Domain-Admin keine Rechte mehr auf dem DC

[MurdocX 951]

Ist dort ein Antiviren oder Firewall Programm installiert? Ja, dann deinstallieren.

[screamager 2]

vor 2 Stunden schrieb MurdocX:

Ist dort ein Antiviren oder Firewall Programm installiert? Ja, dann deinstallieren.

Funktioniert nicht - "kein Zugriff auf den Windows Installationsdienst"

 

Meines erachtens hat es irgendwas mit dem System32-Ordner zu tun - genauer der cmd.exe.

WIe gesagt, die cmd.exe kann ich öffenen - aber alles weitere innerhalb dieser funktioniert nicht. Sei es netstat oder netsh - beides funktionier übrigens auch nicht wenn ich aus dem Ordner heraus diese mit Doppelklick starte.

Berechtigungen können es eigentlich nicht sein. Habe ich zum einen geprüft und die Powershell mit den internen CMD-lets funktioniert. Sobald ich hier aber wieder netstat etc. aufrufen will, fährt das Ganze wieder vor die Pumpe da im Hintergrunf wahrscheinlich die cmd.exe in irgendeiner Art und Weise referenziert wird.

 

Versucht wurde mittlerweile bereits auch Offline über DVD mittels

dism /image:c: /Cleanup-Image /RestoreHealth /Source:D:

Ebenfalls ohne positives Ergebnis.

 

Grüße,

Rüdiger

[testperson 1.677]

Welcher AV ist es denn? Dann könnte man ja prüfen, ob der sowas kann.

Wenn die PowerShell CMDlets laufen:

Get-Package | ? Name -imatch "<Name des AV Paketes> | Uninstall-Package

 

Kannst du testweise einen zweiten DC aufsetzen und dort das Verhalten prüfen?

[MurdocX 951]

 

vor 23 Minuten schrieb screamager:

Funktioniert nicht - "kein Zugriff auf den Windows Installationsdienst"

Hallo screamager,

 

im Microsoft Support Forum hab ich einen Artikel gefunden der genau dein Problem mit den Auswirkungen beschreibt. Schuld war eine Antiviren- und Firewall-Software. Also würde ich hier ansetzen.

 

Grüße

Jan

[screamager 2]

Ich hol mir gerade mal die VM aus dem Backup zurück um da weiter dran rumzuspielen.

 

@testperson Danke für den Tipp

@MurdocX Hättest Du zufällig noch den Link parat.

 

Zur Info, es läuft die Eset File Security auf dem Server (mit der ich sonst allerdings keine Probleme hatte und habe). Es sind auch keine wilden Policies gesetzt - ich teste das mal und melde mich.

 

Vielen Dank

[screamager 2]

Antwort ist leider: nö

 

Lässt sich auch über die Powershell nicht deinstallieren - vermutlich weil auch hier die msiexec.exe zu Einsatz kommt.

[Dukel 454]

Kannst du einen weiteren DC installieren und in der Domäne aufnehmen? Kannst du mit deinen Admin Benutzern dort alles machen?

Dann kannst du den "kaputten" Dc entfernen und einen neuen zweiten DC installieren.

 

Ist das eine Testumgebung oder Produktive? Gibt es nur den DC oder auch andere Maschinen in der Domäne?

[djmaker 95]

ich würde versuchen die Dienste für AV auf deaktiviert zu stellen. GGF. auch per regedit wenn möglich.

[screamager 2]

Hallo zusammen,

 

erstmal danke für die vielen hilfreichen Hinweise.

 

Nachdem ich gestern und heute ca. 20 verschiedene Backups des Servers gebootet habe, konnte ich die Ursache finden.

 

Es war tatsächlich der Virenscanner - genauer das HIPS-Modul des Eset File Security welches auf dem regelbasierten Filtermodus stand. Zurückgestellt auf den Automatischen Modus funktionierte der Server sofort wieder, wie er sollte.

 

Darauf gekommen bin ich, falls es jemanden interessiert, das bei einem der gebooteten Backups eine Meldung des AV hochkam, wie man das HIPS denn konfigurieren möchte... Als ich mich das erste Mal mit dem bestehenden Fehler auf des Server geschaltet habe, war die Meldung nicht mehr zu sehen.

Jetzt gilt es noch herauszufinden, wer da drauf geklickt hat.

 

Viele Grüße,

Rüdiger

[MurdocX 951]

Das es der Virenscanner ist, hab ich oben ja geschrieben  Freut mich das es wieder klappt. 

[Squire 261]

ich würd trotzdem einen zweiten DC hochziehen

[testperson 1.677]

Am 26.9.2019 um 23:29 schrieb MurdocX:

Das es der Virenscanner ist, hab ich oben ja geschrieben

Der wurde sogar schon in der ersten Antwort hier verdächtigt... ;)

[daabm 1.354]

Das bringt jetzt zwar niemand weiter und auch das BSI wäre mit mir nicht konform, aber: Wofür bitte ist ein Virenscanner auf einem DC hilfreich, der nur DC ist? Ich weiß es nicht...

Edit: Unsere DCs können nicht ins Internet, und iexplore.exe sowie firefox.exe und chrome.exe sind per AppLocker gesperrt. Was nutzt mich ein Virenscanner auf diesen Systemen?

bearbeitet 1. Oktober 2019 von daabm

[NilsK 2.934]

Moin,

 

die Betrachtung ist in der rWdd* rein akademisch. Da betreibt fast niemand einen DC nur als DC. Da liegen immer noch irgendwelche Dateien, da nutzt jemand Sysvol als Verteilmechanismus, da sucht der Admin vom DC aus nach neuen Treibern ...

 

Gruß, Nils

* reale Welt da draußen