Local Benutzerkonto -> Domain Benutzerkonto

[kosta88 2]

Hallo,

 

Bin noch recht neu, also daher eine vermutlich lächerliche Frage:

Wenn ich einen neuen AD Benutzer erstelle, und mich auf dem Client damit einlogge, sind klarerweise die Daten des lokalen Kontos weg (nicht mehr ersichtlich).

 

Gibt es ein weg um das lokale Benutzerkonto was Daten und Einstellungen betrifft weiter zu nutzen, aber das Konto eben über AD Domäne zu registrieren?

 

Stellen wir uns vor eine einfache Situation: Firma mit einigen Rechnern, man will die Benutzer auf die Domäne migrieren. Wie kann es für die am schmerzlosesten verlaufen, ohne dass der Benutzer viel davon merkt?

[lefg 276]

Morn,

 

Du verwendest den Begriff Konto, meinst aber wohl das Benuitzerprofil. Oder?

bearbeitet 6. April 2014 von lefg

[kosta88 2]

Ähhhh, ja. Sorry. Das meine ich ja, mein Benutzerprofil.

bearbeitet 6. April 2014 von kosta88

[lefg 276]

Morn Kosta,

 

ein Sorry ist nicht notwendig. :)

 

Zu deiner Frage kann ich dir nicht wirklich helfen, ich kenne keinen eingebauten Klick zum Wandeln des Profils eines lokalen Benutzers in das eines Domænbenutzers. 

 

Trotz einer Namensgleichkeit von Konten und Profilen, auch in der Struktur, gibt es einen fubndamentalen Unterschied, die SID, die vom lokalen Rechner får den lokalen Benutzer erzeugte SID und die von AD får den Domænenbenuzyer erzeugte SID. Ich will da nicht næher erlæutern hier, es ist nachlesbar im Technet.

bearbeitet 6. April 2014 von lefg

[tesso 375]

Schau dir mal http://www.forensit.com/de/ oder http://www.profilemigrator.com/d an.

[kosta88 2]

Auh weia. Ich dachte dass muss wohl irgendwie einfach(er) gehen! Ich lerne gerade all die Sachen (mit schon einigen Vorwissen aber) nun habe mir erhofft dass man die Profile leicht irgendwie "kopieren" kann... zB. es sind eh zwei Ordner, wenn man unter Admin Konto einsteigt, sollte eigentlich alles zum kopieren gehen, nur scheinbar funktioniert es nicht so. Danke für die Links tesso.

bearbeitet 6. April 2014 von kosta88

[lefg 276]

Im Profil gibt es die NTUser.dat, diese enthælt den benutyerdefinierenden Teil der Registry. Auf die Registry-Schluessel leigen die Berechtigungen auch des Users mittels dessen SID.. Diese måsste man ændern. Prinzipiell ist das per Regedit møglich. Es ist aber alles andere als ein Klick.

[Sunny61 806]

Du könntest auf so einer Maschine folgendes probieren:

 

Melde dich als Admin an, das Profil umbenennen, in der Registry im Pfad HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList das umbenannte Profil suchen und den Eintrag mit der SID löschen. Jetzt neu starten und als Domain Benutzer anmelden. Nach der Anmeldung den Rechner neu starten und als Admin anmelden. Jetzt kannst Du den Inhalt vom alten Profil ins neue kopieren. So wie hier beschrieben: http://windows.microsoft.com/de-de/windows7/fix-a-corrupted-user-profile Neu starten und als Domain Benutzer anmelden. Keine Gewähr!

[kosta88 2]

OK Leute, vielen Dank. Es ist für private PCs sicher kein Problem, und damit würde ich mich herumspassen. Nun, in der Firmenumgebung würde ich das nicht wirklich einsetzen. Dort würde ich eher jeden einfach sagen es wird ein neues Konto erstellt und fertig. Höchstens können sich die Leute die Daten mittels USB-Stick abspeichern und wieder hineinkopieren. Wollte nur wissen, damit ich den Zukunftsplan erstellen kann. Der Boss hat die Domänenerstellung gar noch nicht genehmigt. Daweil arbeiten wir kaum lokal und das Thema Domaincontroller ist nicht von hoher Wichtigkeit. Aber persönlich glaube ich dass es schon sinnvoll wäre. Danke nochmals.

[lefg 276]

Morn Kosta,

 

die von Sunny und mir angedeuteten Möglichkeiten sind Sonderfälle, nicht übliche Verfahren. Normalerweise wird für einen neuen Benutzer ein Konto angelegt, bei seiner ersten Anmeldung entsteht auf dem Recner eine neues Profil und fertig ist die Laube. Das Profil entsteht im Normalfall aus dem Default Profile auf dem Rechner. Fall man in einer Domäne besondere vordefinierte Profile haben möchte, dann legt man ein Default Profile in der Freigabe NETLOGON des DC ab.

[kosta88 2]

Die Firma in der ich als IT Berater angefangen habe, hat bereits ca. 20-25 Rechner die einfach im Netz hängen, aber es herrscht totaler Chaos. Rechnernamen, Arbeitsgruppen, alles durcheinander. Auch kein wirkliches Filesharing bzw. arbeitet die Firma über Citrix mit dem Server in Deutschland. Eigentlich sehr aufwendig, und wenn man etwa grössere Datein teilen will, geht das lediglich via USB Sticks. Sehr altmodisch.

Meine Aufgabe wird mit der Zeit sein, die Systeme zu modernisieren, und unter anderem auch ein verlässliches lokales Netzwerk aufzubauen. Ich bin selber noch kein Admin bin aber fest am lernen und aufbauen meines Wissens. Dürfte aber kein Problem sein da ich die meisten Sachen schon mindestens durchs Hören und einige auch selber probieren gelernt habe. Jetzt kommt mehr die Theorie.

 

Also, die Nutzer sind bereits mit eigenen Profilen an den Rechnern angelegt und es wird, mindestens zum Teil, meine Aufgabe sein, diese Profile in die Domäne zu wechseln. Das System ist recht gross, und da ich nicht wirklich verraten will welche Firma es ist, kann ich leider nicht viel mehr sagen.

Der einzige und verlässliche Weg wird sein ein neues Benutzerkonto anzulegen und dann, wie gesagt, Dateien einfach zu verschieben und den Benutzer seine Umgebung wieder selber einstellen zu lassen.

[lefg 276]

Nun, nach der Schilderung sieht es so aus, als sei es Konzept, auf dem Citrix in der Zentrale zu arbeiten. So etwas mach macht ja auch Sinn, im Aussenbüro braucht sich niemend um die Datenhaltung und Ähnlöiches zu kümmern, die Arbeitsgruppen der Rechner spielen dabei keine Rolle. Auch braucht man die Daten der Benutzer nicht über die Leitung ziehen, auch nicht für den Datenbankzugriff.

 

Eine Arbeitsgruppe ist kein Sicherheitskonzept, keine abgeschlossene Welt, die Rechner der AG wählen lediglich einen Masterbrowser, dieser führt die Liste der Rechner unter einem Namen. Die ist dann von allen Rechnern der AG abrufbar und in der Netzwerkumgebeung darstellbar seit Windows 3.1x. Davor machte man das mit net view.

[kosta88 2]

Genau, man verbindet sich via Citrix in das Rechenzentrum in Deutschland, und die Programme laufen grundsätzlich am Terminal Server. Man könnte uns wohl auch als Aussenbüro sehen, ja.

Es gibt Fälle wo man die Daten Lokal ziehen will.

 

Ich weiss dass man auch via AG die Daten verschicken kann, es ist aber absolut kein Benutzermanagement da. Ein Beispiel ist, dass zB. wenn ein Rechner von einem Kollegen ausfällt, und ein anderer Kollege ist nicht da, könnte er seine Station nutzen, nun ist es desöfteren das Problem, dass man die Einstiegspasswörter nicht kennt und das ganze wird grundsätzlich zur Hölle für einen Admin, das zu administrieren (ich muss zum Rechner, mit Admin einsteigen, Benutzerkonto erstellen, Passwort, aussteigen...).

 

Weiterhin, unsere Software die wir entwickeln und vertreiben, muss man regelmässig updaten. Einige haben die Software auch Lokal installiert, was für mich heisst, sich auf jeden Rechner der das hat, sich dorthin zu setzen und die Softwareupdate durchzuführen. Wenn die Geräte durch AD und zentral verwaltet wären, könnte ich das Update von dem Server heraus direkt an die Stationen rausschicken.

 

Der Dateiaustausch wäre grundsätzlich fast das unwichtigste. Aber die Migration und kompletter Aufbau des Netzwerks vom Boden weg... auh weia.

bearbeitet 7. April 2014 von kosta88

[Sunny61 806]

Weiterhin, unsere Software die wir entwickeln und vertreiben, muss man regelmässig updaten. Einige haben die Software auch Lokal installiert, was für mich heisst, sich auf jeden Rechner der das hat, sich dorthin zu setzen und die Softwareupdate durchzuführen. Wenn die Geräte durch AD und zentral verwaltet wären, könnte ich das Update von dem Server heraus direkt an die Stationen rausschicken.

Schau dir dazu den WSUS Package Publisher in Verbindung mit dem WSUS an. Den beiden ist es egal ob es eine Domain oder eine AG ist. Hier finden sich ein paar HowTos zu dem Thema:

 

http://www.wsus.de/lup

http://wsuspackagepublisher.codeplex.com/

bearbeitet 8. April 2014 von Sunny61

[lefg 276]

das ganze wird grundsätzlich zur Hölle für einen Admin, das zu administrieren (ich muss zum Rechner, mit Admin einsteigen, Benutzerkonto erstellen, Passwort, aussteigen...).

 

Du kannst dich auf deinem Rechner über die Computerverwaltung auf einem Zielrechner verbinden.