OSX Lion aanmelden in Windows domein.

[_AN]

Probleem is als volgt:

Ik probeer een OSX Lion aan te melden in een Windows Domein. Dit lijkt allemaal goed te verlopen, via System Preferences > Gebruikers en Groepen > Inlogopties zie ik naast Netwerkaccountserver een groep bolletje, maar als ik de Mac opnieuw opstart, geeft die bij het inlogscherm aan dat er geen netwerkaccounts beschikbaar zijn.

In de AD is het computeraccount zichtbaar, en niets te vinden in de logs.

Hoe kan ik dit het beste troubleshooten. Kan ik in OSX, net als in Windows, ergens logs vinden?

[Bloemstukje]

Domein kun je ingeven bij : systeem voorkeuren -> netwerk -> ethernet of wifi -> geavanceerd -> tabblad : WINS

Of in elk geval het Zoekdomein. Dit is iig wat de IT'er bij ons heeft gedaan toentertijd.

[Gunner]

SanderPS3 schreef op zondag 15 januari 2012 @ 15:21:
Domein kun je ingeven bij : systeem voorkeuren -> netwerk -> ethernet of wifi -> geavanceerd -> tabblad : WINS

Of in elk geval het Zoekdomein. Dit is iig wat de IT'er bij ons heeft gedaan toentertijd.

TS wil zich aanmelden op een Active Directory. Daar gaat WINS je niet echt veel mee helpen.

[Darkstar]

Hier is een korte how-to, misschien heb je iets over het hoofd gezien: http://community.spiceworks.com/how_to/show/237

[_AN]

Darkstar schreef op zondag 15 januari 2012 @ 15:54:
Hier is een korte how-to, misschien heb je iets over het hoofd gezien: http://community.spiceworks.com/how_to/show/237

Gedaan, zoals ik al zei: Het lijkt dat het goed gaat, het computeraccount bestaat ook in de AD. Alleen bij het inlogscherm krijg ik een melding dat er geen netwerkaccounts beschikbaar zijn.

[hans_lenze]

Voor de duidelijkheid: het wel of niet bestaan van de computer account in AD is totaal irrelevant. Ook met een unauthenticated bind kun je aanmelden met domeinaccounts. Bij Windows machines gebruik je dit account om policies uit te rollen (die werken niet op Mac OS).

Als er geen netwerk accounts beschikbaar zijn, is er iets mis met DNS, de verbinding naar de domain controller of Kerberos.

Dus: wat heb je al geprobeerd?
Is de domeinnaam te resolven? Probeer je toevallig via een draadloos netwerk in te loggen? Hoe groot is het tijdverschil tussen de domain controller en de client?

[_AN]

hans_lenze schreef op zondag 15 januari 2012 @ 22:34:
Voor de duidelijkheid: het wel of niet bestaan van de computer account in AD is totaal irrelevant. Ook met een unauthenticated bind kun je aanmelden met domeinaccounts. Bij Windows machines gebruik je dit account om policies uit te rollen (die werken niet op Mac OS).

Als er geen netwerk accounts beschikbaar zijn, is er iets mis met DNS, de verbinding naar de domain controller of Kerberos.

Dus: wat heb je al geprobeerd?
Is de domeinnaam te resolven? Probeer je toevallig via een draadloos netwerk in te loggen? Hoe groot is het tijdverschil tussen de domain controller en de client?

Laat ik inderdaad iets duidelijker zijn.

Domeinnaam is te resolven net als de volledige servernaam. Ik log niet in via een draadloos netwerk. De tijdverschil tussen Mac en DC is scheelt niet meer dan 5 minuten. Kan ik nog iets qua kerberos testen?

[Darkstar]

_AN schreef op maandag 16 januari 2012 @ 09:06:
[...]
...
De tijdverschil tussen Mac en DC is scheelt niet meer dan 5 minuten. ...

Net even wat gegoogled en dit tegen gekomen:

The default maximum time difference allowed is only 5 minutes and is set in ”Maximum tolerance for computer clock synchronization” Group Policy setting for the domain.

Het zou dus best kunnen dat het simpelweg aan het tijdsverschil tussen de client en de domain controller ligt.

[CH4OS]

Sterker nog, heb het vaak genoeg meegemaakt (al was dat niet met Macs), aanmelden op domein lijkt me verder wel aan dezelfde restricties verbonden. Zou me niet verbazen dat dat het probleem is.

[ Voor 36% gewijzigd door CH4OS op 16-01-2012 13:00 ]

[_AN]

Darkstar schreef op maandag 16 januari 2012 @ 12:55:
[...]


Net even wat gegoogled en dit tegen gekomen:

[...]


Het zou dus best kunnen dat het simpelweg aan het tijdsverschil tussen de client en de domain controller ligt.

Klopt, dit weet ik, daarom zei ik ook dat het niet meer scheelt dan 5 minuten. Maar als ik specifieker moet zijn, scheelt het niet eens een minuut. Daar ligt probleem dus niet.

Overigens heb ik inmiddels dit artikel gevonden en lijkt het nu wel te werken:

http://www.vuzzlevuzz.org...-login-problems-with.html

Ik ben nog bezig met testen.

[hans_lenze]

Een interne domeinnaam met een .local extentie? Dat is ook niet volgens de best practise.

.local wordt in een Mac OS omgeving geclaimd door Bonjour.

[Darkstar]

hans_lenze schreef op woensdag 18 januari 2012 @ 22:54:
Een interne domeinnaam met een .local extentie? Dat is ook niet volgens de best practise.

.local wordt in een Mac OS omgeving geclaimd door Bonjour.

.local werkt prima voor een AD domein. Dat MS aanraadt om een top-level domain te gebruiken heeft meer te maken om configuratieproblemen nadien te vermijden. Inde link die je aangeeft wordt er trouwens geen woord gerept over .local...

[johnkeates]

.local is voor mDNS gereserveerd. Beste practice of niet, je kan hoog/laag springen en caps lock gebruiken, maar .local is voor mDNS gereserveerd. Punt. Microsoft heeft in windows server en domein opstellingen het geweldige idee gehad om tegen de RFC in te gaan, en .local als een lokaal unicast DNS tld te gebruiken. Faal.

Op je Mac:

- Logboeken aub?
- DNS instellingen?

- Directory Services instellen? Simpelweg joinen is het halve werk...
- Kerberos auth via terminal doen, om te kijken of je een ticket kan krijgen? Dan weet je dat het niet aan kerberos ligt. Daar is ook een GUI voor, Apple levert die mee.

[Xtr3me4me]

Ahhhh ik heb exact hetzelfde probleem gehad als jou en heb dit opgelost.
Mac OSX Lion. Er vereist wel een handeling, maar je kan het voor elkaar krijgen.

Er is een probleem hiermee met Mac OSX Lion en aanmeldingen bij het domein met Windows AD users.
Ik was er zelf 3 dagen mee bezig geweest, maar het was me uiteindelijk gelukt. Las zelfs dat Apple erkent heeft dat er een fout zit in hun programmering van Netwerk users koppeling naar Windows AD User domein servers.

[TeringJantje]

Xtr3me4me schreef op donderdag 19 januari 2012 @ 13:20:
Ahhhh ik heb exact hetzelfde probleem gehad als jou en heb dit opgelost.
Mac OSX Lion. Er vereist wel een handeling, maar je kan het voor elkaar krijgen.

Er is een probleem hiermee met Mac OSX Lion en aanmeldingen bij het domein met Windows AD users.
Ik was er zelf 3 dagen mee bezig geweest, maar het was me uiteindelijk gelukt. Las zelfs dat Apple erkent heeft dat er een fout zit in hun programmering van Netwerk users koppeling naar Windows AD User domein servers.

Welke handeling? Weet je dit nog?
Hebben hier een imac met 10.6.8 die we wel in ad hebben gekregen en een nieuw mac mini met 10.7.3 krijgen we het niet voor elkaar.