Domänenbenutzer via GPO als Hauptbenutzer

[Darksun777 10]

Hallo,

 

ich habe auf unserem 2003-DC in der GPO unter

 

Computerkonfiguration-->Windows-Einstellungen-->Sicherheitseinstellungen-->Eingeschränkte Gruppen

 

 

die Gruppe S-1-5-32-547 (SID der Hauptbenutzer) hinzugefügt und als Mitglieder Domänenname\Domänen-benutzer hinzugefügt.

 

(Hintergrund: Alle Domänenbenutzer sollen auf ihren Workstations Hauptbenutzer sein)

 

Trotz der "well-known-sid" taucht im ereignisprotokoll der fehler 1202 SceCli auf, das die SID nicht aufgelöst werden kann.

 

Via Rsop.msc wird die Gruppe auch mit einem Roten X versehen.

 

Ich dachte das würde so funktionieren ? oder hab ich was falsch gemacht ?

 

Bitte um Hilfe ... Danke schonmal !!

[zfeschtli 10]

hi

 

kannst du das nicht per startup-script lösen?

 

dort müsstest du nur ein "net localgroup /add <username>" und fertig!

 

grüsschen

patrick

[Darksun777 10]

Danke für deine Antwort :)

 

Das Logonscript läuft doch im Userkontext oder ? Braucht man da nicht Adminrechte ?

 

Ich würde es lieber via GPO machen, auf http://www.gruppenrichtlinien.de steht es genau so beschrieben .. aber es funzt nit ..

 

Hat sonst keiner eine Idee ?

[grizzly999 11]

Bei mir hat das bisher immer funktioniert, allerdings benutze ich immer den Gruppennamen (Hauptbenutzer), nicht die SID

 

grizzly999

[Darksun777 10]

Hi,

 

auch das funktioniert bei mir leider nicht

 

Was mir auffällt:

 

In Der Gruppenrichtlinie wird die Gruppe als "Hauptbenutzer" dargestellt.

Im Richtlinienergebnissatz, wo die Gruppe mit dem roten Kreuz versehen ist, wird sie aber als "xxx\Hauptbenutzer" dargestellt (xxx = domänenname)

 

Ich hab mal zwei Screenshots gemacht:

 

 

 

 

Hier noch ein Auszug aus der winlogon.log Datei:

 

Gruppenrichtlinienvorlage gpt00000.dom verarbeiten.

-------------------------------------------

Freitag, 29. Oktober 2004 14:22:50

 

 

----Gruppenmitgliedschaft wird konfiguriert...

Konfigurieren von s-1-5-32-547.

Fehler 1332: Zuordnungen von Kontennamen und Sicherheitskennungen wurden nicht d

urchgeführt.

Keine Systemzuordnung gefunden für s-1-5-32-547.

 

Konfiguration der Gruppenmitgliedschaft wurde erfolgreich abgeschlossen.

 

 

Hast Du vielleicht noch eine Idee ? Ich bin ratlos ..

 

Danke für jeden Tip!

[Darksun777 10]

Update:

 

In der Winlogon.log sieht es jetzt so aus:

 

 

Eintrag 1

 

----Gruppenmitgliedschaft wird konfiguriert...

Konfigurieren von Hauptbenutzer.

*S-1-5-21-4182655497-176496424-3845371180-513

Der Wiederherstellungswert für die Gruppenrichtlinieneinstellung <*S-1-5-32-547__Members> wurde gespeichert.

 

Konfiguration der Gruppenmitgliedschaft wurde erfolgreich abgeschlossen.

 

 

Eintrag 2

 

 

----Gruppenmitgliedschaft wird konfiguriert...

Konfigurieren von Hauptbenutzer.

 

Konfiguration der Gruppenmitgliedschaft wurde erfolgreich abgeschlossen.

 

 

 

Es scheint nun zu gehen, aber der Fehler im Ereignisprotokoll des Servers taucht nach wie vor auf!

Ungefähr alle 15 Minuten taucht der Eintrag erneut auf ...

 

[Velius 10]

Hi

 

 

Vllt hast du ja die selbe Situation wie ich:

 

http://www.mcseboard.de/showthread.php?postid=213248#post213248

 

 

Gruss

Velius

[Darksun777 10]

Danke für den Tip, aber leider wars das auch nicht.

 

Ich arbeite via Remotedesktop auf dem Server.

 

Ich werd noch wahnsinnig mit dem mist :shock: :D

 

*zigaretteansteck*

 

EDIT:

 

Das steht in der winlogon.log vom 2003-Server

 

----Gruppenmitgliedschaft wird konfiguriert...

Konfigurieren von s-1-5-32-547.

Fehler 1332: Zuordnungen von Kontennamen und Sicherheitskennungen wurden nicht durchgeführt.

Keine Systemzuordnung gefunden für s-1-5-32-547.

 

Konfiguration der Gruppenmitgliedschaft wurde mit einem oder mehreren Fehlern abgeschlossen.

 

 

----Gruppenmitgliedschaft wird konfiguriert...

Konfigurieren von hauptbenutzer.

Fehler 1332: Zuordnungen von Kontennamen und Sicherheitskennungen wurden nicht durchgeführt.

Keine Systemzuordnung gefunden für hauptbenutzer.

 

Konfiguration der Gruppenmitgliedschaft wurde mit einem oder mehreren Fehlern abgeschlossen.

 

 

(Einmal probiert mit der SID, einmal mit dem Namen Hauptbenutzer)

 

Wie gesagt, die Domänenbenutzer werden zu Hauptbenutzern gemacht, aber der Fehler bleibt ... :(

[Darksun777 10]

Hat keiner mehr einen Hinweis ?

 

Wenn es nicht funzt muss ich das bei jedem Client manuell machen :( :(

[schlrech 10]

Ob das mit der SID geht weiss ich nicht, aber mit der Gruppe selbst ja.

 

Der Gruppenname z.b. lautet Administrators dies ist der GruppenName auf dem Client.

 

Die Member sind dann z.b. domäne\local_admins

 

die local_admins ist eine Gruppe im AD denen du dann die Benutzer hinzufügen kannst die diese Rechte bekommen sollen.

 

Bei admins nicht vergessen den domänen-admin mit reinzunehmen sonst hast du dann ein Problem.

 

Und die Gruppe lokal wird immer überschrieben, dass heisst du kannst keine Benutzer mehr local hinzufügen.

 

René

[the_brayn 10]

Hiho,

 

nur so eine Idee. Der Server ist DC? Auf dem DC sollen die User Hauptbenutyer werden? Auf dem DC kommt besagte Fehlermeldung? Sollte logisch sein, beim DC gibt es keine Hauptbenutzer, da die SAM nicht aktiv ist schmeißt er ne Fehlermeldung aus.

 

Gruß Guido

[Darksun777 10]

nein,nein,nein ... :shock:

 

Die User sollen auf den CLIENTS zu hauptbenutzern werden .. hab ich geschrieben ...

 

Das es auf dem DC bzw. in der Domäne keine hauptbenutzer gibt ist klar..

[the_brayn 10]

Hiho,

 

war ja nur ne Idee *g* Hmmm.

 

Auf welcher Ebene hast Du die GPO erstellt? Domänenebene/OU? Welche "Objekte" sind alle unterhalb der GPO? Welche Rechte (übernehmen/nichtübernehmen) sind auf der GPO?

 

Gruß Guido

[Darksun777 10]

Hehe :p

 

Ich habe die Einstellung auf Domänenebene gemacht,also ganz oben.

Unterhalb befinden sich halt ca. 15 OU´s ...

 

Ansonsten ist mit Rechten nicht viel eingestellt ..

[the_brayn 10]

Hiho,

 

>Ich habe die Einstellung auf Domänenebene gemacht,also ganz oben

 

ich tippe mal das der Fehler im Eventlog daher komt, das der DC auch versucht die Mitgliedschaft zu erstellen und aufgrund der "fehlenden" SAM den Fehler ins Eventlog haut.verweigere dem DC doch mal die Übernahme der GPO (falls Du das nicht schon machst) und schau ob der Fehler aufhört.

 

Gruß Guido