Servergespeicherte Benutzerprofile und Zugriffsrechte

[unkreativ 10]

Hallo,

 

seit ein paar Tagen versuch ich mich in Windows Server 2003 und Active Directory einzuarbeiten und bin somit auch über serverseitige Profile gestolpert.

 

Als Struktur für die Profile hab ich mir vorgestellt:

D:\Profile\%username%\Profil\

 

In den Ordner D:\Profile\%username%\ pack ich dann auch alle Umleitungen (deswegen das zusätzliche Unterverzeichniss "Profil) und den Pfad D:\Profile geb ich als "Profile$" frei.

 

Nachdem ich das Benutzerprofil erfolgreich angelegt hatte und durch eine An-/Abmeldung getestet habe, wollte ich das zurückgeschriebene Profil vom Server aus überprüfen. Dazu musste ich mir (=Administrator auf dem Server) erstmal die Rechte geben. Anschließend hab ich dem Benutzer wieder Vollzugriff (im Tab "Sicherheit") auf das Verzeichniss gegeben um ihm das An-/Abmelden zu ermöglichen.

 

1. Fall:

Besitzer: Der Benutzer Administrator

Vollzugriff für den Benutzer

 

Fehlermeldung beim Einloggen:

"[...] Das Profil wurde nicht geladen, weil eine bereits vorhandene Serverkopie des Profilordners nicht die richtigen Sicherheitseinstellungen hat. Entweder der aktuelle Benutzer oder die Administratorengruppe muss Besitzer dieses Ordners sein. Wenden Sie sich an den Netzwerkadministrator."

 

Ich würde gerne den Grund wissen, warum entweder der Benutzer oder die Administratorengruppe der Besitzer des Ordners sein muss. Auf jeden Fall hielt ich mich an die Fehlermeldung und probierte beide jeweils als Besitzer.

 

2. Fall:

Besitzer: Die Gruppe Administratoren

Vollzugriff für den Benutzer

 

Fehlermeldung beim Einloggen:

"Das servergespeicherte Profil ist nicht verfügbar. Sie werden mit dem lokal gespeicherten Profil angemeldet. Änderungen an Ihrem Profil werden nicht auf dem Server gespeichert. Wenden Sie sich an den Netzwerkadministrator.

 

DETAIL - Zugriff verweigert "

 

In diesem Fall versteh ich nicht warum der Benutzer keine Zugriffsrechte hat. Ich hab ihm wie in jedem anderen Fall auch sowohl für die Freigabe ("D:\Profile\") als auch für den Ordner ("D:\Profile\%username%\Profil") Vollzugriff gegeben.

 

3. Fall:

Besitzer: Der Benutzer selbst

Vollzugriff für den Benutzer und Administratoren

 

An- und Abmelden funktioniert problemlos.

 

 

schonmal danke,

Bernhard Huemer

[posterboy 10]

hi,

 

ich hatte das gleiche Problem. Ich war Admin und wollte auf die Serverprofile zugreifen, dabei habe ich die Profile genau wie du angelegt. Ich habe also den Besitz von den Profilen übernommen und damit das Problem verursacht.

 

Ich würde dir empfehlen die Profile manuell oder mit einer csv Datei anzulegen. Somit kann der Benutzer das Profil nutzen und du hast auch Rechte darauf. Eine Lösung für deine Vorgehensweise habe ich auch noch nicht gefunden. Im Moment fehlt mir auch die zeit und ich mache es wie oben beschrieben.

 

Du kannst dich natürlich auch damit abfinden, dass du nicht auf die Profile zugreifen kannst. :mad:

Wenn du vor mir eine lösung findest, dann schreib sie bitte. Vielleicht hat auch noch ein anderer Boardmember eine Lösung.

 

gruß

posterboy

[zahni 571]

Bitte mal mit den Gruppenrichtlinien beschäftigen. Da kann mann alles einstellen.

 

-Zahni

[R_Mori 10]

Hallo zusammen

Ich kenne diese Problematik. Der jeweilige Benutzer muss Besitzer des Ordners sein, sonst funktioniert die ganze An- und Abmeldung nicht richtig. Er kann ja Besitzer sein und zusätzlich hat der Admin noch Zugriffsrecht auf den Ordner. Das sollte doch klappen?

 

Gruss

mori

[Klauth 10]

Es gibt eine GPO "Sicherheitsgruppe "Administratoren" zu servergespeicherten Profilen hinzufügen" wodurch die Admin Gruppe vollen Zugriff auf das Profil bekommt und es trotzdem keine Quereleien mit den Rechten gibt. Diese muss vor den Umleitungen zur Anwendung kommen.

[lefg 276]

Hallo,

 

über die Problematik, Zugriff durch administrative Mitarbeiter auf Verzeichnisse und Profile anderer (auch Vorstand) wurde schon oft diskutiert.

 

Würde ich anderen (Admins) den Zugriff oder das Verschaffen des Zugriffs auf Ressourcen des Vorstandes erlauben, oder mir selbst beschaffen, wären meine Tage (in einigen Tagen) spätestens bei der nächsten Revision gezählt.

In der Wildwestzeit war es auch bei uns so, der Admin konnte an alles ran, er legte es ja auch an. Selbst der neue Boss (HGF) wurde beim Admin vorstellig und bat um Zugang zur EDV.

Einer meiner Kollegen sah sich aufgrund seines Dienstalters und seiner Tätigkeit beim Verwalten eines Netware 3.1x, dann 4.1x in einer faktisch höheren Position.

Eines Tages geriet er an den falschen, an jemanden der Ahnung hatte, der Kollege hockt immer noch im Keller, druckt und kopiert.

 

Gruß

 

Edgar

[unkreativ 10]

Hallo,

 

zuerst mal danke für die Antworten, werd mich also mal bezüglich den Gruppenrichtlinien und den Diskussionen in diesem Forum schlau machen.

 

Jetzt würd ich halt noch gern wissen, warum man das extra einstellen muss, bzw. falls man das nicht gemacht

hat, warum dann der Benutzer unbedingt auch der Besitzer sein muss. Das wird doch seinen Grund haben.

 

grüße

 

P.S:

Er kann ja Besitzer sein und zusätzlich hat der Admin noch Zugriffsrecht auf den Ordner. Das sollte doch klappen?

 

So hab ich es auch von Anfang an gelöst, ist wohl nicht so ganz rausgekommen:

 

3. Fall:

Besitzer: Der Benutzer selbst

Vollzugriff für den Benutzer und Administratoren <<--

[lefg 276]

Jetzt würd ich halt noch gern wissen, warum man das extra einstellen muss, bzw. falls man das nicht gemacht

hat, warum dann der Benutzer unbedingt auch der Besitzer sein muss. Das wird doch seinen Grund haben.

Der Grund ist einmal philosophischer Art. Wenn du einen Tisch für dich baust, auf deine Kosten, in deiner Zeit, ist es dein Tisch. Er gehört nicht dem Eigentümer oder Verwalter (Administrator) des Hauses, in dem du wohnst.

 

Der Administrator oder Scherge hat am Profil oder den Daten eines Users nichts zu suchen, ihm ist kein Zugriff gestattet. So ist auch der Nichtzugriff für ihn zu erklären nach regulärer Einrichtung des Kontos, dem Entstehen des lokalen Profils nach der ersten Anmeldung und dessen Übertragung in den Serverpfad nach der Abmeldung des Users.