Surfy

Hallo zusammen

Ich versuche auf einem 64 Bit System einen Registryhive zu berechtigen.

Da ich schon unzähliche andere Actions im gleichen Setup mit subinacl erledigen konnte, würde ich gern auch den Rest mit diesem Tool abhandeln.

Unter x86 geht auch alles, nur unter x64

HKEY_LOCAL_MACHINE\SOFTWARE\Candle

werden die Berechtigungen dann unter

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Candle

geschrieben. Beide Hives existieren auch. Nun ist die Frage, wie kann ich aus einem Batchaufruf mit subinacl den normalen x64 Hive erreichen?

Danke für eure Tips und Anregungen

Surfy

strComputer = "localhost"

Set objWMIService = GetObject("winmgmts:" _

& "{impersonationLevel=impersonate}!\\" & strComputer & "\root\cimv2")

Set SWBemlocator = CreateObject("WbemScripting.SWbemLocator")

Set objWMIService = SWBemlocator.ConnectServer(strComputer,"\root\CIMV2")

Set colItems = objWMIService.ExecQuery("Select * from Win32_Service where Name = 'Alerter'",,48)

For each objService in colItems

errServiceChange = objService.Change( , , , , , ,"mydomain\myuser","myPassword")

next

wscript.echo(errServiceChange )

Falls mal wieder jemand da ran muss :)

Hui, danke für die Tips!

Beim Umsetzen happerts dann aber heftigst an meinem VB Skill

Hab mir mal den nicht laufenden Dienst clipsrv (clipbook Viewer) als Versuchskaninchen ausgesucht:

Abgespeichert als test.vbs und aufgerufen via cscript test.vbs

strComputer = "."

Set objWMIService = GetObject("winmgmts:" _

& "{impersonationLevel=impersonate}!\\" & strComputer & "\root\cimv2")

Set colServices = objWMIService.ExecQuery _

("Select * from Win32_Service")

For each objService in colServices

If objService.StartName = ".\clipsrv" Then

errServiceChange = objService.Change _

( , , , , , , "mydomain\testuser1" , "")

End If

Next

Das ganze endet ohne Fehlermeldung - aber der Service bekommt den Account nicht eingetragen.. Den Account habe ich vorher die Rechte für "log on as Service" in der lokalen Gruppenrichtlinie gegeben.

Wo klemmt es da noch?

Hallo zusammen

Ich muss einen bestehenden Service, der unter "local System läuft", via script ändern:

Neu soll der Service unter einem speziellen User laufen.

Nur hab ich keine Ahnung, wie ich via Script das ändern könnte, ein Kennwort muss man da ja auch mitgeben.

Hoffe ihr wisst rat.

Surfy

Danke für die Info - das ist ja wirklich ein knackiges Angebot im Mappack!

Ich bin ziemlich begeistert von den Microsoft Security Essentials :)

Sogar die kostenfreie Variante läuft Ressourcenschonend :o

Wie wärs mit OS auf Raid0, Exchange & Daten auf Raid5? Das würde doch das Risiko merklich erhöhen, und hätte den benefit, dass das Disasterrecovery auch mal live getestet werden könnte.

Glaub das hatten wir hier noch nicht ;-)

Hallo zusammen

Der EBS installiert sich ja auf mehreren Servern, wenn ich das richtig verstanden habe.

Sind diese alle im Maps Lizenztechnisch enthalten, oder müsste man dafür alle Rollen auf einen Server installieren?

W2k8 R2 ist ja nur einmal enthalten :confused:

Hallo zusammen

Ich bin gerade dabei, mein Actionpack MAPS zu testen, und habe in einer VM einen Windows 2008R2 Server aufgesetzt.

Da ich den wohl noch einige male aufsetzen will, und ich laut MAPS nur eine Lizenz habe, wirft sich die frage auf: was tun

Im Iso steht ja schon: SW_DVD5_Windows_Svr_2008_R2_x64_German_1_ProdAct_X15-50367.ISO dh 1 Aktivierung.

Kann ich den Server bedenkenlos aktivieren? Oder muss ich danach jedesmal bei Microsoft anrufen, um den Server erneut aktiviert zu bekommen?

Kann ich nach einer aktivierung noch andere Servereditionen testen, wie Webedition etc?

Zum herumpröbeln würde ich sicher auch gern mehrere Szenarien durchspielen, mal mehrere Server installieren, 1 DC, 1 Exchange aufsetzen etc. Muss ich dafür zusätzliche Lizenzen erwerben?

Lizenzen für W2K3 habe ich noch zwei liegen, aber will natürlich 2K8 ausgiebig testen :D

Danke für eure Hilfe.

Da bin ich jetzt auf die Antwort auch sehr gespannt. Viele KMU Software dürfte mit MSI und User-Selfhealing (User Registry werden nachgeschrieben) funktionieren, oder ein Active Setup haben.

Office macht das jedenfalls ;)

Was macht da ein TS daraus?

Gemietet würde ein W2k8 Server, mit 6 IP Adressen.

Der Server wäre voll im Internet, mit allen Ports..

Und wenn ich darauf eine VM-Maschine einrichte, könnte ich diese auch nur voll ins Internet stellen, mit jeweils allen Ports :eek:

Ich hoffe ihr wisst rat

Hallo zusammen

Ich habe mir Angebote für Rootserver erstellen lassen, auf Windows-Basis.

Mein auserwähltes Angebot kommt mit 6 IPs und sieht recht gut aus - nur - keine Firewall, der hängt voll im Netz mit allen Ports.

Ich will darauf mit Vmware Server eine Testumgebung laufen lassen.

Mein Problem ist nur, zum einen hängt der Server voll im Netz, dann aber auch noch jede VM die ich reinhänge..

Wie würde sich das ganze einfach absichern lassen?

Eigentlich wiederspricht es meiner Idee eines Testsystems, jeden Server absolut abgesichert laufen zu lassen, und jeden Dienst, lokale Permissions immer im Auge behalten zu müssen.

:rolleyes:

Ich hoffe hier hat jemand eine kreatie idee, wie man da eine Portsecurity aufbauen könnte.

Monowall als vminstanz?

Hallo zusammen

Szenario:

Server-Problem

AD-Domain W2K3

Server ist Domainmitglied

Problem

Ich muss auf einigen Servern eine lokale Gruppe erstellen, und denen gewisse Rechte zuteilen. u.a. "Logon as Service", "Logon as Batchfile", "Increase Quota", "Assign Primary Token Privilege" etc.

Das ganze natürlich automatisiert ;)

Eine Usergruppe erstellen ist ja keine Hexerei, aber die Berechtigungen - sind harzig.

Es existiert auf einigen Servern schon eine lokale Policy, wo gewisse Privilegien an Domainuser vergeben wurden.

Nutze ich mit secedit mit einem template, ersetzt das die lokale Policy, und andere Sachen laufen nicht mehr. Kann man mit secedit auch nur Werte addieren, bzw hinzufügen?

Gibt es vielleichte in Command-Line Tool, welches das beherrscht? Nach langer Suche bin ich über NTrights.exe gestossen, die kann aber nicht alles was ich benötige.

Ich hoffe ihr wisst rat :)

Hallo zusammen

Wiedereinmal brauche ich rat :wink2:

Eckdaten:

W2K Server SP4

Domain Mitglied

Alle Tasks die ich unter "Scheduled Task" plane, unabhängig vom Benutzernamen und Kennwort - verlieren das hinterlegte Kennwort..

Einmalig kann ich den Task ausführen. In der nächsten Nacht, kommt die Meldung 0x0 "Der Vorgang konnte nicht gestartet werden"

Versuche ich den Task manuell zu starten, gleiches Phänomen. Gebe ich das Kennwort erneut ein - läuft der Task dann aber einmalig.

Woran kann das liegen?

Danke euch, Surfy

Hallo zusammen

Ich habe auf zwei neuen PCs von HP, die mit der Trialversion von Office 07 daherkommen, ein kleines Problem mit Outlook 2003.

Ich habe die Trial von Office 07 deinstalliert, und Office 2003 installiert.

In Outlook kann ich nun keine Datendatei anlegen.. Unter Systemsteuerung / Mail, Datendatei hinzufügen - ist alles grau hinterlegt.

Office selber lässt sich nicht starten, Datendatei fehlt..

Gibt es da einen trick, Outlook dazu zu bewegen, eine Datendatei zu erstellen? Outlook soll Offline zur Terminverwaltung genutzt werden, falls die Auswahl bwz Exchange, Pop3 eine rolle spielen sollte.

Danke,

Surfy

Danke für den schnellen Rat, dann mache ich mich mal ans installieren :-)

Surfy

Leider fallen dann viele Drucker flach, weil man sie nicht so einfach auf dem TS installiert bekommt. Insbesondere die beliebten All in one und Officejet Drucker..

Das erfodert dann viel fummelei, und / oder installationen auf dem TS, die man nicht haben will. Jeden Drucker bekommt man damit auch nicht mit viel fummeln, export installierter Treiberfiles, und rödeln mit DPinst - nicht hin :cry:

Ohne Thinprint sind aber die Druckjobs meistens sowieso so gross, das man freiwillig nicht drucken will, weil die Datenmengen enorm sind - hier würde ja Thinprint wieder komprimieren ;)

Aber vielleicht meldet sich hier noch jemand, mit einem guten Workarround?!

Surfy

Hallo zusammen

Erstmal die Eckdaten

2 Server W2k3 x64 mit VMware Server 2.0

Jeweils 2-3 virtualisierten Server je Server, mit W2K-W2k3

Die beiden Server, auf denen VMware Server laufen, sind in einer Arbeitsgruppe, und nicht in der Domain. DC und einfach alles, sind virtuell.

An einem der physischen Server hängt ein Tapelaufwerk.

Muss besagter Server, nun zwingend in die Domain, oder kann ich Backupexec auch auf einem Arbeitsgruppen-Server installieren, und damit Domaincontroller sichern? Bzw die installierten Agents auf den Domainservern ansprechen?

Ich hoffe ihr wisst rat!

Gruss, Surfy

Ich kann als Tool auch noch Webtrends empfehlen:

WebTrends Analytics: Erfassen und testen Sie jede einzelne Online-Erfahrung Ihrer Besucher

Kostet einiges, bietet aber auch viel.. Für eine kurze Analyse aber sicherlich etwas überdimensioniert ;)

Nachträgliches Feedback:

Die Lösung war, die Default-Domain Policy neu zu erstellen, mit der Recreatedefpol.exe

Info und Download: Download details: Windows 2000 Default Policy Restore Tool

Witzigerweise hatte ich keine typischen symptome, da ich via Gruppenrichtlinien änderungen verschicken konnte...

Den Eintrag "ASP Pages lassen sich nicht aufrufen, ISS Error 500" kam davon, dass der IUSR_Servername User nicht berechtigt war, Batchprozesse zu starten (Gruppenrichtlinie)

Problem gelöst :-) Vielen Dank für die Hilfe!

Surfy

Die Settings zu den Signaturen ist auf beiden Servern auch in der Registry korrekt eingetragen.. Den Gruppenrichtlinieneditor kann ich auf beiden Servern ausführen..

Neu sieht die Situation so aus:

PDC:

Warning - EventID 1202: Die sicherheitsrichtlinien wurden mit Warnungen übertragen 0x543

alle 5 minuten einen Eintrag

sonstige Symptome: ASP Pages lassen sich nicht aufrufen, ISS Error 500

DC: zwei Einträge alle 5 min im Anwendungsprotokoll

Error: EventID 1000, Auf die Datei gpt.ini kann nicht zugegriffen werden

und

Error: EventID 1000, die Abfrage der Liste der Gruppenlinienobjekte ist fehlgeschlagen

Hi Sunny61

Ich habe die Gruppenrichtlinien angepasst, leider hat sich das verhalten beider Server nicht geändert :-(

Hast Du noch einen anderen Ansatz, bzw eine Idee wo ich anfangen könnte?

Gruss, Surfy

//Edit:

Folge ich den Anweisungen,

FIND /I "nicht gefunden" %SYSTEMROOT%\Security\Logs\winlogon.log

Erscheint da mehrfach "Hauptbenutzer" Den finde ich im System auch nicht mehr, gelöscht..

FIND /I "Hauptbenutzer" %SYSTEMROOT%\Security\templates\policies\gpt*.*

führt dann zu:

------ C:\WINNT\SECURITY\TEMPLATES\POLICIES\GPT00000.INF

via MMC Gruppenrichtlinien finde ich aber keine Settings, die auf Hauptbenutzer gesetzt sind.. Bin mir auch sicher, dass der hauptbenutzer schon länger gelöscht wurde *grübel*

Wer weis rat?

und EventID 1003 - SceSRV

Die Richtlinienänderung von LSA/SAM kann nicht im Richtlinienspeicher gespeichert werden. Error 4312 to save policy change for account S-1-5-21-854245398-1482476501-725345543-1605 in the default GPOs. For more debugging information, please look security\logs\scepol.log under Windows root.

DCDiag:

Starting test: systemlog

An Error Event occured. EventID: 0xC0001B61

Time Generated: 05/03/2009 16:27:46

(Event String could not be retrieved)

An Error Event occured. EventID: 0xC0001B61

Time Generated: 05/03/2009 16:27:50

(Event String could not be retrieved)

An Error Event occured. EventID: 0xC0001B61

Time Generated: 05/03/2009 16:27:50

(Event String could not be retrieved)

An Error Event occured. EventID: 0xC0001B61

Time Generated: 05/03/2009 16:27:50

(Event String could not be retrieved)

......................... ERRKSRTS failed test systemlog

Netdiag: ist unauffällig

Ich hoffe jemand hier hat eine Idee, wie ich sowas kassiert habe, und einen Lösungsansatz...

Ich habe auf dem DC versucht die s

Surfy

Eckdaten:

1 W2K PDC

1 W2K DC

ca 80 Clients WinXP

Situation

Sysvol Share ist leer auf beiden Servern

PDC: alle 5 minuten

EventID 1000 (Userenv) - NT-AUTORITÄT\SYSTEM

Auf die Datei gpt.ini des Gruppenrichtlinienobjekts kann nicht zugegriffen werden. Die Datei muss im Pfad <> vorhanden sein. (). Die Verarbeitung der Gruppenrichtlinie wird abgebrochen.

EventID 1000 (Userenv) - NT-AUTORITÄT\SYSTEM

Die Abfrage der Liste der Gruppenrichtlinienobjekte ist fehlgeschlagen. Bisher wurde eine Fehlermeldung dieser Art im Richtlinienmodul protokolliert.

DCdiag:

Starting test: frssysvol

There are errors after the SYSVOL has been shared.

The SYSVOL can prevent the AD from starting.

Netdiag:

unauffällig, keine Einträge

DC: alle 5 minuten

Event ID 1202 - Scecli

Die Sicherheitsrichtlinien werden mit Warnungen übermittelt. 0x534 : Zuordnungen von Kontennamen und Sicherheitskennungen wurden nicht durchgeführt.

 

Um die besten Lösungen zur Behebung dieses Problems zu erhalten, melden Sie mit einem Nicht-Administratorkonto an und durchsuchen Sie die englische Knowledge Base unter Microsoft Help and Support nach "Troubleshooting 1202 events".

Ein Benutzerkonto konnte in einem oder mehreren Gruppenrichtlinienobjekten nicht in eine SID aufgelöst werden. Dieser Fehler wurde möglicherweise durch ein falsch geschriebenes oder gelöschtes Benutzerkonto, bzw. ein nicht verfügbares Konto, das in den Gruppenrichtlinienobjektzweigen "Benutzerrechte" oder "Eingeschränkte Gruppen" referenziert ist, verursacht. Zur Behebung dieses Problems wenden Sie sich an einen Administrator und führen Sie folgende Schritte aus:

 

1. Identifizieren Sie Konten, für die keine SID aufgelöst werden konnte. Geben Sie dazu folgendes ein: FIND /I "nicht gefunden" %SYSTEMROOT%\Security\Logs\winlogon.log

Die Ausgabe des FIND-Befehls enthält jeweils den problematischen Kontonamen.

Beispiel: JoergFrey wurde nicht gefunden.

In diesem Fall konnte die SID für den Benutzernamen "JoergFrey" nicht ermittelt werden. Dies kann vor allem dann geschehen, wenn das Konto gelöscht oder umbenannt wurde, oder wenn es unterschiedlich geschrieben wird (z.B. JoergFrei).

 

2.Identifizieren Sie alle Gruppenrichtlinienobjekte, die einen nicht aufgelösten Kontonamen enthalten.

Geben Sie in der Eingabeaufforderung folgendes ein FIND /I "JoergFrey" %SYSTEMROOT%\Security\templates\policies\gpt*.*

Die Ausgabe des FIND-Befehls ähnelt der Folgenden:

---------- GPT00000.DOM

---------- GPT00001.DOM

SeRemoteShutdownPrivilege=JoergFrey

Dies indiziert, dass von allen Gruppenrichtlinienobjekten, die auf den Computer angewendet wurden, nur eins das nicht aufgelöste Konto enthält. Speziell das zwischengespeicherten Gruppenrichtlinienobjekt GPT00001.DOM.

Im nächsten Schritt wird der Anzeigename des Gruppenrichtlinienobjekts ermittelt.

[...]