User Dateirechte auf dem RDS-Server

[Fraunus 10]

Hallo zusammen,

ich stecke hier gerade etwas fest und hoffe auf eine zündende Idee von euch.

- Windows Domain mit einem DC, einem RDS-Server
- Bei einem User "Daniel" (Domain-Mitglied) habe ich ein seltsames Problem
Meldet sich der User an einem lokalen Domain-PC an, dann passen alle Rechte auf Anwendungen und Freigaben, so wie es im AD definiert ist.
Meldet sich der gleiche User, mit den gleichen Daten am RDS-Server an, dann hat er keinen Zugriff auf die Freigaben.
Melde ich mich mit einem "Test-User" mit identischer AD Konfiguration lokal als auch am RDS-Server an ist alles ok.

Ich habe ein Testfreigabe erstellt.
Daniel hat vom RDS-Server aus nur Zugriff auf die Freigaben, wenn der lokale Administrator, oder die lokale Gruppe der Administratoren des Servers (Mitgliedsserver, kein DC) dort Zugriff haben.
In diesem Fall besteht dann Vollzugriff, obwohl der selbst gar nicht in auch nur irgendeiner Gruppe der Admins / Domain-Admins ist, er ist nur User!

Wie bereits erwähnt, von einem Client-PC ist alles ok, da wo er Rechte hat kann er zugreifen, wo er keine Rechte hat wird es verweigert, Crazy!

Ich habe nun zum Test Mal den User im AD kopiert, mit der Kopie von "Daniel" ist auch auf dem RDS-Server alles ok.

Ich danke euch vielmals,
liebe Grüße
Mario

[daabm 1.384]

Hat dieser Daniel evtl. ein lokales Konto auf dem RDS?

[Fraunus 10]

Hallo Martin,

vielen Dank für Dein Feedback.
Nein, er hat kein lokales Konto auf dem RDS, es gibt keine außer dem lok. Administrator.
Auch in der lokalen Gruppe "Administratoren" ist er nicht Mitglied.
Alles ziemlich seltsam.
Ich scheue mich aktuell nur noch etwas davor "Daniel" einfach nur ein neues User-Profil zu verpassen, da ich nicht ausschließen kann, dass der Fehler auch andere Userkonten betrifft.
Will damit sagen, ich hätte schon gerne die Ursache gefunden um weitere böse Dinge auszuschließen.

LG Mario
 

[cj_berlin 1.393]

Moin,

 

lass mal Daniel auf dem Terminalserver diesen ausführen und schau, ob da irgendwelche Claims sind, die da nicht sein sollen:
 

[Security.Principal.WindowsIdentity]::GetCurrent().Claims | Select-Object -Property Issuer, @{'l'='Type'; 'e'={$_.Type.Split('/')[-1]}}, Value

und dann natürlich gern den DanielCopy dasselbe machen lassen und vergleichen  

[Fraunus 10]

Guten Morgen Evgenij,

vielen Dank für Deinen Beitrag.
Bei beiden Usern bekomme ich identische Ausgaben, bis auf die "primarysid" logischerweise.

LG Mario