GPO gemaakt door 2de administrator is niet geldig

[jwpmzijl]

Stoot mijn hoofd iets te vaak en krijg met gegoogel niet het verlossende antwoord. Daarom probeer ik het hier .

Ik heb een domein waar ik beheerder voor ben en ik gebruik het administrator account. Ik heb in AD een organisatie structuur aangemaakt. In GPMC heb ik diverse GPO's aangemaakt. Allemaal goed en wel.

Ik heb een collega die ook beheer op deze server moet uitvoeren. Heb voor hem een eigen account aangemaakt en hem lid gemaakt van de ondernemingsadministrators en domein administrators. Tevens heb ik de gebruiker lid gemaakt van de groep Maker Eigenaar Groepsbeleid Vervolgens heb ik in GPMC aangegeven dat dit account gedelegeerd is voor betreffende OU en onderliggende objecten.

Deze gebruiker kan gebruikers, OU's en GPO's aanmaken. Echter de GPO wordt niet toegepast. Als ik de details van deze GPO bekijk dan zie ik de volgende fout:

• Er is een onbekende fout opgetreden bij het verzamelen van de gegevens voor deze extensie. Details Kan een gedeelte van pad \[domein]\Sysvol[domein]\Policies\{guid}\User\Preferences\Drives.xml niet vinden

De betreffende gebruiker heb ik lees en schrijfrechten gegeven op \[domein]\Sysvol[domein]\Policies\ maar dat mag niet baten. Ik zie iets over het hoofd maar wat ??

[Hero of Time]

Als je iemand lid maakt van Domain Admins, is het niet nodig om 'm ook nog GPO rechten te geven of delegatie te veranderen naar die persoon. Herstel alles maar eens en probeer het opnieuw. Je kan het ook bij jezelf uitvoeren, je doet zelf alles als Administrator, maar je zal toch ook wel een eigen gebruikersnaam op het domein hebben. Geef die enkel Domain Admin rechten en maak dan een nieuwe GPO aan.

[sanfranjake]

Heb je niet gewoon een dns-probleem waardoor de AD niet goed resolved kan worden? Test eens met dcdiag of alles wel in orde is ...
En kijk eens naar wat voor permissies er op die policy staan zowel in GPMC als in de SysVol ?
En wat voor details zie je nog meer in de eventviewer?

[jwpmzijl]

Hero of Time schreef op woensdag 17 juli 2013 @ 08:44:
Als je iemand lid maakt van Domain Admins, is het niet nodig om 'm ook nog GPO rechten te geven of delegatie te veranderen naar die persoon.

Ben ik met je eens, maar als je ziet dat het niet werkt ga je van alles proberen :-).

[jwpmzijl]

sanfranjake schreef op woensdag 17 juli 2013 @ 10:16:
Test eens met dcdiag of alles wel in orde is ...

DCdiag geeft geen foutmeldingen (ben van Win 2008 naar server 2012 gemigreerd en heb bij de migratie alle bestaande fouten verholpen

Verder inhoudelijke reactie volgt later.

[Remco]

En als de gebruiker die GPO bekijkt, krijgt hij dan ook die melding?

[Question Mark]

jwpmzijl schreef op woensdag 17 juli 2013 @ 14:10:
[...]

Ben ik met je eens, maar als je ziet dat het niet werkt ga je van alles proberen :-).

Dus het werkte voorheen, met de default rechtenset ook al niet? Da's wel redelijk essentiele info om te melden..

[Mental]

Staat die file dan ook wel op je sysvol? Hoeveel domaincontrollers heb je? Indien meerdere, werkt replicatie goed?
Iets meer info zou wel handig zijn maar het klinkt in ieder geval niet heel logisch allemaal, elke domain admin kan gewoon een gpo aanmaken en die zou moeten werken.
Custom rechten op sysvol is overigens wel een grote nono.

[jwpmzijl]

Mental schreef op woensdag 17 juli 2013 @ 22:26:
Staat die file dan ook wel op je sysvol? Hoeveel domaincontrollers heb je?

2

Indien meerdere, werkt replicatie goed?

Geen problemen bekend.

Custom rechten op sysvol is overigens wel een grote nono.

Volmondig mee eens het was dan ook maar een experiment

Meer info:

1. 2de admin maakt nieuwe GPO aan in GPMC (via .. GPO in domein aanmaken en hier een koppeling maken), hij voegt een drive mapping toe.
2. De 1ste admin kijkt in GPMC en ververst de lijst. Vervolgens selecteert hij de nieuwe gpo en krijgt een foutmelding van GPMC Het systeem kan het opgegeven bestand niet vinden,
3. Als je dan vervolgens de details van de GPO wilt bekijken dan krijg je het volgende te zien.
   De volgende fouten zijn aangetroffen:
   Er is een onbekende fout opgetreden bij het verzamelen van gegevens voor deze extensie. Details: Kan een gedeelte van het pad \\[host.domain]\SysVol[domain]\Policies\{3153A82D-8F61-4D83-8048-E6198C60474E}\User\Preferences\Drives\drives.xml niet vinden.

[Mental]

werken beide admins met dezelfde dc? (niet óp maar mét).
Bestaat het bestand op beide domaincontrollers op het sysvol volume?

[Question Mark]

Mental schreef op woensdag 17 juli 2013 @ 22:26:
Hoeveel domaincontrollers heb je? Indien meerdere, werkt replicatie goed?

jwpmzijl schreef op donderdag 18 juli 2013 @ 00:29:
Geen problemen bekend.

Hoe weet je dat zo zeker? Je krijgt toch een melding dat een bepaald bestand ontbreekt in de sysvol van een DC. Stap één is dan toch echt wel evt. replicatie-errors uitsluiten.

Draai de Active Directory Replication Status Tool eens?

[jwpmzijl]

Dank voor het meedenken. Ik ga even een paar weken op vakantie. Van mijn kant dus voorlopig geen reactie te verwachten :-)

[Mental]

Wow.. gewoon, wow.