WMI Berechtigungen

[NilsK 2.969]

Moin,

 

wieso Server? Ich dachte, es geht um Clients. Hast du nix zu geschrieben, aber das SAM-Thema schien mir darauf hinzudeuten.

Um wieviele Server geht es denn?

 

Ich kann es grad nicht prüfen, bin aber schon der Meinung, dass sich Tasks per GPP auch im laufenden Betrieb hinzufügen lassen. Habt ihr vielleicht nicht lang genug gewartet? Auf Nicht-DCs werden GPOs alle 90 Minuten angewendet.

 

Gruß, Nils

 

EDIT: Ich habe natürlich Unrecht, in der Frage stand ja "Server".

bearbeitet 21. März 2017 von NilsK

[v-rtc 91]

:rolleyes: es geht nur um Server, war vielleicht nicht genau ersichtlich. Die Clients bekommen die WMI Berechtigungen über einen Hashwert gesetzt.

 

Hmm, haben gpupdate gemacht, aber keine 90 Minuten gewartet, da hast Du recht.

 

EDIT: Habe gerade bei einem Server geschaut, der nicht rebootet wurde, aber nun 3 Tage die GPO haben könnte, leider gibt es keinen Task. :-(

bearbeitet 21. März 2017 von RolfW

[NorbertFe 2.094]

Ein gpupdate zieht sofort, dann brauchst du keine 90min warten (+-30min)

[NilsK 2.969]

Moin,

 

ich wiederhole meine Frage: Um wieviele Server geht es denn?

Vielleicht wäre es ja auch eine Option, die Abfrage bzw. das Skript dafür per psexec remote auszuführen.

 

Gruß, Nils

[v-rtc 91]

Sorry, ganz überlesen. ~ 200-300 Stück.

[NilsK 2.969]

Moin,

 

also, ich hab's jetzt doch ausprobiert. Geplante Tasks werden per GPP auch im laufenden Betrieb eingerichtet, ohne Neustart. Ein gpupdate oder Warten reichen aus. Klappt hier sowohl für die normalen als auch für die "sofortigen" Aufgaben.

 

Ihr habt es über die Computerkonfiguration eingerichtet und an der richtigen Stelle im Taskplaner nachgesehen?

 

Gruß, Nils

[v-rtc 91]

Hallo Nils,

 

jetzt hast Du mir Hoffnung gemacht. Haben einen 2008R2 DCs hier.

 

Die GPO hat die Einstellungen unter Computereinstellungen -> Geplante Aufgabe (mindestens Windows 7).

In der Aufgabenplanung steht es im Hauptordner, zumindest war das bei den zwei neu gestarten so.

 

EDIT: Ich hab jetzt mal bei einem dritten Server geschaut. Da ist er da... d.h. Du hattest recht! :-) Prüfe es noch an einem anderen. DANKE Nils!!!

 

EDIT2: Auf einem 2008R2 sehe ich den Task nicht. Suche noch mal einen.

 

EDIT3: Auf einem weiteren 2012 R2 sehe ich den Task auch nicht. gpupdate brachte keine Änderung.

 

EDIT4: Da wir den Task über den WMI User ausführen und der zuerst in eine Gruppe(Leistungsprotokollbenutzer) aufgenommen werden muss, liegt es vermutlich daran, dass bei dem einen Client das Kerberos Ticket erneuert werden musste nach ca. 192 Tagen? (Vermutung). Mit welchem User erstellst Du den Task? (Admin? oder Auth. Benutzer?)

 

 

 

Grüße

bearbeitet 21. März 2017 von RolfW

[NilsK 2.969]

Moin,

 

wenn ihr einen lokalen Task erstellt, richtet ihn doch einfach mit lokalen Adminrechten oder als System ein. Wobei, wie gesagt, die meisten WMI-Daten bei lokalem Zugriff auch ohne spezielle Rechte lesbar sind.

Abgesehen davon, würde diese Frage aber auch nicht das Erzeugen des Tasks verhindern, sondern höchstens die erfolgreiche Ausführung. Wenn die Tasks also gar nicht erscheinen, liegt das Problem woanders.

 

Gruß, Nils

[v-rtc 91]

Da hast Du recht, liegt nur am ausführen. Der Task wird leider nicht erstellt. Die Frage ist nun, wie man am besten vorgeht bzw. sich annähert. Eventlog auf dem Server? Eventlog auf einem DC?

EDIT: Auf einem weiteren Server ist der Task nun vorhanden.  :confused:

EDIT2: Die GPO steht bei nicht angewendeten GPOs drin :-) (Filterung: Verweigert (Sicherheit))

bearbeitet 22. März 2017 von RolfW

[v-rtc 91]

Irgendwie finde ich bisher keinen Anhaltspunkt worin die Server sich unterscheiden. Für Ideen und Tips bin ich dankbar.

 

Grüße

[Sunny61 809]

In der Farbe? Der Hersteller? Sorry, aber ich hätte mittlerweile einfach das XML genommen und den Task manuell angelegt, aber vermutlich bin ich nur zu einfach gestrickt.

[v-rtc 91]

Oh stimmt, ich glaube der eine ist schwarz und der andere grün  :cool:  :jau: ganz übersehen!  :D

Ne bist Du nicht...  :wink2: