warbird001

Danke für die Antworten!

Also ich habe alles einfach mit dem Explorer gemacht - überall natürlich ntfs.

Auf der externen Festplatte scheint die ursprüngliche Schülerberechtigung noch als "unbekanntes Konro" mit UderID auf. Lässt sich daraus noch was machen?

Hmm, versuche mal mit dem Explorer ein Schuelerverzeichniss auszuschneiden

und das wieder an den Urspruenglichen Ort zu verschieben. (nicht Kopieren)

Grosse Hoffnung wuerde ich mir nicht machen, aber einen Versuch ists Wert.

Übrigens: Das hat alles nichts mit Profilverzeichnissen, sondern nur mit Datenverzeichnissen zu tun.

Mit "automatisch erstellt" meine ich: Wenn sich ein neu angelegter User erstmals im Netz anmeldet, wird doch sein Datenverzeichnis erstellt. Ich war nun der Meinung, dass dies bei einem schon existierendem User - aber ohne existierendem Datenverzeichnis lt. Einstellung im AD - eben auch so funktioniert! Scheint aber nicht so!

DANKE

Also das einzige mir bekannte Verzeichniss was automatisch erstellt wird

ist das Profilverzeichniss.

Sollte es eine Moeglichkeit geben ein Individuelles Benutzerverzeichniss

automatisch ohne ein Script zu erstellen, lasst es mich Wissen.

mfg

Stefan:wq

Seit einiger Zeit bekomme ich beim Umbennen oder Löschen von Dateien die folgende Meldung:

 

"Fehler beim Umbenennen der Datei oder des Ordners.

xxx kann nicht umbenannt werden: Die Datei wird von einer anderen Person bzw. einem anderen Programm verwendet. Schließen Sie alle Programme, die die Datei eventuell verwenden können, und wiederholen Sie den Vorgang."

 

Mit dem Programm "unlocker" sehe ich dann, dass der Explorer die Datei nutzt.

Ab und an kann ich dann mit "unlocker" die Datei freibekommen, doch kann das ja auf Dauer nicht die Lösung sein, da es auch ab und an Dateien gibt, die ich so nicht frei bekomme.

 

Hab ich da irgendwo eine Einstellung verbröselt?

 

Danke für Eure Hilfe und Grüße

 

Guido-Ralf Ummel

Hast du Ueberprueft da evtl noch eine andere Explorer

Instanz laeuft, bzw ob noch ein anderes Fenster Offen ist?

mfg

Stefan:wq

Hallo,

 

gibt es beim Windows 2003 Server Unterschiede zwischen einen Domänen Admin und den lokalen Admin im Bezug auf die Zugriffrechte.

 

Wir haben kürzlich mehrere Server mit Windows 2000 Server durch neue Windows 2003 Server ersetzt.

Ich hatte der Installation von verschiedenen Programmen einen seltsamen Effekt.

Wenn ich mich als Domänen Admin anmelde, brechen teilweise die Installationsroutinen ab. Melde ich mich allerdings als lokaler Admin an, laufen die Installationsroutinen einwandfrei durch.

Mich wundert es, da ich bei den 2000er Maschinen die Installation auch als Domänen Admin sauber durchlaufen lassen kann.

Dieser Effekt zieht sich weiter durch unser System. Ich versuche als Domänen Admin z.B. mit regsvr32 eine spezielle OCX-Datei zu registrieren. Die Registrierung wird mit einer Fehlermeldung abgebrochen. Gleiche Maschine, gleiche Prozedur, allerdings als lokaler Admin --> kein Thema. Hat sauber funktioniert.

 

Kann mir jemand sagen, was sich bezüglich der beiden Adminkonten bei Windows 2003 geändert hat?

 

Gruß

 

Zobus

Standartmaessig ist ein DomaenenAdmin immer auch Mitglied der

Administratoren und damit lokaler Administrator.

Das was du da beschreibst erinnert mich an ein Problem das Auftreten kann

wenn man Nutzern (lokale)Admin Rechte per GPO ueber sog.

"Eingeschraenkte Gruppen" vergibt.

Wird unter Gruppenrichtlinien - Übersicht, FAQ und Tutorials im Bereich

howto / Zentrale Vergabe lokaler Berechtigungen

Beschrieben.

mfg

Stefan:wq

Ich betreue ein Schulnetzwerk (Server 2K3, Clients XP SP2). In den Ferien habe ich die Datenverzeichnisse der Schüler aus Platzgründen in eine externe Sicherungs-HD verschoben - und war der Meinung, dass diese bei der nächsten Anmeldung (weil nicht vorhanden / Pfad ist im AD korrekt eingestellt!) wieder automatisch erstellt werden.

Wenn du Datenverzeichnisse verschoben hast und die Dateisysteme

auf den beiden Festplatten ntfs waren koennten die Zugriffsrechte auf der

externen Platte noch Stimmen.

Wie hast du Kopiert?

Einfach per Explorer oder evtl mit Robocopy u.co und den entsprechenden

Optionen?

Aber was meinst du mit "automatisch erstellt werden" , sprichst du von

Profilverzeichnissen?

Ich vermute ein Berechtigungsproblem, da Verzeichnisse von neu erstellten Usern zwar erstellt werden (?), aber auch hier z.T. dann Zugriffsprobleme auftreten. Der übergeordnete Ordner ("Schueler") dürfte bzgl. Rechte und Freigabeberechtigungen in Ordnung sein (Vergleich mit anderen gleichrangigen Ordnen, wie "Lehrer", ....).

 

Ich habe nun die Datenordner der Schüler wieder vom Sicherungslaufwerk zurück gespielt, da stimmen aber nun die Berechtigungen nicht mehr, d.h. der User selber fehlt!

 

Was ist da passiert? Wer kann mir helfen? Muss ich alle Berechtigungen (370 Schüler!) manuell korrigieren?

 

DANKE für jede Hilfe!

Was heist "zurueck gespielt"?

Einfach kopiert? Per Explorer oder mit nem anderen Programm?

Wenn du das per Explorer gemacht hast hast du dir das wahrscheinlich wg. der Vererbung der Verzeichnissrechte eingebrockt.

D.h die Zugriffsrechte auf den einzelnen SchuelerVerzeichnissen entsprechen

jetzt genau denen die auf dem darueberliegenden Verzeichniss vergeben

wurden.

Wenn es sich um Profilverzeichnisse handelt musst du ausserdem darauf

achten das entweder der Schueler oder die Gruppe der Administratoren

Besitzer des Verzeichnisses sind!

mfg

Stefan:wq

Und Du bist dir sicher, das Aufgeführte ist mit Rechten als Mitglied in der Gruppe der Hauptbenutzer nicht möglich? Meine Erfahrungen sehen da anders aus.

Was die Anwendungen angeht, nun das muesste ich ausprobieren.

Bei Zoomtext , Jaws und Super Nova bin ich mir sicher.

Bei Virgo und Blindows eigentlich auch.(Habe ich selber aber wenig Erfahrung mit)

Du erwaehnst die lokale Richtlinie.

Mal sehen inwieweit man mit Hilfe dieser Richtlinie die IP Konfiguration

dichtmachen kann.

Dann noch "ausfuehren" etc. Verbieten und gpedit.msc sowie

netsh vom System entfernen bzw auf eine CD verfrachten.

Was fuer moeglichkeiten die IP zu Aendern gibt sonst noch?

Registry?

mfg

Stefan:wq

mfg

Stefan:wq

@Stefan

 

Bitte beschreibe doch mal, was der Benutzer für "Adminrechte" braucht! Wofür, was soll er machen?

Es soll bei Bedarf individuell Software installiert und deinstalliert

werden.

Die "Ueblichen Verdaechtigen" im Rahmen der Ausbildung werden wohl sein,

Open Office , Borland C++ 5 , evtl Delphi, CD-Brennprogramme , OCR .

Je nachdem um wenn es da gerade geht wohl auch Flash und so Zeug.

Ich kenn doch meine Papenheimer.

Sowie diverse Hilfsmittelsoftware fuer Sehbehinderte/Blinde.

z.b AiSquared Zoomtext , Henter Joyce Jaws , Magic , Super Nova ,

Blindows , Virgo . Je nachdem auch noch in verschiedenen Versionen.

Die Hilfsmittelsoftware kann in vielen Konstellationen nicht gleichtzeitig

auf einem Rechner Installiert werden, da muss vorher deinstalliert werden.

Erschwerend kommt hinzu das der Betrieb der Hilsfmittelsoftware mit

normalen Nutzer Rechten nicht so einfach Moeglich ist.

mfg

Stefan:wq

@lefg

Hauptbenutzer reicht leider nicht.

@Deejablo

Interessante Idee. Je nach Netzwerkconfig kann das genauso sein als

ob die VM hinter einem eigenen Router haengt.

VM kommt aber wg. Software nicht in Frage.

@Johannes Schmidt

Reborncard scheint mir eine gute Sache zu sein.

Liegt aber nicht im Rahmen meiner Moeglichkeiten.

Danke fuer eure Hinweise, soweit ich das bisher sehe ist das mit meinen

Moeglichkeiten nicht zu machen. Jedenfalls nicht so das ich es

Verantworten koennte.

Bleibt also nur die harte Tour.

Solange Aussitzen bis die Leute mit Geld und/oder "Verantwortung"

ins Spiel kommen...

mfg

Stefan:wq

Hi.

Und was hat das jetzt mit dem Thema "Überwachung der TCP/IP-Einstellungen" zu tun?

Sollen das Arbeitsplätze für Schüler werden?

So ungefaehr, ja.

Mit Internetzugang, volle Berechtigungen zum Installieren von Software, dürfen aber nicht an die IP-Einstellungen dran?

 

Mal anders herum gefragt: welchen Unfug könnten die betreffenden User theoretisch anstellen, wenn sie die IP-Einstellungen ändern? Und wieso kann man das nicht an anderer Stelle neutralisieren, z. B. durch Berechtigungen? :suspect:

Damian

Sie koennten z.b ihrem Rechner die IP Adresse des DC oder des

Hauptfileservers zuweisen.

Viren, Trojaner und aehnliche Schaedlinge sind gerade wegen der

Adminrechte auch so eine Sache.

Der Lehrer der fuer das ganze Zustaendig ist hatt wenig bis keine Ahnung von

der Materie. Die Schueler wechseln zudem haeufig.

mfg

Stefan:wq

Hi,

 

da windows die Settings nicht wie ein Linux z. B. in einem config file ablegt wird es meiner Meinung nach schwer das zu prüfen - zumal du gegen einen lokal admin eh nichts machen kannst. Wenn er wirklich was drehen will dann kann er das! Wenn er unebdingt in ein anderes Segment will (was auch immer das bringen soll) dann könnte er das auch mit VMWare etc. auf dem Host erreichen.

 

Wenn du den Jungs mit den Maschinen nicht vertrauen kannst oder willst dann bleibt dir meiner Meinung nur die Möglichkeit Ihnen ein eigenes Netz (pysisch oder als sparlösung mit vlans) zu geben...

 

Gruß

Vlan? Die Hardware hier ist selten vlan Faehig.

Oder meinst du RAS-VPN (PPTP / L2TP) ?

Bei meinen bisherigen Ueberlegungen habe ich das verworfen da ich zum

Schluss kam das man daraus mit localen Admin Rechten ausbrechen kann.

Das eigentliche Hauptnetz ist unverschluesselt.

Aber je laenger ich darueber Nachdenke, wenn wirklich einer an der

Netzwerkkonfig Schraubt und Ausbricht muss nur sichergestellt sein das er den

Urspruenglichen Zustand nicht wiederherstellen kann.

Koennte man das mit Zertifikaten (L2TP) bewerkstelligen?

Dann koennte das vielleicht der richtige Weg sein.

mfg

Stefan:wq

Hallo,

 

wozu soll der Benutzer volle Adminrechte haben? Was ist unter vollen Adminrechten zu verstehen? Was braucht, soll, will der Benutzer wirklich?

Tja, wenn die das mal so genau wuessten....

Flexibel auf die Wuensche der "Kunden'" Reagieren.

Lehrer....

"Einzelplatz mit Internet Anschluss und der Moeglichkeit Software nach eigenem

Ermessen zu Installieren" bringt es wohl am einfachsten auf den Punkt.

Ohne Anschluss ans Hauptnetz ist aber kein Internet moeglich.

Ein Physikalische Netztrennung ist nicht moeglich.

mfg

Stefan:wq

Hi.

 

Was genau hast du damit vor?

 

Damian

Es geht um einen Rechner auf dem ein Nutzer volle Admin Rechte haben soll.

Der Rechner soll nicht Teil der Domaene sein. Er ist auf von der

Verkabelung her aber auf dem gleichen Netz wie die Domaene.

Wirklich verhindern das da einer Mist Veranstaltet kann ich wohl kaum.

Auf der anderen Seite koennte es ausreichen wenn ich genau weiss das

einer an den IP Einstellungen gedreht hatt. Versuch ist Strafbar!

Sobald ich das mitbekomme wuerde ich den Rechner einfach "per Hausordnung"

einkassieren und den Platz lamlegen, eben solange wie eine Neuinstallation des

Rechners dauert.

Beim Nachweis das da einer an der IP Config gedreht hatt muss ich mir

allerdings sicher sein.

mfg

Stefan:wq

Hallo Alle

Kennt jemand eine Moeglichkeit den IP-Stack von Windows XP zu

"Versiegeln" ?

Ich denke da an eine Art Checksumme nach deren Erstellung

eine Aenderung an der IP Konfiguration zwar moeglich ist,

die danach aber auch beim Ruecksetzen auf die alte IP nicht mehr

den gleichen Wert hatt wie bei der ersten Ueberpruefung.

mfg

Stefan:wq

Hallo Alle

Ist es richtig das sich die Vista Lizensierung bei Volumen Lizensen nur noch

ueber einen internen Lizensserver erledigen laesst?

Es geht in diesem Fall um Forschung und Lehre Lizenzen.

mfg

Stefan:wq

Schade....

Und wie könnte ich es dann bewerkstelligen das ich per Script diese Rechte setzen kann ('nur Ordnerinhalt auflisten) ?

Wie siehts mit xcacls und subinacl aus?

setacl ist evtl auch ein Kandidat.

mfg

Stefan:wq

Scheint eine nicht gepflegte Umgebung zu sein:

 

"The following entry in the [strings] section is too long and has been truncated" error message when you try to modify or to view GPOs in Windows Server 2003, Windows XP Professional, or Windows 2000

 

Zur 1000 ID - ein Klassiker, Link hat Necron schon genannt.

Grins, endlich mal der richtige Link.

Da klaert sich jetzt einiges auf ....

Nochmal Hallo an Alle,

 

Wir haben eine Windows 2000 Umgebung. Unsere Logs der Domänencontroller laufen seit geraumer Zeit voll mit der Ereignis-Kennung 1000. Es scheint wohl, dass lt MS irgendeine Policy querschießen würde. Wenn ich nun aber versuche, in die Default Domain Controller Policy zu schauen, schmiert mir die Management Console ab. Auf beiden Controllern. Die Fehler sind laut den Meldungen was mit den Strings! Hat einer von euch dieses Phänomen bereits gehabt??? Die Fehlerbehebung von MS zieht nicht. Vielleicht habt Ihr ja noch einen Rat. Würde mich sehr freuen.

 

Viele Grüße und vielen Dank

Also zu ID 1000 kann ich nichts sagen, aber das ne AD mmc fuer einen

w2k Client mit einer "Strings" Fehlermeldung Abstuertzt bzw sich weghaengt

ist mir schonmal begegnet.

Es lag wahrscheinlich daran das das AD bereits in einem w2k3

Betriebsmodus war. (Obwohl es noch auf einem w2k Server lief)

Der Zugriff mit einem XP Client und der w2k3 SP1 mmc funktionierte

Problemlos.

mfg

Hallo

Ein grundsätzliches Problem besteht, dass Outlook die Mailserverkonfiguration nicht im Profile ablegt.

Outlook speichert meines Wissens nach seine Einstellungen im Profil.

mfg

Hallo

Kompliziert ist es eigentlich nicht, wenn man die Pfade der MS Tugend einhält. Leider auch nicht ganz günstig, denn ich gehe mal davon aus, denn ein Mailserver hat HW mässig schon seine Anforderunen (mit weniger als 2 GB RAM darf gar nicht begonnen werden). Zudem natürlich auch die Lizenzen ordentlich was kosten.

2GB als absolutes Minimum???

Meinst du die 2007er ?

mfg

So ist das wohl richtig, wenn es stimmt, was dort geschrieben steht.

O.K

Vor 10 Jahren, da kam gerade NT 4.0 auf deutsch auf den Markt. Aktuell war da dann noch der MCSE NT 3.51. Fakt!

Wenn der heute nicht mehr auf meinem Transcript steht, deshalb schon in 1997 rumheulen ->

Just my 2 cents

/edit: Und ein Arbeitgeber, der heute Wert drauf legt, dass ein MCSE NT 3.51 von 1997 auf dem Transcript eines Bewerbes steht, den will ich gar nicht als Arbeitgeber haben. Der hat wahrscheinlich auch noch die Maschinen von damals dazu rumstehen.

Tja, so ist das bei mir tatsaechlich der Fall.

Sind zwar noch neue dazugekommen aber es leben noch einige alte.

Bei meinem Arbeitgeber spielen Zerts keine Rolle. Wenn ich welche

mache dann nur um ueber die Zeit eine Fortbildung zu Dokumentieren.

Da ist es egal ob da ein Titel steht und wie der Heisst, es muss nur ersichtlich sein das Pruefungen gemacht wurden sowie welche und wann.

BTW: Ich habe keinen Arbeitgeber. Aber meine Kunden legen garantiert keinen Wert drauf, ob ich jemals einen MCSE NT 3.51 hatte ....

grizzly999

O.K andere Welt.

mfg

Microsoft möchte den Wert der Zertifizierung erhöhen <-- sagt MS

Das geht z.B. in dem man die Anzahl der aktuell Zertifizierten niedrig hält, z.B. durch Rezertifierungszwang.

Nach dem Boom auf der 2000er Schiene uebertreiben sie jetzt wahrscheinlich

in die andere Richtung.

Was nuetzt eine elitaere Zertifizierung die nur sehr wenige Haben und die

deshalb eher Unbekannt ist.

Das krasseste Beispiel in dieser Richtung findet sich imo bei vmware.

Die duerfte nur bei ganz wenigen Arbeitgebern von Bedeutung sein.

Wenn ich das richtig Verstanden habe (siehe oben) dann wuerde es vollkommen

ausreichen wenn auf dem Ausdruck nochmal extra erwaehnt wird das

die betreffende Person mal MCTS fuer "Produkt soundso" war.

Und das das nicht mehr aktuell ist.

Aber in dieser Hinsicht trauen die MS Manager ihren Kollegen wohl nicht

allzuviel Sachverstand bzw Lesefaehigkeit zu.

Das erzeugt den Eindruck MS-Spezialisten seien rar, das bewirkt dass es für Nichtzertifizierte evtl. interessant wird in den scheinbar elitären Kreis aufzusteigen und Arbeitgeber haben dann mehr Schwierigkeiten aktuell zertifizierte Leute zu finden.

Kommt auf die Personaler/Entscheider an.

Fuer mich sieht das im Moment nur nach Zersplitterung und Inflation aus.

Time will tell....

mfg

All related exams will remain on your transcript as PASSED.

Also von wegen, es sieht dann niemand mehr, dass ...

grizzly999

Bitte nochmal zum mitschreiben:

Wenn jemand die 70-620 bestanden hatt ist er damit

MCTS: Vista Configuration.

Auf seinem Transcript wird vermerkt das zum einen die Pruefung bestanden

und ausserdem MCTS: Vista Configuration ist (Also 2 Eintraege)?

Wenn nun der Life Cycle abgelaufen ist steht da nur noch das er irgendwann

vor langer Zeit mal die 70-620 bestanden hatt.

Das er mal fuer eine gewisse Zeit

MCTS: Vista Configuration

gewesen ist taucht dann nicht mehr auf dem Transkript auf?

(nur noch 1 Eintrag)

Ist das so richtig?

mfg

Muss das unbedingt ein TCP/IP Drucker sein ?

Es ist wichtig das der Client genauso konfiguriert werden muss wie bei einem

TCP/IP Drucker. Was sich dabei auf dem Server abspielt ist zweitrangig.

Es geht um ein Script das den Rechnern TCP/IP Drucker abhaengig von

der GPO zuweisst.

mfg

Hallo Alle

Gibt es die Moeglichkeit auf einem W2k3 Server einen Drucker einzurichten

der sich verhaelt wie ein TCP/IP Drucker im Netzwerk?

d.h auf dem Client wird der Drucker via:

"Lokaler Drucker der an den Rechner angeschlossen ist"

"Einen neuen Anschluss erstellen: Standart TCP/IP Port"

"IP Adresse eingeben - passenden Druckertreiber Installieren"

Installiert.

Hintergrund ist, das ich so einen Drucker in einer virtuellen Testumgebung benoetige.

IPP scheint dafuer ungeeignet zu sein.

mfg

Nein, eben nicht. Mindestens 99% aller MCSE2003 sind MCSA2003.

Und was ist mit den restlichen 1% ?

In der Technet gibt's im WSSRA den "solution operations guide". Da hat sich Microsoft bereits intensiv Gedanken gemacht, was du auf MS Systemen daily, weekly, monthly und as needed machen sollst. Warum also das Rad ein zweitesmal erfinden? Die Definition der Prozesse macht bestimmt noch genügend Arbeit

 

cu

blub

Kannst du bitte einen direkten Link Posten.

Meine Suche war leider nicht sonderlich ergiebig.