Lokaler Verwaltungsuser über GPO

[e.koder 10]

Guten Morgen,

 

ich stehe vor einem kleinen Problem.

In meiner Domäne stehen 2 Domain Controller (beide Win 2003). Auf einem davon möchte ich es einem User ermöglichen sich lokal über die Konsole (VNC) anzumelden.

Allerdings sollte der User sich dann nicht auf den anderen Servern anmelden können.

 

Sprich: User A kann sich an Server B anmelden aber nicht auf Server A.

 

Über die Gruppenrichtlinien habe ich nur die Möglichkeit gefunden, den User in Bereich "Anmelden über Terminaldienste zulassen" freizuschalten, nur kann sich der User dann überall anmelden.

 

Er soll aber explizit nur auf Server B verwendet werden.

 

Jemand eine Idee?

 

Vielen Dank im Voraus...

[Hansi 10]

mahlzeit,

 

öhm entweder versteh ich die Frage nicht oder die Lösung liegt klar auf der Hand.

 

Installiere nur den VNC Server auf Server B, so das User A sich dort anmelden kann.

Und auf dem server A kommt nix drauf....oder du vergibts ein anderes VNC Server PW.

 

..........das meinste aber bestimmt nicht?

[e.koder 10]

die möglichkeit habe ich mir auch schon überlegt.

nur, sollte der user mal direkt vor den anderen servern stehen, würde er sich dort auch anmelden können. das ist meine notfall lösung, aber nicht meine wunschlösung.

[jinroh 10]

Eine Frage:

 

Wieso VNC?

[e.koder 10]

öhm...

weil es notwendig ist, auf die konsole zu kommen. eine terminalsitzung reicht nicht aus.

statt vnc kann auch eine andere fernwartungssoftware verwendet werden. wichtig ist, das eine konsolensitzung ermöglicht wird.

[IThome 10]

Du kannst das auch lokal über GPEDIT.MSC auf dem Server B einstellen ...

[e.koder 10]

sind das die 'lokalen' sicherheitsrichtlinien? und diese gelten dann nur für diesen einen server?

[IThome 10]

Genau so ist es ...

[e.koder 10]

bei mir ist das leider ausgegraut.

also, ich kann bei dem Punkt: "Lokal anmelden zulassen" keine Gruppe, bzw. keinen User hinzufügen.

Beim Punkt: "Anmelden über Terminaldienste zulassen" funktioniert es ohne Probs.

Irgendjemand ne Idee?

[IThome 10]

Dann wird die Einstellung über eine Group-Policy eingestellt. Dort musst Du sie auf Nicht definiert stellen und auf beiden Servern wie gewünscht in der lokalen Richtlinie definieren. Also die Einstellungen, die in der Gruppenrichtlinie definiert sind in die lokale Richtlinie übernehmen und diesen Wert in der Richtlinie der Domäne auf Nicht definiert stellen. Warum muss er sich über die Konsole anmelden, es wäre doch auch möglich, dass er sich via Terminaldienste anmelden darf (MSTSC /CONSOLE) ...

[e.koder 10]

Danke, ich habe die Punkte gefunden, und es funktionoiert einwandfrei.

Ich benötige diesen Verwaltungs User, da sich die Druckerwarteschlange immer wieder aufhängt, bzw. dabei Meldungen des HP Treibers auf der Konsole erscheinen.

Diese MÜSSEN bestätigt werden, da sonst der Spooler nicht mehr reagiert.

Und diese Meldungen erscheinen nicht über die Terminalsession.

 

Jetzt muss ich nur noch die passenden Einstellungen für die Berechtigungen finden, dann bin ich glücklich ;)

 

Danke nochmals

[IThome 10]

Er zeigt es nicht an, wenn Du Dich über eine Konsolensitzung

(MSTSC /CONSOLE) verbindest ? Welche Berechtigungen meinst Du ?

[e.koder 10]

oh, sorry. zu schnell gelesen.

mit mstsc /console zeigt er die meldung sehr wohl an. das ist auch eine möglichkeit, wie ich es machen kann. aber das überlege ich mir noch, was genau ich da verwenden werde.

berechtigung für: dienste neu starten (speziell: druckerwarteschlange), klassische "druck-operatoren" rechte und sonst gar nix mehr.

[IThome 10]

Das kannst Du ebenfalls über eine Domänenrichtlinie einstellen (in der Domain Controllers OU, mit der Sicherheitsfilterung kannst Du verhindern, dass es auf beiden Servern angewendet wird). Den Punkt findest Du unter

Computerkonfiguration - Windows-Einstellungen - Sicherheitseinstellungen - Systemdienste. Es ist ebenfalls möglich, dass eine Sicherheitsvorlage erstellt wird, in der die relevanten Einstellungen definiert sind. Diese Vorlage kann mit SECEDIT importioert werden ...

[lefg 276]

.....Ich benötige diesen Verwaltungs User, da sich die Druckerwarteschlange immer wieder aufhängt, bzw. .....

Warum geschieht das?