Programme sind grau und unterstrichen im Startmenü

[AndreP 0]

Hallo,

 

ich kämpfe gerade gegen Windows 10.

Ich möchte Win10 (Professional 1709) Clients in unserer Domäne (2012R2) laufen lassen.

Dazu habe ich mir eine kleine Testumgebung aufgebaut und eine neue Computer-GPO erstellt. Benutzer GPO kommt im nächsten Schritt.

 

Jetzt scheitere ich aber schon an ganz pisseligen Dingen...

 

Wenn ich einen lokalen Benutzer (ohne Admin Rechte) anmelde, kann ich z. B. lokale Standardprogramme wie den Taschenrechner, Kalender etc. starten.

Wenn  ich einen Domänen Benutzer anmelde, Wird der Eintrag im Startmenü (oder die Kachel) Grau und unterstrichen.

 

In beiden Fällen wird nur die Computer GPO ausgeführt und beide haben nur User Rechte.

 

Habe ich hier etwas grundlegendes übersehen? Ich zweifle gerade an meinem Verstand...

Gibt es vielleicht einen Best Practice Leitfaden für das integrieren von Windows 10 in eine Unternehmensdomäne?

 

 

LG

Andre P

[Sunny61 807]

Welche Einstellungen hast Du im Computer GPO vorgenommen? Welche Einstellungen greifen auf den Domänen User?

[AndreP 0]

Hallo,

 

ich habe nur WSUS und ein paar "kosmetische" Sachen via Computer GPO eingestellt (siehe Anlage).

Eine User GPO habe ich noch nicht gemacht.

 

Manchmal hilft es aber schon, wenn man nur drüber redet.  :thumb1:

Während ich Deine Antwort gelesen habe, viel mir ein, dass nur noch die "Default Domain" GPO als mögliche Ursache ins Speil kommen kann.

Also habe ich die mal deaktiviert.... und siehe da ... Taschenrechner, Kalender starten.

 

Jetzt muss ich mal die Default Domain schrittweise zerlegen, um die Fehlerquelle zu finden.

Die Default Domain Policy wurde zu Urzeiten (2000er Domäne) mal verbastelt und seit dem immer mitgeschleppt.

 

Gruß

AndreP

 

 

 

 

 

[Sunny61 807]

Oje, eine verbastelte DDP ist nicht schön. Ich hoffe Du hast nur die Vererbung auf die TestOU deaktiviert und nicht die komplette DDP deaktiviert.

 

Viel Erfolg.

[NorbertFe 2.061]

Kann man ja reparieren ;)

[Sunny61 807]

Jepp, sehr schnell sogar. :) Kopie der verbastelten erstellen, die verbastelte dann auf Default zurück setzen. ;)

[NorbertFe 2.061]

Jupp ;)

[thommyr 0]

Ich meinte mal irgendwo gelesen zu haben: Finger weg von der DDP!!!

[NorbertFe 2.061]

Ja die beißt. ;) also ja man sollte dort nur ran für bspw. Kennwortrichtlinien.

[Sunny61 807]

Lektüre: https://www.gruppenrichtlinien.de/de/artikel/default-domain-policy-und-default-domain-controller-policy-aendern-oder-nicht/

https://www.gruppenrichtlinien.de/de/artikel/wiederherstellung-der-default-richtlinien/

https://www.gruppenrichtlinien.de/de/artikel/kennwortrichtlinien/

[AndreP 0]

Vielen Dank für die Infos!!

 

Das mit der DDP ist noch eine Erbsünde.

Was ich noch bedenklicher finde ist die Tatsachen, dass die originale DDP " {31B2F340-016D-11D2-945F-00C04FB984F9}" verbastelt & deaktiviert ist und nur eine verbastelte Kopie aktiv ist.

 

Das ist doch sicherlich "suboptimal"  :confused:

Vor den Feiertagen pack ich jetzt aber nicht in den Nadelhaufen. Hab keine Lust auf Bereitschaftseinätze  :schreck:

 

Reicht es, wenn ich die Einstellungen in der DDP bis auf die 3 Standards raus schmeiße?

Habe ehrlich gesagt ziemlich Respekt vor dcgpofix.exe, da wir auch 3 Exchange Server in der Domäne haben.

 

Gruß & und schöne Weihnachtstage

AndreP

bearbeitet 22. Dezember 2017 von AndreP

[NorbertFe 2.061]

Exchange verewigt sich aber in der ddcp und nicht in der ddp afair ;)

[Sunny61 807]

Wenn Du die DDP kopierst, das Original resettest, hast Du doch die Einstellungen und kannst sie vergleichen. Die alten Einstellungen in ein neues GPO packen, fertig. Wenn es viele Einstellungen sind dauert es natürlich etwas.

[AndreP 0]

Hallo und noch ein frohes Neues.

 

Das Zurücksetzen der DDP hat soweit funktioniert, noch mal Danke für die Infos!

 

Jetzt ist mir aufgefallen, dass in der neu erzeugten DPP ein Zertifikat zur Dateiwiederherstellung installiert wird, welches 2007 abgelaufen ist. (siehe Anhang)

Der Eintrag war auch schon in der verbastelten DDP vorhanden und ich hatte erwartet, dass er nach dem Zurücksetzen weg, bzw aktuell ist.

Was hat es mit diesem Zertifikat auf sich? Kann das raus oder muss da ein neues ausgestellt werden?

 

 

bearbeitet 3. Januar 2018 von AndreP

[ente_0815 0]

Das ist das Zertifikat für die EFS-Verschlüsselung.

 

Das Zertifikat ist wichtig, da das für den Data Recovery Agent ist.

 

Vorausgesetzt, du hast intern keine CA, kannst du das Zertifikat mit chipher.exe ein neues Zertifikat erstellen:

http://www.serverhowto.de/Teil-2-Einrichtung-von-Data-Recovery-Agents.635.0.html

 

Das neue Zertifikat packst du dann mit in die DDP.

 

Gruß

ente