GPOs werden nicht abgearbeitet

[fool15982 10]

Ich habe folgendes Problem, meine DCs und seit neustem auch die Clients in meiner Domain bringen folgende Fehlermeldungen in regelmäßig, wiederholten Abständen im Eventlog:

 

 

DC1:

Event Type: Error

Event Source: Userenv

Event Category: None

Event ID: 1000

Date: 20.08.2009

Time: 11:55:53

User: SYSTEM

Computer: DC1

Description:

Auf die Datei gpt.ini des Gruppenrichtlinienobjekts kann nicht zugegriffen werden. Die Datei muss im Pfad <> vorhanden sein. (). Die Verarbeitung der Gruppenrichtlinie wird abgebrochen.

 

For more information, see Help and Support Center at Events and Errors Message Center: Basic Search.

 

 

DC2, DC3, DC4:

Event Type: Error

Event Source: Userenv

Event Category: None

Event ID: 1058

Date: 20.08.2009

Time: 12:35:11

User: admin

Computer: DC2

Description:

Auf die Datei gpt.ini des Gruppenrichtlinienobjekts CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=MEINEDOMAIN,DC=de kann nicht zugegriffen werden. Die Datei muss im Pfad <\\MEINEDOMAIN\sysvol\MEINEDOMAIN\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}\gpt.ini> vorhanden sein. (Zugriff verweigert ). Die Verarbeitung der Gruppenrichtlinie wird abgebrochen.

 

For more information, see Help and Support Center at Events and Errors Message Center: Basic Search.

 

 

Ich habe bereits mich mit dem Artikel von MS dazu befasst aber leider keinen Erfolg erzielt.

 

Der Freigabe und die NTFS Berechtigung sind vorhanden. Die Dateien existieren auch. Wenn man die GPO die im Log steht entfernt kommt die selbe Meldung mit einer anderen SID, soll heißen, er hat dann mit nächsten GPO die gleichen Probleme. Da anscheinend alle DCs und auch die Clients (Stichproben) diese Fehler aufweisen, gehe ich mal von einem zentralen Problem aus, weiß aber leider absolut nicht weiter!

 

Die Freigabe für C:\windows\sysvol\sysvol ist da und die Berechtigung steht auf:

Administratoren = Vollzugriff - Zulassen

Authentifizierte Benutzer = Vollzugriff - Zulassen

Jeder = Lesen - Zulassen

Die NTFS Berechtigung wird so dargestellt:

Administratoren = Vollzugriff - Zulassen (geerbt)

Authentifizierte Benutzer = Lesen, Ausführen - Zulassen (geerbt)

Ersteller-Besitzer = Spezielle Berechtigungen - Zulassen (geerbt)

Jeder = Lesen, Ausführen - Zulassen (geerbt)

Server-Operatoren = Lesen, Ausführen - Zulassen (geerbt)

SYSTEM = Vollzugriff - Zulassen (geerbt)

 

 

Die Freigabe für C:\WINDOWS\SYSVOL\sysvol\MEINEDOMAIN\scripts (NETLOGON) zeigt sich so:

Administratoren = Vollzugriff - Zulassen

Jeder = Vollzugriff - Zulassen

NTFS:

S.o.

Domänen-Admins = Vollzugriff - Zulassen

 

Kann mir bitte jemand einen Tipp geben, ich verzweifel hier langsam" :cry:

 

 

Andre

[fool15982 10]

Ok habs raus!

 

Habe die Verzeichnisse Sysvol bzw. deren Freigaben nochmals überprüft und die Berechtigungen manuell auf alle Ordner erneut gesetzt und vererbt. Anscheinend lag es daran, dass trotz der Vererbung einige Ordner NICHT die korrekte NTFS Berechtigung hatten. Durch das, zugegeben etwas mühsame, einzelne Überprüfen der Ordner konnte ich sicherstellen, dass alle erforderlichen Berechtigungen gesetzt wurden.

 

Was den DC1 und dessen Fehler anging, so lag es an einer GPO die für Windows 2003 System ausgelegt war. Der Server ist der letzte und einzige Windows 2000 Server in der Domain und hat schlicht und ergreifend nicht verstanden was die GPO von ihm wollte.

[fool15982 10]

Leider zu früh gefreut! Zwar sind nur noch DC1 (Fehler ohne genaue Beschreibung) und DC4 (Zugriff verweigert) die beiden Sorgenkinder (bisher!!).

 

Also falls jemand doch ne Idee hat, her damit!

[Stephan Betken 43]

Könnte am SMB-Signing liegen. Gruppenrichtlinien - Übersicht, FAQ und Tutorials

[olc 18]

Hi,

 

einmal abgesehen vom Hinweis mit dem SMB-Signing - 2 Dinge:

 

1. Das Problem kann durchaus mit Deinen anderen Problemen zusammen hängen. Von daher würde ich erst einmal den einen Fehler aus dem Weg räumen und dann den anderen. Denn wenn ich richtig liege, fingen die Probleme zur selben Zeit an, korrekt?

https://www.mcseboard.de/windows-forum-ms-backoffice-31/networkservice-155318.html

Da könnte es natürlich einen Zusammenhang geben... :wink2:

 

2. Die Berechtigungen im SYSVOL sollte man nach Möglichkeit nicht direkt setzen, sondern "indirekt" über die Group Policy Objekte im AD "spiegeln".

Installiere Dir also die GPMC (falls das derzeit noch nicht der Fall ist, den Download findest Du hier: http://www.microsoft.com/downloads/details.aspx?familyid=F39E9D60-7E41-4947-82F5-3330F37ADFEB&displaylang=de ) und klicke die betroffenen GPOs an. Du erhältst dann eine Meldung, ob die Berechtigungen wieder gerade gezogen werden sollen - das bestätigst Du mit "Ja".

 

Aber wie schon gesagt, Du solltest das vielleicht auch im Zusammenhang mit Deinen anderen Problemen sehen. Sonst sucht man hier in diesem Thread vielleicht "umsonst" nach der Fehlerursache...

 

Viele Grüße

olc

[fool15982 10]

Habe mir das mit dem SMB Signing durchgelesen und auf uns angewand mit dem Ergebnis, dass der DC1 (W2k) und DC2 (W2k3) den Fehler nicht mehr hat. Die Server DC3 und DC4 jedoch weiterhin die GPOs nicht abarbeiten mit den o.g. Fehlern.

 

2. Die Berechtigungen im SYSVOL sollte man nach Möglichkeit nicht direkt setzen, sondern "indirekt" über die Group Policy Objekte im AD "spiegeln".

Installiere Dir also die GPMC (falls das derzeit noch nicht der Fall ist, den Download findest Du hier: http://www.microsoft.com/downloads/details.aspx?familyid=F39E9D60-7E41-4947-82F5-3330F37ADFEB&displaylang=de ) und klicke die betroffenen GPOs an. Du erhältst dann eine Meldung, ob die Berechtigungen wieder gerade gezogen werden sollen - das bestätigst Du mit "Ja".

 

Erstmal vielen Dank olc, dass du dir so Mühe gibts! Ich habe die GPMC schon im einsatz allerdings passiert rein gar nix von dem was du beschrieben hast wenn ich die GPOs anklicke, außer das was passieren soll. Er zeigt mir halt die GPO und deren Details an. Im Anhang is das GPResult der Server die den Fehler haben und zusätzlich noch das des DC2 der laut Log die Richtlinien erfolgreich anwendet.

gpresult_.zip