[win2003]problemen met rechten

[Tije]

We praten over een windows 2003 enterprise server, waar we op werken met roaming profiles (zo'n 80 profiles in totaal).
Nu hebben we een probleem, deze server staat op school in het "IT-lab" en dit lokaal word gebruikt voor informatica lessen (niets anders) en iedere leerling heeft zijn eigen roaming profile, het beheer word door sommige leerlingen zelf gedaan en geen systeembeheerder komt eraan (het systeembeheer weet zelf ook vrij weinig dus daar hebben we ook niets aan).

Maar nu is het probleem dat wij als administrators geen rechten hebben op de profielen, de enige manier om rechten te krijgen is in mijn ogen om ownership te nemen over ieder bestand en mapje in de profielen.
De profielen staan op een aparte partitie (NTFS partitie).

Volgens mij komt het probleem met de rechten doordat er in het begin ergens in de policies iets enabled stond dat de administrators niet in de profielen mochten komen vanwege privacy redenenen.

Inmiddels staat dat uit, maar daardoor zijn de rechten niet veranderd.
Het probleem is dus, hoe kunnen we nu snel zorgen dat deze rechten goed komen te staan? En niet ieder mapje apart ownership over nemen.

Met de search ben ik ook niet veel wijzer geworden over dit probleem.

Er is namelijk nog een groot probleem bij gekomen, het erg fijne Netsky.b virus verspreid zich momenteel erg hard op onze server, en de virusscanner kan hem niet verwijderen vanwege de rechten problemen.
De server staat in een vrij groot schoolnetwerk, en het systeembeheer zit er natuurlijk niet op te wachten dat dit virus straks op alle servers staat.

We zitten er nu over na te denken om de server maar lekker te gaan formatten (de profielen partitie sowieso).
Maar is er nu geen andere mogelijkheid?

[ Voor 6% gewijzigd door Tije op 23-02-2004 09:16 ]

[mutsje]

Je kunt administrator rechten geven op profiles middels een policy. Dit geld echter alleen voor nieuwe profiles de oude blijf je access is denied op krijgen. En dit heeft inderdaad met privacy te maken dat dit default zo ingesteld is dat een administrator er ook niet bij kan.

[Tije]

mutsje schreef op 23 februari 2004 @ 09:24:
Je kunt administrator rechten geven op profiles middels een policy. Dit geld echter alleen voor nieuwe profiles de oude blijf je access is denied op krijgen. En dit heeft inderdaad met privacy te maken dat dit default zo ingesteld is dat een administrator er ook niet bij kan.

Ja ik weet dat het via een policy kan, en die stond dus "verkeerd" toen alle profielen zijn aangemaakt. Dus nu blijven we access denied krijgen.
Inmiddels is dat aangepast in de policy, maar is er geen andere mogelijkheid om toch op een normale manier rechten te krijgen?

[elevator]

Meerwijck schreef op 23 februari 2004 @ 09:15:
het beheer word door sommige leerlingen zelf gedaan en geen systeembeheerder komt eraan (het systeembeheer weet zelf ook vrij weinig dus daar hebben we ook niets aan).

Je zal idd de rechten van de oude folders moeten gaan resetten - let hierbij wel op dat de ownership / rechten check op de clients uitstaat.

Zoek even rond op xcacls / cacls op GoT - er zijn zat voorbeelden te vinden (bv: [rml][ NT4] Rechten verdwenen, per stuk replacen?[/rml])

[Tije]

Nou het is inmiddels gelukt, en de virusscanner is druk bezig met scannen.
Ik heb gebruik gemaakt van cacls.

Maarja nu hebben we nog een vraag/ probleem, en ik weet niet of het nodig is hier een nieuw topic voor te openen (ik kon in ieder geval niets vinden in de search).

We werken dus met roaming profiles zoals boven genoemd:
Maar hoe kan je nu snel die profiles toevoegen, nu moet het een voor een. Is hier een programma voor of zit er standaard iets in Windows gebakken?

(ik bedoel dat je in een keer allemaal namen tegelijk in voert, en dat de server dan automatisch op de profile partitie de map aanmaakt met voor en achternaam van de user bijvoorbeeld, nu moet je zelf het path aangeven. Erg veel werk)

[ Voor 20% gewijzigd door Tije op 24-02-2004 12:30 ]

[elevator]

Wat bedoel je met profiles toevoegen?

[Tije]

elevator schreef op 24 februari 2004 @ 12:29:
Wat bedoel je met profiles toevoegen?

Je was iets te snel met je reply, ik was net aan het editten

(ik bedoel dat je in een keer allemaal namen tegelijk in voert, en dat de server dan automatisch op de profile partitie de map aanmaakt met voor en achternaam van de user bijvoorbeeld, nu moet je zelf het path aangeven. Erg veel werk)

Het is dus de bedoeling dat bij het maken van de roaming profiles de voor en achternaam (bijvoorbeeld) automatisch gekoppeld word aan het "path" waar het profiel staat op de profielen partitie.
Het is nu namelijk erg veel werk om steeds nieuwe profielen aan te maken als er nieuwe informatica leerlingen komen, dit moet sneller kunnen lijkt me.
Dus veel roaming profiles tegelijk toevoegen.

[elevator]

Meerwijck schreef op 24 februari 2004 @ 13:02:
Het is dus de bedoeling dat bij het maken van de roaming profiles de voor en achternaam (bijvoorbeeld) automatisch gekoppeld word aan het "path" waar het profiel staat op de profielen partitie.
Het is nu namelijk erg veel werk om steeds nieuwe profielen aan te maken als er nieuwe informatica leerlingen komen, dit moet sneller kunnen lijkt me.
Dus veel roaming profiles tegelijk toevoegen.

Wil je gewoon de mappen aan maken aan de hand van een textfile - of wil je de AD properties updaten?

[Tije]

elevator schreef op 24 februari 2004 @ 13:09:
[...]

Wil je gewoon de mappen aan maken aan de hand van een textfile - of wil je de AD properties updaten?

Nouja bijvoorbeeld via een textfile waarin we alle namen invullen zoals bijvoorbeeld:

- Jan Klaassen
- Piet Paulusma
- Henk Jan Smits

etc.

en dat de "profile path" automatisch gekoppeld word aan de naam zoals bijvoorbeeld:

\\server\profielen\"naam persoon"

[WildernessChild]

Hier spreekt een van de oprichters van het AJC IT-Lab... Wouter heeft me even op dit topic gewezen (Ik hoorde dat er nog steeds foto's van de oprichters aan de muur hangen ) Goed om te lezen dat het in goede handen is.

Ownership overnemen op alle profielmappen is de enige (mij bekende) manier om dit probleem op te lossen. Dan zit je nu dus met ~80 profielmappen die eigendom van Administrator zjn. Dit kun je met het tooltje subinacl oplossen. Zo uit de losse pols (eerst droog testen dus!):

code:

FOR %f IN * DO subinacl /subdirectories %f /setowner=%f

Meer informatie over subinacl
Vanuit een bat-file moet je ergens een dubbele % gebruiken.
Dit gaat er van uit dat de profielmappen dezelfde naam hebben als de bijbehorende user, maar dat zal geen probleem zijn denk ik.
Ik geloof niet dat we dit ooit zelf geprobeerd hebben indertijd... ik kan me wel een command-prompt-sessie van een uur herinneren waar ik het voor elke map zelf zat in te tikken

Wat je tweede probleem betreft, het toevoegen van een bult users en profieldirectories in één keer: hiervoor zou je een soortgelijk scripje kunnen bouwen. Een user toevoegen schijnt met "net user" te kunnen; dit heb ik zelf nooit geprobeerd. Misschien maakt het een lokale user in plaats van een Active Directory user.
Meer informatie over net user

Edit: hee... 2003 Enterprise? Dat was niet de bedoeling

[ Voor 9% gewijzigd door WildernessChild op 24-02-2004 15:57 ]

[Tije]

Ha dan moet jij de broer van Wouter zijn ?

Het IT-lab draait op het moment weer redelijk lekker, nog wel wat problemen met het inloggen enzo, maar dat komt omdat een of andere dombo alle shares weg had gehaald vandaag dus dat moet ff opnieuw.
En ja het IT-lab gaat ook vooruit dus 2003 enterprise, inmiddels zijn er ook 2 nieuwe workstations bijgekomen, en draait er een linux server, en een linux workstation + wat dual boot systemen.

En Mr. Scholte die is nog niet veel wijzer geworden in de loop der jaren volgens mij, maar goed het is een prima kerel. Maar toch als informatica leraar moet je wel weten dat je geen floppy´s in een cd-rom kan stoppen (bij wijze van).


Edit: ownership over alle mappen is inmiddels al gelukt zoals boven ook te lezen is .

[ Voor 7% gewijzigd door Tije op 24-02-2004 16:14 ]

[elevator]

Zullen we wel enigszins on-topic blijven

[Tije]

elevator schreef op 24 februari 2004 @ 16:38:
Zullen we wel enigszins on-topic blijven

Oke vanaf nu weer on-topic dan, maar ik wilde toch ff snel vertellen hoe het er nu voor staat. Maarja daar zijn natuurlijk andere communicatie middelen voor.

Maar ik zal eens kijken wat ik kan met die scriptjes dingen.