[win2k] Active Directory Probleem

[cryptapix]

Algemene Informatie:
Ik loop stage op een vrij grote bassischool met een vrij geavanceerd netwerk en server.

Probleem:
ik krijg bij het uitvoeren van een .bat bestand de melding dat ik geen rechten heb tot het uitvoeren van dat bestand

Server:
Windows 2000 met Active Directory

Users @ AD:
Global Security Group voor elke groep (1t/m8) + 1 voor directie, leerkracht, administratie en systeembeheerders
Users -> zelfde als hierboven

de login namen zijn: groepx(waar x het nr van groep is), leerkracht, admin enz

niet elke leerling heeft zjin eigen inlog naam, dit gaat per groep. Dus alle 25 leerlingen van groep1 loggen in met username groep1

Geprobeerde oplossingen:
eigenschappen van het betreffende .bat besteand zodanig aanpassen dat gebruikers van, in dit geval groep3, rechten zouden moeten hebben tot het bestand.. helaas werktr dit niet.

Nou zou je zeggen, je pakt de gebruiker in de active directory, opent het eigenschappen venster en pas daar de rechten en eventueel de user policy aan.
Inderdaad, dat dacht ik ook maar als ik eigenschappen klik krijg ik gewoon geen eigenschappen venster. Hoe lang ik ook wacht.
Als ik vervolgens AD wil afsluiten dan krijg ik de melding dat ik alle eigenschappen vensters van het AD moet afsluiten maar dat kan dus niet want ik heb die eigenschappen vensters nooit gekregen..

ook heb ik geprobeerd een nieuwe groep en user aan te maken voor alleen dat programma te draaien. Maarja, dan moet ik alsnog naar de eigenschappen om rechten toe te kennen... en dat kan dus weer niet

Misschien iets bijkomends, sinds kort duurt het inloggen op de server zelf (wat nodig is als we images terug gaan zetten enzovoort) erg lang..
opnieuw opstarten heb ik nog niet gedaan omdat dan heel het netwerk hier plat gaat en dat kan zomaar niet eventjes .

Search:
Ik heb gezocht op verschillende termen als "AD gebruikers eigenschappen" zowel in nederlands als engels maar hij vind niet echt iets wat verband houd met mijn probleem.

Modje:
als titel je niet aanstaat verander je um maar even

[djluc]

Nou zou je zeggen, je pakt de gebruiker in de active directory, opent het eigenschappen venster en pas daar de rechten en eventueel de user policy aan.
Inderdaad, dat dacht ik ook maar als ik eigenschappen klik krijg ik gewoon geen eigenschappen venster. Hoe lang ik ook wacht.
Als ik vervolgens AD wil afsluiten dan krijg ik de melding dat ik alle eigenschappen vensters van het AD moet afsluiten maar dat kan dus niet want ik heb die eigenschappen vensters nooit gekregen..

Dit is een probleem wat ik ook heb. Heb jij ook geen speciale events staan, bij mij wordt er namelijk niets wat hier mee te maken heeft gelogd als fout.

[Verwijderd]

Heb je ook gekeken naar de rechten van de map waar je bat bestand in staat ?

Probeer eens everyone op full control te zetten

[ Voor 26% gewijzigd door Verwijderd op 19-09-2003 14:17 ]

[cryptapix]

special events? hoe moet ik da zien?
ik heb nog niet in logboek gekeken da doe ik maandag wel als ik op stage ben

het gekke is dat bij rechten van bestand alleen de groepen iedreen en admin staan
maar ook leerkrachten hebben access tot hewt bestand
dus ik denk dat het ergens in de gebruikersrehten in AD zit..

[djluc]

cryptapix schreef op 19 September 2003 @ 18:16:
special events? hoe moet ik da zien?
ik heb nog niet in logboek gekeken da doe ik maandag wel als ik op stage ben

Ik bedoel inderdaad de events in je logboek. Ik heb het probleem soms wel en soms niet, meestal is het wel op te lossen door middel van een reboot, maar dat doe je natuurlijk niet zomaar bij een server.

Je weet overigens wel zeker dat je die foutmelding niet krijgt omdat er iets in je batch file staat waar geen rechten voor zijn? Probeer het anders eens met alleen een echo statement in het bestand.

[ Voor 20% gewijzigd door djluc op 20-09-2003 10:32 ]

[mutsje]

Als je naar je services gaat en daar properties van een service opvraagt krijg je dan wel een venster te zien?

[leon1e]

ook heb ik geprobeerd een nieuwe groep en user aan te maken voor alleen dat programma te draaien. Maarja, dan moet ik alsnog naar de eigenschappen om rechten toe te kennen... en dat kan dus weer niet

Je krijgt dus ook geen tabblad security als je met rechts op een bestand klikt? En is dat op de server of op de client of allebei?

Mischien staat in je group policy "Don't run specified Windows applications" wel aan op *.bat?

[ Voor 14% gewijzigd door leon1e op 20-09-2003 10:48 ]

[NetXtreme]

je moet gewoon dat bestand (in Properties -> Security) die de gropen nodig hebben de execute rights geven.... klaar!

[ Voor 3% gewijzigd door NetXtreme op 20-09-2003 14:16 ]

[cryptapix]

djluc schreef op 20 September 2003 @ 10:30:
[...]

Ik bedoel inderdaad de events in je logboek. Ik heb het probleem soms wel en soms niet, meestal is het wel op te lossen door middel van een reboot, maar dat doe je natuurlijk niet zomaar bij een server.

Je weet overigens wel zeker dat je die foutmelding niet krijgt omdat er iets in je batch file staat waar geen rechten voor zijn? Probeer het anders eens met alleen een echo statement in het bestand.

hmz das een goede.. ik probeer nameljik de schermreso aan te passen via batch (dus rundll) probeer maandag wel eens

mutsje schreef op 20 September 2003 @ 10:44:
Als je naar je services gaat en daar properties van een service opvraagt krijg je dan wel een venster te zien?

zal ik maandag eens proberen

leon1 schreef op 20 September 2003 @ 10:47:
[...]


Je krijgt dus ook geen tabblad security als je met rechts op een bestand klikt? En is dat op de server of op de client of allebei?

Mischien staat in je group policy "Don't run specified Windows applications" wel aan op *.bat?

dat tabblad krijg ik wel..
als je mn openings posts had gelezen wist je dat ik dat al geprobeerd heb
en.. ik kan niet in group policy komen zoals ik al zei

NetXtreme schreef op 20 September 2003 @ 14:15:
je moet gewoon dat bestand (in Properties -> Security) die de gropen nodig hebben de execute rights geven.... klaar!

zoals ik al zei in openings post... dat heb ik gedaan maar dat werkt neit

[leon1e]

dat tabblad krijg ik wel.. als je mn openings posts had gelezen wist je dat ik dat al geprobeerd heb en.. ik kan niet in group policy komen zoals ik al zei

zoals ik al zei in openings post... dat heb ik gedaan maar dat werkt neit

Maar daar kun je kunt je group policy ook niet beheren vanaf een client?

[mutsje]

het kan zijn dat je dcomcnfg rechten in de war zijn.

[alt-92]

leon1 schreef op 20 September 2003 @ 17:57:
[...]


Maar daar kun je kunt je group policy ook niet beheren vanaf een client?

Wel als je als domain admin aanmeld en admin tools (adminpak.msi) op je workstation hebt staan.

[ Voor 21% gewijzigd door alt-92 op 21-09-2003 13:00 ]

[cryptapix]

mutsje schreef op 20 September 2003 @ 18:05:
het kan zijn dat je dcomcnfg rechten in de war zijn.

wat?
kan dat zomaar ofzow?

BackSlash32 schreef op 21 september 2003 @ 12:59:
[...]

Wel als je als domain admin aanmeld en admin tools (adminpak.msi) op je workstation hebt staan.

werkt dat ook op een win98 werkstation?
ivm alle schoolsoftware die niet op win2k of xpo draaait zijn we gebonden aan 98, bovendien is de overkoepelende organisatie die bepaalt of we 98 draaien of iets anders

kan je admin pak.msi gewoon van server trekken?
of moet je dat dan weer via active directory beschikbaar maken voor clients.. wat dus niet gaat werken want ik kan niet in policy komen

[djluc]

Dat kun je gewoon op 1 client installen. Op meerdere kan uiteraard ook. Je kunt het vanaf de MS site downloaden. Het zit ook in de resource kit geloof ik.

[alt-92]

adminpak draait alleen op win2k of hoger.

En sorry als ik dit zeg, als je dat soort beheerders basiskennis al niet eens weet (te vinden in je documentatie + online) dan hoor je ook geen server te beheren.

Best bet: installeer RDP 5.1 client op je win98 bak en beheer je server op die manier.,

[ Voor 86% gewijzigd door alt-92 op 21-09-2003 13:24 ]

[cryptapix]

BackSlash32 schreef op 21 September 2003 @ 13:20:
adminpak draait alleen op win2k of hoger.

En sorry als ik dit zeg, als je dat soort beheerders basiskennis al niet eens weet (te vinden in je documentatie + online) dan hoor je ook geen server te beheren.

Best bet: installeer RDP 5.1 client op je win98 bak en beheer je server op die manier.,

daarom heet dat een STAGE
dan hoef je niet alles uit je hoofd te kenne maar is er voor bedoeld om nieuwe dingen te leren

maar goed..
op client beheren is eigenlijk ook niet wat we precies willen..
er moet toch een rede zij nwaarom die server dat niet gewoon doet?

edit:
btw.. tis al meer dan jaar geleden dat ik voor het laatst in het boek heb gekeken van win2k servver wat ik heb voor school..
en daar heb ik echt niet gelerd dat adminpak niet op win98 draait enzow.. want bij mij op school gebruiken we (gelukkig) allemaal win2k werkstations

[ Voor 18% gewijzigd door cryptapix op 21-09-2003 19:40 ]

[djluc]

Het is best interessant als je een Windows OS gaat beheren om de bijbehorende resource kit eens door te lezen. Daar staat vaak veel in over de compitabiliteit met andere besturingssystemen.

[Tags NL]

Hmm.. Als ik zo bovenstaande lees lijkt het eerder alsof er een DNS probleem is of dat er een probleem is met de sysvol van de Domaincontroller (Hij kan geen policies openen) Het lijkt me verstandig om eerst eens in de Eventlog van de domaincontroller(s) te kijken..

[alt-92]

cryptapix schreef op 21 September 2003 @ 13:08:
wat?
kan dat zomaar ofzow?

Alles kan.
een zeer langzaam inloggende console sessie zei je toch?
op welk punt vertraagt-ie dan, applying security settings oid?.

DCOM config:
http://support.microsoft....aspx?scid=kb;en-us;274696

kan je admin pak.msi gewoon van server trekken?
of moet je dat dan weer via active directory beschikbaar maken voor clients.. wat dus niet gaat werken want ik kan niet in policy komen

die wil je dus niet op al je clients installeren.
heb je trouwens wel de AD client voor win98 op je werkstations staan?
Anders gebeurt er nog niet echt veel (mag je poledit in je NETLOGON dir gooien)

[ Voor 6% gewijzigd door alt-92 op 21-09-2003 19:57 ]

[Zwelgje]

-={Fred_Perry}=- schreef op 21 September 2003 @ 19:52:
Hmm.. Als ik zo bovenstaande lees lijkt het eerder alsof er een DNS probleem is of dat er een probleem is met de sysvol van de Domaincontroller (Hij kan geen policies openen) Het lijkt me verstandig om eerst eens in de Eventlog van de domaincontroller(s) te kijken..

psies, daar zat ik dus ook al aan te denken

de TS (=topicstarter ) heeft toch wel de server naar zichzelf laten verwijzen als DNS server/client

anders kun je dat soort problemen idd krijgen

[cryptapix]

zwelgje schreef op 21 September 2003 @ 19:58:
[...]


psies, daar zat ik dus ook al aan te denken

de TS (=topicstarter ) heeft toch wel de server naar zichzelf laten verwijzen als DNS server/client

anders kun je dat soort problemen idd krijgen

ik heb verder niets in te stellen aa nde server,
dit gebeurt van hogere hand via de overkoepelende organisatie

maar dat ik eigenschappen venster van een user niet kan openen in ad ligt dus aan DNS service

[cryptapix]

ok
we hebben toch besloten om de server opnieuw op te starten,
nu werkt alles wel weer gewoon en kan ik wel naar de group policy.
hoewel dit geen blijvende oplossing is want het lijkt me niet logisch dat een win2k server elk half jaar opnieuw moet worden opgestart.

rechten tot de .bat file geven gaat me nu wel lukken

ik heb ook in het logboek gekeken vanmorge,
er staan welliswaar vele foutmeldingen in, maar geen van die meldingen waren bij de systeembeheerder onbekend.

tnx voor jullie hulp

[leon1e]

cryptapix schreef op 22 September 2003 @ 08:31:
ok
we hebben toch besloten om de server opnieuw op te starten,
nu werkt alles wel weer gewoon en kan ik wel naar de group policy.
hoewel dit geen blijvende oplossing is want het lijkt me niet logisch dat een win2k server elk half jaar opnieuw moet worden opgestart.

rechten tot de .bat file geven gaat me nu wel lukken

ik heb ook in het logboek gekeken vanmorge,
er staan welliswaar vele foutmeldingen in, maar geen van die meldingen waren bij de systeembeheerder onbekend.

tnx voor jullie hulp

Ik snap persoonlijk niet waarom het erg is een server 1 keer in het half jaar te herstarten? Ik neem aan dat je zo af en toe ook wel eens een patch installeert(mag ik hopen) en daarvoor moet je meestal ook herstarten.

Mijn productie server’s worden zeker 1 keer in de week opnieuw opgestart..

[Verwijderd]

Sjah, dat rebooten van je server valt altijd over te twisten.
Op zich baal ik al jaren van m$, dat na 80% van alle patches je moet rebooten.
Niet echt fijn zeg maar, want het komt er altijd op neer, dat ik servers buiten kantooruren loop te rebooten.

[Off Topic]
Linux heeft dit iets minder, alle patches voor programma's vereisen geen systeem herstart, hoogstens een programma herstart.
Alleen de kernel, dan moet je natuurlijk rebooten.
Veel mensen zie ik wel eens 'opscheppen' over windows/*nix machines met superhoge uptime.
Sjah dat staat voor mij altijd garant voor ungepatchte/ouwe kernel servers

Groetn.

[cryptapix]

Het probleem is niet het opnieuw opstarten, want dat moet inderdaad ook als hij geupdate word. Maar ik vind het gewoon een slechte zaak dat ik elk half jaar MOET rebooten omdat mjin server anders niet meer correct functioneert.
en dat moet dus ook gebeuren buiten kantooruren en die zijn hier op de basisschool nogal uiteenlopend (ligt eraan hoeveel mensen nog werk moeten verrichten achter de computer).

[Verwijderd]

Sjah, misschien wel voer voor flames enzo, maar windows wordt veel sneller instabieler naar mate de uptime stijgt, linux heeft hier veel minder last van.

[Verwijderd]

cryptapix schreef op 19 September 2003 @ 13:58:
Nou zou je zeggen, je pakt de gebruiker in de active directory, opent het eigenschappen venster en pas daar de rechten en eventueel de user policy aan.
Inderdaad, dat dacht ik ook maar als ik eigenschappen klik krijg ik gewoon geen eigenschappen venster. Hoe lang ik ook wacht.
Als ik vervolgens AD wil afsluiten dan krijg ik de melding dat ik alle eigenschappen vensters van het AD moet afsluiten maar dat kan dus niet want ik heb die eigenschappen vensters nooit gekregen..

ik heb dit probleem ook gehad. maar dit bleek te herleiden te zijn naar een hardware probleem met de raidcontroller. (alleen op de server zelf had ik dit probleem; niet als ik de mmc vanaf mijn werkstation opende).

[Verwijderd]

Verwijderd schreef op 22 September 2003 @ 10:25:
Sjah, misschien wel voer voor flames enzo, maar windows wordt veel sneller instabieler naar mate de uptime stijgt, linux heeft hier veel minder last van.

ongegronde opmerkingen wel ja... mijn record nt4 machine heeft een uptime van 462 dagen en draait nog als een zonnetje

[leon1e]

En zeker in een omgeving waar een server niet 24*7 beschikbaar hoeft te zijn is het toch niet zo erg om 's nachts een keer een restart.vbs te draaien, je server wordt er vast niet langzamer van.

Op plekken waar een server 24*7 beschikbaar moet zijn, wordt de group policy toch niet vanaf de console beheerd(NOFI) en zul je dit probleem niet tegen komen. Zoals iis5_rulez ook al aangeeft elke windows/*nix bak kan een hoge uptime halen, mischien heeft *nix er iets minder last van maar het blijft een eindeloze discussie..

[mutsje]

Het kan inderdaad aan de DNS instellingen op de client liggen dat jij de MMC niet openen kunt. Maar er kunnen nog veel meer factoren meespelen. Op wat voor OS installeer jij de adminpack? (ben draad beetje kwijt).

Over uptime van Windows Servers kan ik kort zijn. Meestal bereiken deze machines slechts een korte uptime omdat de zogenaamde "god" achter de machine de boel dusdanig loopt te vertweaken(verprutsen) dat die machines spontane bsod's en dergelijke gaan vertonen. Als een server daarvoor ingezet wordt waarvoor een machine bestemd is bereik je hele lange uptimes. Inderdaad zul je af en toe patches moeten installeren met een noodzakelijk reboot als gevolg.

[cryptapix]

ik heb admin pack nergens geinstalleerd..
ik zal ze hier eens aanraden om server voortaan vanaf een client te bedienen ipv op de server zelf
maar, ivm ghost image bijvoorbeeld, moet ik toch inloggen op de server om deze klaar te zetten voor het verspreiden van de images (symantec systeem). oko moet ik elke morgen inloggen na het verwisselen van de tapes om te kijken of er geen fouten zijn opgetreden.
en misschien is een reboot 1keer per week (bijvoorbeeld op zaterdag middag) nog niet eens zon gek idee..
ik zal het eens voorleggen aan de grote baas hier

linux is GEEN optie,
allereerst omdat daar niemand hier verstand van heeft
ten tweede is het helemaal opnieuw inrichten + beveiligen e.d. van een nieuwe server gewoon teveel werk
ten derde word de keuze van OS op de server niet door ons bepaalt maar door de overkoepelende organisatie (die dat weer uit besteed)

[mutsje]

Inloggen om te controleren of backup gelukt is . Het enige wat ik hier doe is Backup Exec viewer starten en zie gelijk of backup gelukt is. Op een andere server kijk ik in de NT backup log en zie op het gelukt is. Ook kun je erg veel informatie uit de eventviewer halen met betrekking tot zaken die niet goed gaan.

Met adminpack kun je users beheren en dergelijke. Je moet ook resource kit ff op een client installeren en dan kun je nog veel meer vanaf een werkplek.

Terminal Server (administrative mode) kun je inloggen op server zonder achter server te staan.. en nog veel meer opties om de server nooit te hoeven te zien.

[cryptapix]

ok.. dan zal ik dat in de loop vande week eens gfaan proberen..
ik zit wel gebonden aan win98 clients.. stomme kl*te schoolsoftware ook.. blargh

nogmaals tnx voor info + hulp