Forest übergreifende authentifizierung

[jesusneedshelp 10]

hallo zusammen,

 

ich komme einfach nicht weiter und brauche mal eure hilfe.

 

wir haben einen alten forest sowie einen neuen am laufen und migrieren die einzelenen subdomains der alten in den neuen.

 

wenn sich jetzt ein user des alten forest an einem rechner des neuen forest anmeldet bekommt er sein profil sowie sein homedir und das anmeldeskript wird auch abgearbeitet. das ist allerdings erst möglich nachdem ich auf den rechnern des neuen forests folgenden eintrag in der reg gesetzt habe:

 

HKEY LOCAL MACHINE\SOFTWARE\Policies\Microsoft\Windows\System

Wert:AllowX-ForestPolicy-and-RUP, Wert 1

 

leider bekommt der user damit noch keine user policys. in der userenv.log steht folgendes:

 

USERENV(2a4.2a8) 13:12:43:312 CUserProfile::CleanupUserProfile: Ref Count is not 0

USERENV(2a4.2a8) 13:12:43:328 CUserProfile::CleanupUserProfile: Ref Count is not 0

USERENV(2a4.2a8) 13:12:43:328 CUserProfile::CleanupUserProfile: Ref Count is not 0

USERENV(2a4.568) 13:12:48:921 ProcessGPOs: GetNetworkName failed with 10091.

USERENV(2a4.568) 13:12:52:609 GetGPOInfo: Local GPO's gpt.ini is not accessible, assuming default state.

USERENV(2a4.aa4) 13:15:42:291 CallDFS: NtFsControlFile failed with 0xc0000388

USERENV(2a4.aa4) 13:15:42:833 ProcessGPO: Couldn't find the group policy template file <\\sub.domain.dom\sysvol\sub.domain.dom\Policies\{8A240DD4-00F3-4FE1-821A-0DA8437F13BB}\gpt.ini>, error = 0x547.

USERENV(2a4.aa4) 13:15:42:849 EvalList: ProcessGPO failed

USERENV(2a4.aa4) 13:15:42:849 GetGPOInfo: EvaluateDeferredGPOs failed. Exiting

USERENV(2a4.aa4) 13:15:42:849 ProcessGPOs: GetGPOInfo failed.

 

ich kann einen ping auf die sub.domain.dom machen. allerdings sobald ich als angemeldeter user auf die policy zugreifen will kommt ein fehler: acess denied. gebe ich \\server1\sysvol\sub.domain.dom\Policies\{8A240DD4-00F3-4FE1-821A-0DA8437F13BB}\gpt.ini ein, habe ich als user lese rechte.

 

ich habe die vermutung, dass irgendwas mit der kerberos authentifizierung fehl schlägt.

 

hat jemand von euch evtl. eine idee. das inet habe ich bereist durch.

 

danke im vorraus