Sunny61

Hallo zusammen, beim Versuch NTFS-Berechtigungen auf per Script neu erstellte Ordner zu setzen, bekomme ich beim folgenden Code die ebenfalls folgende Fehlermeldung: # Code ist nicht von mir, copy + paste aus dem Netz $Folder = "\\DomB.local\Daten\Teilnehmer\Name\Nummer" $Gruppe = "DomB.local\ACC_TNG_Nummer_DL" $acl = Get-Acl $Folder $AccessRule = New-Object System.Security.AccessControl.FileSystemAccessRule($Gruppe, "FullControl", "ContainerInherit, ObjectInherit", "None", "Allow") $acl.SetAccessRule($AccessRule) $acl | Set-Acl $Folder Fehlermeldung beim $acl.SetAccessRule($AccessRule): Ausnahme beim Aufrufen von "SetAccessRule" mit 1 Argument(en): "Manche oder alle Identitätsverweise konnten nicht übersetzt werden." Der ausführende User ist in DomA angemeldet und hat in DomB auf dem Ordner die entsprechenden Rechte um die Berechtigungen hinzufügen. Tausche ich den Namen der Gruppe gegen die SID der Gruppe bekomme ich die gleiche Fehlermeldung. Auch wenn ich die DomB.local weglasse kommt die gleiche Fehlermeldung. Trage ich einen Benutzer ein, funktioniert es. Hat jemand noch eine Idee wie man das lösen kann? Vielen Dank schon im Voraus. BTW: Es gibt ja auch von Raimund Andrée File System Security PowerShell Module: https://gallery.technet.microsoft.com/scriptcenter/1abd77a5-9c0b-4a2b-acef-90dbb2b84e85 das hab ich auch ausprobiert, funktioniert nur mit der SID, nicht mit dem Namen der Gruppe. Ja, man kann natürlich die SID zum Namen auslesen, aber es sollte ja eigentlich auch nur mit dem Namen funktionieren. Beim User geht es ja auch.

BTW: Der Exchange ist immer noch nicht auf dem aktuellsten Stand, es fehlen noch 3 Sicherheitsupdates: https://buildnumbers.wordpress.com/exchange/#ex2013

Jede Software die du installierst braucht Admin Rechte? Sicher? Schlechte Idee, ganz schlechte Idee.

Wenn das Gerät in der Firma ist über WLAN anbinden, oder geht das nicht? Und dann mobile Daten abschalten.

Aber eben sonst nichts. Du hast also keinerlei Kontrolle darüber, welche Updates gedownloadet und installiert werden. Ebenfalls werden die Upgrades gedownloadet und installiert, so wie sie MSFT freigibt. Und alle Clients/Server holen sich die Updates direkt aus dem Netz. Eigentlich hast Du gar keine Kontrolle über deine Server und Clients.

Hat denn die Einstellung mit dem GPOs jetzt gepasst? Was steuerst Du dann über GPO?

Dann nimm doch den WSUS/WPP her um damit auch andere Software bereit zu stellen. BTW: Es heißt aufsetzen. Hä? Wie genau sieht denn jetzt dein Konzept zum patchen der Systeme aus? Jeder macht was er will? Mit einem WSUS hast Du Kontrolle und holst alle Updates nur einmal. Aber dazu solltest Du einen eigenen neuen Thread eröffnen.

Sharepoint ist so ziemlich das schlimmste in Sachen patchen. ;)

Never touch, so oder so ähnlich geht doch der Spruch los. :)

Wow, der ist ja fast gar nicht gepatcht: https://docs.microsoft.com/de-de/exchange/new-features/build-numbers-and-release-dates?view=exchserver-2019#exchange-server-2010-sp3-build-numbers

Für die Suche benutze ich sehr gerne den kostenlosen Agent Ransack: https://www.mythicsoft.com/agentransack/

Es ist gefühlt 100 Jahre her, dass es Probleme mit Updates für Windows Server gab.

Weshalb kein aktuelles OS? Server 2008 und/oder 2008R2 ist aus dem Support.

+1 :)

Wir hatten das bei einem früheren AG mit W8.1 und SSDs gemacht, 30 Sekunden Wartezeit eingestellt, ab diesem Zeitpunkt gab es keine Reklamationen mehr in Sachen Laufwerke nicht vorhanden oder ähnliches. Das waren allerdings auch nur Desktop Rechner, die wurden auch nur einmal am Tag eingeschaltet. Da konnte man schon die 30 Sekunden warten.

Das GPO mit der Wartezeit beim Reboot wird schon geholt. Probier es zuerst an einer Testmaschine aus, den Unterschied siehst Du sehr schnell, wenn Du 30 oder 60 Sekunden als Wartezeit angibst.

Weshalb April? Wir haben Mai. Da es kumulative Updates sind, reicht immer das letzte CU aus.

Weil der Rechner zu schnell startet. Handbremse anziehen, dann sollte es funktionieren. https://www.gruppenrichtlinien.de/artikel/ssd-zu-schnell-synchroner-startvorgang-nicht-moeglich/ Alternativ auf den WSUS Packager Publisher in Kombination mit dem WSUS umsteigen, dann funktioniert das ohne gpupdate und reboot. https://www.wsus.de/ > WSUS Package Publisher

Der User1 hat vermutlich kein Recht den Task auf einem Server zu starten. Das kann man per GPO einstellen.

Läuft der Task mit erhöhten Berechtigungen? Oder mit einem anderen User? Kannst Du den Task auf dem W7 exportieren und auf dem W2019 importieren?

Der Dienst Computerbrowser ist für die Netzwerkumgebung zuständig, auf W10 (1803, etwas anderes habe ich hier nicht) ist der Dienst nicht mehr vorhanden. Wird IMO von MSFT auch nicht mehr unterstützt. Wie das allerdings mit Samba zusammenspielt weiß ich nicht.

Zeitfenster legt man auch im GPO fest. Kontrolliere ob Du mit den richtigen ADMX-Templates arbeitest. Bei einem Central Store musst Du die ADMX-Templates der verwendeten W10 Version in den Central Store kopieren. Falls ihr keinen Central Store habt, kannst Du die GPMC.MSC auf einem passenden Client installieren und dort aus die Versionsabhängigen GPO-Einstellungen setzen.

Auch das macht der WSUS nicht, nur der Admin genehmigt. Und weshalb soll man nur genehmigen und der WSUS nichts downloaden? Hast Du es so eingestellt, dass Du am WSUS genehmigst und jeder Client holt sich die Updates direkt bei MSFT? Du sitzt am WSUS und genehmigst die Updates, entweder für alle oder nur für bestimmte Gruppen. Die Rechner in den Testgruppen testen dann die Updates, läuft alles rund, kannst Du sie auf den Rest genehmigen. Je nach bunter Infrastruktur kann man trotzdem noch auf Fehler laufen, oder auch nicht. Dukel hat hier im Forum mal ein Script gepostet um Updates verzögert freizugeben. BTW: Für mich liest sich das von dir so, als ob Du eine Standard Genehmigungsregel hast, die alles für jeden sofort freigibt wenn die META Daten synchronisiert werden. BTW2: Fremde Threads kapert man nicht. Besser ist es einen eigenen Thread zu erstellen.

Erklär doch bitte die letzte Zeile nochmal. Der WSUS selbst gibt keine Updates frei, das macht der Admin. Dann werden die freigegebenen Updates gedownloadet. Was genau meinst Du? Wenn DisableDualScan auf 1 steht, gehen die Clients nicht mehr Online zu WU und kontaktieren MSFT. Du kannst natürlich auch den dritten Eintrag in den Einstellungen setzen, dann kann kein Client mehr Online zu WU gehen. Zusätzlich sollte man den Weg auf der Firewall zentral versperren. Erst dann kann man sich ganz sicher sein, sofern man das so möchte. Wer schreibt das wo? Hast Du das selbst schon verifiziert? Wer aktiviert Online? KMS ist das Zauberwort.

Mit den Nutzungszeiten und dem Reboot außerhalb der Nutzungszeiten kann man die User schon konfrontieren. Sie sollen schon etwas mitkriegen. So manche User warten immer auf die Updates, denn dann wissen sie das sie zuhause auch Updates installieren können/sollen. ;)