daabm

Warum? Dein PC ist doch nur einmal vorhanden - verlinke die GPO da, wo der PC ist und schreibe den in den Sicherheitsfilter... Was genau ist das Ziel der Aktion?

Man könnte so einen Sermon auch anhängen statt direkt reinzukopieren... Egal: # for hex 0xa / decimal 10 : IRQL_NOT_LESS_OR_EQUAL bugcodes.h Wenn Du schon einen Dump hast: Debugging Tools installieren (sind im SDK enthalten), Symbols konfigurieren, dann windbg -> !analzye -v (http://windbg.info/doc/1-common-cmds.html) Dann weißt Du, wer der Schuldige ist. Alles andere ist Kaffeesatz.

Glaskugel sagt: OneNote speichert das Notizbuch in dem Pfad, den Onedrive automatisch anlegen würde. Damit wird es dann synchronisiert, sobald Onedrive eingerichtet ist.

Wenn ich ein funktionierendes Logon-Skript für das LW-Mapping habe, würde ich im Traum nicht daran denken, das auf GPP oder sonst ne Alternative umzubauen...

Entweder WMI (Win32_OperatingSystem, geht auch per ILT) oder auf einem Rechner machen, der das zu filternde OS kennt - kein OS kennt neuere Versionen...

...oder $PC | Add-Member Wäre halt sinnvoll, das große Endziel zu kennen und nicht nur die kleine Einzelaufgabe...

Warum kaufst Du Dir Hard- und Software, die Du nicht bedienen kannst?

Bei Firefox aktiviert man den Firefox-Sync und gut ist. Und Templates - was für Templates? Die von MS Office kannst per GPO umleiten, die von OO/Libre stecken in der Config.xml (oder wie das Ding heißt) und müssen per Skript umgebogen werden. Alles machbar und viel weniger Probleme auf Dauer.

Dann wird wohl einer der Remote-Computer aus sein. Daher mein Hinweis auf Jobs und ggf. mit Test-NetConnection abfangen. Ein Oneliner wird das nicht, wenn es schön und schnell sein soll

Der Path erscheint mir auch eigenartig - ich bin zwar kein WPP Profi, aber ohne absolute Pfadangabe, wo landet das dann? %ProgramFiles% oder %Systemroot%?

Nein, nicht in EINE Variable, dann wird daraus nämlich EIN Rechnername. COmputername kann eine Liste verarbeiten, aber das muß eine kommagetrennte Liste von Rechnernamen (oder Variablen) sein. Und ist so auch nicht zielführend. BTW: Wenn einer der Rechner nicht erreichbar ist, hängt das ganze bis zum Timeout (beim Kopieren genauso). Wenn das einigermaßen performant sein soll, wirst um Jobs nicht herumkommen Wir fangen langsam an. Schleifchen kommen später

Get-Help Foreach-Object -Examples :-) $PCListe = @( 'PC', 'PC2' ) # oder per Get-Content aus einem Text Foreach ($PC in $PCListe) { #mach irgend nen Kram mit $PC }

So wie Dukel sagt - die "eigentlichen" Benutzerdaten holt man mit FR (= Folder Redirection ) aus dem Profil raus, und damit ist das Profil wertlos für den Benutzer und kann lokal bleiben...

Ja mußt Du - Schemaänderungen führt nur der Schemamaster aus.

Hm - "referral" heißt, daß der LDAP-Server, mit dem Du grad verbunden bist, die Funktion nicht ausführen kann, weil ihm was fehlt. Wer ist Schema-Master? (netdom query fsmo) Ist dein adsiedit mit dem verbunden? Und was sagt "repadmin /showreps"?

Ich hätte noch Steine, könnte also den ersten werfen

User sollen sich ihre Drucker selber aussuchen - macht am wenigsten Arbeit. Was machst Du, wenn der User nur suspended und nicht runterfährt?

Hast Du verwaiste DCs in deiner Domäne? Für so was müssen alle DCs online und erreichbar sein...

Eigentlich gar nicht. Entweder RUP (dann roamt es mit dem Profil und wird beim Logon/Logoff kopiert und verlangsamt die Anmeldung und macht auch sonst jede Menge Ärger), oder FR (dann liegt es auf dem Umleitungsziel und nur da, macht aber noch mehr Ärger). Jan sagt es, ich sage es: Laß RUP bleiben. Und wenn Du FR verwendest: Leite die Datenverzeichnisse um (Dokumente etc), aber nicht AppData. Der wenige Kram, der da drin für den Benutzer relevant ist, kann auch von einem Logon/Logoff-Skript kopiert werden (Benutzerwörterbücher oder Templates in Office z.B. - wobei ich die per GPO eh ins Homelaufwerk schieben würde...).

Wurstel Dich hier mal durch: http://h10032.www1.hp.com/ctg/Manual/c00731218 (schon älter, aber vielleicht gilt es immer noch ) Laut der Doku muß das Zertifikat immer auch Serverauth enthalten, weil es automatisch wohl auch für den integrierten Webserver verwendet wird. Und irgendwo anders hab ich aufgeschnappt, daß nicht die CA-Kette enthalten sein darf, sondern nur das eigentliche Zertifikat.

Dann ist das auf dem Weg vom BSI in unsere Sicherheitsrichtlinien irgendwie mutiert - sicherheitsrelevant ist Verfügbarkeit bei uns nicht... Ok, wieder was gelernt

Best Practice laut MS ist inzwischen eine Subdomain der eigenen Internet-Domäne zu verwenden. Damit hat man alle Möglichkeiten...

Eine Woche Urlaub und so viele Fragen :-))) Im Prinzip ist es egal, ob Du A-G-DL-P oder A-G-L-P oder A-G-DL-L-P machst. WIchtig ist das grundsätzliche Prinzip dahinter: Globale Gruppen sind "Rollen". Rollen definieren Aufgaben, für deren Durchführung bestimmte Berechtigungen erforderlich sind. Lokale Gruppen (Domain local oder Server local) definieren genau diese Berechtigungen. Und durch geeignete Verschachtelung erhält jede Rolle die für sie erforderlichen Berechtigungen. Mit der zwischenzeitlich eingeführten SID-Compression (zusätzlich zur größeren Default-Ticket-Size) sollte das kein Problem mehr darstellen. Globale Gruppen sind IMMER drin. Was ist daran unüblich? Wir leeren auf allen Non-DCs die lokalen Admins und füllen die dann bedarfsorientiert auf. Für Dienste, die unter Service-Accounts laufen, hat das keine Auswirkung, da bereits bestehende Anmeldesessions davon nicht beeinflußt werden.

Warum haben die Leute immer so panische Angst davor, was im Schema zu ändern? Den Default-SD kann man ja bei Bedarf sogar wieder zurückändern - und ja, wir haben das auch immer so gelöst: Erst Default-SD für die jeweilige Objektklasse angepaßt, dann per Skript alle bereits bestehenden Objekte dieser Klasse aktualisiert.

Abgesehen von dem seit Jahren unsupporteten Betriebssystem könnte ihm ja auch mal jemand helfen Using the BurFlags registry key to reinitialize File Replication Service replica sets Edit: Ich werd alt - sehe grad "Zugriff verweigert" da war's dann doch wohl MS16-072 oder was in der Richtung...