Vertrauensstellung - Basisordner

[tiger-gk4 10]

Hey,

 

dies ist meine erste Forumnutzung. Ich hoffe, ich habe alles richtig gemacht. Nun kommt die Frage:

 

Ich habe zwei AD-Domänen am Start, Betriebsmodus Windows 2000 pur, nennen wir sie dom-a und dom-b. Die Server nennen wir mal srv-a.dom-a.de und srv-b.dom-b.de.

 

dom-a.de vertraut dom-b.de Vertrauensmodus extern, nicht transitiv (durch automatische Erstellung). Die Benutzer sind in dom-b.de eingetragen. Als Basisverzeichnis ist ein Verweis auf eine Freigabe, nennen wir sie home mit m.E. richtigen Rechten auf srv-a.dom-a.de mit Laufwerksbuchstabe i angegeben, etwa \\srv-a.dom-a.de\home\%username%.

Der DNS-Server ist ein externer Server und nicht Domänencontroller dieser Domänen.

Anmeldung an einem Client in dom-a.de funktioniert, nennen wir den user mal user-1.

 

Was nicht funktioniert ist, dass das Basisverzeichnis bei der Erstanmeldung nicht erzeugt wird, was bei usern aus der eigenen Domäne tut.. Vielmehr weist die Netzwerkverbindung im Arbeitsplatz von user-1 auf die Basisfreigabe \\srv-a.dom-a.de\home und nicht auf \\srv-a.dom-a.de\home\user-1.

 

Wegen der Rechtehandhabe exitiert eine universelle Gruppe in dom-b.de, deren Mitglieder die User von dom-b.de sind. Diese Gruppe hat genug Recht auf die Basisfreigabe \\srv-a.dom-a.de\home, um dort einen Basisordner anlegen zu können.

 

Wat is falsch? :rolleyes:

 

Gruß - tiger-gk4-

[Hirgelzwift 10]

Ich glaube kaum das AD mit externen Trust in der Lage ist Verzeichnisse in einer "fremden" Domäne anzulegen.

 

Ausserdem solltest du DNS auf den DC's zumdindest mitlaufen lassen. DC ohne DNS geht nicht wirklich richtig, zumindest soweit ich das kenne.

[tiger-gk4 10]

Wenn das mit externem Trust nicht geht, wie muss ich die Konfiguration dann aussehen, mit bidirektionalen Trusts. So viel Erfahrung habe ich noch nicht mit Vertrauensstellungen.

 

Für einen Leitfaden und ein paar Erklärungen für die Vorgehensweise wäre ich dankbar.

 

Übrigens: DNS ist sauber durchkonfiguriert (von exterem MS-Spezie) und läuft völlig einwandfrei ohne Fehler bzw. Fehlermeldung. Der externe DNS muss allerdings bestimmte Bedingungen erfüllen, die MS für externe DNS-Server aufstellt. Und unser DNS erfüllt diese. Außerdem hat das sicher nix mit unserem Problem zu tun.

 

- Tiger -

[Hirgelzwift 10]

Das Problem bei 2000 ist das wenn du zwei vorhandene Domänen "zusammenschraubst" du keinen transetiven Trust mehr einrichten kannst ohne viel DC Promo :D

 

Ich grüble gerade auch noch darüber nach wie sich das ganze nicht nur theoretisch sondern praktisch verhält. Normalerweise wird ein solcher Ordner von NT-Authorität\System erstellt, wenn mich nicht alles täuscht. Wenn der Account von der "fremden" Domäne nicht auch in der lokalen Domäne System Rechte hat kann es meiner Meinung nach sein das es genau deswegen eben nicht geht.

 

Ob man aber diesen Account von der fremden in die lokale Domäne eintragen kann, so wie bei Admins etc, kann ich dir auf Anhieb nicht sagen, daß musst du schon selber testen.

[tiger-gk4 10]

Erfolgreich getestet haben wir bereits folgende Varianten:

 

Export der Benutzerdaten aus dom-b.de in doma.de. Das funktioniert tadellos, da die Benutzer ja anschliessend in dom-a.de stehen.

Auch die manuelle Erzeugung des Benutzer-Basisverzeichnisses in dom-a.de funktioniert. Dabei wird das Ändere-Recht des user aus dom-b.de auf dessen Basis-Verzeichnis in dom-a.de gelegt und auch genutzt.

 

Natürlich wollen wir das bei ca. 600 Usern weder in der einen noch in der anderen Variante tun.

 

Gruß - tiger -

[tiger-gk4 10]

Ich habe die Funktionalität mit anderer Hilfe herausgefunden. Hier kommt der Knackpunkt:

 

-> Der Fehler: "Benutzerrichtlinien und Benutzerskripts werden nicht angewendet, wenn Sie sich bei einem Domänen-Computer anmelden, wobei der Benutzer aus einer vertrauten Domäne kommt"

 

-> die Lösung: auf dem vertrauenden DC muss die grouppolicy Computerkonfiguration-Administrative Vorlagen-System-Gruppenrichtlinien: "Gesamtstrukturübergreifende Benutzerrichtlinien und servergespeicherte Benutzerprofile zulassen" aktiviert werden. :) :p :cool:

 

Gruß - tiger-gk4 -