LDap Abfrage

[hscheip 0]

Guten Morgen Zusammen, also

 

Was bekommst du denn bei

dsquery user "OU=User Allgemein,OU=Mitarbeiter,OU=Benutzer,OU=Name,DC=intern,DC=meine-Domäne,DC=de"

in einer CMD die du ausführst und in einer CMD die der in WebTitan hinterlegte User ausführt?

ich bekomme alle Nutzer der OU angezeigt, wenn ich eine cmd mit dem im Titan eingetragenen Benutzer ausführe

 

Wenn du eine neue OU anlegst (mit einem Testnutzer) und diese in der Abfrage nutzt, geht dies dann?

Wenn ja, dann gäbe es folgenden Workaround:

- Neue OU erstellen

- Nutzer in diese verschieben

- Alles andere (GPO's,...) umhängen

- Alte OU löschen

Genau so hab ich das schon mal Versucht und es brachte einen Erfolg, ich könne den einen neuen Nutzer auslesen. Wenn ich jetzt aber die "alten" User hinein verschiebe, geht es wieder nicht :(.

 

Moin,

 

schon mal den Zugriff mit einem anderen User versucht? Was hat denn der für Rechte?

 

Schon mal mit dem User an Windows angemeldet und dann mit ADBuC die Domäne angezeigt? Ergebnis?

 

Gruß, Nils

was muss ich dafür genau machen? ist das ein Befehl oder Tool? konnte auf die schnelle nur mit dem "Wort" als suche nichts finden....

 

lg

[Cybquest 36]

ADBuC steht für Active Directory Benutzer und Computer ;-)

 

Könnte es noch sein, dass Webtitan irgend eine Filterung auf besitmmte Eigenschaften des Users macht?

[hscheip 0]

ADBuC steht für Active Directory Benutzer und Computer ;-)

 

Könnte es noch sein, dass Webtitan irgend eine Filterung auf besitmmte Eigenschaften des Users macht?

 Ah ok danke...und wieder was gelernt. Davon gehe ich auch fast aus, dass ihm irgendwas quer kommt. Nur was?

Ich hab auch mal neue Benutzer angelegt, indem ich einen alten kopiert habe, wenn ich ihn in eine andere OU verschiebe, wird er sofort mit eingelesen...

 

ich hab noch die Vermutung, das neue Nutzer durch die Kollegen ( ich bin noch  nicht sehr lange hier ) immer durch kopieren angelegt wurden. Vll ist damit ein Feher mitgeschleppt worden...

 

Wie sieht das eigentlich bei LDAP abfragen aus, wenn Nutzer aus irgendeinem Grund nicht ausgelesen werden können...werden dann automatische alle angezeigt die gelesen werden konnten?

bearbeitet 2. August 2017 von hscheip

[NilsK 2.957]

Moin,

 

welche LDAP-Abfrage deine Software da macht, können wir dir nicht sagen. Vielleicht der Hersteller.

 

Aber vielleicht zäumen wir das Pferd mal von vorne auf:

• Lege einen neuen User-Account an, den deine Software später für die Abfrage verwenden soll. Der User kommt in keine Gruppe außer "Domänen-Benutzer" und hat ein starkes Kennwort.
• Identifiziere die OU oder OUs, die die Software auslesen soll.
• Füge den neuen User in der Berechtigungsliste der OU mit Leserechten für "dieses Objekt und alle untergeordneten Objekte" hinzu. Ändere sonst nichts an den Berechtigungen.
• Trage diesen User in die Konfiguration deiner Software ein.
• Teste den Zugriff.

Gruß, Nils

[hscheip 0]

Hallo, habe es genau so gemacht, leider kein Erfolg. OU kann nicht ausgelesen werden. Jede andere OU, auch mit dem neuen Nutzer, klappt.

 

lg

[testperson 1.707]

dsquery user "OU=User Allgemein,OU=Mitarbeiter,OU=Benutzer,OU=Name,DC=intern,DC=meine-Domäne,DC=de"

 

ich bekomme alle Nutzer der OU angezeigt, wenn ich eine cmd mit dem im Titan eingetragenen Benutzer ausführe

 

Da das ja funktioniert sollte der Hersteller weiterhelfen (müssen).

Wie viele OUs nach dem Schema "User <Irgendetwas anderes>" gibt es denn? Und haben die anderen OUs mit Leerzeichen wo es klappt ebenfalls einen "Präfix" wie User o.ä.?

[hscheip 0]

Da das ja funktioniert sollte der Hersteller weiterhelfen (müssen).

Wie viele OUs nach dem Schema "User <Irgendetwas anderes>" gibt es denn? Und haben die anderen OUs mit Leerzeichen wo es klappt ebenfalls einen "Präfix" wie User o.ä.?

es gint noch andere mit dem gleuchen Namenssystem

[daabm 1.366]

Sehr wirr.... Hast Du einfach mal die effektiven Rechte des Webtitan-Users auf die verschiedenen Benutzer und OUs geprüft? In ADUC (dsa.msc, ADBuC oder wie auch immer Du es nennen willst) Menü Annsicht - Erweiterte Features anhaken, dann haben alle Objekte den Reiter "Sicherheit".

[hscheip 0]

Sehr wirr.... Hast Du einfach mal die effektiven Rechte des Webtitan-Users auf die verschiedenen Benutzer und OUs geprüft? In ADUC (dsa.msc, ADBuC oder wie auch immer Du es nennen willst) Menü Annsicht - Erweiterte Features anhaken, dann haben alle Objekte den Reiter "Sicherheit".

Guten Morgen, ja den Reiter "Sciherheit" habe ich schon eingebländet und bei allen kontrollierten Usern war/ist der Nutzer mit Leserechten eingeblendet.

 

lg

[NilsK 2.957]

Moin,

 

Gut, und jetzt prüfst du bitte noch Mal die Angabe unter "effektive Berechtigungen".

 

Gruß, Nils

[hscheip 0]

Guten Morgen zusammen, ich bin bei meinem Problem ein Stück weiter gekommen. Ich habe alle Nutzer in eine neue OU verschoben und dann jeden einzelnen wieder zurück in die "Alte". Jedes mal wenn ein Nutzer hinzubekomme ist, wurde er über Ldap neu eingelesen. Dabei sind 15 Nutzer heraus gekommen die ienen Fehler verursachen. Wenn sich keiner der 15 in der OU befindet, ist ein Einlesen möglich

 

Gruß Holger

[NilsK 2.957]

Moin,

 

was erscheint denn da für ein Fehler? Ich kann mir kaum vorstellen, dass bei diesen 15 Usern Berechtigungen fehlen, denn dann sollte der anfragende Client keine Fehler bekommen, sondern schlicht die Objekte nicht sehen. Wäre also vermutlich was anderes, vielleicht Attributwerte, mit denen die Applikation nicht klarkommt.

 

Um die Berechtigungen der beteiligten Objekte und Container trotzdem zu prüfen, empfehle ich LIZA:

http://ldapexplorer.com/en/liza.htm

 

Gruß, Nils

[hscheip 0]

Hab das Problem gelöst =), das Problem lag an den Gruppen der Nutzer. Die Nutzer sind in 2 Gruppen mit dem gleichen Namen Mitglied, einmal eine Sicherheitsgruppe und einmal eine Verteilergruppe vom Exchange. Wenn ich eine Gruppe entferne klappt es...

 

Danke für die Unterstützung und Anregungen

bearbeitet 14. August 2017 von hscheip

[NilsK 2.957]

Moin,

 

schön, danke für die Rückmeldung!

 

So ganz kann ich dir allerdings nicht folgen ... zwei Gruppen mit denselben Namen? Wie sind die denn angelegt worden?

 

Gruß, Nils

[hscheip 0]

Guten Morgen, ich muss gestehen so ganz hab ich das auch noch nicht verstanden. Das eine ist eine globale das andere eine universelle Gruppe. Der Name von beiden ist gleich, nur der Pre Windows 2000 Gruppenname unterscheidet sich.

 

Gruß Holger