Berechtigungsprobleme

[DirtyHarry 10]

Hallo zusammen

 

wir betreiben eine AD Domain 2K3R2 und als Clients Windows XP (32BIT) und WIN 7 (64BIT).

Jetzt haben wir einige wenige User, die unter XP normal funktionieren, und unter Win 7 nur noch eingeschränkte Berechtigungen im AD haben. z.B.

können nicht alle GPObjekte gelesen werden; trotz AD Anmeldung muss bei Mappings nochmals Username und Password angegeben werden.

Das Problem tritt nur dann auf, wenn ein User in vielen Gruppen Mitglied ist (ca. > 120). Bis zum Tag X funktioniert das Userkonto ganz normal, und irgendwann gibt es dieses merkwürdige Verhalten.

Abhilfe: Konto löschen, und komplett neu anlegen, inclusive Mailkonto, Gruppenzugehörigkeiten. Das habe ich jetzt bei zwei Usern gemacht, ist aber nur eine schlechte Notlösung.

 

Vielen Dank für Tipps

[P.Foeckeler 11]

Hallo,

 

das hört sich für mich nach einem Problem der maximalen Token Size an, und zwar wegen der "vielen" Gruppen, in denen ein betroffener Benutzer Mitglied ist. Denn er muss die SID (Security ID) jeder Gruppe bei der Anmeldung in seinem Access Token speichern.

 

Man kann auf den Workstations die MaxTokenSize hochsetzen, dann passen mehr rein. Bei maximal 1015 Gruppen ist jedoch Schluss, da gibt es eine nicht unüberwindliche Grenze.....

 

Schau mal hier nach:

EventID 6 - Maximale Tokensize überschritten | Michael Foltin IT Consulting

 

Gruß,

Philipp