Sysprep Registry ACL Problem - Windows XP

[bennomania 10]

Ich habe folgendes Problem das offensichtlich durch den Sysprep Vorgang unter Windows XP verursacht wird.

 

Die Berechtigungen jedes angelegten Benutzers auf dessen Reg-Schlüssel "HKEY_CURRENT_USER\Software\Classes" gehen durch den Sysprep verloren.

Benutzer die nicht in der Admin-Gruppe sind, können nach dem Sysprep auf den Reg-Schlüssel nicht mehr zugreifen. Macht man die Benutzer zum Admin, stellt man einen unbekannten SID Eintrag fest, welcher dem gleichen Benutzer vor dem Sysprep Vorgang entspricht. Des Weiteren geht die Vererbung der Rechte des Schlüssels verloren.

 

 

Stand vor Sysprep:

 

- HKCU\Software\Classes erbt standardmäßig die Rechte von HKCU

- Benutzer "XYZ" ist in den Berechtigungen eingetragen und hat Vollzugriff

 

 

Stand nach Sysprep:

 

- HKCU\Software\Classes erbt keine Rechte mehr

- anstatt dem Benutzer "XYZ" steht nur noch der alte SID Eintrag drinnen

- der Benutzer "XYZ" verliert seine Rechte und kann nicht mehr auf den Reg-Schlüssel zugreifen (außer er ist in Admin-Gruppe)

 

 

Das Problem ist, das gewisse Anwendungen Probleme haben, wenn sie nicht unter diesem Schlüssel lesen/schreiben können.

Ist das ein Bug / Feature von Sysprep? Gibt es dazu KB-Artikel oder Erklärungen?

 

Info:

 

Sieht ähnlich wie dieses Problem (Sysprep Does Not Change ACLs on Registry Keys) aus Windows 2000 Zeiten aus. Ein Fix dafür war damals in SP4 enthalten. Konnte aber leider nichts für XP finden.

 

Gruß

Benno

[zahni 550]

Führe Sysprep mit dem Konto "Administrator" aus und nicht irgendeinem anderen User. Diese SID kann sich nicht ändern.

 

Mit einer aktuellen Sysprep-Version wird normalerweise das Profil vom Administrator zum "Default User" Profil gemacht bzw. kopiert.

 

-Zahni

[bennomania 10]

Hallo Zahni,

 

der Sysprep wird auch unter dem Admin ausgeführt. Es gibt halt nur schon weitere bereits vorkonfigurierte User.

 

Bsp. und Erklärung:

 

Aufsetzen einer Referenzinstallation von Win XP SP3 mit

 

User 1: Administrator

User 2: XYZ => Standard Benutzer mit dem hinterher gearbeitet werden soll

User 3: Service Account => Service Benutzer für Techniker

 

Für den Standard Benutzer wird das Profil / die Software vorkonfiguriert.

 

Nach Abschluß aller Arbeiten wird der Sysprep unter dem Administrator ausgeführt.

 

Image von DVD einspielen etc...

 

Schaut man sich hinterher im System unter allen Benutzen die Berechtigungen in der Registry von HKEY_CURRENT_USER\Software\Classes an, so sieht man bei jedem einen verwaisen SID Eintrag, nämlich den des Users vor dem Sysprep. Dies gilt für den Admin, den Standard Benutzer und den Service Account. Da auch die Vererbung der Rechte verloren geht, können Standard Benutzer nicht mehr auf den Reg-Schlüssel zugreifen und die ein oder andere Software hat damit Probleme.

 

Alle User die nach dem Sysprep angelegt werden haben das Problem nicht.

Auch nicht die Administratoren, da diese noch über die Gruppe der Admins berechtigt sind.

 

Die Frage ist, ob das ein Bug in Sysprep von Win XP ist (Wie es schon mal bei Win 2000 der Fall war) oder eben nicht.

 

Gruß

Benno

[zahni 550]

Das funktioniert leider nicht korrekt. Du solltest diese Konten hinterher per Script o.ä. anlegen. Oder Du löschst die Profile diese Konten vor dem Sysprep.

Ob das so funktioniert, musst Du testen.

 

-Zahni