Probleme mit Richtlinien auf lokaler bzw. Domänenebene

[IThome 10]

edit: falscher Thread :D sorry

[Cricket 10]

also mal ganz davon abgesehen das du einen DC niemals als TS verwenden solltest kannst du dir eine usergruppe anlegen, die mitglieder hinzufügen, das recht für die lokale anmeldung per GPO geben und am RDP protokoll auf dem TS in der terminalserverkonfiguration diese gruppe hinzufügen. dann sollte alles gehen.

 

ich hoffe du bist dir des sicherheitsrisikos bewusst.

 

nein, bin ich mir nicht...

welche Risiken bestehen denn dann?

[Hirgelzwift 10]

auf dem domänen controller liegt dein komplettes AD. damit ist schon mal ein user schon mal dem AD ganz nah.

 

schau mal was Vera Noest ein MVP dazu in einem englischsprachigen board dazu geschrieben hat:

 

Installing Terminal Services on a Domain Controller is *not*

recommended, for both performance and security reasons. Note that

it is not even possible anymore on a SBS2003 server.

 

Performance is probably not going to be an issue with such a small

network and only 10 users. Security *is* a problem, though.

Users will need the right to logon locally on the Domain

Controller, and they will use it as their personal desktop

computer. Most likely, they will also need some elevated user

rights. That's not something that you want on a Domain Controller

and Exchange Server.

Moreover, you cannot lock down the TS user sessions like you can

when TS runs on a member server.

 

 

That said, I realise that it might seem overkill for a small

company to buy a dedicated server as Terminal Server (or dedicated

DC). Your situation is a borderline case, I would say.

The best solution also depends on how much downtime you can

tolerate (if the combined DC + Exchange Server + Terminal Server

has to be rebuild/repaired/fixed), and how good your backup and

restore utilities are.

 

Quelle: http://groups.google.de/group/microsoft.public.win2000.termserv.apps/browse_thread/thread/4f187bb1968395e6/1808bcb7078c8a18%231808bcb7078c8a18?sa=X&oi=groupsr&start=0&num=3

[Cricket 10]

naja, die Performance sollte hier auch weniger das Problem sein, weil maximal sieben User gleichzeitig, im Normalfall aber nur drei bis vier User auf dem WTS verbunden sind.

 

der Sicherheitsgedanke ist natürlich wichtig, allerdings denke ich nicht, dass hier ein User den Willen oder die Kenntnis hat, irgendetwas an den Host-Einstellungen zu verändern, zumal alle Mitarbeiter die strikte Weisung haben, NICHTS am Server zu verändern.

 

btw: einen gesonderten Rechner, nur um den Domain Controller zu geben, können wir uns in so einem kleinen Unternehmen nicht leisten...

[Hirgelzwift 10]

:eek: der DC könnte schon auf einem guten desktop für 500 € abgebildet werden. :suspect: für 1100 € haben wir letzthin bei dell einen neuen "echten" server (850 mit SATA Raid 1) gekauft. ich will jetzt keine werbung machen das sollte nur ein beispiel sein. auch in e-bay findet man günstig gebrauchte server von allen herstellern.

 

das sicherheitsrisko besteht nicht nur bei den benutzern selber sondern auch durch viren, trojaner, pop-up's, (noch) nicht bekannte sicherheitslücken und und und und..... wie angegeben kannst du den DC nicht so beschneiden wie einen TS der auf einem member server läuft weil dann das AD nicht mehr funzt und wenn dann ein virus "zuschlägt" und das auf dem DC dann gute nacht.

 

wie auch immer, ich würde deinen chef auf den umstand schriftlich aufmerksam machen. wenn 7 leute auch nur 1-2 stunden wegen eines problems nicht arbeiten können dürfte ein weit größerer finazieller schaden entstehen. wenn du das deinem chef nicht schreibst dann kann er dir die schuld geben. er würde dann sagen: hätten sie gesagt das das problematisch ist dann hätten sie natürlich das geld für einen server bekommen.

[Cricket 10]

hihi

weißt du, wer mein Chef ist?

meine Frau :D

die halte ich über die ganzen Probleme immer auf dem laufenden, von daher weiß die Bescheid.

wir haben gerade erst den neuen Server für ca. 5.000 € angeschafft, auch bei Dell. da die Systemanforderungen der Anwendungssoftware ziemlich hoch sind, hat das schon so ins Geld gehauen, da ist noch ein Server nicht drin...

 

aber vielen Dank für deinen Hinweis, man merkt, dass du deine Erfahrungen mit Chefs hast :cool: