Sicherheitsprinzipale anstelle von Gruppen

[muthelm 10]

Hallo zusammen,

 

habe wieder ein Problem.

 

Ein Kunde hat einen WinXP-Pro-Rechner in die Domäne mit aufgenommen. Die Standar-Prozedur hatl über die Eigenschaften vom Arbeitsplatz -> Rechnername -> Domäne: DOMAENE. Dann mit dem Administrator angemeldet. Danach hieß es "Willkommen in der Domäne". Anschließend mit dem Benutzer des PCs angemeldet.

Die Anmeldung dauert ziemlich lange (über zwei Minuten), egal mit welchem Benutzer. Ich dachte mir, daß die erste Anmeldung länger dauern kann, aber das ist jedes Mal so.

 

Außerdem wollte ich den Benutzer den lokalen Administratoren hinzufügen. (Systemsteuerung -> Verwaltung -> Computerverwaltung -> Lokale Benutzer und Gruppen -> Gruppen: Doppelklick auf Administratoren) Wenn ich auf "Hinzufügen" gehe, bekomme ich oben beim "Objekttype" nicht Benutzer oder Gruppen, sondern Benutzer oder Sicherheitsprinzipale. Dort kann ich auch nichts ändern: unter Objekttyp gibt es nur die beiden Einträge.

Unter "Suchpfad" steht auch nicht die Domäne sondern der lokale Rechnername. Diesen Eintrag kann ich ebenfalls nicht ändern.

 

Habe ich irgendwas vergessen?

 

Bitte um Hilfe

 

Achja: Der PC meldet sich an einem SBS2003 an. Die IP-Konfiguration ist statisch. Bei früher eingebundenen PCs hat das immer problemlos funktioniert.

 

Gruß

 

Helmut Berger

[Daim 12]

Servus,

 

stimmen denn die IP-Informationen die der Client eingetragen hat auch?

Bei langsamer Anmeldung ist der erste Verdächtige die DNS-Server Adresse.

Steht in den TCP/IP-Einstellungen des Clients der SBS mit seiner echten IP-Adresse drin und nicht etwa ein externer DNS-Server (z.B. der DNS-Server vom ISP)?

 

Da beim Hinzufügen des Domänen-Benutzers zur lokalen Admin-Gruppe (warum überhaupt? Das sollte nicht sein) sich die Domäne nicht auswählen lässt, ist das ein klares Indiz für ein DNS-Problem.

[IThome 10]

Hättest Du beim Joinen den vollständigen Domänennamen (DOMAENE.LOCAL oder wie auch immer) angegeben, wäre die Domänenmitgliedschaft wahrscheinlich gar nicht erst zustande gekommen ...

[muthelm 10]

@IThom:

Habe die DOMAENE ohne .local angegeben. Wenn man mit domaene.local angibt, funktioniert das nicht. (zumindest hat das bei mir nicht geklappt)

 

@Daim:

Habe das Problem gefunden. Du hast recht, der DNS-Eintrag wars. Versehentlich war 191.168, anstelle von 192.168 beim DNS1 eingetragen. Anschließend hatte ich in den lokalen Benutzern und Gruppen auch den Domäneneintrag und die Gruppen.

Warum ich die Domänen-Benutzer in die Gruppe der lokalen Admins aufnehme? Damit die Kunden ihre Profileinstellungen vornehmen und ggf. benötigte Software installieren können.

Ich weiß, es ist ein Sicherheitsrisiko, aber das haben wir bei unseren Kunden bis jetzt (fast) immer gemacht. Außerdem handelt es sich ja um die "lokalen" Admins und nicht um die "Domain"-Admins :-) . Außerdem meldet sich der Kunde sowieso bei uns, wenns was gibt.

 

Also danke für eure Hilfe

 

Gruß

 

Helmut Berger

[IThome 10]

@IThom:

Habe die DOMAENE ohne .local angegeben. Wenn man mit domaene.local angibt, funktioniert das nicht. (zumindest hat das bei mir nicht geklappt)

Ja, genau wegen des falsch konfigurierten DNS-Servers, was Du jetzt ja auch selbst gesehen hast ... :)

[Daim 12]

Damit die Kunden ihre Profileinstellungen vornehmen und ggf. benötigte Software installieren können.

 

Das können sie auch so. Sie müssen sich lediglich mit dem lokalen Administrator neu anmelden. Das sollte einem die Sicherheit wert sein.

 

 

Ich weiß, es ist ein Sicherheitsrisiko, aber das haben wir bei unseren Kunden bis jetzt (fast) immer gemacht.

 

Jetzt lies dir diesen Satz nochmal selbst durch.

Worauf ich hinaus ziele, habe ich dir Fett markiert. Was denkst du, wie darauf meine Antwort lauten wird?

 

 

Außerdem handelt es sich ja um die "lokalen" Admins und nicht um die "Domain"-Admins :-) .

 

Das ist keine Entschuldigung. Wenn sich der Kunde mit lokalen Admin-Rechten irgendetwas einfängt, ist der Virus/trojaner lokal mit Admin-Rechten unterwegs. Dadurch kann es dann noch vieles mehr in der Domäne anrichten. Daher würde ich das für die Zukunft abstellen.

 

 

Außerdem meldet sich der Kunde sowieso bei uns, wenns was gibt.

 

Du bist aber nicht nur auf Aufträge aus, sondern auch auf die Zufriedenheit sowie Sicherheit des Kunden?

Wenn der Fall X Eintritt, dankt dir das keiner.