Zugriffsbeschränkung

[welle 11]

Hallo Leute,

 

ich habe einen Rechner im Netzwerk, der muss gesondert geschützt werden!

Der Zugriff und die Anmeldung am Rechner soll nur für bestimmte Usern erlaubt sein.

Die lokale Anmeldung ist klar, aber wie beschränke ich die Netzwerkanmeldung auf bestimmte User?

 

Steh gerade etwas auf dem Schlauch! :confused:

[IThome 10]

Das ist auch ein Benutzerrecht "Auf diesen Computer vom Netzwerk aus zugreifen" ...

[welle 11]

Ja das stimmt!

Das habe ich auch gesehen aber nicht genau verstanden was im Hintergrung passiert!

 

Wenn ich in diesem Bereich ganz klar definiere, dass nur bestimmte User oder Gruppen in "Auf diesen Computer vom Netzwerk aus zugreifen" drinstehen dann können auch nur diese sich mit ihrem Domänenaccount anmelden, sehe ich das jetzt richtig?

[IThome 10]

So ist es ... vom Netzwerk aus ...

[welle 11]

Tja, was soll ich sagen....

Ich habe es mal eingerichtet und es kann sich dennoch ein User anmelden der nicht in der Option bedacht wurde!

 

Das ist es dann doch nicht!

 

Habe das gleiche in einer GPO konfiguriert und auf den Rechner wirken lassen, auch das gleiche Ergebniss.

[IThome 10]

Wer ist denn dort eingetragen ?

edit: hier funktioniert es genau so wie erwartet ...

[welle 11]

Also....

 

in der lokalen Gruppenrichtlinie (gpedit.msc) unter

"Auf diesen Computer vom Netzwerk aus zugreifen"

sind folgende User eingetragen

> Dom.-Admin

> anmelden_an_Rechner (globale Gruppe mit den Usern die berechtigt sind)

sonst keiner!

 

Ich habe mal einen normalen Dom-User angelegt "testuser" und mit dem kann ich mich mit der Dom-Anmeldung anmelden!

 

Genau dass wollte ich ja ausmerzen!

[IThome 10]

Was sagt RSOP.MSC auf diesem Rechner bezüglich der gültigen Benutzerrechteinstellung ?

[welle 11]

Der sagt mir schön das die Richtlinie angewendet wird!

[IThome 10]

Ich bekomme die Meldung, dass der geforderte Anmeldetyp nicht gewährt wird (also hat er das Benutzerrecht nicht).

Fang mal mit einem Domänenbenutzer und der Gruppe Administratoren (dort dürfen natürlich nicht die Domänenbenutzer usw. Mitglied sein) an, füge also dem Benutzerrecht auf dem Client diese beiden Einträge zu und starte ihn danach neu. Wenn er wieder bereit ist, melde Dich an einem anderen Client als irgendein Benutzer an, der dort nicht eingetragen wurde und verbinde Dich mit \\<Clientname> ...

[welle 11]

Wenn ich das jetzt richtig gelesen habe, dann meinst Du den Zugriff vom Netzwerk auf den Rechner, z.B. auf C$

Ich meinte aber die Anmeldung direckt am Rechner!

Also mit Anmeldename + Passwort + Domäne

[IThome 10]

... aber wie beschränke ich die Netzwerkanmeldung auf bestimmte User?

, was willste denn jetzt, über das Netzwerk nicht zugreifen dürfen oder das lokale Anmelden einschränken ?

Füge die Administratoren und die Domänengruppe dem Benutzerrecht "Lokale Anmeldung zulassen" zu. In der lokalen Administratorengruppe dürfen natürlich die Domänen-Benutzer keine Mitglieder sein ...

[welle 11]

Ich will mich schon mal vorab für Deine Geduld bedanken ;-)

 

Was ich damit erreichen will ist folgendes:

> Der Rechner ist ein Domänencomputer

> die Anmeldung am Computer erfolgt über die Domänenanmeldung

> Es sollen nur bestimmte Benutzer mit ihrer Domänenanmeldung sich an diesem Rechner anmelden dürfen

> Lokale Anmeldung ist bereits eingeschränkt!

> Lokal darf sich nur der Dom-Admin und ein Supportuser anmelden.

 

Wichtig ist die Domänenanmeldung!

User XYZ darf sich nicht mit seiner Domänenanmeldung auf diesem Rechner anmelden!

 

Ich hoffe ich habe es eigenermaßen anschaulich beschrieben, wie gesagt, heute ist für mich kein guter Tag zum administrieren, stehe heute irgendwie neben mir!

[IThome 10]

Naja, dann erzeuge Dir eine OU, dort kommt der Computer, an dem sich nur bestimmte Leute anmelden sollen. Dann erzeugst Du Dir ein GPO und bearbeitest das Benutzerrecht "Lokale ANmeldung zulassen". Als Wert definierst Du die "Administratoren" (die müssen sich anmelden dürfen) und die Gruppe der User, die sich noch anmelden dürfen. Dann führst Du GPUPDATE bzw. SECEDIT /REFRESHPOLICY MACHINE_POLICY /ENFORCE durch. In der Gruppe der lokalen Administratoren auf dem eingeschränkten Rechner dürfen natürlich nur berechtigte Benutzer Mitglied sein, keine Domänen-Benutzer zum Beispiel ...

[welle 11]

Jou, dass isses!

Hab es gerade mal getestet, funzt!!!

 

Ich muss Dir noch mal für Deine Geduld danken!

 

Super Hilfe von Dir!

Ich mach es mal wieder gut ;-)