Seltsames AD bzw GPO Problem (Username verbrannt?)

[nikolauspflege 0]

Hallo Zusammen,

 

ich habe ein wirklich seltsames Problem mit einem Benutzerkonto. Es handelt sich um eines von vielen Identischen Gastkonten dessen User GPO´s nicht verarbeitet werden können. Fehlermeldung "Der Benutzername konnte nicht aufgelöst werden". Einige Stunden Troubleshooting später habe ich etwas sehr seltsames entdeckt. Ich hatte getestet den User komplett neu anzulegen allerdings erschien der Fehler nach wie vor.

Also habe ich den User wieder gelöscht (dieses mal mit Remove-ADObject) und ihn mit einem Suffix angelegt. (Statt "Gast2" nun als "Gast2-1") ansonsten alles identisch.

Die GPO´s konnten nun sauber verarbeitet werden.

 

Und jetzt kommt der interessante Teil: Sobald ich den User wieder von "Gast2-1" in "Gast2" umbenenne, tritt direkt wieder der Fehler auf. Es scheint als sei der Username "Gast2" noch irgendwo als Leiche vorhanden.

Weder über die GUI, noch mit Ged-ADObject, Get-AdUser. Get-Mailbox habe ich irgendwelche Überreste gefunden.

 

Hat jemand ne Idee wie oder wo bei der GPO Verarbeitung der Benutzername aufgelöst werden muss? Eventuell finde ich ja dort noch Überreste des Benutzers.

Aus dem AD Papierkorb habe ich alle gelöschten Versionen des Users bereits entfernt.

 

Man meint ja irgendwann alles gesehen zu haben. Zumindest was GPO´s angehen. Aber sowas ist mit noch nicht untergekommen.

 

Ich hoffe auf Ideen

 

Grüße!

[daabm 1.391]

Die Meldung bedeutet eigentlich, daß der User selbst sein Benutzerkonto nicht findet. Bzw. seit MS15-025 oder so daß der Computer das Benutzerkonto nicht findet.

Check mal get-adobject -ldapfilter "(anr=Gast2)"...

bearbeitet Donnerstag um 18:25 von daabm

[NilsK 2.982]

Moin, 

 

Gibt es ein Konto des Namens lokal auf dem Rechner? Es kommt vor, dass Windows dann durcheinander kommt. 

 

Gruß, Nils

[nikolauspflege 0]

Am 6.3.2025 um 19:25 schrieb daabm:

Die Meldung bedeutet eigentlich, daß der User selbst sein Benutzerkonto nicht findet. Bzw. seit MS15-025 oder so daß der Computer das Benutzerkonto nicht findet.

Check mal get-adobject -ldapfilter "(anr=Gast2)"...

Martin du bist es!

Und das Problem ist so unglaublich dumm... Kurz zur Aufklärung, ich hatte die Usernamen hier abgeändert. Eigentlich heißt der user "GastE"

Wenn ich: get-adobject -ldapfilter "(anr=GastE)" ausführe, kommt einmal der User und einmal die Gruppe "Gäste" zurück. Ich hasse deutschsprachige Betriebssysteme. Und nein wir dürfen keine englischen installieren :)

 

Vielen Dank für deinen Hinweis!

[BOfH_666 584]

vor 8 Minuten schrieb nikolauspflege:

Und nein wir dürfen keine englischen installieren :)

Ihr müsst das nur entsprechend verkaufen. "Ein Windows mit englischem Unterbau ist für die Kompatibilität zwingend erforderlich. Für die Anforderung eines deutschen Systems kann gern das entsprechende Language-Pack installiert werden." .... und schon ist die Diskussion vom Tisch.  🤷🏼‍♂️

[NorbertFe 2.175]

vor 29 Minuten schrieb nikolauspflege:

Gäste

 

vor 29 Minuten schrieb nikolauspflege:

GastE

Hättest du das gleich geschrieben, hätte man dir die Antwort sofort geben können, da müller/muller halt leider identisch fürs AD ist.

vor 19 Minuten schrieb BOfH_666:

Ihr müsst das nur entsprechend verkaufen. "Ein Windows mit englischem Unterbau ist für die Kompatibilität zwingend erforderlich. Für die Anforderung eines deutschen Systems kann gern das entsprechende Language-Pack installiert werden." .... und schon ist die Diskussion vom Tisch.  🤷🏼‍♂️

Hilft im Nachhinein aber leider auch nicht mehr, denn die Lokalisierung der Default Gruppen ist im Nachhinein zumindest nicht supported. Möglich soll sie wohl sein, aber dann hätte die Gruppe der "Unternehmenssschlüsseladministratoren" auch nicht mehr diesen schönen Schreibfehler ;)

[nikolauspflege 0]

vor 10 Minuten schrieb NorbertFe:

 

Hättest du das gleich geschrieben, hätte man dir die Antwort sofort geben können, da müller/muller halt leider identisch fürs AD ist.

Hilft im Nachhinein aber leider auch nicht mehr, denn die Lokalisierung der Default Gruppen ist im Nachhinein zumindest nicht supported. Möglich soll sie wohl sein, aber dann hätte die Gruppe der "Unternehmenssschlüsseladministratoren" auch nicht mehr diesen schönen Schreibfehler ;)

Ja man will ja immer alles zensieren... Hat ja trotzdem geholfen :) Danke euch allen!

[NilsK 2.982]

Moin,

 

sehr gut. Und eigentlich was für die Liste "Freie Wildbahn".

 

Gruß, Nils

 

[daabm 1.391]

vor 7 Stunden schrieb NorbertFe:

die Lokalisierung der Default Gruppen ist im Nachhinein zumindest nicht supported

 

Doch, ist sie. Aber Du brauchst nen guten Draht zum Premier Support WIr haben das seinerzeit beim Umstieg von Server 2003(R2) deutsch auf Server 2008(R2) englisch gemacht, damit bei Neuinstallationen nicht plötzlich die Gruppen anders heißen als bei migrierten Domains.

[NorbertFe 2.175]

Gerade eben schrieb daabm:

Doch, ist sie. Aber Du brauchst nen guten Draht zum Premier Support

OK, soweit mir bekannt gabs bisher immer nur offizielle Aussagen zur Nichtmöglichkeit und im Allgemeinen gibts vermutlich weltweit nicht mehr soooo viele die einen guten Draht zum PS haben. ;) Mir persönlich würden jetzt auch nicht soviele Stellen einfallen an denen einem die Umbenennung auf die Füße fallen kann, aber versuchen möchte ich es trotzdem nicht unbedingt allein. :)

[daabm 1.391]

[OT] Wir hatten damals gut 1.500 Domains, und jeden Monat kamen ein paar dazu. Das war ziemlich wichtig für uns... Heute sind wir unter 100, dafür halt größer [/OT]