WS2003 Beveiligingsrechten gebruiker in Active Directory

[Barry1989]

Ik heb een windows 2003 server geconfigureerd in Active Directory, daarnaast staat een BES server voor de Blackberry. Om dit goed te kunnen laten werken moet bij de eigenschappen van een gebruiker de gebruiker Bes-admin worden toegoegd en de vinkjes verzenden als en ontvangen als moeten worden aangevinkt.

Als ik dit zo heb ingesteld kan de gebruiker, met zijn blackberry, verbinding maken met de exchange server.

Wat echter het probleem is zodra de gebruiker ook lid is van de groep administrators wordt na verloop van tijd de gebruiker bes-admin verwijdert uit het tabblad beveiliging en kan de gebruiker geen verbinding meer maken met exchange.

Zolang de gebruiker dus geen lid is van de groep administrators gaat het goed.

Hebben jullie misschien hier een oplossing voor?

[Verwijderd]

Dan maak je hem domain admin dus? Die heeft deny rechten staan op send-as en recieve-as. Sowieso is het raar dat je een domain admin een blackberry account geeft of een normaal account admin maakt (net hoe je het bekijkt). Geef hem gewoon een normaal account met een blackberry.
Deze zaken hoor je te scheiden.

[Barry1989]

Fewture, bedankt voor je reactie. Zoals je misschien al gemerkt heb ben ik niet heel ervaren in server 2003.

Ik weet niet waarin het verschil zit tussen domein administrators en de groep administrators. Maar alleen 1 gebruiker moet ook administrator zijn. Ja ik weet dat het niet hoort op deze manier maar het is even niet anders.

Is er een manier dat ik deze rechten kan aanpassen. Want als ik bij het tabblad beveiliging kijk dan zie ik geen deny rechten staan zoals jij zij?

staan deze dan ergens anders ingesteld?

[Outerspace]

offtopic:
Domain Admin vs Admin

[Barry1989]

Nu ik het zo naa lees is er volgens jou dus geen andere oplossing dan de gebruiker GEEN lid te maken van de administrators group of zie ik het nou verkeerd?

[@r!k]

Barry1989 schreef op maandag 04 mei 2009 @ 16:35:
Nu ik het zo naa lees is er volgens jou dus geen andere oplossing dan de gebruiker GEEN lid te maken van de administrators group of zie ik het nou verkeerd?

Maak een 2e account aan voor de beheerders en noem dit beh_gebruikersnaam of iets dergelijks wat je naamgeving ook is maar houdt die accounts gescheiden.

[alt-92]

Barry1989 schreef op maandag 04 mei 2009 @ 16:35:
Nu ik het zo naa lees is er volgens jou dus geen andere oplossing dan de gebruiker GEEN lid te maken van de administrators group of zie ik het nou verkeerd?

Correct.

Ik mis in jouw verhaal de motivatie waarom deze account dan persé een Admin account moet zijn.

[Barry1989]

De gebruikers moesten tijdelijk even admin zijn omdat een bepaald programma anders niet goed werkt.

Maar we hebben het nu op een andere manier opgelost waardoor de gebruikers geen admin hoeven te zijn.

En de blackberry werkt nu!

Bedankt voor jullie hulp

[SirDarkAngel]

Barry1989 schreef op donderdag 07 mei 2009 @ 10:17:
De gebruikers moesten tijdelijk even admin zijn omdat een bepaald programma anders niet goed werkt.

Dan kan je de gebruikers toch lid maken van de administrator groep op de werkstations (dus niet in het domein). Dit is niet altijd een fraaie oplossing maar het is in ieder geval beter dan wat je nu aan het doen bent. Dit is gewoon vragen om problemen.

[Barry1989]

Maar de gebruikers maakten gebruik van terminal services, ja ik weet het, ook dat is een heel groot beveiligingslek