[Win2k8R2] Group Policy Client verhindert het aanmelden

[PLeX]

Ik loop tegen iets vreemds aan.

Scenario:

Oude AD-server knalt uit elkaar
Nieuwe AD-server opgetuigd, data gemigreerd (profiles, bestanden etc).

Werkstation uit oude AD gehaald
Werkstation aangemeld op nieuwe AD.

Sofar so good.

Alle users van de oude omgeving aangemaakt op de nieuwe AD, en nu komt het probleem:

Bij het aanmelden op het werkstation (welke is aangemeld op de nieuwe AD) krijg ik een melden:

De Group Policy Client verhindert het aanmelden. Toegang geweigerd.

Inmiddels al een aantal stappen ondernomen.

-Aanmelden als nieuwe (niet in oude AD bestaande) user. Werkt.
-In het register van het werkstation (HKLM>Software>Microsoft>Windows NT>Current Version>ProfileList) bestaande profielen van de te migreren user verwijderen. Werkt niet.

Het zit hem dus waarschijnlijk in het profiel van de bestaande user, dat er op het werkstation e.e.a. is opgeslagen met referenties naar de oude AD.

Iemand enig idee?

[CMD-Snake]

Je kan niet zomaar users van een domein naar een ander domein gooien. Daarvoor bestaat een speciaal tool dat ADMT heet. Deze migreert users, groepen en andere objecten en zorgt ervoor dat zaken als SIDs op orde blijven.

Nou is het voor jou geval niet bruikbaar dit tooltje gezien dat je oude domein het loodje heeft gelegd.

Waarom kon je de oude DC niet herstellen? Je kan desnoods deze restoren op een geheel andere doos als je compleet hardware falen had. Dan had je denk ik minder ellende gehad. Dit is de optie die mijn voorkeur zou hebben.

Wat je nog kan proberen is om een client PC opnieuw te installeren en dan proberen in te loggen met een oude user. Ik krijg de indruk dat je ze uit een domein hebt gehaald en in een nieuwe hebt gezet.

Je kan ook de profielen van de users weg gooien. Dat zijn toch alleen wat settings e.d. voor hun werkstation. Laat er gewoon een nieuwe profiel aanmaken. (De Documenten folder etc. hoef je niets mee te doen, wordt niets spannends in opgeslagen.)

Een reserve DC is geen gek idee voor de toekomst. Mocht er een down gaan heb je altijd nog de tweede. FSMO rollen kan je desnoods forceren naar de andere DC als deze ze niet al had.

[Turdie]

How to fix "The Group Policy Client service failed the logon. Access denied." error?

En ook

the group policy service failed the logon

Is echt ruim voldoende over te vinden. En dingen in de HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList reg key veranderen of verwijderen is behoorlijk unsupported.

[ Voor 10% gewijzigd door Turdie op 10-10-2012 20:46 ]