag 07 november 2007 @ 13:22:
ah het begint me nu wat duidelijker te worden..

Dacht dat er een verschil zat tussen lokale accounts en domein accounts.

Dat zit er ook wel degelijk. Alleen als je een server lid maakt van een domein dan kun je als lokale gebruiker inloggen (standaard is er lokaal alleen een administrator) of als domeingebruiker (alle gebruikers in je Active Directory).

Dat je dus iemand wel lokaal administrator kan maken maar in het domein een normale user is.

Had het idee dat dit op de terminal server ook moest gebeuren. Dit kan je dus blijkbaar allemaal aangeven in het domein (ook de lokale rechten)...

Ik weet niet zeker of het principe je nu duidelijk is. Als jij wilt dat een bepaalde domeingebruiker op een bepaalde computer lokaal administrator-rechten heeft dan kun je deze domeingebruiker lid maken van de lokale groep administrators.

Zal er eens mee gaan spelen op een testbakkie

Goed plan!

[cue]

Inmiddels wat speeluurtjes verder Kan alleen niet oefenen met twee servers in hetzelfde domein .

Jazzy schreef op woensdag 07 november 2007 @ 13:29:
[...]
Dat zit er ook wel degelijk. Alleen als je een server lid maakt van een domein dan kun je als lokale gebruiker inloggen (standaard is er lokaal alleen een administrator) of als domeingebruiker (alle gebruikers in je Active Directory).

Begrijp ik dan goed uit je verhaal dat het anders is omdat de server lid is van het domein?
Dat het niet nodig is om met het lokale account in te loggen om administrator rechten te hebben maar dat je hiervoor gewoon een beheer account kan aanmaken in je active directory die dan op alle servers werkt welke lid zijn van het domein?
Of moet ik dan dit account nog steeds lidmaken van de lokale administrator groep van de desbetreffende server of workstation?

Kan je dit overigens ook doen in de active directory of moet je dat altijd op de server/workstation zelf een domein gebruiker toevoegen aan een lokaal administrator groep?

Hoop dat er een touw aan vast te knopen is... lopen volgens mij even aantal zaken in m'n hoofd door elkaar

[alt-92]

Dat denk ik ook ja

Standalone PC (werkgroep): gebruikt alleen de lokale SAM db voor useraccounts.
Domain PC (niet domain controller) : heeft zowel de lokale SAM db als de Domain login als mogelijkheid
Domain Controller : gebruikt in normale mode geen lokale SAM maar alleen de AD voor useraccounts.
Er zijn dan geen lokale accounts beschikbaar.

Alleen in DSRESTORE mode wordt een niet-domain account gebruikt, daarvoor moet je tijdens de installatie ook apart een password opgeven.

De Domain Admins groep is automatisch lid van de Local Administrators groep bij een standaard configuratie (dus geen afwijkende security policies doorgevoerd).

[ Voor 14% gewijzigd door alt-92 op 07-11-2007 22:26 ]

[cue]

Het blijft toch lastig hè al die verschillende user databases .

Volgende week komt nieuwe SBS binnen dus kan dan eens goed testen.

[Jazzy]

Valt wel mee hoor, maar je moet het principe even door krijgen.

[sanfranjake]

Nog even het OS in de titel gezet, per de Windows Servers en Server-Software - Policy

[cue]

sanfranjake schreef op donderdag 08 november 2007 @ 15:58:
Nog even het OS in de titel gezet, per de Windows Servers en Server-Software - Policy

Thanx vergeet dat elke keer.. excuus.

verder bedankt voor alle tips zover....

Mocht er iemand ergens een site weten waar een duidelijk overzicht staat hoe het nou precies zit met useraccounts en het beheren ervan dan is dat van harte welkom .

Dan kan ik er eens rustig wat over lezen zodat het kwartje echt goed valt..

[Jazzy]

Google op difference active directory workgroup: http://www.thatdamnpc.com/57/

[cue]

Inmiddels een aantal speel uurtjes verder krijg ik het volgende nog niet voor elkaar.

Elke user in het domein wil ik automatisch local administrator maken als deze inlogt op een computer. Het lukt me inmiddels prima handmatig alleen wil ik dat dit automatisch gebeurt als ik met een user inlog op een computer.

Heeft iemand enig idee waar ik dan moet zoeken?

Handmatig toevoegen doe ik nu door in server management te gaan naar:

client computers --> right click on computer --> manage computer --> local user en groups --> groups --> right click op administrators

en dan voeg ik de domein gebruiker toe...

[sanfranjake]

cue schreef op dinsdag 13 november 2007 @ 16:25:
Heeft iemand enig idee waar ik dan moet zoeken?

Group Policy. Dat is de volgende stap in je leerproces

[cue]

haha en bedankt zal eens een cursusje group policy doen

[sanfranjake]

Jup, je kan met group policy veeeeeeel meer dan alleen rechten toewijzen, maar daar kom je wel achter. Download Group Policy Management even, daar kan je heel veel mee.

[alt-92]

offtopic:
Het is wel de juiste techniek, maar wel met een verkeerde reden ingezet

[cue]

sanfranjake schreef op dinsdag 13 november 2007 @ 19:23:
Jup, je kan met group policy veeeeeeel meer dan alleen rechten toewijzen, maar daar kom je wel achter. Download Group Policy Management even, daar kan je heel veel mee.

Thanx ga er naar kijken!

Is wel een persoonlijk topicje aan het worden zo .

Zit eerst nog de Train Signal cursus over NTFS permissions te luisteren aangezien de user homefolders ook nog niet echt lekker wilde werken!

Daarna de policy's

[alt-92]

Misschien heb je dan ook wat aan Verschil tussen NTFS en Share permissies*

[cue]

KONING!

Volgens mij is eindelijk het kwartje gevallen m.b.t shares en NTFS permissies .

Dacht dat deze twee samenwerkte maar het idee is om de shares gewoon op vol te zetten en via NTFS de rechten te bepalen .

Het wilde maar niet werken alleen stond de share nog op read only voor domain users

[cue]

Inmiddels heb ik de basis door van de group policy's volgens mij.

Enige wat ik dan niet kan vinden is waar de optie staat om de domain user standaard toe te voegen aan local system administrators?

Wat ik geprobeerd heb is een startup script in te stellen in een policy waarin ik deze regel:

NET localgroup Administrators /add "domain_name\domain_group"

in een bat bestandje heb gezet welke ik selecteer bij de policy bij startup script.