Geen toegang tot groep uit ander domein

[Verwijderd]

Goedenavond allen,

Ik ben hard aan het oefenen op mijn MCITP studie. ben nu bezig met "Domains and Forests" uit het Active Directory boek.
echter loop ik nu even vast, heb ik van alles geprobeerd maar het blijft me niet lukken.

situatie is als volgt.
1 forest:
contoso.com
asia.contoso.com
europe.contoso.com

nu wil ik een user uit europe lid maken van een groep uit asia. Maar dan geeft hij de melding dat ik daar geen toegang toe heb. het gaat hier overigens om de groep Print Operators, maar dat zou volgens mij niet uit mogen maken..

beide (asia en europe) childdomeinen hebben een transitive trust met het contoso domein.
Ook geprobeerd om een directe 2-way trust aan te leggen, maar dat maakte niets uit.

Zie even niet meer waar ik nog zoeken kan...

[Archie_T]

Wat voor type groep is het? Universal, Global, Domain local? Dan moet je er volgens mij wel uit komen.

[Verwijderd]

gaat om een builtin local security group.

[Bor]

In welke modus draaien de domeinen? Mixed / native? En wat is het forest functional level?

Een local (dwz domain local) security group werkt alleen binnen het domein waar hij is aangemaakt overigens.

[ Voor 38% gewijzigd door Bor op 11-03-2009 20:06 ]

[Archie_T]

OK een user uit een ander domein kan alleen lid worden van een universal group. Hier heb je meer info:
http://www.redline-softwa...working-basics-part15.php

[Bor]

Archie_T schreef op woensdag 11 maart 2009 @ 20:06:
OK een user uit een ander domein kan alleen lid worden van een universal group. Hier heb je meer info:
http://www.redline-softwa...working-basics-part15.php

Je kunt dat natuurlijk ook anders (en netter oplossen) door gebruik te maken van een global groep in het domein waar de user zich bevind en deze in het doel domein lid te maken van een domain local groep en deze rechten / permissies toe te kennen.

UGDLP

[Verwijderd]

@ bor de wollef: alle domeinen zijn op 2008 functional level ingesteld.

@ archie_t: okee dat zou het opzich verklaren.. Maar nu heb ik dus om te testen een universal group aangemaakt en daar krijg ik vervolgens dezelfde melding mee..

[Archie_T]

Bor de Wollef schreef op woensdag 11 maart 2009 @ 20:08:
[...]


Je kunt dat natuurlijk ook anders (en netter oplossen) door gebruik te maken van een global groep in het domein waar de user zich bevind en deze in het doel domein lid te maken van een domain local groep en deze rechten / permissies toe te kennen.

UGDLP

Ja ok, daar heb je ook weer gelijk in. Wat ik wou doen met deze antwoorden is de TS laten zoeken en nadenken in plaats van voorkauwen, het gaat tenslotte over studie

[Verwijderd]

@ bor de wollef: global group aangemaakt in europe en daar de user als member opgegeven.
groep vervolgens proberen member te maken van de print operators groep van asia, maar zelfde melding.

Wat me opvalt, als ik in het asia domein aangeef dat de user uit europe deel moet uitmaken van de builtin local group lukt dat wel, maar die verandering komt niet aan bij de user zelf...

@ archie_t: appreciate that!

[ Voor 5% gewijzigd door Verwijderd op 11-03-2009 20:20 ]

[Verwijderd]

ik kan ook vanaf het domein contoso.com de europese user lid maken van de asiatische groep.

Verandering komt echter gewoon niet aan bij het europese domein.


[edit]

Ik kan ook op de dc van europe aanmelden met de administrator van contoso en dan de europe user lid maken van de asia groep.
als ik dan vervolgens de contoso administrator afmeld en aanmeld met de europe administrator kan ik vervolgens bij de member of tab weer niet zien dat de user lid is van de asia groep.

[ Voor 50% gewijzigd door Verwijderd op 11-03-2009 20:43 ]

[Bor]

Wat is het functional level van de domeinen en het forest?

[Verwijderd]

alles is 2008 functional level.
Maar dat heeft er mijnsinds ook niet mee te maken.
Meer iets met beperkte rechten van de dc van het europe domein.

[Verwijderd]

En ineens doet hij het....

blijkbaar moest hij er gewoon 'een nachtje over slapen'!

Kan iemand mij verklaren waarom dit zo gebeurt?