[w2k3] User herkend als administrator bij benaderen share

[Verwijderd]

Dit betreft een pre-productieomgeving met 1 Server 2003 domain controller, Windows XP Pro clients en roaming profiles. Machines zijn allen opnieuw ingerold. Roaming profiles werken netjes, users in aparte OU gegooid, mezelf ook, security groups aangemaakt, shares voor diverse afdelingen verzonnen, werkt ook... nee toch ineens niet meer.

Ik als gebruiker 'remco', benader een share 'Admins' en krijg een access denied. Rechten van de share nagelopen, maar die zijn goed. Op de file server bekeken hoe dat zit met sessies en open files in computer management, blijkt dat alles dat ik tracht te benaderen 'administrator' onder 'accessed by' heeft staan vanaf mijn werkstation. En die shares heb ik rechten gegeven voor de users, dus administrator heeft inderdaad geen rechten voor benaderingen via shares, maar ik ben ingelogd op het domein als 'remco'.

Buiten dat dit vervelend is, lijkt mij dit ook wel een aardig securityprobleem.

Welnu, uitgelogd, ingelogd als administrator op het domein, direct weer uitgelogd en ingelogd als 'remco'. Nu is het probleem weg en zie ik netjes mijn eigen username staan in computer management op de server die files benaderd. Probleem opgelost...

Nee dus, een dag later, alles werkt lekker, ik ga lunchen, kom terug en ben ineens weer administrator. Voor zover ik weet, heb ik dus geen nieuw SID uitgedeeld gekregen en ben ik toch ineens iemand anders? Het probleem blijft aanhouden als ik inlog op een ander werkstation.

Wie heeft hier wel eens van gehoord en weet waar de oorzaak zit?

P.S.: off-this-topic: In de search kwam ik vooral veel tegen over profile dirs die niet door administrator benaderd kunnen worden. Het antwoord heb ik niet gezien, maar dit topic gaat vast naar boven komen in searches op dit onderwerp. Er is binnen GPO de setting 'grant user exclusive rights' daar waar je de roaming profiles instelt... dat moet uit. (dat hielp bij mij iig.)

[DigiK-oz]

Is er een of ander batch-filetje of admin-tooltje gescheduled of zo, wat om de zoveel tijd naar de server connect met :
NET USE \\SERVER\SHARENAAM /user:administrator

en wat deze connectie niet vrijgeeft? Dan zal elke connect die jij vervolgens naar die share maakt gewoon via die connectie lopen, en dus als administrator.

Als het probleem optreedt, doe eens vanuit command prompt een NET USE zonder parameters en kijk of je een "vreemde" connectie ziet naar die server/share.

[mutsje]

je kunt in 2003 ook gewoon op roaming profiles de GPO zetten dat Administrators access krijgen. Als een normale user "zomaar" administrator wordt heb je wel een heel bijzondere omgeving. Back to the drawing board lijkt me een goed idee dan.

[Verwijderd]

Back to the drawing board zou ik graag willen, maar verder als dat was ik eigenlijk nog niet.

Ik heb even gekeken, geen vreemde verbindingen, geen rare startupscripts die shares als administrator benaderen. Het probleem lijkt een beetje random, als ik opnieuw inlog op het domein kan het ineens weg zijn. Als het probleem zich voordoet, ik log in op de domain controller om mijn actieve sessies te beëindigen en probeer opnieuw te verbinden, blijf ik herkend worden als administrator.

Iemand nog andere ideeën op deze maandagmorgen?