IThome

Wieso sollten die Admins keine MSI-Dateien installieren können, wenn der Windows-Installer läuft und der Admin keine Einschränkungen hat ? Schau Dir mal die Berechtigung der Verknüpfung an, darf der User diese Verknüpfung lesen ? Darf er auch auf das Ziel zugreifen ? Warum nicht in das Alluser Profil ? Man erstellt nicht 2 oder mehr OUs, sondern 2 oder mehr Richtlinien, die unterschiedlich sicherheitsgefiltert werden. Man kann für die Terminalserver-Benutzer auf mehrere Arten vordefinierte Profile definieren, in denen nur noch die Einträge vorhanden sind, die benötigt werden. Weiterhin kann man über Softwareeinschränkungsrichtlinien z.B. Programme verbieten

Die Systemsteuerung wird ja für die Admins nicht deaktiviert, da sie die Gruppenrichtlinie nicht übernehmen ...

Solche Systeme habe ich auch, aber leider nicht alle. Einige Kunden benutzen BCC, kann der Connector nicht. Bei anderen sieht alles normal aus, der POP-Connector holt die Mails ab und dann verschwinden sie im Nirwana. Alles in allem sehr merkwürdige Verhaltensweisen, die alle mit dem Popbeamer und Pocon nicht auftreten ...

Aktuelle Kartentreiber hast Du schon installiert ? Auch den Stack bzw. Winsock resettet ?

User können nichts installieren, solange sie nur Benutzer sind. In der Benutzerkonfiguration gibt es nicht die Einstellmöglichkeiten wie in der Computerkonfiguration. Und diese Einstellungen gelten für alle. Ich habe bisher noch nie den Windows-Installer deaktiviert ...

es ist eine computerkonfiguration, die sich nicht auf benutzer bezieht ... Alle anderen Einschränkungen in der Benutzerkonfiguration gelten nicht für die Admins ...

Arbeitsplatz - Rechtsklick auf das Volume - Eigenschaften - Kontingent ...

Nein, brauchst Du nicht. Vergiss aber nicht, den Domänenadmins das Übernehmen zu verweigern ...

Also alles okay ?

zu 3: Nein zu 6: Ja, stelle es in der neuen Richtlinie ein und lösche die alte. Entferne auch die Einstellungen, die Du in irgendeiner anderen Richtlinie eingestellt bzw. stelle sie auf den Ursprungswert zurück ...

Volle Zustimmung, benutze lieber den Popbeamer oder Popcon ...

Mache es so, wie beschrieben :)

Jetzt mal in Kürze 1. OU erstellen, in diese OU den Terminalserver schieben 2. In diese OU eine Richtlinie verknüpfen, in der die Loopbackverarbeitung auf Ersetzen steht und die Einschränkungen in der Benutzerkonfiguration vorgenommen werden 3. In der Sicherheitsfilterung dieses GPOs den Domänenadmins "Gruppenrichtlinie übernehmen - Verweigern" anklicken, nichts weiter (die Authentifizierten Benutzer dürfen die Gruppenrichtlinie übernehmen, dazu zählt auch die Gruppe und der TS selbst) ... 4. In dieser Richtlinie das Benutzerrecht "Lokale Anmeldung zulassen" konfigurieren, falls notwendig (muss man eigentlich nicht machen, da die lokale Richtlinie die Anmeldung zulässt, wenn es ein Memberserver ist) 5. Im RDP-TCP Verbindungsobjekt die Gruppe eintragen, die sich anmelden soll, falls notwendig 6. Die bisher eingestellten Richtlinien wieder entfernen

In welcher Gruppenrichtlinie hast Du es zugefügt ? Wo befindet sich diese Richtlinie ?

Und trotzdem werden beim Domänenadmin Richtlinien zugewiesen ? Sind in dieser Richtlinie neben der Loopbackeinstellung auch Einstellungen in der Benutzerkonfiguration vorgenommen worden ? Welche Einstellungen sind ausserdem noch in der Computerkonfiguration eingestellt worden ?

Wer steht in der Sicherheit der Gruppenrichtlinie ?

Wenn die sich am TS anmelden sollen, schon, Authentifizierte Benutzer nicht ...

Führe mal IPCONFIG /REGISTERDNS und NETDIAG /FIX durch und danach noch mal NETDIAG. Falls das noch nicht passt, poste mal IPCONFIG /ALL des Servers ...

Auf jeden Fall "Administratoren", aber generell alle, die sich entweder interaktiv oder via RDP anmelden müssen ...

Mein ich doch , die Computerobjekte müssen sich nur in Reichweite befinden ... :)

Ein letztes Mal, funktioniert es intern ?

Verweigere den Domänen-Admins "Gruppenrichtlinie übernehmen" ... Was meinst Du mit "wieder anmelden" ? Welche Richtlinien hast Du verändert ? Was steht in "Lokale Anmeldung zulassen" (ist doch ein W2K-Server) ?

"Anwender vor Ablauf des Kennworts zum Ändern des Kennworts auffordern" zwingend auf Domänenebene ?

Dieser Fehler liegt wohl eher daran, dass es entweder keine Reverse Lookup Zone oder in einer vorhandenen Zone keinen PTR für den Server gibt. Schau Dir mal die Einträge in Deinen Zonen an und entferne nicht mehr vorhandene Einträge. Lade Dir mal die Supporttools SP1 herunter und führe NETDIAG und DCDIAG durch ...

Eine weise Entscheidung ... :D