Sunny61

Ein Blick ins Ereignisprotokoll sollte viele Fehlermeldungen zu Tage fördnern. Stück für Stück abarbeiten.

Starte das Programm mit Rechtsklick > als Administrator ausführen. Klappt es denn? Solche Aktionen macht man nicht einfach so, da spricht man *vorher* mit dem Hersteller der Software. Das solltest Du jetzt übrigens auch tun. Alternativ einfach wieder alles zurück bauen, damit am Montag der Betrieb laufen kann.

Das hatte ich auch schon mal gelesen. ;)

Und der zweite Link aus dem von dir geposteten Link war auch für Server 2003: http://support.microsoft.com/kb/555324 Die Informationen in diesem Artikel beziehen sich auf: Microsoft Windows Server 2003, Standard Edition Microsoft Windows Server 2003, Enterprise Edition Microsoft Windows Server 2003, Datacenter Edition Microsoft Windows Server 2003, Enterprise Edition for Itanium-based Systems So richtig komfortabel ist das nicht. Auszug aus dem Artikel: Und Devcon ist auch noch dabei: Das einschränken von USB ist immer noch vom BIOS aus die wirksamste und sauberste Lösung. Den Rechner muss ich sowieso anfassen, BIOS-Passwort verpassen und so weiter.

Bearbeite deine GPOs immer nur direkt auf einem DC, dann sollte das auch kein Problem darstellen. Und weshalb sind die lokalen Gruppen dann das Problem? Willst Du auf diesem Server dauernd Benutzer in die lokalen Gruppen importieren und später wieder exportieren? Oder ist das ein DC? Du hast dir möglicherweise das falsche Produkt gekauft, kannst Du es nicht umtauschen?

Weshalb ist das wichtig?

Nur weil es für XP gemacht wurde, ist es heute nicht schlechter als Gestern. Und der Tipp aus http://support.microsoft.com/kb/823732 hat AFAIR in der Vergangenheit bei der Installation vom SP1 für W7 für Fehlermeldungen gesorgt. Wenn neue Rechner eingerichtet werden im BIOS USB deaktivieren, dann brauch ich mich um den Rest nicht zu kümmern.

Am besten als Admin anmelden und dann die SW aktivieren, immer. Auf alle Fälle die Updates aus der WSUS-FAQ No. 44 installieren. Ja, das ist ein Microsoft Konto. Weil der Rechner ja für den WSUS konfiguriert wurde, der WSUS stellt aber keine Update für Klick-and-Run zur Verfügung. Henne-Ei Problem IMHO. Der WSUS rollt gar nichts aus, der stellt nur zur Verfügung. Der Client initiiert das alles. Wir stellen uns die Frage gar nicht, sondern aktivieren immer als angemeldeter Admin, ebenso wie das Windows. Ausserdem wird die Aktivierung ja sofort nach der Installation ausgeführt. Weshalb also in einem Benutzerkonto mit UAC rum hampern? Weil der Rechner für den WSUS eingerichtet war/ist, zumindest ist das meine Meinung. Du solltest eigentlich in der %windir%\WindowsUpdate.log die passenden Fehlermeldungen finden, wenn das nicht schon zu lange her ist.

Aktivierungen nimmt immer der Admin vor. Windows Update bzw. MU über MU oder den WSUS hat etwas mit der GPO bzw. mit den GPO-Einstellungen zu tun, die man konfigurieren kann. Wie genau sieht das denn bei dir aus? Wenn ein Benutzer Windows Update aufrufen kann, ist die Konfiguration 'verbesserungswürdig'. Sieh dir dazu die *zweite* Benutzereinstellung aus diesem Beispiel GPO an: http://www.wsus.de/images/WSUSGPO.png Von welchen Einstellungen sprichst Du genau? Meinst Du Word oder Outlook? Benutzt Du ein Microsoft Konto oder ein lokales bzw. AD-Konto?

Und für Office 365 ist es wohl auch wichtig, welcher Plan dazu geordert wurde: Auszug aus http://technet.microsoft.com/en-us/library/cc179176.aspx#Administrative_templates: Und hier die Dienstbeschreibung zu Office 365: http://technet.microsoft.com/library/office-applications-service-description.aspx Unterstützung der Gruppenrichtlinie (Auszug): Einfacher für einen Kunden das passende Produkt zu wählen, macht es diese Aufstellung sicherlich nicht.

Wei handelst Du die ganzen AddOns? Darüber hast Du normalerweise keinen Einfluß, erst Recht nicht auf den Code, auf die Sicherheit und natürlich auch nicht auf die Lücken, die dir solche AddOns öffnen. WSUS gibt das alles her. ;) Zukleben hilft nicht, wenn dann im BIOS deaktivieren. Alternativ mit der DEVCON.EXE, gibt es von MSFT kostenlos, automatisch alles was mit USB zusammenhängt deaktivieren. Maus und Tastatur sollte dann natürlich nicht an USB hängen. ;)

Seit VISTA gibt es die Hauptbenutzergruppe nur noch aus Kompatibilitätsgründen. Mehr Rechte hat diese Gruppe nicht mehr. Wenn es also keinen zwingenden Grund gibt die Benutzer in diese Gruppe zu packen, dann lass es bleiben. Bist incl. XP gilt der von micha42 gepostete Link natürlich. Und bezüglich Sicherheit solltet ihr auch auf Firefox verzichten. Das up2date halten des Browsers ist für 'normale' Benutzer schwer möglich und en Admin verbraucht sehr viel Zeit mit Scripten dafür. Wenn Du wirklich Sicherheit willst, und wirkliche Sicherheit ist auch unbequem, dann kommst Du an Software Restriction Policies nicht vorbei. Zum Spielen kannst Du dir ja einen Rechner installieren und das hier austesten: http://schneegans.de/computer/safer/

Welche genaue Fehlermeldung kommt denn? In Excel 2013 gibt es keine Menübars mehr, Du wirst das auf Ribbons umstellen müssen. Du kannst dir den Ribboncreator für Office 2013 anschauen, damit kannst Du das Problem lösen. http://www.ribboncreator2013.de/

Schade das MSFT hier einen guten Weg verlässt. Yepp, ist in einem der weitereführenden Links aus dem Technet Artikel zu sehen. Genau. Ziehen denn GPO-Einstellungen für Click-and-Run Office 2013 überhaupt? Mir war so, also ob ab Office 2013 nur noch gewisse Editionen in Sachen GPO unterstützt werden. Finde aber auf den schnelle nichts dazu. :(

Bei einem frische WSUS auf 'W2008R2' ist es sehr wichtig die in der WSUS-FAQ No. 44 gen. Updates zu installieren. http://www.wsus.de/faq Prüfe direkt in der WSUS-Konsole nach, welche Version Du jetzt einsetzt. Falls es nicht die .274 ist, bitte unbedingt updaten bis Du in der WSUS-Konsole die .274 angezeigt bekommst. You get what you pay for. In dem von iDiddi verlinkten Technet Artikel gibt es viele weitere Links, die dir bei der Lösung helfen werden. Nichts überstürzen, im Fall von Click-and-Run wirst Du ohne WSUS auskommen müssen. Am besten erstellst Du dir mit Hilfe des Office Deployment Tool immer wieder eine neue Source, darauf können die Clients dann zugreifen. EDIT: Ob mit dem WPP etwas geht, wage ich zu bezweifeln. Vielleicht möchte es ja jemand testen. ;)

Ich glaube, Du solltest dir jemanden holen der dich dabei untersützt.

Was sagt das Log vom ISA? Das meiste geht mit einem gpupdate ab, notfalls auch gpupdate /force. Windows Eventlog schreibt welche Events zu diesem Zeitpunkt?

Wichtig ist das geladene Firewallprofil zu diesem Zeitpunkt. Welcher AV-Scanner *genau* ist installiert? Beachte auch den Hinweis von zahni. Natürlich funktionieren die GPOs/GPPs auch über VPN. Einfach einrichten und testen. In einem früheren Job hatten wir bis zu 70 MA die nur via VPN Verbindung aufgenommen hatten, sogar damals (2009) hat das alles über GPO/GPP funktioniert. Das was Du evtl. machen mußt, ist ein gpupdate nach dem Verbindungsaufbau absetzen. Aber das lässt sich sicherlich mit der uns unbekannten Art und Weise des VPN-Aufbau regeln.

Du machst Sachen. Lass mich raten, die Benutzer sind alles lokale Admins und installieren sich auch Adobe Reader und Java Updates manuell wenn sie im Infobereich dazu auffordern. Oder nicht? Der WSUS ist wirklich sehr schnell aufgesetzt, wenn Du jetzt nicht gleich eine Automatische Genehmigungsregel erstellst, wird auch nicht ein ganzer Wust an Updates gedownloadet, sonder die Clients fordern nur Updates an. Und nur die gibst Du dann auch zum installieren frei. Zusätzlich kannst Du mit dem WSUS Package Publisher auch 3rd Party Updates von Adobe oder Sun den Clients zur Verfügung stellen. http://www.gruppenrichtlinien.de/artikel/wsus-package-publisher-software-ueber-windows-server-update-service-bereitstellen/

Kannst Du den Rechner über VPN denn pingen? Oder auf etwas anderes zugreifen? Welchen Status hat die NW-Verbindung zu dem Zeitpunkt? Öffentliches oder Domänen Netzwerk? Das ist für die Firewall ausschlaggebend. Dann erkennt der Client ja auch ein Domänen Netzwerk und lädt das passende Profil der Firewall. Ab wieviel Clients 'rechnet' sich denn für euch ein GPO? Ab 3 Rechner möchte ich nicht mehr Turnschuh Admin sein, genau dafür wurden die GPOs und GPPs geschaffen. Nutze das Werkzeug.

Natürlich gibt es die Möglichkeit das über den WSUS zu lösen, auch ohne zusätzliche Freigabe. ;) Ist das Update denn im Microsoft Update Catalog zu finden? http://catalog.update.microsoft.com/v7/site/Install.aspx Wenn ja, dann kannst Du das auf dem WSUS direkt aus der WSUS-Konsole heraus importieren und zum installieren freigeben. Wenn es nicht im Update Catalog zu finden ist, dann kannst Du es per *Computerstartupscript* auf die Clients kopieren und dann im gleichen *Computerstartupscript* *vor* der Benutzeranmeldung installieren lassen. Alternativ holst Du dir den WSUS Package Publisher, dort das Update importieren und zur Installation genehmigen. Hier ein kleines HowTo: http://www.gruppenrichtlinien.de/artikel/wsus-package-publisher-software-ueber-windows-server-update-service-bereitstellen/

Bei 5 Clients hätte ich schon einen WSUS, du hast vermutlich nur einen oder zwei Clients, richtig? ;)

Normalerweise muß man da nichts anpassen. Wie genau sieht denn die Freigabe aus? Vermutlich liegt dort der Hund begraben.

Welches Betriebssystem habt ihr *jetzt* im Einsatz? Das macht man am besten über Group Poliys bzw. über Group Policy Preferences. Welche *genaue* Fehlermeldung bekommst Du denn wenn Du über die 'Computerverwaltung' *NICHT* zugreifen kannst?

Bezüglich Clients up2date halten solltest Du dir einen WSUS anschaffen. Ist kostenlos von MSFT und hilft dabei ungemein. ;)