Anmeldebeschränkung für bestimmte Nutzer

[Osnabrücker 10]

Hallo,

 

Die Suche im Forum brachte leider kein ergebniss, deswegen stelle ich hier die Frage:

 

folgendes Szenario:

 

-Es läuft Windows 2000 Server mit ca. 50 Clients

-Es gibt 2 gruppen von domänennutzern

- Eine gruppe davon soll sich an allen Arbeitsstationen anmelden können, die zweite nur an einigen wenigen rechnern anmelden können.

 

Folgendes habe ich gemacht:

 

- Alle Nutzer wurden in 2 Gruppen eingeteilt

- Zusätzlich habe ich eine Sicherheitsgruppe "PC" erstellt, in der dienjenigen PCs drin sind, an der sich nur bestimmte user anmelden sollen.

 

Ich habe dann versucht im AD bei den Nutzern unter der Option "anmelden..." die Sicherheitsgruppe "PC" einzutragen, damit sich dort nur die benutzer anmelden können, welche sich an den übrigen PCs, die nicht in der gruppe "PC" sind, nicht anmelden können.

 

Es tritt der fehler auf, das der eigentlich eingeschränkte nutzer sich jetzt an gar keinem pc mehr anmelden kann.

 

Ich hoffe ihr versteht mein problem.

 

Wie kann ich die Sache am elegantesten lösen, so dass einige nutzer sich nur an bestimmten arbeitsstationen (die in der gruppe "PC" sind) anmelden können.

danke für eure hilfe

 

mfg

Osnabrücker

[grizzly999 11]

Ich bin mir nicht ganz sicher, aber in den Eigenschaften müssen die Computerkonten einzeln eingetragen werden. Alternative (aus meiner Sicht die bessere): Über Gruppenrichtlinien auf den Rechnern das Benutzerrecht "Lokale Anmeldung" zentral einstellen.

 

 

grizzly999

[Osnabrücker 10]

Hallo Grizzly,

 

Da komme ich nicht ganz mit.

kannst du mal genauer erklären,was du meinst?

danke schön!

 

Osnabrücker

 

p.s: stimmt, wenn mann die computer einzeln hinzufügt klappts. es ist aber in der praxis eher ungeeignet, da die arbeitsplatzrechner öfter ersetzt werden bzw getauscht werden und ich mir die orgie ersparen will, bei jedem betroffenen nutzer die clients neu einzutragen.

[grizzly999 11]

Naja, man erstellt eine OU, platziert dort die Computerkonten, erstellt an der OU eine Richtlinie, bei der man unter Computereinstellungen/Windows-Einstellungen/Sicherheitseinstellungen/Lokale Richtlinien/Zuweisen von Benutzerrechten die Eistellung anpasst. Vorher aber mal lokal in die Richtlinie schauen, wer sich da alles standardmäsig anmelden darf. Und dann kann man für die Eingeschränkten Computer die Gruppe Jeder/Benutzer/Auhtentifizierte benutzer weglassen und dafür die Gruppe hinzufügen, die sich dort anmelden darf. Die Administratoren und evtl. andere, die lokal drinstehen, sollte man drin lassen bzw. mit aufnehmen in die Richtlinie.

 

 

grizzly999

[Osnabrücker 10]

danke für den hinweis.

werde es mal so probieren, obwohl ich eigentlich nicht so gerne extra eine neue ou erstellen wollte. dachte das geht auch, indem ich das über sicherheitsgruppen regele. schade.

danke für deine schnelle hilfe grizzly999!

 

Osnabrücker

[grizzly999 11]

Wir haben für alles eine Lösung :) naja, für fast alles:

So geht es ohne extra OU:

 

1.) Du machst eine separate OU (nuuur zu Testzwecken ;) )

In diese OU srteckst du einen Testcomputer, machst die Richtlinie an der OU wie oben beschrieben.

 

2) Jetzt testen, evtl. nachbessern, bis es passt

 

3) Wenn die Richtlinie passt, machst du eine globale Gruppe mit den eingeschränkten Computerkonten. Mit der rechten Maustaste auf die Gruppenrichtlinie->Eigenschaften->Sicherheitseinstellungen. Dort entfernst du die Gruppe authentifizierte Benutzer und fügst die eben erstellte Computergruppe hinzu. Die Gruppe erhält die Berechtigung "Gruppenrichtlinie übernehmen"

 

4) Jetzt kannst du die Gruppenrichtlinie über den Reiter "Gruppenrichtlinie", dort Button "Hinzufügen", an die Domäne verlinken. Nun sollten in der Domäne nur die ausgewählten Konten die Richtlinie mit den Anmeldebeschränkungen erhalten.

 

5) Schliesslich löscht du die Test-OU wieder ;)

 

Ich will aber nicht verhehlen, dass dies aus meiner Sicht die "riskantere" Variante ist, schliesslich ist die Richtlinie an der ganzen Domäne festgemacht. Sollte jemand an den Berechtigungen rumspielen, dann könnte das...... :shock:

 

 

grizzly999

[Osnabrücker 10]

:D

 

na das nenn ich doch mal ne gute idee!!!

werde das mal am nächsten motag ausprobieren und berichten, obs funktioniert hat.

tolles forum! tolle moderatoren! kann man da nur sagen.

 

besten dank

 

Osnabrücker

[Osnabrücker 10]

hallo,

 

wollte ja berichten obs geklappt hat.

 

hat wunderbar hingehauen.

 

danke nochmals.

 

 

mfg

 

Osnabrücker