Keine Berechtigung unter 2000 aber unter XP

[A+S 10]

Hallo!

 

Ich habe ein Problem mit Benutzerprofilen. Und zwar habe ich einen Testuser 'TUser' im AD angelegt, einen Profilpfad eingestellt, den Profilpfad angelegt und mit den entsprechenden Berechtigungen ausgestattet. Wenn ich jetzt versuche mich unter Windows 2000 mit dem Benutzer anzumelden bekomme ich folgende Fehlermeldung:

 

Sie haben keine Berechtigung, auf Ihr servergespeichertes Profil zuzugreifen, das sich in "\\dc-rd-01\Profile$\TUser" befindet. Wenden Sie sich an den Netzwerkadministrator.

 

Melde ich mich aber unter Windows XP an wird alles korrekt geladen, bzw. in meinen Fall alles angelegt, weil das Profil ja noch leer war. Ich habe es auf mehreren Systemen versucht, allerdings immer mit dem gleichen Ergebnis. Wo liegt hier das Problem?

 

Ein paar Zusatzinfos:

AD unter W2003 R2 mit SP2

Freigabe Profile$: Jeder -> Vollzugriff

Sicherheit Profile$: Administratoren -> Vollzugriff; Ersteller-Besitzer -> Speziell; System -> Vollzugriff

Sicherheit TUser: Wie Profile$ + TUser -> Ändern,etc.

 

Danke schon mal

 

MfG

Kai

[JustinXiang 10]

hast du das Problem nur bei dem einen User oder auch bei anderen die sich mit unterschiedlichen Windows Versionen am Netz anmelden? (falls nein schau dir die Berechtigungen von den usern an und vergleich sie mit deinen Berechtigungen).

 

 

LG

 

JustinXiang

[IThome 10]

Erzeuge die empfohlenen Berechtigungen, dann klappt das ...

Microsoft Corporation

[A+S 10]

Ich habe jetzt den Text von MS abgearbeitet. Die einzige Einstellung, die nicht gestimmt hat war, dass der User keinen Besitz auf seinem Profilordner gehabt hat. Das habe ich abgeändert aber trotzdem kein Erfolg.

Wenn der User angemeldet ist kann ich auch ohne Weiteres auf das Profilverzeichnis zugreifen, egal von welchem OS aus.

 

@JustinXiang

Das Problem besteht bei jedem Benutzer, der ein einfacher Benutzer ist.

 

Gibt es vielleicht noch eine Gruppenrichtlinie, die den Zugriff verhindert oder ähnliches? Das AD ist auch noch nicht im Einsatz und frisch aufgesetzt. Also wurden auch noch keine großen Abweichungen von der Standardkonfiguration vorgenommen.

[IThome 10]

Das AD ist noch nicht im Einsatz ? Meinst Du, es ist zwar vorhanden, aber noch nicht weiter konfiguriert ? Die einzige Änderung war der Besitz ? Und was ist das ?

Sicherheit Profile$: Administratoren -> Vollzugriff; Ersteller-Besitzer -> Speziell; System -> Vollzugriff

[A+S 10]

Wir Administratoren arbeiten schon im AD. Es ist auch schon konfiguriert. Aber halt noch nicht produktiv im Einsatz.

 

Wenn ich die Microsoft Einstellungen vornehme hat der Ersteller/Besitzer Vollzugriff. Es wird zwar speziell angezeigt, aber unter den effektiven Berechtigungen hat er Vollzugriff. Ich kann das auch nicht ändern. Es wird immer wieder auf "Speziell" zurückgesetzt.

 

Administratoren haben Vollzugriff. Microsoft schreibt zwar das der Administrator keine Berechtigungen haben soll, aber welchen Zweck dient das? Oder meinst du genau das mit dem Zitat?

[IThome 10]

Ich meine damit, dass bei den zitierten Berechtigungen ein Benutzer noch nicht mal in den Ordner Profile$ schauen könnte, selbst wenn er den Namen der Freigabe kennt . Der Ersteller/Besitzer kommt erst dann zum Tragen, wenn er entweder erstellt hat oder wenn er der Besitzer ist. Er muss also Berechtigungen zum Erstellen haben, die er mit den genannten Berechtigungen nicht hat. Deswegen steht im Microsoft-Artikel als Parentberechtigung zusätzlich ...

Security group of users needing to put data on share - List Folder/Read Data, Create Folders/Append Data - This Folder Only

Darunter kommt dann der Ersteller/Besitzer zum Tragen, es wird also der ACL der Name des Benutzers mit Vollzugriff zugefügt. Du solltest die Benutzer ihre Profilordner selbst erstellen lassen (automatisch).

Administratoren haben per Default keinen Zugriff, sowas lässt sich aber auch via Richtlinie zulassen, welche aber gültig sein muss, BEVOR die User den Serverprofilordner erstellen ...

[A+S 10]

Hey super. Es funktioniert. Ich hatte die Gruppe der Benutzer vorher rausgeschmissen, da ich nicht wollte, dass sie in die Profile der anderen Benutzer reinschauen können. Ich habe auch gedacht, dass das funktioniert, weil es ja mit XP geklappt hat. Wieso hat es eigentlich mit XP geklappt? Werden die Berechtigungen dort anders verarbeitet, oder was ist dafür der Grund?

 

Danke dir auf jeden Fall erst mal für deine Hilfe.

[IThome 10]

Die können nicht in die Profile der anderen Benutzer schauen, die Berechtigung gilt "Nur für diesen Ordner", darunter nicht mehr ...

[A+S 10]

Ja, jetzt habe ich es ja genau wie du es vorgeschlagen hast. Aber ich frage mich wieso mein Problem unter XP nicht aufgetreten ist.