Computer kann sich immer anmelden obwohl Konto deaktiviert ist

[dagobert666 0]

Ich übe zur Zeit einwenig mit Server 2012 und AD.

 

Server: 2012 Standard (Domain Controller)

Client:  Windows 7 Pro

 

Um auf dem Client zu sehen das die "Vertrauensstellung" raus fliegt habe ich einfach mal am Domain Server bei "Computers" und dem entsprechen PC auf "Konto zurücksetzen" geklickt. Nach Neustart des Clients erscheint aber die erwartete Fehlermeldung nicht. Ich kann mich mit einem Benutzer (befindet sich nur in der Gruppe "Domänen-Benutzer") weiterhin anmelden. Danach habe ich am Server unter "Computers" das Computer-Konto auf "Konto deaktivieren" gestellt. Der Server warnt das man sich von diesem Computer nicht mehr anmelden kann. OK. Neustart des Clients, der einfache Benutzer kann sich aber immernoch an der Domain anmelden. Kann mir jemand sagen warum?

 

Server und Client sind recht frisch installiert und eigentlich noch keine großen Experimente darauf durchgeführt. Computer Name stimmt, es ist auch kein anderer Computer in der Domain, sodass Verwechselungen ausgeschlossen sind.... 

 

Vielen Dank  :wub:

bearbeitet 28. November 2016 von dagobert666

[blub 115]

wenn du das Computerkonto sperrst, warum sollte sich der Benutzer nicht anmelden können? Geht halt dann mit NTLM und nicht Kerberos.

[dagobert666 0]

Aus drei Gründen  :D

 

1. Hatte es immer so verstanden (oder vermutet?) das auch der PC in der Domain sein muss. Auch aus Sicherheitsgründen. Hab ihn soeben dort komplett gelöscht. Der User kann sich immernoch anmelden.

 

2. In einem Lernvideo wurde auf "Computer zurücksetzten" geklickt und der Client zeigt dann beim Anmelden die Fehlermeldung mit der Vertrauensstellung. Gesagt wurde das man den Computer wieder in die Domain bringen muss.....   

 

3. Weil der Server beim deaktivieren des Computerkontos meldet "Wenn Sie dieses Computerkonto deaktivieren, können sich Benutzer auf dem Computer nicht mehr an dieser Domäne anmelden."

 

Ist das alles falsch?

bearbeitet 28. November 2016 von dagobert666

[lefg 276]

Wahrscheinlich kann der Benutzer sich an dem Computer abnmelden, selbst wenn dieser keine Verbindung zum DC hat.

[blub 115]

 

Aus drei Gründen  :D

 

1. Hatte es immer so verstanden (oder vermutet?) das auch der PC in der Domain sein muss. Auch aus Sicherheitsgründen. Hab ihn soeben dort komplett gelöscht. Der User kann sich immernoch anmelden.

 

2. In einem Lernvideo wurde auf "Computer zurücksetzten" geklickt und der Client zeigt dann beim Anmelden die Fehlermeldung mit der Vertrauensstellung. Gesagt wurde das man den Computer wieder in die Domain bringen muss.....   

 

3. Weil der Server beim deaktivieren des Computerkontos meldet "Wenn Sie dieses Computerkonto deaktivieren, können sich Benutzer auf dem Computer nicht mehr an dieser Domäne anmelden."

 

Ist das alles falsch?

 

 

gilt nur für eine Kerberosanmeldung. NTLMv2 braucht kein Konto