Jump to content

kaineanung

Members
  • Content Count

    322
  • Joined

  • Last visited

Community Reputation

12 Neutral

About kaineanung

  • Rank
    Member

Recent Profile Visitors

The recent visitors block is disabled and is not being shown to other users.

  1. Hallo Leute, ich habe einige GPOs und bei manchen läuft ein wenig was schief. Ich habe diverse Einstellungen zu Energieoptionen in einer Grundkonfigurations-GPO (nennen wir mal Firmen-GPO) und 7 GPOs für jeweils eine Abteilung eine eigene GPO (zuständig für Vorlagen, Laufwerksmapping und eben Abteilungsabhängige Dinge). Jetzt liefert mir die Ereignisanzeige (System) eine Warnung, Quelle: Microsoft-Windows-GroupPolicy mit der EreignisID: 1085. In der Allgemeinen Beschreibung: Fehler beim Anwenden der "Group Policy Power Options"-Einstellungen. Die "Group Policy Power Options"-Einstellungen besitzen möglicherweise eine eigene Protokolldatei. Klicken Sie auf den Link "Weitere Informationen". Unter Details finde ich dann XML-Like Knotenpunkte zu "System" mit diversen Unterpunkten und "EventtData" mit diversen Infos die mich aber überhaupt nicht weiterbringen. Nicht einmal eine ID des GPO-Objektes oder der Gleichen. Geschweige denn einen Hinweis welche der Einstellungen den Fehler oder die Warnung verursacht? Meine Frage an euch Profis ist: Wie kann ich die GPO-Fehler eigentlich genau debuggen? Wo sehe ich was schief gelaufen ist? Ich kann mit gpresult /r mir diverses anzeigen lassen in der Konsole, aber das ist dann auch nur 'Oberflächlich' bzw. Allgemein wie z.B. welche GPOs ausgeführt wurden, welche Sicherheitseinstellungen GPO-Objekte verhindert haben usw. Was ich aber brauche wäre jetzt konkret: Welche GPO? Computer- oder Benutzerkonfiguration? Welcher Punkt genau die Warnung/Fehler ausgelöst hat? Es kann ja nicht sein das ich das dann mit Try & Error oder dem Ausschlussverfahren selber herausfinden muss welche GPO und dann welcher Punkt genau das alles verursacht hat? Vor allem dann nicht wenn es mal in Echtbetrieb läuft... Wie macht ihr das? Wo findet man die ganzen Informationen? Gibt es ein Tool dazu oder ist es irgendwo in einer Textdatei oder irgendwas?
  2. Ok, damit ist die Reihenfolge Computer / Benutzer-Richtlinienreihenfolge beantwortet. Die Computerrichtlinie gewinnt WENN es zwei entgegengesetzte Richlinien gibt. Das ist aufgrund der festgelegten Priorität so und nicht 'wer zuletzt schreibt gewinnt' da dies ja sonst andersherum der Fall wäre (Computer-Richtlinien werden beim Start des Computers abgearbeitet und die Benutzerrichtlinie beim anschliessenden Anmelden des Benutzers). Der Artikel sagt aber nicht aus ob zuerst das 'Logon-Script' und erst dann die Verknüpfungssektion oder andersherum? Ich habe irgendwo gelesen das richtigerweise zuerst Ordnerfunktionen ausgeführt werden und erst dann Dateifunktionen. Kurz gesagt: der Artikel beschriebt die Reihenfolge Comouter/Benutzer und eventuell verschiedene GPOs. Aber innerhalb einer GPO welche Sektionen zuerst abgearbeitet werden weiß ich immer noch nicht (oder habe ich im Artikel irgendwas falsch verstanden gehabt?). Wird zuerst das Anmeldescript ausgeführt und dann die Sektion für Verknüpfungen oder andersherum?
  3. Hallo Leute, ich hätte da mal wieder ein Frage bezüglich GPO/GPP: mich interessiert ob es eine bestimmte Reihenfolge gibt in welcher die GPOs und GPPs abgearbeitet werden und auch ob zuerst GPO und dann GPP oder andersherum (also beide Reihzenfolgen: einmal GPO/GPP und einmal jeweils intern). Konkret geht es um folgendes: Ich nutze ein Logon-Script um bei bestimmten Usern ein Verzeichnis auf den lokalen PC zu kopieren und dann will ich ein Desktop-Link zu einer Ausführbaren Datei in diesem Verzeichnis erstellen. Natürlich stellt sich die Frage dann nach der Reihenfolge in welcher die Einstellungen abgearbeitet werden. Man kann ja kein Link erstellen auf Dateien die noch nicht vorhanden sind..
  4. Ich bin halt 'am Ende der Fahnenstange' was Entscheidungen betrifft. Ich setzte das um was die IT-Vorgesetzten wollen. Ich äussere meine Meinung, sie wird zur Kenntnis genommen und die Entscheidung liegt aber nicht bei mir. Wenn das von MS so nicht gewollt ist: wieso sind die Felder überhaupt noch da nur eben ausgegraut?
  5. Ich will mich nicht in unsere Werbeabteilung einmischen. Die machen das schon seit JAhrenso und sind auch etwas 'eigen' und daher belasse ich das so wie es ist. Entweder es geht mit GPP, was mir echt am liebsten wäre (alles andere empfinde ich als gepfuscht -> noch mehr als ihr das vielleicht gerade seht) oder ich muss es dann per Logonscript machen. Gibt es eine Möglichkeit dies per GPP zu lösen? @mba was ist 'net drive'? Softwarelösungen von Drittanbieter: eher ungern wenn es auch mit Bordmitteln geht. Meine letzte Lösung ist eben 'net use' in einem Logon-Script.
  6. Hallo Leute, ich habe mal wieder ein kleines Problem bei dem ihr mir sicherlich behilflich sein könnt. Wir haben ein Webserver in unserer DMZ auf Basis eines SUSE-Linux-Servers, welcher nicht in die Domäne angebunden ist und das auch so bleibt. Diesen Webserver administriert unser externer Dienstleister für Webdesign zusammen mit unserer Werbeabteilung. Die Werbeabteilung benötigt Laufwerkszuordnungen auf Freigaben dieses Servers, was bisher mit der LOGON-BATCH per net use gemacht wurde und der Benutzername dort angegeben wurde mit welchem diese Verbindung hergestellt werden soll. Dies scheint in der GPP so nicht zu funktionieren da die Felder für das 'Verbinden als' ausgegraut / deaktiviert sind. Ich lese im Forum das es bei älteren MS-Servern genügt hat 1-2 Patches zu deinstallieren, zu W2K16 finde ich aber nichts (ist auch sicherlich nicht per Patch deaktiviert worden sondern gleich im Betriebssystem fest verankert -> obwohl, das Feld ist ja noch sichtbar?). So, meine Frage ist nun: gibt es doch Möglichkeiten dieses 'Verbinden als' doch noch zu nutzen oder muss ich auf Logon-Script ausweichen und dort 'net use' nutzen?
  7. Danke dir. Wie bereits geschrieben bin ich irgendwie selber darüber gestolpert. Ich habe mir das ja so bereits gedacht gehabt, aber nicht gewusst wie ich die einzelnen Elemente in die Sammlung aufnehme. Drag&Drop hätte ich an dieser Stelle irgendwie nicht vermutet weil nichts darauf hinweist und die 'haptik' dieses Fensters auch keine Hinweise darauf gab. Danke für die Hilfe, sehr nett von euch allen, wie immer! ;)
  8. Hallo Leute, ich habe da mal wieder ein kleines Problem bei welchem ihr mir wahrscheinlich helfen könnt. Ich habe eine GPO für ein Team (nennen wir es T6) welches ich dann auf das gesamte Team (T6 und alle seine Untergeordneten Teams T600, T601, T602, usw.) per Sicherheitsfilter filtere. Somit wird diese GPO nur dann ausgeführt wenn der User sich auch in dem entsprechenden Team befindet. Jetzt habe ich eine ganz spezielle Vorlage die nur T600 und T601 kopiert bekommen und zwar nur die die natürlich Office installiert bekommen haben. Ich habe in der Zielgruppenadressierung dann "Benutzer ist Mitglied der Sicherheitsgruppe T600" OR "Benutzer ist Mitglied der Sicherheitsgruppe T601" AND "produkt {90140000-001B-0407-0000-0000000FF1CE} des MSI ist vorhanden" So, ich brauche hier nun die ersten zwei Elemente in einer Klammer bevor ich das Resultat dann mit dem MSI-Produktcode verknüpfe. (Gruppenzugehörigkeit T600 ODER T601) UND MSI Produktcode {90140000-001B-0407-0000-0000000FF1CE} Jetzt die Frage aller Fragen: Wie kann ich in der Zielgruppenadressierung Klammern setzen oder es so drehen das sich das Ganze so wir gewünscht verhält? Ich könnte natürlich noch eine GPO erstellen und die dann per Sicherheitsfilter nur auf die 2 Gruppen filtern und dann Zielgruppenadressierung auf den MSI-Code machen. Aber wenn solche Dinge ausarten habe ich schnell viel zu viele GPOs. Ausserdem könnten noch weitere Verknüpfungen hinzukommen die dann eine Klammersetzung obligatorisch machen z.B. eine oder mehrere Gruppenzugehörigkeiten (T600 ODER T601 UND eine oder mehrere Produktcodes (für 32-Bit ODER 64-Bit Office) UND eine Sprache muss stimmen -> (Gruppe T600 OR T601) AND (MSI-Code 90140000-001B-0407-0000-0000000FF1CE OR 90140000-001B-0407-1000-0000000FF1CE) AND Sprache = Deutsch. Hier kann ich dann nur noch mit Klammern arbeiten. Das wollte ich nur illustrieren das keiner mit dem Vorschlag kommt daß ich das mit Sicherheitsfilter und Zielgruppenadressierung unter einen Hut bekommen kann (was bei meinem konkreten Fall ja noch hinhauen würde mit einer nicht gewünschten seperaten GPO). Hmm, ich glaube ich habe es gefunden: Sammlung hinzufügen + Die gewünschten Elemente per Drag & Drop reinziehen und OR-Verknüfen. ISt nicht auf anhieb ersichtlich.. Aber falls jemand danach suchen soltle findet hier jetzt auch eine Antwort ;)
  9. @daabm Das heißt aber ich muss die Vorlagenverzeichnisse umbiegen und zwar statt auf den Server eben auf diese PFade die du genannt hast, richtig? Wenn das so gemeint ist: ja, das wäre eine Möglichkeit. Jetzt habe ich aber nur 3-5 Vorlagen und das belasse ich momentan noch in der GPP. Wird sicherlich mehr und dann überlege ich mir dieses Konzept. Ich muss jetzt unsere irre große Logon-BAT irgendwann fertig bekommen (migraion in die GPO) und ich denke mit GPP ist es ja nicht ganz falsch für hier und jetzt. Zu GPP habei ch jedoch trotzdem noch eine Frage: ich habe den Typ 'Aktualisieren' und 'Ersetzen' noch nicht ganz verstanden? Ersetzen löscht auf jeden Fall jedes mal die Datei und kopiert aus der Quelle nochmals, richtig? Nicht nur beim Login des Users (oder Starten des PCs wenn Computerkonfiguration) sondern bei jedem GPO-Update-Intervall, richtig? Wie verhält sich das 'Aktualisieren' dann in Wirklichkeit? Wir nur dann Ersetzt wenn es Änderungen gibt in der Datei? Welche Änderungen zählen da? Wenn der Inhalt, das Änderungsdatum oder was genau unterschiedlich ist? Wenn es am Änderungsdatum festgemacht ist: wird es 'aktualisiert' wenn auch die Quelldatei älter ist als die lokale am Client? Ist ja unterschiedlich... Und das Aktualisieren macht es ja im Grunde auch so daß die Datei zuerst gelöscht und dann kopiert wird, richtig?
  10. Ja, kenne ich NOCH nicht... Werde ich mir mal in einer ruhigen Minute mal anschauen. Danke! ;)
  11. Wir haben das Beste vom Besten laut unserer sehr professionellen externen Sicherheitsdienstleister und FW-Spezialist Firma. eine Paloalto pa-820. Wir sind neu im Geschäft mir der Anbindung an die AD und das ist was man uns dann eingerichtet hat? Bisher mussten wir Gruppen auf der FW einrichten lassen in welche wir dann IP-Adressen hinzugefügt oder entfernt hatten. Ich bevorzugte dies auf Benutzerbasis zu machen und daher dieser Schritt.... WMI-Abfrage ist auch eine Möglichkeit, da wir aber eine Subdomäne haben die nicht wir selber verwalten sondern ein Semi-Pro-Admin mit unserer Unterstützung, haben wir ein Besrechtigungsproblem. An der FW kann man nur einen AD-User hinterlegen der WMI-Berechigt ist. Dazu habei ch ja bereits hier im Forum gefragt gehabt ob man einen User der in beiden Domänen WMI-Berechtigt ist, anlegen kann. Scheint nicht zu funktionieren... Aber zurück zum Thema: WOW, das mit der IP-Adresse hat geklappt! Was zum Teufel...? Wo ist der Unterschied??? Dachte immer der Name wird im Hintergrund aufgelöst und es wird IMMER mit IP gearbeitet! Warum erstellt der jetzt im Sicherheitslog einen Anmeldeeintrag wenn man mit IP statt des Namens auf eine Share geht???? Jedenfalls hat es funktioniert! Danke! Ach die Frage habe ich vergessen zu beantworten: Es ist egal ob der Benutzer auf vielen PCs angemeldet sind. Die IP-Adresse ist einzigartig und dazu muss ein Benutzer assoziiert werden. Ob der Benutzer noch woanders angemeldet ist, ist der FW egal da sie entweder diese eine IP-Adresse durchlässt oder blockt aufgrund des assoziierten Benutzers zu dieser IP-Adresse. Es ist ein Problem wenn auf einem PC mehrere User angemeldet sind. Da zählt dann immer nur der letzte. Somit haben wir ein Problem wenn sich auf einer Windows-Maschine ein User anmeldet, dann aus welchen Gründen auch immer den User 'wechselt (Administrator zum irgendwas installieren als Beispiel). Da wird plötzlich der IP-Adresse der Administrator zugewiesen und nicht der ursprüngliche User.. Ich bin mir aber nicht sicher ob die FW auch das Abmelden berücksichtigt. Dann wäre ja wieder alles ok... Kann ich ja mal testen. Jetzt muss ich aber erst aktuellere Probleme lösen. Denn unsere Subdomain macht auch Probleme. Dort haben einige Benutzer auch ein Konto in der Hauptdomäne (zwecks LDAP auf einige unsere Systeme) und da wird mal das Subdomain-Konto und mal das Hauptdomänen-Konto des Users 'gematcht'...
  12. @Dukel LOGON-BAT wird in 6-8 Wochen abgeschafft. Arbeiten hier noch mit einem alten W2K3-Server als DC. Habe schon fast alles in GPO transferiert und werde es dann nur noch auf die DC ausrollen. LOGON-BAT Ciaos.... Aber bis dahin brauche ich den letzten Sicherheits-LOG-Eintrag des angemeldeten Users und nicht des Administrators. Und da ich in der LOGON-BAT auch SPC-Dateien (verschlüsseltes 'runas') als Administrator ausführe, wird dieser als letzter Benutzer in die LOG-Datei eingetragen. Meine Idee war: ich mache lediglich ein Pseudo-Zugriff auf eine Freigabe in der LOGIN-Datei am Ende mit einem Zeitverzug von 2 Sekunden. Also einfach \\server-blabla\Freigabename$ Aber ich erhalte in der LOG-Datei Administrator als auch Testuser haben den gleichen Zeitstempel auch wenn ich eine Verzögerung einbaue?!? Das Ende der LOGON-Batch sieht so aus: \\server-blabla\firma$\PUBLIC\Admin\script\runasspc\runasspc.exe /cryptfile:"\\server-blabla\firma$\PUBLIC\Admin\script\del_files.spc" /quiet :ende @ping localhost -n 2 > NUL ::@timeout /T 2 \\server-blabla\Freigabename$ Statt des Pings habe ich auch mal timeout genutzt (soll ab Vista ja funktionieren... habe fast keine XPs mehr in der Firma (1-2 Sonder-Clients noch mit XP). Auch habe ich beides drinnen gelassen. Es funktioniert nicht bzw. die Zeitstempel der Security-LOG-Einträge sind identisch bis auf die Sekunde. Daher vermute ich jetzt das der alleinige Zugriff auf den Share des DC nicht als Anmeldung zählt.... Ich brauche hier was anderes...
  13. Da steht 'requires administrator rights'. b***d: wenn ich das als RunAs Administrator mache dann habe ich wieder den falschen User in der Logdatei. Gibt es irgendein kurzen 'Pfusch' den ich machen kann?
  14. Hätte ja sein können das die Definition eines Proxies besagt TCP funktioniert, mir egal was für ein Protokoll im Header steht... FTP, SFTP, diverse Sonderprotokolle diverser Programme die Sonderlösungen sind, Web-Konferenz-Software, dies und jenes. Eben alles was so im Alltag einer Firma anfällt oder anfallen kann...
  15. Proxy geht mit allen Protokollen? Und jeder Proxy kann mehrere Domänen abfragen? Wenn er LDAP kann dann kann er auch AD-Gruppen Filtern statt den User, richtig?
×
×
  • Create New...