[Win 2003] GPO & Userrights

[Apolloc]

Hi Folks,

Sinds gisteren hebben we het probleem dat de GPO´s en Userrights door de clients
niet meer gelezen wordt. alles werkt verder prima, ze loggen netjes in etc hebben
allemaal nog inet, maar zodra we een user bv admin rechten geven worden deze
niet meer ingelezen, gpupdate heeft geen zin en onder gpresult zien we ook niks
veranderen.

de dns draait zover ik weet redelijk goed, krijgen tenminste geen error meldingen,
enige wat ik daar wel heb sinds kort, althans viel me net op, dat de _msdcs ineens
uit geblend is ( grijs dus ).

als het enig sinds van hulp kan zijn.

www.biopag.de/files/dcdiag.txt
www.biopag.de/files/addiag.txt

bij voorbaad dank voor de mogelijke hulp ^^

[mutsje]

als je gpresult draait moet je de policie friendly names zien. gebeurd dit ook en kan een nieuwe user wel inloggen, anders loggen de users nameljk fijn met cached credentials in. Ook kun je deze even doornemen [rml][ windows 2003]Howto: policies en tools[/rml]

[Apolloc]

Wat ik te zien krijg met gpresult is het volgende:


Betriebssystem Microsoft (R) Windows (R) Gruppenrichtlinienergebnis-Tool v2.0
Copyright (C) Microsoft Corp. 1981-2001

Am 18.03.2004, um 09:10:30 erstellt


RSOP-Daten fr BIOP\Administrator auf NAVI: Protokollmodus
-----------------------------------------------------------

Betriebssystemtyp: Microsoft(R) Windows(R) Server 2003 Standard Edition
Betriebssystemkonfiguration: Primärer Domänencontroller
Betriebssystemversion: 5.2.3790
Terminalservermodus: Remoteverwaltung
Standortname: Standardname-des-ersten-Standorts
Zwischengespeichertes Profil:
Lokales Profil: C:\Dokumente und Einstellungen\Administrator
Langsame Verbindung? Nein


COMPUTEREINSTELLUNGEN
----------------------
CN=NAVI,OU=Domain Controllers,DC=biop,DC=local
Letzte Gruppenrichtlinienanwendung: 18.03.2004, um 09:07:54
Gruppenrichtlinieanwendung von: navi.biop.local
Schwellenwert fr langsame Verbindung:500 kbps
Domänenname: BIOP
Domänentyp: Windows 2000

Angewendete Gruppenrichtlinienobjekte
--------------------------------------
Default Domain Controllers Policy
Default Domain Policy

Folgende herausgefilterte Gruppenrichtlinien werden nicht angewendet.
----------------------------------------------------------------------
biop
Filterung: Nicht angewendet (Leer)

Richtlinien der lokalen Gruppe
Filterung: Nicht angewendet (Leer)

Der Computer ist Mitglied der folgenden Sicherheitsgruppen
----------------------------------------------------------
Administratoren
Jeder
Prä-Windows 2000 kompatibler Zugriff
Benutzer
Windows-Autorisierungszugriffsgruppe
NETZWERK
Authentifizierte Benutzer
Diese Organisation
NAVI$
Domänencontroller
DOMäNENCONTROLLER DER ORGANISATION


BENUTZEREINSTELLUNGEN
----------------------
CN=Administrator,CN=Users,DC=biop,DC=local
Letzte Gruppenrichtlinienanwendung: 18.03.2004, um 08:17:46
Gruppenrichtlinieanwendung von: navi.biop.local
Schwellenwert fr langsame Verbindung:500 kbps
Domänenname: BIOP
Domänentyp: Windows 2000

Angewendete Gruppenrichtlinienobjekte
--------------------------------------
Default Domain Policy
Richtlinien der lokalen Gruppe

Folgende herausgefilterte Gruppenrichtlinien werden nicht angewendet.
----------------------------------------------------------------------
biop
Filterung: Nicht angewendet (Leer)

Der Benutzer ist Mitglied der folgenden Sicherheitsgruppen
----------------------------------------------------------
Domänen-Benutzer
Jeder
Administratoren
Benutzer
Prä-Windows 2000 kompatibler Zugriff
INTERAKTIV
Authentifizierte Benutzer
Diese Organisation
LOKAL
Schema-Admins
Organisations-Admins
Domänen-Admins
Richtlinien-Ersteller-Besitzer
DATEVUSER


Zie er zelf niks verkeert, kan gewoon nieuwe users aanmaken en die loggen
dan prima in, maar geen van de clients update dus de gpo of hun rechten.
erg iri gezien ik een paar client tot een nieuwe groep moet indelen wat nu dus
niet lukt

[paulhekje]

Apolloc schreef op 17 maart 2004 @ 17:11:
Sinds gisteren hebben we het probleem

inkopper: is er iets gewijzigd?
- security/windows update uitgerold?
- reboot van server?

je schrijft dat een user met admin rechten het probleem heeft, gewone users gaan dus goed?
Misschien een kritishc kijken naar overide vinkjes en "apply-vinkjes" van de GPO's?

Een user met admin rechten wordt beschermd door de AD-functie AdminSDholder, deze reset active directory object permissies naar default om belangrijke accounts/functionaliteit te beschermen., maar dat heeft er waarschijnlijk niks mee te maken.

die grijze _msdcs: heb je meerdere domeinen?

[ Voor 58% gewijzigd door paulhekje op 18-03-2004 10:50 ]

[Apolloc]

Heb maar 1 domein, dus zover ik nu gelezen hebt hoort die dan ook grijs uitgeblend
te zijn. verder is het niet zo dar users met admin rechten de problemen hebben maar
alle users, maakt niet uit wie ik welke rechten toedeel, ze krijgen ze gewoon niet.

kan een user dus de groep g_vorstand toewijzen, maar als ik dan inlog op de client
en gpupdaten en daarna gpresult draai is hij niet toegevoegt tot die groep.

[Verwijderd]

Apolloc schreef op 18 maart 2004 @ 12:29:
Heb maar 1 domein, dus zover ik nu gelezen hebt hoort die dan ook grijs uitgeblend
te zijn.

als je nu eens rechtklikt daarop en de properties uitleest dan zie je dat het een delegation is van een zone die erboven staat.

[Apolloc]

Als ik rechtermuis op die map doe krijg ik de optie properties niet

edit:

ha en nu issie weer rood, moest de map opnieuw laden, krijg nu de optie wel

[ Voor 40% gewijzigd door Apolloc op 18-03-2004 13:27 ]