[win2k]maximum aantal policies over elkaar

[djluc]

Ik ben bezig met een opzet in AD, waarin ik iets probeer te maken wat niet echt wil lukken:
Ik heb in AD een OU gemaakt genaamd accounts. Daarin heb ik 2 OU's gemaakt, namelijk management en personeel. In de map personeel heb ik weer een aantal OU's gemaakt, steeds voor de verschillende afdelingen: keuken, bediening, afwas.
Als ik nu een nieuwe group policy maak in de OU's dan worden ze niet toegepast. Ik heb dit getest door de instelling van de titelbar in de group policy van een OU te wijzigen. Ook als ik een waarde instel in de default domain policy werkt het niet.

Mag ik die OU's wel zo nesten, ik heb dit namelijk gedaan omdat ik aan heel het personeel bepaalde restricties op te leggen, anders moet ik dit 3x doen(in het echt zo'n 8x.)

[Verwijderd]

Weet je zeker dat je Policy Inheritance goed staat gedefinieerd?

En je roept Win2K: is dat Professional, Server, Advanced Server, Datacenter Server? Is dat native of mixed-mode?

[ Voor 48% gewijzigd door Verwijderd op 05-05-2003 19:31 ]

[djluc]

Windows 2000 professional cliënten en 1 Windows 2000 server. Ik zou niet weten wat het verschil is tussen native en mixed mode.

ik ben net nog even aan het testen geweest, en heb ontdekt dat de policies ook niet meer op de andere lokaties werken, vreemd. De policies hebben gewoon gewerkt, alleen weet ik niet wat er fout is gegaan.

Is de manier waarop ik nu werk eigenlijk wel dé manier? Of zijn er beter en/of snellere alternatieven?

[ Voor 5% gewijzigd door djluc op 05-05-2003 22:29 ]

[KorZijl]

Native mode = Alleen W2K domein structuur
Mixed mode = Naast W2K ook nog NT4 domein controllers

[djluc]

Het is een gloednieuw netwerk wat nu 2 dagen in gebruik is maar nog helemaal afgewerkt moet worden. Er zitten dus geen NT4 controllers in. De enige server is ook meteen DNS en AD server. Native mode draaien we dus.

[ Voor 95% gewijzigd door djluc op 05-05-2003 22:30 ]

[Smurff]

ik neem aan dat de rechten op de polcies wel goed staan dus read and apply.
Staat er toevallig niet ergens een vinkje bij no override of ergens block policy inheritance.
anders kan je wel ff kijken met gpresult op de pcá of de policy geapplied is.

[Grolsch]

2 hebt ook 2 soorten policy's, computer policy's en user policy's.

Als je een computer policy toepast moeten de computers van de desbetreffende users OOK in die OU zitten.

[djluc]

Ik krijg alleen de policies binnen van lokaal groepsbeleid en de default domain policy. Als ik hierbij echter bijvoorbeeld een nieuwe titel bij internet explorer plaats dan wordt deze niet toegepast. Er komt dus niet Internet Explorer provided by... te staan.

edit:
Ik ben nog steeds aan het testen en ik heb als test block block policy inherance aangezet op de policy. Ook als ik dit doe wordt er nog steeds geen gebruik van gemaakt.

mijn gpresult:

code:

Microsoft (R) Windows (R) 2000 Operating System Group Policy Result tool
Copyright (C) Microsoft Corp. 1981-1999


Created on dinsdag 6 mei 2003 at 14:35:33


Operating System Information:

Operating System Type:      Professional
Operating System Version:   5.0.2195.Service Pack 3
Terminal Server Mode:       Not supported

###############################################################

  User Group Policy results for:

  

  Domain Name:      TIJD
  Domain Type:      Windows 2000
  Site Name:        Default-First-Site-Name

  Roaming profile:  \\server01\profiles\personeel
  Local profile:    C:\Documents and Settings\personeel

  The user is a member of the following security groups:



###############################################################

Last time Group Policy was applied: dinsdag 6 mei 2003 at 14:28:33



###############################################################

  Computer Group Policy results for:

  

  Domain Name:      TIJD
  Domain Type:      Windows 2000
  Site Name:        Default-First-Site-Name


  The computer is a member of the following security groups:

    INGEBOUWD\Administrators
    \Iedereen
    MIRJAN\Debugger Users
    MIRJAN\Gebruikers foutopsporing
    INGEBOUWD\Gebruikers
    NT AUTHORITY\NETWERK
    NT AUTHORITY\Geverifieerde gebruikers
    TIJD\MIRJAN$
    TIJD\Domain Computers

###############################################################

Last time Group Policy was applied: dinsdag 6 mei 2003 at 13:46:15
Group Policy was applied from: SERVER01.tijd.local


===============================================================


The computer received "Registry" settings from these GPOs:

    Lokaal groepbeleid
    Default Domain Policy


===============================================================
The computer received "Microsoft Disk Quota" settings from these GPOs:

    Default Domain Policy


===============================================================
The computer received "Security" settings from these GPOs:

    Default Domain Policy


===============================================================
The computer received "EFS recovery" settings from these GPOs:

    Lokaal groepbeleid
    Default Domain Policy

Ik denk dat het probleem is dat de user niet in een security group zit, de gebruiker zit wel in de juiste OU, waar ook een nieuwe policy in is geplaatst.

[ Voor 107% gewijzigd door djluc op 06-05-2003 14:35 ]

[Grolsch]

je hebt wel altijd wat met ou's/groups/AD etc.

Een policy zet je idd weer op een OU, en juist NIET op een security group.

Alleen de rechten op je policy (policy is een object, dus zit er weer een ACL aanvast) geef je weer aan security groups.

snappie vous?

[edit]
kvind het wel gaaf dat je echt overal op doorworsteld

[ Voor 13% gewijzigd door Grolsch op 06-05-2003 14:42 ]

[djluc]

kvind het wel gaaf dat je echt overal op doorworsteld

Zoals al eerder gezegt al doende leert men, zelfs in een al in gebruik genomen situatie

Ik snap helemaal wat je bedoeld hoor, maar waarom worden mijn policies dan niet toegepast op deze user?

[Grolsch]

djluc schreef op 06 May 2003 @ 15:06:
[...]

Zoals al eerder gezegt al doende leert men, zelfs in een al in gebruik genomen situatie

Ik snap helemaal wat je bedoeld hoor, maar waarom worden mijn policies dan niet toegepast op deze user?

even alle stappen op een rijtje

je maakt ou's

je plaatst de desbetreffende users EN COMPUTER ACOUNTS in de desbetreffende OU.

Op de OU creeer je een Policy

Je zorgt dat de desbetreffende gebruikers IN de OU read and apply rechten hebben (dit doe je weer dmv security groups).

Vervolgens check je of er NERGENS vinkjes staan bij block policy inheritance etc.

Trouwens je moet er bij win2k icm AD en DNS nooit vanuit gaan dat het DIRECT werkt, er kan zo een paar uur overeen gaan

[djluc]

Grolsch schreef op 06 May 2003 @ 15:18:
[...]


even alle stappen op een rijtje

Daar gaan we dan:

je maakt ou's

je plaatst de desbetreffende users EN COMPUTER ACOUNTS in de desbetreffende OU.

De computer accounts zaten er nog niet in, maar moet dit eigenlijk wel? Iedereen is toch vrij om achter een computer te gaan zitten naar keuze? Of kunnen ze toch wel inloggen op een computer van een andere OU?

Op de OU creeer je een Policy

Gewoon add/remove snap-in->group policy->nieuwe in de juiste OU plaatsen?

Je zorgt dat de desbetreffende gebruikers IN de OU read and apply rechten hebben (dit doe je weer dmv security groups).

Alle autheniticated users hebben read en apply policy rechten.

Vervolgens check je of er NERGENS vinkjes staan bij block policy inheritance etc.

nope

Trouwens je moet er bij win2k icm AD en DNS nooit vanuit gaan dat het DIRECT werkt, er kan zo een paar uur overeen gaan

Dat heb ik gemerkt ja, de refresh commando's ken ik zo ondertussen wel uit mijn hoofd

[Grolsch]

djluc schreef op 06 mei 2003 @ 15:26:
[...]

Daar gaan we dan:
[...]

De computer accounts zaten er nog niet in, maar moet dit eigenlijk wel? Iedereen is toch vrij om achter een computer te gaan zitten naar keuze? Of kunnen ze toch wel inloggen op een computer van een andere OU?

Je hebt verschillende onderdelen in een policy.
namelijk:
computer configuration (de bovenste bij mij)
en
user configuration

als jij je instellingen doet in de computer configuration, zijn ze van toepassing op een computer, en NIET op een user, je zult dan dus de desbetreffende computer IN die OU moeten zetten (volg je me nog? ), of dezelfde instelling zien te vinden in user configuration.

Ze kunnen altijd inloggen op een computer uit een andere OU, mits ze genoeg rechten hebben (logon localy recht gedenied bijv. voor een bepaalde groep)

[...]

Gewoon add/remove snap-in->group policy->nieuwe in de juiste OU plaatsen?

[...]

je gaat naar AD users and computers>properties van de OU>3e tabblad "group policy"

daar zeg je new (of add als je je policy al eerder gemaakt hebt)

Alle autheniticated users hebben read en apply policy rechten.

[...]

nope

[...]

Dat heb ik gemerkt ja, de refresh commando's ken ik zo ondertussen wel uit mijn hoofd

dit verhaal klopt dan in ieder geval.

Het zal vast iets lullig zijn, maar tis voor ons (voor mij in iedergeval), natuurlijk altijd moeilijk jouwn probleem op te lossen dmv tekst die jij op een forum zet.

Kging er liever zelf even achter zitten

[djluc]

Remote control mogelijkheden van mijn servertje ben ik nog niet aan toegekomen

Ik ga even kijken of ik die policy goed heb aangemaakt, want daar twijfel ik nog een klein beetje over.

Het maakt overigens niet uit of ik met mijn eigen consolebestand werk of met de standaard bij de administration tools he?

[Grolsch]

djluc schreef op 06 May 2003 @ 15:37:
Remote control mogelijkheden van mijn servertje ben ik nog niet aan toegekomen

Ik ga even kijken of ik die policy goed heb aangemaakt, want daar twijfel ik nog een klein beetje over.

Het maakt overigens niet uit of ik met mijn eigen consolebestand werk of met de standaard bij de administration tools he?

ik werk altijd met AD users en computers (dmv remote control), iets anders heb ik nog nooit geprobeert.
Maar het zal toch wel werken neem ik aan.

[djluc]

Ik heb in het 3e tabblad van mijn ou personeel 1 object in het lijstje staan en dat is de policy personeel. Moet daar niet ook de default domain policy in staan?

Wat moet ik nu eigenlijk te zien krijgen bij gpresult?Moet er dus net zoals nu al bij de computerpolicy gebeurt zo'n lijstje komen met de locaties van welke policies de rechten afkomen?

edit:Wat ik zo vreemd vind: ik heb de gebruiker personeel toegevoegd aan de global security group "bediening" maar in de gpresult staat dat de gebruiker nergens bij hoort? vreemd

[ Voor 59% gewijzigd door djluc op 06-05-2003 15:51 ]

[Grolsch]

djluc schreef op 06 May 2003 @ 15:41:
Ik heb in het 3e tabblad van mijn ou personeel 1 object in het lijstje staan en dat is de policy personeel. Moet daar niet ook de default domain policy in staan?

nee, hoeft niet, het wordt over elkaar heen geschoven zeg maar, een ander niveau.

Wat moet ik nu eigenlijk te zien krijgen bij gpresult?Moet er dus net zoals nu al bij de computerpolicy gebeurt zo'n lijstje komen met de locaties van welke policies de rechten afkomen?

edit:Wat ik zo vreemd vind: ik heb de gebruiker personeel toegevoegd aan de global security group "bediening" maar in de gpresult staat dat de gebruiker nergens bij hoort? vreemd

speel/probeer maar eens wat.

Een policy maak je voor een OU (of domain)
dit staat los van security groups.

Ik denk dat het nu wel eens een replicatie/tijds issue kan zijn.
Als het je morgen nog niet gelukt is moet je maar ff zeggen wat exact wel/niet.

[ Voor 7% gewijzigd door Grolsch op 06-05-2003 15:55 ]

[Apen-nootjes]

mmm... 't is toch ook zo dat de policie's die hoe hoger ze staan hoe belangrijker ze zijn.. 'k vertel het wel een beetje krom...

code:

1
|-2
   |-3
      |-4

De policy die op 1 staat gaat toch over 4 heen?? of ni??

[djluc]

Dat is zo inderdaad, maargoed, als je alleen in policy 4 een instelling maakt dan moet deze gewoon gerbuikt worden. Er vanuit gaande dat deze instellingen in de bovenliggende op not configured staan.

Ook met allow override kun je wat instellingen doen om daar tegenin te gaan.

edit: Zijn er echt geen mensen hier, behalve Grolsch dan die me weer eens kan helpen, die iets van AD afweten en dit ook eens meegemaakt hebben, of een idee hebben?

[ Voor 24% gewijzigd door djluc op 06-05-2003 17:50 ]

[Grolsch]

djluc schreef op 06 mei 2003 @ 16:43:
Dat is zo inderdaad, maargoed, als je alleen in policy 4 een instelling maakt dan moet deze gewoon gerbuikt worden. Er vanuit gaande dat deze instellingen in de bovenliggende op not configured staan.

Ook met allow override kun je wat instellingen doen om daar tegenin te gaan.

edit: Zijn er echt geen mensen hier, behalve Grolsch dan die me weer eens kan helpen, die iets van AD afweten en dit ook eens meegemaakt hebben, of een idee hebben?

er zijn hier weinig mensen met win2k AD ervaringen

Overclockers zijn er genoeg

Mutsje weet er wel het 1 en ander van wat ik uit z'n posts lees, en Wildhagen werkt volgens mij ook veel met win2k, alhoewel ik hem de laatste tijd niet gezien heb.

Maar zoals ik je het verteld heb hoort het te werken, ik heb net de situatie nog ff nagebouwt.

Je zult vast en zeker iets kleins zijn vergeten.

[djluc]

Ik heb net weer zitten zoeken naar het probleem en het komt ook voor bij andere OU's. Ik heb namelijk zowel een OU management als een OU personeel. Uiteraard met de bijbehorende policies, beide werken niet.

[Grolsch]

djluc schreef op 07 May 2003 @ 10:14:
Ik heb net weer zitten zoeken naar het probleem en het komt ook voor bij andere OU's. Ik heb namelijk zowel een OU management als een OU personeel. Uiteraard met de bijbehorende policies, beide werken niet.

heb je nu ook de desbetreffende computers in die OU gezet? (al was het alleen om te testen)

[djluc]

Ja dat heb ik gedaan, ik heb echter toch wijzigingen gemaakt in het user gedeelte en in het computer gedeelte in de policy dus het mag niet zo veel uitmaken.

Ik ga mijn DHCP server eens controleren dnek ik of de juiste DNS gegevens wel doorkomen. Verder ga ik proberen om de DNS cache te legen, dat was een oplossing van de www.eventid.net site. Ik krijg namelijk op mijn client, daar had ik nog niet in de logs gekeken een error 1000. Ik denk dat die met de DNS gegevens te maken heeft.

[Grolsch]

djluc schreef op 07 May 2003 @ 10:29:
Ja dat heb ik gedaan, ik heb echter toch wijzigingen gemaakt in het user gedeelte en in het computer gedeelte in de policy dus het mag niet zo veel uitmaken.

Ik ga mijn DHCP server eens controleren dnek ik of de juiste DNS gegevens wel doorkomen. Verder ga ik proberen om de DNS cache te legen, dat was een oplossing van de www.eventid.net site. Ik krijg namelijk op mijn client, daar had ik nog niet in de logs gekeken een error 1000. Ik denk dat die met de DNS gegevens te maken heeft.

ik ga er vanuit dan je AD+DNS lekker werkt, dus keurig alle srv records aanwezig in je domain.

en btw, als je dns gegevens wilt checken, zou ik dan niet in de dhcp manager doen, maar in de dns manager, just a detail

[ Voor 9% gewijzigd door Grolsch op 07-05-2003 10:31 ]

[djluc]

Ik heb ff gekekene en op een of andere manier werkt de DHCP server niet goed. Ik krijg op de clienten namelijk niet de juiste dns door denk ik. Ik heb nu gewoon even wat handmatige ip adressen ingevoerd met de juiste dns gegevens en dan werkt het wel.

[Grolsch]

djluc schreef op 07 mei 2003 @ 12:55:
Ik heb ff gekekene en op een of andere manier werkt de DHCP server niet goed. Ik krijg op de clienten namelijk niet de juiste dns door denk ik. Ik heb nu gewoon even wat handmatige ip adressen ingevoerd met de juiste dns gegevens en dan werkt het wel.

*LOL*, dus ff je dhcp scope checken!!!

toevallig niet een router draaien welke ook dhcp speelt?

[djluc]

We hebben hier MXstream, daar zit dus wel een routertje. Ik heb het nu met vaste ip's werkend dus ik vind het eigenlijkw el goed voor 3 pc's

Misschien is er een mogelijkheid om de DHCP gewoon helemaal uit te schakelen? Dan krijg ik daar later zeker geen probs mee. Ook meteen wat minder meldingen in de logs

[Grolsch]

djluc schreef op 07 mei 2003 @ 14:49:
We hebben hier MXstream, daar zit dus wel een routertje. Ik heb het nu met vaste ip's werkend dus ik vind het eigenlijkw el goed voor 3 pc's

Misschien is er een mogelijkheid om de DHCP gewoon helemaal uit te schakelen? Dan krijg ik daar later zeker geen probs mee. Ook meteen wat minder meldingen in de logs

als je statisch ip gebruikt werkt het ook wel, mits alle records aanwezig zijn.

Maar speelt die router nu dhcp server dan?

Kvolg jou af en toe niet (NOFI )

Je wil alles mooi in orde hebben, like policy's, user management, kix scripting, ou's etc.

Maar waarom dan niet gelijk DHCP en DNS op je win2k DC? is toch veel makkelijker/mooier/praktischer? dynamic dns update etc.

[djluc]

Het is een netwerkje van een bedrijf, niet van mij
Als het van mezelf was had ik er wel wat meer op geprobeerd.

De router speelde inderdaad ook nog DHCP, heel vaag want dat heb ik nooit aangezet . Ik heb net zo'n standaard routertje besteld met VPN servertje zodat ik daar niet zo moeilijk mee hoef te doen

Kvolg jou af en toe niet (NOFI )

Can happen, je probeert het in ieders geval wel, das al heel wat

[Grolsch]

djluc schreef op 07 mei 2003 @ 16:35:
Het is een netwerkje van een bedrijf, niet van mij
Als het van mezelf was had ik er wel wat meer op geprobeerd.

De router speelde inderdaad ook nog DHCP, heel vaag want dat heb ik nooit aangezet . Ik heb net zo'n standaard routertje besteld met VPN servertje zodat ik daar niet zo moeilijk mee hoef te doen


[...]

Can happen, je probeert het in ieders geval wel, das al heel wat

ik hoop voor dat bedrijf dat ze je niet op uurbasis hebben aangenomen

maar in routers kun je in 99% van de gevallen "web based" inloggen en dhcp disablen!

[djluc]

ik hoop voor dat bedrijf dat ze je niet op uurbasis hebben aangenomen

Ff ter info, ik werk wel op uurloon-basis, echter wel met de vermelding er bij dat ik tijdens het werk aan het leren ben. Dat is allemaal wel goed geregeld.

maar in routers kun je in 99% van de gevallen "web based" inloggen en dhcp disablen!

Dat heb ik vandaag ook gedaan. Ik krijg morgen een routertje binnen met VPN ondersteuning en dan ga ik me daar op storten

[Grolsch]

djluc schreef op 07 May 2003 @ 18:45:
[...]

Ff ter info, ik werk wel op uurloon-basis, echter wel met de vermelding er bij dat ik tijdens het werk aan het leren ben. Dat is allemaal wel goed geregeld.

Mag je mij (en de rest hier) zo langzamerhand ook wel een donatie doen kben wel een uur aan he typen geweest

[...]

Dat heb ik vandaag ook gedaan. Ik krijg morgen een routertje binnen met VPN ondersteuning en dan ga ik me daar op storten

hoezo wil je je daar op storten, wat wil je bereiken dan? netwerken aan elkaar knopen? of clients laten connecten?

[djluc]

Clients laten conecten, misschien valt het allemaal wel mee en is het enorm eenvoudig

Ik denk dat dit niet zo veel werk gaat worden, maarja dat zullen we wel zien.

[Grolsch]

djluc schreef op 07 mei 2003 @ 22:20:
Clients laten conecten, misschien valt het allemaal wel mee en is het enorm eenvoudig

Ik denk dat dit niet zo veel werk gaat worden, maarja dat zullen we wel zien.

waarom gebruik je niet gewoon de kant en klare oplossing van windows 2000 server dan? heb je meteen gecentraliseert user beheer etc., maar 1 security database.

Gewoon std. routing and remote access.

[djluc]

Ik kan ze als ik wil ook van de router naar de server door sturen. Ik ga het eerst proberen met die router met VPN ondersteuning. Ik kan het dan later alsmog beter maken.

Wat is eigenlijk het voordeel van het gebruik van de windows 2000 server? Ik kan toch gewoon inloggen op het domein als ik de VPN server in de router gebruik?