Gruppenrichtlinie verursacht Fehler

[bitwicht 10]

Hallo,

 

habe heute man das RSoP.msc laufen lassen und es wurde ein "Fehler" gefunden.

 

unter: Computerconfig - Windows-Einstellungen - Lokale Richtlinien - Zuweisung von Benutzerichtlinien - Anmelden über Terminaldienst zulassen

 

Anmelden über Terminaldienst zulassen ist bei mit aktiviert und als user habe ich admin, domain/admin, 1 lokalen user auf einem bestimmten server

 

Im Reiter Rangfolge steht nun:

Die Richtline xxxx verurscht den folgenden Fehler Kontennamen wurden Sicherheitskennungen nicht zugeordnet.

 

 

Warum kommt der Fehler zu stande?

 

lg

Bit

[phoenixcp 10]

Trifft das dein Fehlerbild? Cannot apply policies that are edited with a computer running Multilingual User Interface Pack

[bitwicht 10]

@phoenixcp

 

nein leider nicht

es sieht ja so aus als ob die richtlinie nicht zieht

aber warum nur

[Sunny61 807]

Hast Du einen englischen DC und mit einem deutschen Client die GPO erstellt?

[bitwicht 10]

Hallo,

 

- habe einen DE DC als Prim und einen Engl DC als Sek

- alle clients sind DE

 

lg

bit

[Sunny61 807]

- habe einen DE DC als Prim und einen Engl DC als Sek

- alle clients sind DE

 

Schön, freut mich für Dich. ;) Hast Du eine GPO auf einem deutschen Client bearbeitet oder nicht?

[bitwicht 10]

auf dem deutschen dc habe ich die gpo bearbeitet

 

der engliche ist eigentlich unangetastet

[Sunny61 807]

auf dem deutschen dc habe ich die gpo bearbeitet

 

der engliche ist eigentlich unangetastet

 

OK, dann ist mein Verdacht somit raus. Welche Einstellungen nimmst Du an der GPO denn vor? Fehlermeldungen im Eventlog des Client?

[bitwicht 10]

Hallo,

 

die einstellung ist:

Computerconfig - Windows-Einstellungen - Lokale Richtlinien - Zuweisung von Benutzerichtlinien - Anmelden über Terminaldienst zulassen

 

Anmelden über Terminaldienst zulassen ist bei mit aktiviert

und als user habe ich eingetragen:

admin,

domain/admin,

1 lokalen user auf einem bestimmten server

 

und genau hier ist wohl auch der fehler.

 

 

auf dem client weiß ich nicht genau wie ich die finde / zuordne - könnte diese sein:

Ereignistyp: Warnung

Ereignisquelle: SceCli

Ereigniskategorie: Keine

Ereigniskennung: 1202

Datum: 26.08.2008

Zeit: 11:07:57

Benutzer: Nicht zutreffend

Computer: XXXXXXXXX

Beschreibung:

Die Sicherheitsrichtlinien wurden mit Warnungen propagiert. 0x534 : Zuordnungen von Kontennamen und Sicherheitskennungen wurden nicht durchgeführt.

 

Weitere Hilfe zu diesem Problem finden Sie unter Microsoft Help and Support. Suchen Sie dort in der englischen Knowledge Base nach "troubleshooting 1202 events".

 

Fehler 0x534 tritt auf, wenn ein Benutzerkonto in einem oder mehreren Gruppenrichtlinienobjekten nicht in eine SID aufgelöst werden konnte. Dieser Fehler wurde möglicherweise dadurch verursacht, dass ein in "Benutzerrechte" oder "Eingeschränkte Gruppen" referenziertes Benutzerkonto falsch geschrieben oder gelöscht wurde. Wenn Sie dieses Ereignis auflösen möchten, wenden Sie sich einen Administrator und führen folgende Schritte aus:

 

1. Identifizieren Sie das Konto, für das die SID nicht aufgelöst werden konnte:

 

Auf der Befehlszeile geben Sie ein: FIND /I "nicht gefunden" %SYSTEMROOT%\Security\Logs\winlogon.log

 

Die Ausgabe des FIND-Befehls enthält jeweils den problematischen Kontonamen.

 

Beispiel: JoergFrey wurde nicht gefunden.

 

In diesem Fall konnte die SID für den Benutzernamen "JoergFrey" nicht bestimmt werden. Dies kann vor allem dann geschehen, wenn das Konto gelöscht oder umbenannt wurde, oder wenn es unterschiedlich geschrieben wird (z.B. JoergFrei).

 

2. Identifizieren Sie die jeweiligen Benutzerrechte, eingeschränkten Gruppen und Quell-Gruppenrichtlinienobjekte, in denen das Problemkonto enthalten ist, mithilfe des Richtlinienergebnissatzes.

 

a. Start -> Ausführen -> RSoP.msc

b. Suchen Sie in den Ergebnissen nach Fehlern (mit rotem X markiert), unter Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Zuweisen von Benutzerrechten und in Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Eingeschränkte Gruppen .

c. Falls Benutzerrechte oder Eingeschränkte Gruppen mit einem roten X markiert sind, sind die Gruppenrichtlinienobjekte, die die problematische Richtlinieneinstellung enthalten, in der Spalte "Quell-Gruppenrichtlinienobjekt" zu finden. Notieren Sie die Benutzerrechte, eingeschränkten Gruppen und Quell-Gruppenrichtlinienobjekte, die Fehler erzeugt haben.

 

3. Löschen Sie unaufgelöste Konten von der Gruppenrichtlinie

 

a. Start -> Ausführen -> MMC.Exe

b. Wählen Sie im Menü "Datei" den Eintrag "Snap-In hinzufügen/entfernen..."

c. Klicken Sie auf dem Dialogfeld "Snap-In hinzufügen/entfernen" auf die Schaltfläche "Hinzufügen...".

d. Wählen Sie auf dem Dialogfeld "Eigenständiges Snap-In hinzufügen" den Eintrag "Gruppenrichtlinienobjekt-Editor" aus und klicken Sie auf "Hinzufügen".

e. Klicken Sie auf dem Dialogfeld "Gruppenrichtlinienobjekt auswählen" auf die Schaltfläche "Durchsuchen..."

f. Wählen Sie auf dem Dialogfeld "Gruppenrichtlinienobjekt suchen" die Registerkarte "Alle" aus.

g. Korrigieren Sie für jedes Quell-Gruppenrichtlinienobjekt aus Schritt 2 die Benutzerrechte oder eingeschränkten Gruppen, die dort mit einem roten Kreuz markiert waren. Sie können Benutzerrechte oder eingeschränkten Gruppen korrigieren, indem Sie die Referenzen auf das Problemkonto aus Schritt 1 korrigieren oder löschen.

 

Weitere Informationen über die Hilfe- und Supportdienste erhalten Sie unter Events and Errors Message Center: Basic Search.

[NorbertFe 2.067]

die einstellung ist:

Computerconfig - Windows-Einstellungen - Lokale Richtlinien - Zuweisung von Benutzerichtlinien - Anmelden über Terminaldienst zulassen

 

Anmelden über Terminaldienst zulassen ist bei mit aktiviert

und als user habe ich eingetragen:

admin,

domain/admin,

1 lokalen user auf einem bestimmten server

 

und genau hier ist wohl auch der fehler.

 

Sieht wohl so aus. Mehr oder weniger hast du dir unten ja bereits selbst die Antwort gegeben. Ist dein Problem denn jetzt gelöst?

 

Bye

Norbert

[bitwicht 10]

nicht wirklich - vieleicht sehe ich den wald vor lauter bäumen nicht mehr.

 

ich will mich als admin per RDP an den rechner anmelden dürfen.

 

also habe ich das zugelassen:

Anmelden über Terminaldienst zulassen

 

und habe die 3 user eingetragen:

admin,

domain/admin,

1 lokalen user auf einem bestimmten server

 

 

was soll daran nicht zulässig sein?

 

lg

bit

[NorbertFe 2.067]

ich will mich als admin per RDP an den rechner anmelden dürfen.

 

OK.

 

also habe ich das zugelassen:

Anmelden über Terminaldienst zulassen

 

OK. Wobei du ihn auch einfach in die Remotedesktopbenutzergruppe hättest hinzufügen können. ;)

 

und habe die 3 user eingetragen:

admin,

domain/admin,

1 lokalen user auf einem bestimmten server

 

Und wo führst du jetzt rsop aus? Auf diesem bestimmten Server?

 

was soll daran nicht zulässig sein?

 

Geh doch mal Schritt für Schritt vor, anstatt dich zu wundern. :) Nimm alle Leute raus. Füge einen Benutzer hinzu (Administrator o.ä.) Schau nach was rsop.msc sagt.

 

Bye

Norbert

[bitwicht 10]

Ja auf diesem server also auf dem dc spiele ich an der gpo und führe auch RSoP aus.

 

wenn ich alle user lösche, kann ich dann gleich RSoP.msc ausführung oder muss ich erst die gpo "updaten lassen" ???

 

Weil wenn ich alle User lösche, und dann gleich das RSoP.msc ausführe stehen sie noch drin

 

lg

bit

[NorbertFe 2.067]

Ja auf diesem server also auf dem dc spiele ich an der gpo und führe auch RSoP aus.

 

wenn ich alle user lösche, kann ich dann gleich RSoP.msc ausführung oder muss ich erst die gpo "updaten lassen" ???

 

Weil wenn ich alle User lösche, und dann gleich das RSoP.msc ausführe stehen sie noch drin

 

lg

bit

 

Für welchen Server soll das denn gelten? Für deinen DC? Führe einfach mal ein gpupdate aus und schau was passiert.

 

Bye

Norbert

[bitwicht 10]

Hallo Norbert,

 

super idee. habe ein user nach dem anderen gelöscht.

es war der "locale user auf einem server"

 

wie kann ich den jetzt wieder hinzufügen ?

 

erklären:

server win3k in der ads

auf dem server gibt es einen localen user

der lokale user soll sich per RPD anmelden dürfen

 

lokal ist er schon zu den rdp user hinzugefügt, kann sich aber nicht anmelden da wohl die domain polici greift. deshlab hatte ich in in der gpo eingetragen.

 

wenn ich den nun wieder eintrage kann sich zwar der user auf dem server wieder anmelden, aber der fehler oben ist wieder da

 

?!?!?

 

lg

bit