[2008] User rechten voor een domein

[Verwijderd]

Ik heb een server draaien met daarop de DNS roles inclusief Active Directory Users and trusts. Op die server heb ik ook een lokaal domein aangemaakt, waar ik allemaal pc's aan kan koppelen. De eerste tests lukken goed, maar ik krijg nog niet voldoende rechten op een gekoppelde pc.

Op de server heb ik een user aangemaakt, met deze user log ik via de gekoppelde pc in op het domein. Dit werkt nog allemaal naar behoren. Er wordt dan lokaal een profiel aangemaakt (kan dit niet op de server?). Als ik dan gebruik wil gaan maken van de pc heb ik niet overal voldoende rechten. In de map C:/Program Files kan ik bijvoorbeeld geen mappen aanmaken (niet voldoende rechten).

Bedoeling is dus dat een profiel van de user op de server wordt opgeslagen en dat de users op de workstations alle rechten krijgen om programma's te installeren.

[Coach4All]

Zorg dat de domain-users op de werkstations local-admin zijn.
(bijvoorbeeld door standaard de groep domein\domain users in de groep administrators van je pc's toe te voegen)

.. Alleen verstandig voor thuisgebruik trouwens, of je moet wel heel slimme en verantwoorde gebruikers hebben....

[Verwijderd]

Er wordt dan lokaal een profiel aangemaakt (kan dit niet op de server?)

Zoek eens op " Roaming Profiles ".

[alt-92]

Coach4All schreef op maandag 03 november 2008 @ 14:44:
Zorg dat de domain-users op de werkstations local-admin zijn.

Modbreak:

Leer dat soort slechte gewoontes eens af?

Logisch dat je gebruikers weinig rechten hebben, daarvoor zijn het gewone gebruikers.

[ Voor 15% gewijzigd door alt-92 op 03-11-2008 16:25 ]

[Verwijderd]

Verwijderd schreef op maandag 03 november 2008 @ 14:52:
[...]


Zoek eens op " Roaming Profiles ".

Dat is precies wat ik zocht, dit draait inmiddels ook al goed !
Nu moet ik er nog voor zorgen dat de gebruikers op een workstation "volledige" rechten hebben om bijvoorbeeld programma's te installeren.
Gebruikers kunnen nu namelijk geen map aanmaken in "Program Files"

[_Dune_]

Verwijderd schreef op maandag 03 november 2008 @ 16:53:
[...]
Dat is precies wat ik zocht, dit draait inmiddels ook al goed !
Nu moet ik er nog voor zorgen dat de gebruikers op een workstation "volledige" rechten hebben om bijvoorbeeld programma's te installeren.
Gebruikers kunnen nu namelijk geen map aanmaken in "Program Files"

Zoals ALT-92 al aangeeft is dta heel normaal, aangezien je "gewone" gebruikers hebt aangemaakt, maar als dit een bedrijfsnetwerk is, dan zou ik er in iedergeval niet voor kiezen gebruikers "alle" rechten te geven. Dat is vragen om veel onderhouds problemen.

[Verwijderd]

Het gaat nu nog om een thuis projectje, maar dit zal inderdaad later doorgevoerd worden als een "bedrijfsnetwerkje". Ik begrijp dat het niet erg onderhoudsvriendelijk is, maar ik wil nog niet beginnen aan een terminal. Voorlopig moeten de gebruikers gewoon de rechten hebben om op een willekeurige workstation een programma te installeren (office, firefox etc etc). Hoe zou ik dit het beste kunnen aanpassen?

[ralpje]

alt-92 schreef op maandag 03 november 2008 @ 16:23:
[...]


[modbreak]Leer dat soort slechte gewoontes eens af?[/]

Wat is daar slecht aan? In huis- tuin- en keuken en MKB-situaties is het eerder regel dan uitzondering. Niet elke ondernemer wil voor elke plugin / $software-pakket weer z'n ingehuurde automatiseerder laten komen om het te installeren. Eens in de x-periode een image terugschieten omdat die PC vernaggelt is is goedkoper.

[sh4dow]

Waarom maak je geen login script waarmee die software automatisch uitgerold wordt? Of nog mooier met WDS bijvoorbeeld.

[Verwijderd]

Helaas heb ik niet genoeg kennis in huis om een eigen login script te maken.
Ik neem aan dat ik ergens een group kan aanmaken (op de server) waarbij ik bepaalde rechten kan instellen.
De gebruikers kan ik dan in die groep zetten, zodat ze "alle" rechten hebben op een workstation.

[alt-92]

ralpje schreef op maandag 03 november 2008 @ 17:08:
[...]


Wat is daar slecht aan?

Waar wil je dat ik begin?

[pennenlikker]

ralpje schreef op maandag 03 november 2008 @ 17:08:
[...]


Wat is daar slecht aan? In huis- tuin- en keuken en MKB-situaties is het eerder regel dan uitzondering. Niet elke ondernemer wil voor elke plugin / $software-pakket weer z'n ingehuurde automatiseerder laten komen om het te installeren. Eens in de x-periode een image terugschieten omdat die PC vernaggelt is is goedkoper.

En er zijn genoeg redenen voor die regel te bedenken.
Wie begint met een netwerk die z'n gebruikers admin rechten gaat geven lokaal, begint te makkelijk en zeker onveilig.
Denk hierbij aan virussen, spyware via internet, en vooral licenties die geschonden kunnen worden, en natuurlijk dat gebruikers zelf hun pc kunnen verpesten wat dan weer voor extra admin werk zorgt.
En als je iedere keer een image terug zet, dan moet je ook weer de door de gebruikers geinstalleerde programma's opnieuw installeren... dus lekker nutteloos imho
Je bepaalt gewoon vooraf welke software iedereen mag hebben en verspreid deze over het netwerk.
Hebben ze een ander programma nodig, dan moeten ze dit aanvragen zodat je nooit in de problemen komt met licenties oid.

De kunst is om iedereen te geven wat ie nodig heeft om goed te werken, en niks meer en dat kan vrij lastig zijn omdat iedere gebruiker weer andere wensen en eisen heeft.

alt-92 schreef op maandag 03 november 2008 @ 17:39:
[...]


Waar wil je dat ik begin?

Ik heb alvast een beginnetje gemaakt

[ Voor 6% gewijzigd door pennenlikker op 03-11-2008 18:09 ]

[sanfranjake]

Ach ik snap best dat jullie dit vanuit grotere omgevingen komen prediken hoor, maar in een SBS omgeving is localadmin toch echt wel efficient, tenzij je binnen weken ruzie met je klant wil hebben over teveel uren

Modbreak:

Laten we maar gewoon ontopic verder gaan en topicstarter helpen zijn doel te bereiken, ipv al dit nutteloos gezever over wel/geen localadminrechten. Daar hoeft echt niet elk topic wat hier remote een beetje over gaat voor gekaapt te worden.

[ Voor 38% gewijzigd door sanfranjake op 03-11-2008 18:25 ]

[pennenlikker]

mja.. dit geldt ook voor kleine ondernemingen... imho.

Maar goed mocht je voor local admins willen gaan doe het dan via restricted groups kun je centraal een bepaalde groep in je ad lid maken van alle lokale admin groepen op alle computers in je netwerk.

klik

[alt-92]

Verwijderd schreef op maandag 03 november 2008 @ 17:06:
Het gaat nu nog om een thuis projectje, maar dit zal inderdaad later doorgevoerd worden als een "bedrijfsnetwerkje". Ik begrijp dat het niet erg onderhoudsvriendelijk is, maar ik wil nog niet beginnen aan een terminal.

Wie heeft het hier over een terminal dan?
Ook op een normale 'fat client' PC kun je zonder Admin rechten voor je eindgebruikers een werkende en werkbare omgeving leveren hoor

Voorlopig moeten de gebruikers gewoon de rechten hebben om op een willekeurige workstation een programma te installeren (office, firefox etc etc). Hoe zou ik dit het beste kunnen aanpassen?

Door een paar HOWTO's, documentatie en andere voorbeelden over software distributie en Group Policies te lezen.
Ik kan je persoonlijk ook aanraden een kijkje te nemen bij http://blogs.technet.com/tnspot/default.aspx en www.microsoft.com/technet/, en bijvoorbeeld sites als www.appdeploy.com.

Daar kun je voor de meeste gebruikelijke software installatiemethoden terugvinden waar je met een beetje heropvoeding en voorbereidingswerk je een sloot software aanbiedt voor je users om te installeren op afroep (en dat is een zoekterm ) via een gecontroleerde manier.

Best of both worlds zeg maar, zonder Local Admin.