Anmelden ohne das die Policy zieht

[sge 10]

Hallo Zusammen,

ich habe mich über die Grouppolicy ausgesperrt. D.h. ich kann mich zwar als Admin am PDC (w2003) anmelden, bekomme aber die User-Policy überbügelt, und kann damit nicht mehr die AD-Objekte bearbeiten. Systemwiederherstellung mit der integrierten Datensicherung brachte nix.

Fragen:

Wie kann ich mich lokal/remote Anmelden ohne das die Policy zieht?

Wo werden die AD-Sachen / Policys auf dem PDC gespeichert?

[sge 10]

Habe eine Möglichkeit gefunden:

über die Computerverwaltung eines 2. Servers den Anmeldedienst deaktiviert, dann lokal am PDC angemeldet, die Policy zeiht dann nicht, den Anmeldedienst wieder gestartet, und den Dom-Admin aus der Policy entfernt

[lefg 276]

Hallo,

 

wieso zog die Rili am zweiten Server(DC?) nicht? Es ist doch ein DC, oder?

 

Gruß

Edgar

[kuerbis 10]

kannst dich doch einfach direkt lokal anmelden, dann nimmt der auch nicht die policies vom DC

[lefg 276]

An einem DC lokal anmelden? Er schreibt zwar von einem Server, ich nehme aber mal einen DC an.

[micha42 29]

ok ist ja nun gegessen, aber was lernen wir daraus? (höhö hab mal irgndwann Lehramt studiert - da darf man so doofe Fragen stellen) :D

so mach ich s (nach ähnlichen Erfahrungen):

Außer den GPOs, die nunmal ganz oben gesetzt werden müssen (Kennwort) keine weitere hier setzen!

Eine OU "meine kleine Domäne" und alle anderen OUs da rein.

Wenn man eine GOP für die ganze Domäne schreiben will dann an diese oberste OU hängen. Der Admin bleibt in der Ou "Users".

Die DCs bleiben auch wo sie sind. und an diesen Beiden OUs nur mit gaanz spitzen Fingern...

An der "DefaultDomPol" auch am Besten nix außer kennwort...

So bekommt der Admin keine GOPs und kann immer rummachen was er will.

Michael

[lefg 276]

Wenn ich irgendwo etwas lese oder höre, dass sich nach Gruppenrichtlinie zieht nicht anhört, läute bei mir die Glocke "DNS-funktioniert-nicht-richtig". Dann werde ich so richtig interessiert. Hat bei mir etwas gedauert bis ich das richtig funktionsfähig hatte.

 

Vor dem Selbstausschluss mittels Computer- oder Benutzerrichtlinien hat Mark Minasi uns schon in den 90ern in seinem NT-Server-Buch gewarnt.

[sge 10]

doch, sie hat gezogen, und ja es geht um eine DC.

von einem "Normalen Server" an dem ich mich lokal angemeldet habe, bin ich dann über die Konsole auf dem DC und habe den Dienst deaktiviert

 

Danke für die Hinweise. :-)

[lefg 276]

von einem "Normalen Server" an dem ich mich lokal angemeldet habe, bin ich dann über die Konsole auf dem DC und habe den Dienst deaktiviert

Ich glaube, ich habs kapiert. Du meinst einen Mitglieds- oder Memberserver.

 

Thx