[2008] Allow log on through terminal services

[mvandek2]

Ik heb een Windows 2008 machine toegevoegd in mijn domein en terminal services geconfigureerd. Ik kan als gebruiker alleen aanloggen als ik expliciet in "allow log on through terminal services" in the local security policy op de Windows 2008 machine deze gebruiker heb toegevoegd (of "everyone").

Anders volgt een event 4625: "The user has not been granted the requested logon type at this machine".

Op de domein controller staat het qua policies verder goed want op een "oude" 2003 terminal server werkt het prima. Volgens mij zou bovenstaande niet nodig moeten zijn, heeft iemand een idee waar dit aan ligt?

[Coach4All]

Zitten de gebruikers wel in de "terminal servers users" group op de TS?
(of in een groep die aan deze groep is toegevoegd?)

[Zwelgje]

die 2008 terminalserver is toch niet toevallig ook een domaincontroller want de wizard van 2008 (bij het toevoegen van de ts-role) zou je moeten vragen welke gebruikes mogen inloggen op de machine. neem aan dat je hier een gebruikersgroep hebt geselecteerd )

enigste reden die ik dan kan bedenken is dat die machine middels dcpromo is toegevoegd aan het domain en dus een DC is...

[mvandek2]

Ja, de gebruikers zitten in een groep die via "Terminal Server Configuration" aan de Connection op het tabblad Security zijn toegevoegd.

De Terminal server is geen domein controller.

[Zwelgje]

naja mischien zit die bak wel op een OU met een screwed up GPO default zou je iig dat niet hoeven in te stellen

[mvandek2]

Powershell schreef op zaterdag 12 december 2009 @ 22:56:
naja mischien zit die bak wel op een OU met een screwed up GPO default zou je iig dat niet hoeven in te stellen

Hoe kom ik daar achter?
Het is overigens een nieuw systeem wat TS moet gaan worden in de plaats van een bestaande TS (Windows 2003), deze staat nog onveranderd in het netwerk met de zelfde TS CAL's, kan dat er iets mee te maken hebben?

[ Voor 29% gewijzigd door mvandek2 op 12-12-2009 23:46 ]

[mvandek2]

Coach4All schreef op zaterdag 12 december 2009 @ 22:43:
Zitten de gebruikers wel in de "terminal servers users" group op de TS?
(of in een groep die aan deze groep is toegevoegd?)

Bedoel je de lokale groep "Remote desktop users" op de TS?
Daar zaten ze niet in, ik had ze direct toegevoegd via het tabblad "security" aan de RDP connection, waar dus ook de lokale groep "Remote desktop users" staat.

Het lukt dus inderdaad wel als ik de gebruikers toevoeg aan de lokale groep "Remote desktop users" op de TS.

[ Voor 19% gewijzigd door mvandek2 op 13-12-2009 01:30 ]

[Zwelgje]

mvandek2 schreef op zondag 13 december 2009 @ 01:26:
[...]

Bedoel je de lokale groep "Remote desktop users" op de TS?
Daar zaten ze niet in, ik had ze direct toegevoegd via het tabblad "security" aan de RDP connection, waar dus ook de lokale groep "Remote desktop users" staat.

Het lukt dus inderdaad wel als ik de gebruikers toevoeg aan de lokale groep "Remote desktop users" op de TS.

ah dan was dat je fout. die RDP security connectie is voor heel wat anders (oa shadowen, kicken van users,etc,etc)

remote desktop users is de groep (dus lokaal op die machine) waar je lid van moet zijn

[mvandek2]

ah dan was dat je fout. die RDP security connectie is voor heel wat anders (oa shadowen, kicken van users,etc,etc)

Dit werkte onder 2003 wel, ik heb ook andere 2008 TS machines waar het zo werkt, kan het te maken hebben met geinstalleerde roles/features?

[Zwelgje]

als je niet in de groep 'remote desktop users' zit wordt je gewoon snoeihard gedenied op het inloggen via rdp.. ongeacht de rechten op de RDP connector. ook al heb je daar 'full control' maar je wordt via een GPO geen toegang verleend om aan te melden via terminalservices kom je er gewoon niet in

maar ik kan niet zien hoe die andere 2003/2008 machines zijn ingericht. kan dus ook niet zo beoordelen wat er fout is ingesteld

remote desktop users is de manier om mensen rechten te geven om in te loggen, die RDP connector security om vervolgens mensen rechten te geven om het eea te doen met andere ingeloggede users op die connector

[mvandek2]

Bedankt.

Het verbaast me een beetje omdat het zo zit "weggestop", je veracht dat dit in de TS Manager zou kunnen, toch een belangrijke functionaliteit, maar in plaats daarvan moet je een local group aanpassen in Windows zelf.

[Question Mark]

mvandek2 schreef op zondag 13 december 2009 @ 11:37:
Het verbaast me een beetje omdat het zo zit "weggestop", je veracht dat dit in de TS Manager zou kunnen, toch een belangrijke functionaliteit, maar in plaats daarvan moet je een local group aanpassen in Windows zelf.

Het zit ook in de TS Manager. Vraag via deze manager voor de fun maar eens de permissies op de RDP-connector maar eens op. Je zult zien dat de lokale groep "Remote desktop users" rechten hebben op deze connector.

Door het aanpassen van deze rechten kun je ook andere users toegang geven. MS heeft het alleen makkelijker gemaakt om alvast een groep te defeineren en deze deze alvast juiste rechten te geven.

[Zwelgje]

mvandek2 schreef op zondag 13 december 2009 @ 11:37:
Bedankt.

Het verbaast me een beetje omdat het zo zit "weggestop", je veracht dat dit in de TS Manager zou kunnen, toch een belangrijke functionaliteit, maar in plaats daarvan moet je een local group aanpassen in Windows zelf.

als je de TS role via de servermanagerwizard hebt toegevoegd krijgt je aan het einde een scherm waar je kan aangeven welke group gebruik mag maken van terminalservices (default: admins) hier heb je een groep toegevoegd deze group zou dan automagisch in de 'remote desktop user' group moeten komen

[mvandek2]

Question Mark schreef op zondag 13 december 2009 @ 12:44:
[...]

Het zit ook in de TS Manager. Vraag via deze manager voor de fun maar eens de permissies op de RDP-connector maar eens op. Je zult zien dat de lokale groep "Remote desktop users" rechten hebben op deze connector.

Door het aanpassen van deze rechten kun je ook andere users toegang geven. MS heeft het alleen makkelijker gemaakt om alvast een groep te defeineren en deze deze alvast juiste rechten te geven.

Je kan in de TS manager toch geen groepen toevoegen aan de "Remote desktop users" groep?

[Question Mark]

Nee, maar wel een gebruiker of groep de juiste rechten geven op de connector.