Remove-LocalGroupMember

[Kuddel071089 9]

Hallo zusammen,

 

ich würde gern am Ende unseres Ausrollskriptes zur Serverinstallation unsere Admin-Installations-Gruppe aus der lokalen Admin-Grruppe entfernen.

 

Zugewiesen wird sie per GPO.

 

Ich habe jetzt überall von dem Befehl:

Remove-LocalGroupMember -Group “Administrators” -Member Optimus

In meiner PS Shell (Server 2016 / PowerShell 5.1) funktioniert der befehl aber iwie anders:

Remove-LocalGroupMember -GroupName "Administratoren" -Name "Admin-Install"

Fehlermeldung:

Ausnahme beim Aufrufen von "Remove" mit 1 Argument(en):  "Die Struktur der Sicherheitskennung ist unzulässig.
"
In C:\Program Files (x86)\WindowsPowerShell\Modules\localaccount\1.6\localaccount.psm1:590 Zeichen:35
+          $group.remove("WinNT://$($Name[0]),user")
+                                   ~~~~~~~~
    + CategoryInfo          : NotSpecified: (:) [], MethodInvocationException
    + FullyQualifiedErrorId : CatchFromBaseAdapterMethodInvokeTI

 

Kann jemand helfen ?

Es wäre auch OK, wenn die Gruppe am Ende per GPO entfernt wird. Der Server bootet während des Ausrollens mehrfach. Vllt. ist das von bedeutung.

[BOfH_666 577]

Also laut doku heißt der Parameter vom cmdlet Remove-LocalGroupMember nicht -GroupName sondern -Group. Ausserdem ist es von Bedeutung, ob Du das cmdlet auf einem englishen oder deutschen Server startest - die Namen der Administrator-Gruppen unterscheiden sich in so einem Fall. "Administrators" <- vs. -> "Administratoren". 

 

Davon unabhängig - wenn die Administrator-Gruppe per GPO konfiguriert wird, kommt doch die Gruppe sowieso wieder rein, oder? Dann scheint mir die Aktion sowieso überflüssig.

 

... und die Fehlemeldung sieht danach aus, als würdest Du das cmdlet Remove-LocalGroupMember gar nicht benutzen.

bearbeitet 10. Februar 2020 von BOfH_666

[MurdocX 949]

vor 4 Stunden schrieb BOfH_666:

Davon unabhängig - wenn die Administrator-Gruppe per GPO konfiguriert wird, kommt doch die Gruppe sowieso wieder rein, oder?

Ja, das klingt für mich auch nicht sinnig.

 

Was möchtest du denn damit erreichen?

[Kuddel071089 9]

Ich habe in der GPO eingestellt, dass die Gruppe nur einmalig hinzugefügt wird.

 

Wenn man sie dann manuell entfernt, wird sie nicht wieder zugewiesen

[BOfH_666 577]

vor 36 Minuten schrieb Kuddel071089:

Ich habe in der GPO eingestellt, dass die Gruppe nur einmalig hinzugefügt wird.

 

Wenn man sie dann manuell entfernt, wird sie nicht wieder zugewiesen

OK, das ist die Antwort zum zweiten Teil meiner Antwort. Was ist mit dem ersten Teil meiner Antwort? Kannst Du uns vielleicht den - um sensible Informationen bereinigten - Teil Deines Scriptes zeigen, der die Probleme verursacht?  Ist es ein englischer Server oder ein deutscher?

bearbeitet 10. Februar 2020 von BOfH_666

[daabm 1.354]

Du führst angabegemäß folgenden Befehl aus:

vor 8 Stunden schrieb Kuddel071089:

Remove-LocalGroupMember -GroupName "Administratoren" -Name "Admin-Install"

Wie wird denn daraus dieser Befehl aus der Fehlermeldung?

vor 8 Stunden schrieb Kuddel071089:

$group.remove("WinNT://$($Name[0]),user")

Hast Du Remove-LocalGroupmember nachgebaut? (Edit: Bzw. hat das der Autor dieses Moduls nachgebaut?)

 

Und um Lokalisierungsproblemen aus dem Weg zu gehen, könnte man sich die Well Known Groups auch gezielt holen (z.B. über den RID oder über die Builtin Roles).

 

PS: Wenn Du die Member einmalig hinzufügst, könntest Du sie auch einmalig entfernen - Zielgruppenadressierung dazu, fertig.

bearbeitet 10. Februar 2020 von daabm

[Kuddel071089 9]

Ich könnte die Mitgliedschaft natürlich auch am ende per GPO wieder entfernen.

Nur die GPO darf wirklich erst am Ende aktiv werden.

 

Das könnte ich z.B. über eine Gruppenmitgliedschaft des Computerobjektes steuern. Nur diese Mitgliedchaft sollte dann natürlich auch irgendwie autom. wieder entfernt werden.

[BOfH_666 577]

Hmmm ... 'möchte nicht unhöflich sein, aber  ...  antwortest Du auch mal auf Nachfragen?

[Kuddel071089 9]

vor 1 Minute schrieb BOfH_666:

Hmmm ... 'möchte nicht unhöflich sein, aber  ...  antwortest Du auch mal auf Nachfragen?

@BOfH_666 bzgl. Gruppe entfernen habe ich in meinen Skript noch nichs drin. Bin noch am testen. Den Test habe ich oben gepostet.

 

@daabm am Modul selber hab ich nichts gemacht. Vllt sollte ich es noch einmal neu herunterladen und importieren?

 

 

 

[MurdocX 949]

vor 19 Stunden schrieb BOfH_666:

Ausserdem ist es von Bedeutung, ob Du das cmdlet auf einem englishen oder deutschen Server startest

vor 13 Stunden schrieb BOfH_666:

Ist es ein englischer Server oder ein deutscher?

vor 7 Minuten schrieb BOfH_666:

antwortest Du auch mal auf Nachfragen?

vor 1 Minute schrieb Kuddel071089:

@BOfH_666 bzgl. Gruppe entfernen habe ich in meinen Skript noch nichs drin. Bin noch am testen. Den Test habe ich oben gepostet.

Diese Frage sollte schon beantwortet werden und ist es immer noch nicht. Ich brings nochmal in den Vordergrund. Das ist Dir wahrscheinlich untergegangen...

 

[Kuddel071089 9]

-Das cmdlet wurde auf einem deutschen Server ausgeführt

-Der Server ist somit Windows Server 2016 Deutsch

-ja ich antworte auch auf Nachfragen. Sorry, dass das ein wenig gedauert hat

[BOfH_666 577]

vor einer Stunde schrieb Kuddel071089:

Der Server ist somit Windows Server 2016 Deutsch

OK, dann lautet der korrekte Befehl ganz einfach

Remove-LocalGroupMember -Group Administratoren -Member 'zu entfernende Gruppe oder zu entfernendes Kono'

 

[Kuddel071089 9]

vor 14 Minuten schrieb BOfH_666:

OK, dann lautet der korrekte Befehl ganz einfach

Remove-LocalGroupMember -Group Administratoren -Member 'zu entfernende Gruppe oder zu entfernendes Kono'

 

Habe es gerade mal getestet. Wieder auf dem gleichen Server:
 

Remove-LocalGroupMember : Es wurde kein Parameter gefunden, der dem Parameternamen "Member" entspricht.
In Zeile:2 Zeichen:48
+ Remove-LocalGroupMember -Group Administratoren -Member "S-HHLA-Server ...
+                                                ~~~~~~~
    + CategoryInfo          : InvalidArgument: (:) [Remove-LocalGroupMember], ParameterBindingException
    + FullyQualifiedErrorId : NamedParameterNotFound,Remove-LocalGroupMember

 

[MurdocX 949]

vor 1 Minute schrieb Kuddel071089:

Habe es gerade mal getestet. Wieder auf dem gleichen Server:

Der Fehler zeigt leider nicht deinen Befehl. Könntest du diesen hier im kompletten zur Analyse posten? Ich glaube sonst kommen wir nicht weiter.

[BOfH_666 577]

Very strange!

 

Dann schau doch bitte mal in die Hilfe:

Get-Help Remove-LocalGroupMember