michelo82

Doch die neue Richtlinie wirkt sobald ich diese in der Reihenfolge vor die DDCP schiebe. Soweit wäre das verständlich. Allerdings hebelt das verschieben der Reihenfolge die DDCP aus! Ich habe zum testen ein weiteres Test-Konto in die Gruppe der Server-Operatoren gesteckt. Die dürfen sich nämlich ebenfalls am DC lokal anmelden. Nach dem verschieben der Reihenfolge, dürfen diese sich nicht mehr anmelden. Es ist ein Test-AD in einer VM. Ich habe nämlich schon bei meinen letzten versuchen eine Audit-Policy anzulegen gemerkt, dass danach die vorher getätigten Audit-Einstellung der DDCP nicht mehr galten. Die entsprechenden Events waren dann im Evenlog nicht mehr zu finden, weil meine vorherigen Einstellungen in der DDCP wieder überschrieben waren. Habe ich eben gelesen. Das wäre eine Möglichkeit. Aber warum geht es denn nicht additiv? Habe das auch so in der Fachliteratur gelesen. Welche wäre das? Danke schonmal für die sehr schnellen Antworten :)

Hallo, und zwar möchte ich mich lokal oder mit RDP mit einem personalisierten Admin-Account an den DC's anmelden. Dazu habe ich eine "Delta-Richtlinie" zur DDCP angelegt. Ist die Verknüpfungsreihenfolge nach der DDCP wirkt meine neu erstellte Richtlinie nicht. Ist die Verknüpfungsreihenfolge vor der DDCP wirkt meine DDCP nicht . Ich war der Annahme, dass die Policys additiv arbeiten und ich somt die Default Domain Controller Policy mit meiner neuen Delta-Richtlinie einfach ergänzen kann. Mache ich etwas falsch? Ich wollte nicht unbedingt die Default Domain Controller Policy verändern. MfG Michi

Jawoll! Ich habe nur in dem Test meinen Testuser verwendet. Wichtig, war wie ich es überhaupt löse.

@tesso Danke Uff...so einfach ist es wenn man es richtig macht und die expliziten Berechtigungen anpasst. Also kann ich jetzt alle Freigaben auf die der User NTFS-Berechtigungen hat unter dem Namespace "DFS" sammeln. Oder: ich erstelle mir einen weiteren Namespace "Abteilungen" und darunter dann alle Abteilungsordner.

Hallo, und zwar muss ich unseren Fileserver (Srv2008 R2) ersetzen und möchte die Daten auf mehrere neue Fileserver (Srv2019) verteilen. Die Datenmenge soll somit pro Server "übersichtlicher" und einfacher zu managen sein und bei Wartungsarbeiten werden nicht alle Abteilungen gleichzeitig lahmgelegt. Ich habe DFS, AD-intigriert eingerichtet. Hier das Problem: Wir haben auf den alten Filer u.a. ein Verzeichnis "Abteilungen", welches die Abteilungsverzeichnisse (Marketing, Vertrieb etc) enthält. Dieses Verzeichnis habe ich über die drei neuen Fileservern (Srv2019) aufgeteilt. Ich musste leider feststellen, dass ich mit DFS keine Freigaben von den drei Server in eine flache Struktur zusammenfassen / bündeln kann, die dann unter einem Freigabenamen erreichbar ist. Schade. Dann hätte ich den User nur \\domäne.local\dfs\Abteilungen bereitgestellt und mittels ABE, hätte jeder nur das gesehen, was er sehen darf. Wie könnte ich es jetzt einfach realiseren, den User sein Abteilungslaufwerk zugänglich zu machen? Könnte ich dazu einfach pro Abteilung (es sind 39 Abteilungsverzeichnisse) einen Namespace anlegen und diese den User mappen? z.b. Oder ist es eher nicht ratsam soviele Namespaces anzulegen? Bloß wie bekomme ich dann die Abteilungen in einem einzigen Namespace realisiert? Mir fehlt da die Best Practice. Was wäre eine elegante Lösung? Vielen Dank und bleibt gesund.

Hi, ich habe eine Fehler gemacht. Ich habe bei der Freigabe mit Berechtigung JEDER, nur lesen statt ändern geklickt. Ich habe da wohl im Eifer des Gefechts nicht richtig hingeschaut. @Squire An die Variante habe ich auch schon gedacht. Ich lese aber immer, dass man die Vererbung eben nicht deaktiveren soll. Jetzt bin ich mir etwas unschlüssig darüber. Kannst du deine Variante eventuell noch mit einem Screenshot unterfüttern?

Ok. Folgendes verstehe ich allerdings nicht: 1. Ich erstelle eine Freigabe für den Ordner “e:\Freigabe” mit dem Namen “Freigabe”. 2. Ich erstellen eine Berechtigungsgruppe im AD “NTFS_Abteilung1_RW” 3. Ich vergebe der Gruppe “Ändern”-Berechtigungen auf den Ordner “E:\Freigabe” 4. Ich vergebe der Freigabe JEDER mit “Ändern”-Berechtigungen Ich erwarte, dass: Ich mit einem Benutzer der in der Gruppe von “NTFS_Abteilung1_RW” steckt ein neues Verzeichnis anlegen kann. Ich stelle fest, dass: der Benutzer den Ordner Freigaben öffnen kann, dort aber keine Berechtigungen hat. Was mache ich falsch?

Hallo Nils, Danke! Prima! Ich dachte es mir schon. Ja das habe ich wohl nicht ausführlich beschrieben. Ich setze die Freigabeberechtigungen auf JEDER (AUTHENTIFIZIERTE oder gar die Gruppe Freigabename_RW, dürfte ja auch gehen) => auf ÄNDERN, sodass die User selbst keine Berechtigungen editieren dürfen. Hier wiederum bekomme ich ein Problem mit der UAC, da mein Admin ja als normaler User im Explorer unterwegs ist. (Quelle) Also würde ich die Gruppe Benutzer zu entfernen, dafür dann meine Gruppe Freigabename_RW oder Freigabename_R hinzufügen. Zusätzlich würde noch eine z.b. File-Admin Gruppe, die Mitglied der Gruppe der lokalen Administratoren ist und “Vollzugriff” auf das NTFS Volume bekommt, hinzufügen. Da meine Freigaben direkt in einem Verzeichnis unterhalb der Wurzel (z.b. E:\Freigaben) liegen ist es doch besser, wenn ich die Vererbung im Verzeichnis "Freigaben" deaktiveren und nicht auf E:\ ? Ist es dann der richtige Weg?

Hi, ich möchte einen Fileserver auf eine neue (virtuelle) Maschine umziehen. Ich möchte die Gelegenheit nutzen und dabei gleich die Freigaben und Berechtigungen aufräumen. Die entsprechenden Globale-Sicherheitsgruppen für z.b. Freigabename_RW oder Freigabename_R (Read-Only) sind bereits im AD vorhanden. Nun muss ich allerdings bei jeder neu erstellten Freigabe die Gruppe "Benutzer" entfernen, da in dieser ja auch die Domänen-Benutzer stecken. Sonst hätte jeder Domänen-Benutzer standardmäßig Zugriff. Wenn ich nun die "Domänen-Benutzer" aus der lokalen Gruppe "Benutzer" des Servers entferne, entstehen mir irgendwelche Nachteile? Es sollen sich keine Domänen-Benutzer lokal am File-Server anmelden.

Hallo, und zwar habe ich folgendes vor: Ich möchte bestimmte Virtuelle Maschinen (teilweise) von meinem Usernetz abschotten. Es soll allerdings ein SMB Zugriff von rot zu grün auf bestimmte Hosts möglich sein, oder bei Bedarf eine Internetverbindung für Fernwartungszwecke zugeschaltet werden. Dazu will ich diese VM's in ein separates VLAN stecken. Die VLAN's sind auf dem HP-Switch konfiguriert. VLAN1 (=Usernetz) und das VLAN4 (=eingeschränktes Netz). Das VLAN4 soll am ESXi "verfügbar" gemacht werden und die VM's darin via einer physischen Sophos Firewall reglementiert werden. Entsprechende Firewallregeln sind eingerichtet. (ping etc. zum testen) Die Sophos ist mit einem eth-Port mit dem Usernetz und mit einem weiteren eth-Port mit dem eingeschränkten VLAN verbunden. Laut den verschiedenen Dokumentationen die ich gefunden habe, sollte man den HP-Switch-Port an dem der ESXi hängt, als "Trunk" konfigurieren. Usernetz ist Tagged, ein ping funktioniert von grün nach rot nur, wenn das eingeschränkte Netz Untagged ist. Port User Limited ---- + --------- ------------ Trk4 | Tagged Untagged Hier eine Grafik dazu: grün = VLAN1 (Usernetz) rot = VLAN4 (eingeschränktes Netz) Port 17 = Trunk Port 19 = VMware Management / vsphere Client via das grüne Usernetz. Leider habe ich folgendes Problem: Wenn ich der "ESXi-NIC Limited" die VLAN id 4 gebe funktioniert keine Verbindung unter den beiden VLAN's. Es funktioniert allerdings wenn ich keine VLAN id hinterlege, oder alle VLAN 4095. Die physische Verkabelung passt also. Alle VLAN's durchzureichen ist aber nicht Sinn der Sache. Ich möchte ja nur gezielt das VLAN4 zu der "ESXi-NIC Limited" weitergeben und dann den Datenverkehr über die Firewallregeln steuern. Was mache ich falsch, dass die "ESXi-NIC Limited" nicht mit der VLAN id 4 funktioniert? Ich vermute, dass die Pakete überhaupt nicht mit dem Vlan-Tag 4 versehen werden.

Hab ein iisreset /restart ausgeführt. Der RegKey hat keinen Effekt. Vielleicht klemmt bei EWS etwas!? Ich weiß aber nicht ob ich richtig liege und wie ich es teste. Es geht! Problem war das Autodiscover. Ich habe das automatische ermitteln im Einrichtungsassisten gewählt. Hier wird die InternalUrl ermittelt. Es braucht aber die InternalNLBBypassUrl. [PS] C:\Windows\system32>Get-WebServicesVirtualDirectory | Select name, *url* | fl Name : EWS (Default Web Site) InternalNLBBypassUrl : https://exch.meinedomain.de/ews/exchange.asmx InternalUrl : https://web01.meinedomain.de/EWS/Exchange.asmx ExternalUrl : https://autodiscover.meinedomain.de/EWS/Exchange.asmx

Also ohne Neustart wirkt der Regkey nicht auf dem Srv2012. Einen reboot kann ich aktuell nicht durchführen.

Ich habe vom Support die Aussage, dass es eine Warnung sei, kein Fehler und ich es ausprobieren soll. Es geht aber offensichtlich nicht. Das Tool ist in Englischer Sprache (lässt sich auch nicht anders einstellen), warum die Fehlermeldung auf Deutsch erscheint kann ich nicht sagen. Das UR muss natürlich demnächst noch installiert werden

Sorry, 2010 SP3 (UR24) MfG

Hallo, ich habe ein Tool zur Signaturverwaltung (CodeTwo) in Betrieb genommen. Die Signatur wir erst am Exchange SP3 mit Updaterollup 24 an die Mail angehangen. Also sieht der User die Signatur nicht direkt in seinem Postfach. Als kleine Abhilfe bietet das Tool den Dienst "Sent Items Update" an, welcher nachträglich die Signatur an die gesendete Mail im entsprechenden Ordner in Outlook / OWA anhängt. Soweit so gut. Der entsprechende Dienst benötigt dafür die Rolle "ApplicationImpersonation", welche das Tool automatisch bei der Einrichtung setzt. Leider erhalte ich trotzdem immer wieder den Fehler: bei #gQh.#XQh.#E(#LQh , SentItemsUpdaterSettings ). Not updated. 2019.07.04 08:20:28:201 3 Info: Inner exc: The request failed. Der Remoteserver hat einen Fehler zurückgegeben: (401) Nicht autorisiert. bei Microsoft.Exchange.WebServices.Data.ServiceRequestBase.GetEwsHttpWebResponse(IEwsHttpWebRequest request) bei Microsoft.Exchange.WebServices.Data.ServiceRequestBase.ValidateAndEmitRequest(IEwsHttpWebRequest& request) bei Microsoft.Exchange.WebServices.Data.SimpleServiceRequestBase.InternalExecute() bei Microsoft.Exchange.WebServices.Data.MultiResponseServiceRequest`1.Execute() bei Microsoft.Exchange.WebServices.Data.ExchangeService.BindToFolder(FolderId folderId, PropertySet propertySet) bei Microsoft.Exchange.WebServices.Data.ExchangeService.BindToFolder[TFolder](FolderId folderId, PropertySet propertySet) bei Microsoft.Exchange.WebServices.Data.Folder.Bind(ExchangeService service, WellKnownFolderName name) bei C2EWS.Exchange.CExchangeService.#Rk(Action`1 ) bei C2EWS.Exchange.CExchangeService.Connect(Uri strEwsUrl, String strEmailAddress, CExchangeCredentials credentials) bei #gQh.#XQh.#WQh(CExchangeService , String , String , String , String ) Ich habe die entsprechende Berechtigung gestern gesetzt, da es wohl eine Weile dauern kann (https://www.msxfaq.de/code/ews_impersonation.htm) bis die Einstellung wirkt, hilft nichts. Ich habe das Recht wieder entfernt und neu gesetzt, hilft nichts. Der Support des Tools, weiß es auch nicht. Was mir nur aufgefallen ist, es wurde kein "Scope" festgelegt. Welche Möglichkeiten habe ich, das Problem weiter einzugrenzen? MfG

Das "Lesen" verweigern hats gebracht! Prima Danke, auch für die beiden Links. MfG

Hi, danke erstmal. Es klappt aber nicht. So habe ich es eingerichtet: Gruppe: Gruppe Delegierung: nach dem reboot:

Hi, hab ich auch probiert. Es soll dieser Host augeschlossen werden: SELECT * FROM Win32_ComputerSystem WHERE Name != 'Marketing' Wirkt nicht. MfG

Hallo, wir haben für unsere User eine GPO erstellt, die die Bildschirmsperre automatisch nach 5 min. aktiviert. Jetzt gibt es aber vereinzelt Hosts z.b. Besprechungsraum etc. an denen die Policy nicht greifen soll. Wie kann ich eine Benutzerrichtlinie auf bestimmten Hosts ausschließen? MfG

Hi, den Link kenn ich. Also wie beschrieben ist es eine Standard-Policy. Nach dem neustart beider DC's am Freitag funktioniert es jetzt bei meinem Test früh. Ich beobachte das mal weiter. Ich Danke euch. MfG

Ja die DC's und die Rechner sind alle in der gleichen Domäne. Das ist eben die Frage, warum der Win10 Rechner die Policy nicht liest. Ich habe eine neue Policy angelegt, ohne etwas zu ändern. Muss ich denn den Win10 Rechner explizit die Policy lesen lassen? MfG

Hallo, ich stehe gerade etwas auf dem schlauch. Ich habe eine GPO als Anmeldeskript die ein PS-Skript ausführt welche Dateien von einem UNC-Share ins Benutzerprofil (%appdata$\Roaming\...) kopiert. Ich teste das mit einem Nutzer unter Win7, Win81 und Win10, alle zusammen in ein under selben OU. Manuell ausgführt, tut das Skript was es soll. Auch die Policy geht als Anmeldeskript unter Win7 durch und wird mir mit einem gpresult auch angezeigt. An den Authentifizierten-Usern habe ich nichts gebastelt. Kein WMI-Filter. Alles Standard gelassen, wenn man die GPO neu erzeugt. Anmeldeskriptverzögerung ist an einem übergeordneten Punkt deaktiviert. BR-XXXXXXXXXXX-Profil C:\Users\kouser>gpresult /r /scope user Betriebssystem Microsoft (R) Windows (R) Gruppenrichtlinienergebnis-Tool v2.0 Copyright (C) Microsoft Corp. 1981-2001 Am 08.03.2019, um 14:04:02 erstellt RSOP-Daten für DOMAIN.DE\kouser auf WIN7X64: Protokollmodus ----------------------------------------------------------- Betriebssystemkonfiguration: Mitglied der Domäne/Arbeitsgruppe Betriebssystemversion: 6.1.7601 Standortname: Nicht zutreffend Zwischengespeichertes Profil:Nicht zutreffend Lokales Profil: C:\Users\kouser Langsame Verbindung? Nein BENUTZEREINSTELLUNGEN ---------------------- CN=kouser,OU=TEST_TT,OU=Administration,OU=Clientcomputer,DC=DOMAIN,DC=de Letzte Gruppenrichtlinienanwendung: 08.03.2019, um 13:14:40 Gruppenrichtlinieanwendung von: DC01.DOMAIN.de Schwellenwert für langsame Verbindung:500 kbps Domänenname: DOMAIN.DE Domänentyp: Windows 2000 Angewendete Gruppenrichtlinienobjekte -------------------------------------- BR-Bildschirmschoner-1min (TEST) CPR-Cortana-deaktivieren BR-Kontakteleiste-Taskleiste-entfernen BR-XXXXXXXXXXX-Profil BR-Drucker-EDV Unter Win10 ist nichts zu sehen: C:\Users\kouser>gpresult /r /scope user Betriebssystem Microsoft (R) Windows (R) Gruppenrichtlinienergebnis-Tool v2.0 © 2018 Microsoft Corporation. Alle Rechte vorbehalten. Am ‎08.‎03.‎2019 um 14:07:27 erstellt RSOP-Daten für DOMAIN.DE\kouser auf WIN10X64: Protokollmodus ------------------------------------------------------------ Betriebssystemkonfiguration: Mitglied der Domäne/Arbeitsgruppe Betriebssystemversion: 10.0.17134 Standortname: Nicht zutreffend Roamingprofil:Nicht zutreffend Lokales Profil: C:\Users\kouser Langsame Verbindung? Nein BENUTZEREINSTELLUNGEN ---------------------- CN=kouser,OU=TEST_TT,OU=Administration,OU=Clientcomputer,DC=DOMAIN,DC=de Letzte Gruppenrichtlinienanwendung: 08.03.2019, um 13:43:34 Gruppenrichtlinieanwendung von: DC02.DOMAIN.de Schwellenwert für langsame Verbindung:500 kbps Domänenname: DOMAIN.DE Domänentyp: Windows 2008 oder höher Angewendete Gruppenrichtlinienobjekte -------------------------------------- BR-Bildschirmschoner-1min (TEST) CPR-Cortana-deaktivieren BR-Kontakteleiste-Taskleiste-entfernen BR-Drucker-EDV Warum kommt das Skript am Client nicht an?

Hallo, ich möchte für eine Handvoll Benutzer (12) einen Teamkalender erstellen auf den jeder dieser Nutzer Zugriff hat. Da ich mir unsicher bin wielange die Öffentliche Ordner noch in Exchange weitergeführt werden, möchte ich dafür ein extra Postfach einrichten. Also habe ich ein Postfach angelegt und zum testen verschiedene Ordner und den Kalender freigegeben. Z.b.: Add-MailboxFolderPermission -Identity edv-kalender:\Testordner -User ICH -AccessRights ReadItems 1. Problem: es dauert ewig bis ich Zugriff auf die freigegebenen Ordner oder Kalender erhalte. Mehrmaliges schließen und öffnen von Outlook ändert auch nichts. Irgendwann Minuten, teils Stunden später bekomme ich Zugriff. 2. Problem: die Berechtigungen entfernen ist genauso schwierig. Ich habe alle Rechte entfernt. Sehe aber nach wie vor die Struktur des anderen Kontos in Outlook. 3. Problem: auch einem Postfach dem ich über die Exchange-Verwaltungs-Konsole Vollzugriff auf ein Postfach gegeben habe und wieder wegnehme, ist noch ewig sichtbar. 4. Problem: Ich habe einen Nutzer die Berechtigungen auf den Kalender entfernt und wieder neu vergeben. Er sieht trotzdem keine neuen Kalender-Einträge. Meine Frage: Wie kann ich zuverässig (und schneller) den Kalender anderen Nutzern freigeben? Gibt es eventuell eine bessere Lösung für eine Teamkalender, als diesen über ein extra Postfach zu verteilen? MfG

Das Thema kann als gelöst gesehen werden. Die Nutzer berichten mir jetzt (nach dem sie die Welt verrückt gemacht haben) folgendes: Gesendete Mails von Nutzer A an Nutzer B wurden durch eine Postfach-Regel in einen Unter-Ordner verschoben und diese anschließend an Nutzer C weitergeleitet. Daher kam die Mail nicht sofort ersichtlich im Posteingang bei B an. Durch die Mail-Weiterleitung hat A von C (der sich im Urlaub befindet) die Abwsenheitsnachricht bekommen. Um die Mails die von der Webseite mit falschen Absender gesendet werden kümmert sich der Provider. Das hat nichts mit Exchange zu tuen. Jetzt wäre es nett wenn mir jemand bei dem Problem mit dem fehlenden Autodiscover helfen könnte. Dazu kann ich aber auch einen neuen Thread erstellen.

Unsere Mitarbeiter wählen sich mittels OpenVPN / IPSec (IPFire) in die Firma auf einen oder mehrere RDS ein. Da können sie Ihr Outlook nutzen. Oder bei bestehender OpenVPN / IPSec Verbindung über https://interne-IP-Exchange/OWA. Mailclient von Apple funktioniert ebenfalls. Die Mails kommen (bitte, bitte nicht schlagen) über einen POP3-Connector zum Exchange und werden über einen Smarthost von einem Provider versandt. Das Autodiscover hat dann wohl noch nie funktioniert, nach dem Test kommt die Meldung, dass das Zertifikat nicht passt. Unter der angegebenen URL ist unser Webserver erreichbar, sprich unsere Domäne der Webseite.