Beim Versuch Domäne "xy" beizutreten, trat folgender Fehler auf: Zugriff verweigert

[Letze01 10]

Hay hay,

 

ich versuche verzweifelt einen Client mit W2k SP4 der Domäne hinzufügen, allerdings kommt jedes mal der Fehler "Beim Versuch der Domäne "xy" beizutreten, trat folgender Fehler auf: Zugriff verweigert".

 

Angefangen hat das Ganze damit, dass wir den Client, um ihn umzubennennen, aus der Domäne nehmen wollten, was schon zur selben Meldung führte. Da eine sehr restriktive Policy auf den PC angewendet wurde habe ich, obwohl der PC bereits VOR EINEM NEUSTART aus der OU herausverschoben war, auf die die Policy gegriffen hat, nochmals die Sicherheitseinstellungen mit secedit /refreshpolicy erneut übernommen. Darauf liess sich der Rechner aus der Domäne entfernen. So weit - so gut.

 

Nun kommt beim Wiederaufnehmen wie gesagt auch die besagte Meldung und ich weiß mir keinen Rat mehr. Ich habe sichergestellt, dass die Namensauflösung funktioniert und sowohl der Client den Server, als auch der Server den Client auf den NetBIOS-Namen und den DNS-Namen anpingen kann, ein nslookup auf dem Client erhält problemlos Verbindung, ...

 

Außerdem habe ich schon folgendes versucht:

 

- händisches Löschen des Computerkontos im AD

- ändern der SID mit NewSID von Sysinternals

- ändern der SID und erneutes ändern des PC-Namens mit NewSID von Sysinternals

- erneutes umbennen

- erneute Installation von SP4

- anlegen eines anderen, lokalen Administrators

- verwenden eines anderen Domänen-Admins der Mitglied der folgenden Gruppen ist: Administratoren, Domänen-Admins, Organisationsadmins, Schema-Admins

 

Und der Hammer schlechthin: andere Computer lassen sich problemlos aufnehmen!!!!!

 

Kann mir bitte jemand weiterhelfen?!? Im Voraus für alle Antworten 1000 DANK!!!

[blub 115]

Hi,

Wie hast du den PC aus der Domäne entfernt (und warum)?. Umbenennen kannst du einen Rechner auch innerhalb der Domäne. Eventuell hättest du ihn vorher in eine OU ohne besondere Policies schieben müssen.

Bist du sicher das es den neuen PC Namen nciht schon gibt und am besten vorher nie gab? Hast du bei der SID-Vergabe nur den letzten Teil verändert?

 

Gibt viele Möglichkeiten, an was es scheitert. Wie weit entfernt, ist denn eine komplette Neuinstallation?

 

cu

blub

[Letze01 10]

Hay hay,

 

in der Vergangenheit gab es mit Rechnern, die in der Domäne umbenannt wurden, immer wieder Probleme. Deshalb haben wir uns angewöhnt einen PC vor dem Umbennen immer zuerst aus der Domäne zu nehmen.

 

Als ich den Rechner aus der Domäne genommen habe wurde er zuvor eine neutrale OU verschoben, auf die keine Policy ausgesprochen war. Daraufhin habe ich den PC neu gestartet.

 

Ich habe diesem Rechner schon alle möglichen Namen gegeben - auch solche, die es 1000%ig in dieser Domäne noch nie gegeben hat.

 

Die SID habe ich wie gesagt mit dem Tool NewSID von Sysinternals geändert - wie dieses Programm genau die SID verändert kann ich natürlich nicht sagen, allerdings spricht normalerwiese schon der Name für die Qualität :)

 

So wie es scheint werden wir um eine Neuinstallation wohl nicht drumrumkommen - und das bei 20 BDE-Terminals... Danke Dir dennoch für die Ansätze!

[Gulp 256]

NewSID ändert ja "nur" die lokale Computer-SID, die findest Du nicht in den Domänen-SID's, sprich das dürfte keinerlei Auswirkungen auf das Verhalten in der Domäne haben.

 

Manchmal bietet sich auch an die lokale Policy des Rechners in den Ursprungszustand zu versetzen, nachdem er aus der Domäne gekickt wurde. Zumindest hat dies bei mir meistens solche Probleme beseitigt.

 

Also MMC --> Sicherheitkonfiguration und -analyse Snap-In --> Vorlage für setup-security laden und auf den Rechner anwenden.

 

Damit erhält der Rechner alle Policy Standardeinstellungen, wie nach einer Neuinstallation.

 

Einen Versuch ist's Wert.

 

Grüsse

 

Gulp

[Letze01 10]

Hay hay,

 

das hört sich ja noch nach einer echten Alternative an ;) Danke für den Tip! Werds gleich versuchen!!!

[solitary 10]

Hast du noch irgendwelche Netzwerkverbindungen zu deinem Server? Wenn ja, diese vorher trennen.

[Letze01 10]

Hay hay,

 

es sind keine weiteren Verbindungen offen.

 

Der Schlüssel zur Lösung kam von Gulp. :jau: Vielen Dank nochmal - hat mir viel Arbeit erspart!!!! :D :jau:

[Gulp 256]

Fein ... danke für die Rückmeldung!

 

Grüsse

 

Gulp

[moonbootman 10]

Hallo und sorry, dass ich nach so langer Zeit hier gelandet bin

 

unser Server 2k3 macht dieselben Macken, nur ist dieser etwas hartnäckiger....

 

selbst der Tip von GULP hat nicht geholfen, jedoch muss man sagen, dass der Vorgang des Anwendens der setup - security im log einige Fehler aufzeigte.

 

Wollte eigentlich das *.log hier rein kopieren, aber man hat nur 4k Zeichen... und selbst nach Kürzen auf ein (gerade noch) sinnvolles Minimum kam ich auf 5200. Sollte dieses *log gewünscht werden, bitte eine kurze Info, ich versuche es dann zu ermöglichen.

 

Back 2 topic:

 

Auch in eine andere Domäne lässt er sich nicht einheben :(

 

ich bedanke mich bereits jetzt für Eure Hilfe

mfG moon