buddylight

Hallo,

 

wenn das Auditing schon aktiv ist, dann wird es im Eventlog gespeichert. Wenn dies aber nicht aktiviert wurde sieht es schlecht aus.

Hier wird dir aber auch nicht viel mehr gesagt als du eigentlich schon aus der Email an den Benutzer erfahren würdest, sprich den Account des Benutzers der die Mail verschickt hat.

Aus deinem Posting kann man aber herauslesen, das der Benutzer eigentlich bekannt ist und deswegen versteh ich aktuell nicht worauf du hinauswillst.

 

Gruß,

Thorsten

Hallo,

bei uns im Netzwerk hat sich ein domänenbenutzer an einem PC an einem bestimmten Tag angemeldet und eine email an eine andere Person im Netzwerk verschickt. Inhalt der email tut im detail nichts zu Sache nur muss eben herausgefunden werden, welcher benutzer sich an diesem bestimmten Datum/Uhrzeit sich an diesem PC eingeloggt hat.

Irgendwo in der Active Directory oder in log-files muss ja gespeichert sein, welcher Benutzer sich wo und wann angemeldet hat.

Würde mich über eine Antwort sehr freuen, Danke!

Hallo,

 

da wird deine API fleissig LDAP Attribute übersetzen.

 

Im AD nennt sich das Attribut userAccountControl

 

thorgood

ach ne das ist ja mal witzig, denn das Attribut userAccountControl ist mir bekannt :D damit kann ich auch accounts disablen etc. komisch komisch äh bin ich jetzt ****e ?? das ist doch genau was das nsAccountLock macht haha. Das heißt meine API lässt 2 Attribute zu, die ein und dasselbe machen danke SUN :rolleyes: wie auch immer danke!!!

Weiß denn keiner was ?

kommt schon wo sind die cracks und Grizzleys :p

Hallo,

ich greife über eine API auf das Attrbut "nsAccountLock" zugreife und setze es auf false/true. dann wird je der Account disabled oder enabled.

Warum finde ich dieses Attribut in der sogenannten "AlleAttributeListe" von *** nicht ??

http://msdn2.microsoft.com/en-us/library/ms675090.aspx

Würde mich über eine Quellenangabe in deutsch freuen, wenn einer von euch was weiß, danke!

editierbare Name. Max. 20 Zeichen lang. Dieser wird auch als samAccountname genannt, weil dieser Name als Attribut mit diesem Namen im AD steht.

ok und der UPN darf 255 Zeichen sein nehme ich mal an. Klar benutzen wir nur a-z 0-9 in unseren Benutzernamen und Passwörtern ;-)

Yep, das gilt aber nur für den SAMaccountname (=Prä-Windows 2000 Anmeldename). Der UPN kann länger sein.

 

 

grizzly999

verstehe ich da jetzt was falsch? der sAMAccountName ist der Name mit dem sich der benutzer anmeldet an der Domäne.

Der UPN ist der ??? userPrincipalName? Wenn ich also ein Benutzeraccount erstelle vergebe ich ja auch einen Benutzernamen sprich dieser Benutzername ist das der sAMA oder der UPN ???

... weil wenn man sich an die alte Internet-Namenskonvention hält (RFC 1123), demnach sind folgende Zeichen im Internet zugelassen: a-z, A-Z,0-9, - , wird man mit keinem Programm oder Spracheinstellungen des OS o.a. techn. Probleme haben oder bekommen.

Also sagen wir schlicht: Prophylaxe ;) , oder mit anderen Worten ausgedrückt: Wenn es geht, vermeide ich mögliche späterre Fehlerquellen gerne im Vorfeld.

 

 

grizzly999

Er kann bis zu 20 Zeichen in Groß- und Kleinschreibung mit Ausnahme der folgenden enthalten:

dein link gilt ja für windows2000 gilt die 20zeichen einschränkung auch für w2k3 ?

Das ist falsch, aber ich empfehle immer, dass der Name solche Zeichen nicht enthalten sollte.

Diese zeichen hier darf er nicht enthalten: Erstellen eines neuen Benutzerkontos

grizzly999

ok du empfiehlst doch warum aus dem Bauch heraus? :eek: ne im ERnst was genau spricht dagegen kein ö ä etc... oder é (akzo dächle drauf...) zu nutzen? danke für den link schonmal!

Hallo,

habe google und forumssuche benutzt doch finde keine link von gesagt wird, dass der Benutzername einer Windows domäne kein ä ü ö ß enthalten darf oder é usw.

Zumindest sagte mir dies mal jemand... Weiß jemand mehr mit Quellenangabe bitte, danke!

Öhm, nochmals: meinen Beitrag oben lesen. Die heißen dsadd, dsmod, dsrm, dsquery, dsget

Sind .exe-Dateien, daher für die Kommandozeile bzw. Batch geeignet.

 

grizzly999

ups sorry grizzly vor lauter refresh ich habs net gesehen :D

sondern beim Server 2003 schon dabei. Funktionieren auch auf XP .

ok und wenns keine res.kit tools sind wie nennen sich diese tools bei w2k3 dann?

VB-Script z.B.

Oder per Batch mit den entspr. Ressourcekit-Tools.

per Batch mit welchen entsprechenden Ressourcekit tools ?

Download details: Windows Server 2003 Resource Kit Tools

DU MEINST das tool ?

wenn ja, kann ich mit diesen tools z.B. auch testen ob einer Benutzer bereits vorhanden ist und daraufhin den neuen Acccount erstellen mit dem veränderten Namen z.B. username +1 ?

Hallo,

ich würde gerne wissen, ob es möglich ist unter Windows 2003 Benutzerkonten zu erstellen,deaktivieren,eigenschaften ändern etc... mit skripten oder geht das nur über die ADSI Schnittstelle mit Visual Basic, C++ usw... ?

ok ich habs danke für eure Hilfe :p

Also ich habe jetzt auf meiner W2K AD überwachungsrichtlinien:

Anmeldeversuche und Anmeldeereignisse aktiviert auf Erfolgreich und Fehlgeschlagen. Tatsächlich wenn ich mich am client anmelde und mit meinem ldap browser tool das "lastLogon" attribute überprüfe, dann steht da tatsächlich das datum meiner anmeldung, doch wenn eine ldap suche nach benutzern mache mit dem rückgabewert "lastLogon", dann bekomme nicht ein datum in reinform xx.xx.XXXX sondern sowas: 1283839047403

Was soll das denn ???? Kann mir jemand sagen ob das datum verschlüsselt ist oder sowas ???

A network logon that uses NTLM authentication does not update the lastLogonTimestamp attribute in the Active Directory schema of a Windows Server 2003-based domain controller

wenn ich das richtig deute und ich einen w2k server habe, dann wird hier das attribut lastLogin gar nicht upgedated, seht ihr das auch so?

Hallo,

wie ihr auf diesem Bild seht hat meine AD(ldap ansicht) bei dem attribut lastlogon kein datum weil es nicht spezifiziert wurde???

Wo kann ich in der W2K AD einstellen, dass das attribut lastLogon auch mit einem Wert besetzt wird ?

Dieser Screenshot stammt von einem ldap client programm mit dem ich Verbindung zu meiner AD aufnahm. Könnte "unspecified" vllt. auch bedeuten, dass dieses Programm das attribut lastLogon nicht auslesen kann?

http://img206.imageshack.us/img206/1690/testhh8.jpg

ok danke es geht Problem war: Isar server hatte durch ein neu eingespieltes backup keine registrierung mehr in der domäne campusbb. :)

Ich red vom Computer Account, nicht vom User Account.:rolleyes:

 

 

Oder meldest du dich am ISA von einem anderen Computer über RDP an??:suspect: Präzisier mal ein wenig, ja?;)

ups...

Der Kollege kann sich am isar server direkt anmelden oder vom pc aus 1 stock höher. Beides geht nicht. Aber er kann sich am rhein usw. ohne probleme anmelden.

Na ist doch klar: Computerkonto von der Domäne gelöscht oder Kennwort desselben abgelaufen.

 

 

Mach mal das Konto neu in der Domäne falls nicht vorhanden, meld dich mit lokalem Account an und mach dann dies (gilt auch für nicht-Domänenkontroller): Zurücksetzen von Computerkontokennwörtern eines Windows Server 2003-Domänencontrollers mit "Netdom.exe"

 

cheers

Velius

Nein kann nicht sein, da wir uns an einem anderen pc der auch ind er domäne ist anmelden können mit dem gleichen account.

Problem ist: Unter Dienste kann der MS Exchange Systemaufsicht und MS Exchange Informationsspeicher nicht gestartet werden. Weil der eine vom anderen abhängt. Der Dienst hat keinen Fehler zurückgegeben.

Das System kannn sie nicht bei dieser Domöne anmelden, da das Computerkonto des Systems in seiner primären Domöne fehlt, oder das Kennwort für dieses Computerkonto falsch ist.

Mein Kollege hat sich als domänen admin an unserer Domäne angemeldt wie sonst auch doch jetzt bekommmt er obige Meldung. Ich kann mich mit meinem domänen admin auch nicht anmelden am isar w2k Server. Weiß jemand/vermutung... woran das liegen könnte... ??

Ich habe auch die zugehörigkeit der normaler benutzer geprüft, sie gehröen zu den normalen domänen usern also passt das, warum kann ich mich dann nicht anmelden?

Weiß denn keiner Bescheid? Habe die Suche ja benutzt doch gibts da nur infos wegen terminal dienst etc... doch darum gehts bei mir ja nicht...

habe rsop.msc mal auf dem xp client ausgeführt und unter lokale anmeldung verweigern steht auch nichts. wobei ich die user ja an der domäne und nicht lokal anmelde...

Das Icon meiner LAN-Verbindung auf dem client xp desktop hat ein gelbes dreieck mit schwarzem ausrufezeichen drin, obwohl die verbindung zum Server mit dem admin account geht ?

Habe schon versucht die LAN-Verbindung mit repair zu fixen doch das geht natürlich nicht :D

Dann hast Du nur die Verknüpfung gelöscht und nicht das Objekt an sich ?

na ich habe den eintrag aus dieser liste gelöscht. Ob die DGPolicy nun gelöscht wurde als objekt oder verknüpfung kann ich dir nicht sagen!

Du hast eine IP-Sicherheitsrichtlinie aktiviert und zugewiesen.

ja und rückgängig gemacht!

Diese Richtlinie ist jetzt nicht mehr aktiv ?

richtig!

Öffne mal MMC und dann die IP-Sicherheitsrichtlinienverwaltung, ist da noch was zugewiesen

nichts zugewiesen

habe die defaultgrouppolicy mit dem tool neu erstellt und den secedit und gpupdate auf dem server und der xp maschine erfolgreich ausgeführt.

Mein Zertifikat steht im server immer noch in der Zertifizierungstelle in "Ausgestellete Zertifikate " drin, also musss ich das nicht neu installieren?

denn mein ldap tool auf dem client sagt "no client certifikate to authenticate to rhein.bodensee.de: 636 found you SSL connection attempt my fail"

sprich no CLIENT certificate d.h. auf dem client ist das certificate irgendwie kaputt?? :shock:

ja sch... habe nochmals auf meinem xp client nachgeschaut unter internet explorer und ssl zertifikate da ist noch alles isntalliert, das Zertifikat habe ich nochmals gelöscht und isntalliert. Nichts das ldap tool sagt immer noch da sein nix :mad:

ein normaler benutzer kann sich immer noch nicht anmelden kommt imemr noch die meldung:" "Die lokale Richtlinie erlaubt es ihnen nicht, sich interaktiv anzumelden"

Du hast die Default Domain Policy gelöscht ???

warum ich mit dem recreatedefpol tool die default policies retten kann ist mir schleierhaft, denn ich habe wie gesagt nach dem löschen die default policies einfach wieder ausgewählt naja ich probier deinen tip auf jeden fall aus.

Mach das mal und teste, ob das Anmelden wieder funktioniert ( auf 2000ern Maschinen ausführen,

also ich führe diesen Befehl:

SECEDIT /REFRESHPOLICY MACHINE_POLICY /ENFORCE

in der CMD meines Servers und meines Clients aus , JA ?