[W2003 AD] lokale rechten domein users

[Ye Greate'96]

Ik zit in een testfase waarbij ik enkele pc's overzet van een Novell NDS naar een Windows 2003 AD.

Alle gebruikers zijn gewone users, maar zodra ik een pc in het domein hang, dan starten sommige locale applicaties niet meer.

Na onderzoek blijkt dat bijv. het programma Business Objects pas start zodra de locale user(s) volledige rechten heeft in HKEY_LOCAL_MACHINE.

Zo ben ik nog een paar applicaties tegengekomen die vreemde errors geven en pas weer werken wanneer de user(s) volledige rechten krijgen op bepaalde mappen in C:\Program Files bijv.

Haal ik de pc's weer uit het domein, dan werken alle applicaties weer.

Er zit schijnbaar een verschil in lokale rechten tussen een lokale user en een domein user.
Ik loop al een tijd met dit probleem, maar kan niet vinden waar het 'em in zit.

Wie kan me in de juiste richting sturen?

[DeeJee]

Ye Greate'96 schreef op dinsdag 24 november 2009 @ 07:50:
Er zit schijnbaar een verschil in lokale rechten tussen een lokale user en een domein user.
Ik loop al een tijd met dit probleem, maar kan niet vinden waar het 'em in zit.

Kijk eens welke rechten de lokale user heeft. Is deze bijvoorbeeld lid van de lokale administrators groep?

[ Voor 45% gewijzigd door DeeJee op 24-11-2009 08:08 ]

[Ye Greate'96]

DeeJee schreef op dinsdag 24 november 2009 @ 08:07:
[...]


Kijk eens welke rechten de lokale user heeft. Is deze bijvoorbeeld lid van de lokale administrators groep?

Nee, de lokale users zijn ook slechts lid van "gebruikers".

[DeeJee]

Ye Greate'96 schreef op dinsdag 24 november 2009 @ 08:09:
[...]


Nee, de lokale users zijn ook slechts lid van "gebruikers".

Maak het domein account eens lid van die lokale gebruikers groep.

[massareal]

- Om welke applicatie's gaat het? (SAP?)
- welke rechten geef je een gebruiker normaliter?
- werk je met een grouppolicy?


* Business Objects is waarschijnlijk een onderdeel van een ander programma/service.
Je kan kijken welke services nodig zijn om die software te draaien.
Laat deze service dan starten met rechten door SYSTEM

[Ye Greate'96]

DeeJee schreef op dinsdag 24 november 2009 @ 08:10:
[...]


Maak het domein account eens lid van die lokale gebruikers groep.

That did the trick!! Althans, ik heb ze lid gemaakt van de Hoofdgebruikers groep

[DeeJee]

Ye Greate'96 schreef op dinsdag 24 november 2009 @ 10:52:
[...]


That did the trick!! Althans, ik heb ze lid gemaakt van de Hoofdgebruikers groep

Hoofdgebruikers = Administrators

Let wel op dat de gebruikers nu dus alle rechten hebben om lokaal te werken.
Lid maken van de lokale gebruikers groep leverde niets op?

[Ye Greate'96]

DeeJee schreef op dinsdag 24 november 2009 @ 10:55:
[...]


Hoofdgebruikers = Administrators

Let wel op dat de gebruikers nu dus alle rechten hebben om lokaal te werken.
Lid maken van de lokale gebruikers groep leverde niets op?

Nee, ze waren namelijk al lid van de lokale groep users.
Maar de groep Hoofdgebruikers heeft toch minder rechten dan de groep Administrators lijkt me?

[DrFlash]

Scheelt practisch niets, en de hoofdgebruikers kunnen gewoon je systeem goed om zeep helpen :-)

Handiger is om voor die 'legacy' applicaties rechten te zetten op de juiste sleutels in HKLM

[DeeJee]

aha ik dacht dat de groep Hoofdgebruikers de nederlandse vertaling van administrators was.

[Ye Greate'96]

Overigens blijft het erg vreemd dat verschillende lokale applicaties wél werken wanneer de pc niet in het domein hangt en een gewone user is ingelogd, maar niet meer werken en dus bepaalde rechten missen wanneer de pc in het domein hangt....

[elevator]

Er worden via GPO niet bepaalde rechten op de registry gezet? Weet je zeker dat het onderscheid zoals jij nu zegt ('wel in het domain werkt het niet, uit het domain werkt het wel') het enige is dat veranderd, je veranderd bv. niet ook de user waar mee je inlogged of iets dergelijks?

[Ye Greate'96]

Ja, de user veranderd.

Het was bijv. lokale user A en dat wordt user A.domein, dus een hele nieuwe user.

[elevator]

Dus je gooit de PC in een ander domain en je logged in met een andere user met andere groepen, probeer dat eerst eens even te beperken tot 1 wijziging ipv twee.

Daarna check je met bv. 'whoami /groups' welke rechten de twee users nou precies hebben zodat je ook de users beter kan vergelijken