Benutzer via Script auf Client in vorhandene lokale Gruppe der Administratoren einfüg

[Inti29 10]

Mein Problem:

 

Per Script lege ich einen Nutzer direkt auf dem DC:

net user LokADMS password /ADD /EXPIRES:NEVER /PASSWORDCHG:NO /WORKSTATIONS:* /DOMAIN
net localgroup Administratoren LokADMS /add /DOMAIN

 

Soweit so gut..

 

Damit wird der Benutzer LokADMS angelegt und ist aufgeführt, wenn ich den Benutzermanager starte.

Gruppenmitgliedschaften = Administratoren sowie Domänen-Benutzer

 

Problem1:

Nun hätte ich gerne, dass der Benutzer LokADMS auf jedem Client in der Gruppe der lokalen Admins aufgeführt wird.

 

Wie lässt sich das per Script ("remote") bewerkstelligen?

 

Dieser Benutzer wird nur gebraucht, um einen Dienst zu starten (womit wir bei Problem 2 wären)

 

Wie füge ich den Benutzer der Lokalen Richtlinie (Zuweisen von Benutzerrechten)

"als Dienst anmelden" clientseitig hinzu?

 

Des Weiteren: Wenn ich den Dienst per Script entferne, soll der Benuter LokADMS aus der Gruppe der Administratoren entfernt werden - und natürlich soll er auch aus der Richtlinie entfernt werden.

 

Inti29

[Hirgelzwift 10]

Problem 1:

 

auf dem lokalen PC per computerlogonskript über GPO

 

net localgroup "Administratoren" "domäne\LokADMS" /add

 

net user LokADMS /delete

 

Problem 2:

 

da arbeite ich noch dran :D

edit: gibt es den dienst bereits sonst könntest du diesen mit instsrv anlegen. das tool gibt es im resource kit. die zeile wäre dann:

 

instsrv MayService C:\Pfad\Programm.exe -a domäne\LokADMS -p PW.

[Inti29 10]

okay, damit wäre Problem 1 erledigt... - das krieg ich remote via Script ebenfalls hin...

 

Das 2. Problem ist allerdings wohl kniffliger...

 

Der Dienst wird mit instsrv angelegt, das ist es nicht, das funktioniert.

Problem ist, wenn ich den Dienst starte, kommt die Meldung:

 

Fehler 1069: Der Dienst konnte wegen einer fehler Anmeldung nicht gestartet werden.

 

Gebe ich dann das PW erneut direkt ein, geht's. - Danach kann ich den Dienst entfernen / neu installieren - alles kein Poblem - Windows merkt sich die lokale Richtlinie für den Benutzernamen.

Jedenfalls: Füge ich den Benutzer manuell vorher in die Richtlinie ein, dann geht's sofort.

 

Inti29

[Hirgelzwift 10]

hast du kein AD oder ein logon skript?

[Inti29 10]

Nein, ich habe kein AD zur Verfügung und auch "kein" Logonscript - das wäre ja zu einfach...:) - aber vielleicht lässt sich das clientseitig wirklich nicht scriptmäßig umsetzen...

 

Inti31

[Hirgelzwift 10]

tja, dann bleibt wohl nur skript schreiben und manuell ausführen auf den PC's. wenn du aber weder das eine noch das andere hast können es wohl nicht so viele sein? :suspect:

[Inti29 10]

Problem 1:

Bzgl. der Implementierung auf den Clients (=Setzen des Benutzers in die lokale Gruppe der Administratoren) geschieht automatisch bei Verwendung von rservice.

 

Damit ist das schon zumindest noch einfacher.

 

Allerdings mit Problem 2: Das geht gar nicht zu scripten, habe ich das Gefühl.

 

Selbst MS bietet einem nur bekannte Verfahren an:

 

http://support.microsoft.com/default.aspx?scid=kb;de;259733

 

Inti31

 

Mich hätt es grundlegend mal interessiert, ob das Setzen von lokalen Richtlinien scriptfähig wäre....

 

Scheint wohl nicht so zu sein...

 

Danke jedenfalls für die Mühen.

 

Inti29

[Hirgelzwift 10]

schau mal dort:

 

http://support.microsoft.com/kb/910203/de

[Inti29 10]

Hey, supi, danke für den Link!

 

Werd ich mir mal reinziehen das ganze... - vielleicht komem ich ja doch noch zu einer Lösung

 

Danke sehr!

 

Inti29

[Inti29 10]

Sodele, anscheinend hab ich es hingekriegt.

 

Das Vorgehen:

Zuerst habe ich den neuen Benutzer auf dem DC angelegt.

Dann hatte ich mir ein Vorlage beschafft (service.inf) - gespeichert: C:\WINNT\Security\templates

Dann habe ich die mmc gestartet - Snap-in ausgewählt: "Sicherheitsvorlagen", dann das service template ausgewählt.

Unter Lokale Richtlinien - Zuweisen von Benutzerrechten - Anmelden als Dienst habe ich dann den neuen Benutzer hinzugefügt.

Dann habe ich die mmc beendet und das template service.inf gespeichert.

 

Das template habe ich dann remote auf den Client kopiert nach C:\WINNT\ecurity\templates

 

Via script (rservice) habe ich dann den Dienst mit dem Benutzernamen installiert - und siehe da: der Dienst liess sich direkt ohne die Fehlermeldung starten.

 

Inti29

[Hirgelzwift 10]

na siehst du, ende gut alles gut :) danke für die rückmeldung

[Inti29 10]

Ich glaube, ich hab da was rausgefunden - Einen "Fehler"(?) bei W2k:

 

Ich hatte ja folgendes Problem:

Über den Benutzermanager habe ich einen neuen Benutzer kreiert und diesem in die lokale Gruppe der Administratoren gehängt.

 

Bei einer Dienstverteilung mit Hilfe von rservice hat die Implementation auf die Clients funktioniert - nur es kam beim Starten des Dienstes dann zur Fehlermeldung:

 

Fehler 1069: Der Dienst konnte wegen einer fehler Anmeldung nicht gestartet werden.

 

Gab man das Passwort erneut ein, wurde das bestätigt und gut war.

 

Das führte dazu, dass ich das template verwendete - soweit so gut...

 

Nun habe ich mein Script dahingehend nur modifiziert, dass der Benutzer via Script direkt angelegt wird - und diesmal funktioniert das Starten des Dienstes direkt!

 

Anscheinend gibt es da Unterschiede, ob man nun die GUI (Benutzermanager) benutzt oder aber ein Script.

 

Inti29

 

Inti29