igwadmin

vor 18 Stunden schrieb daabm:

Hast Du evtl ein Kerberos Token Bloat Problem? Zu viele Gruppenmitgliedschaften, dann fehlen sporadisch und zufällig welche...

Hi,

 

wie bekomme ich das den Raus?

 

 

 

Am 2.5.2018 um 11:39 schrieb zahni:

Ist  das eine eigene Gruppe gewesen? Welcher Gruppentyp? 

Also ich habe in der Domäne eine Lokale Sicherheitsgruppe angelegt, dort den User rein getan ( clientadministrator) , dann habe ich per GPO diese Gruppe auf den Clients zur Administratorengruppe gesteckt und die Domänen Admins raus (war auf nem Lehrgang da hat man das so praktiziert).

 

Das unlogische ist hal das es bei manchen geht und bei manchen nicht, aber ich kann mich immer als Clientadministrator am Client nach dem Boot anmelden und habe die Adminrechte

.

 

vor einer Stunde schrieb NilsK:

Moin,

 

sorry, aber für mich klingt das erst mal nach einem Tippfehler beim Kennwort. Oder der User ist im AD gesperrt/deaktiviert.

 

Gruß, Nils

 

Hi,

 

 

also definitiv kein Tippfehler ich habe es xxx Fach versucht bei ca. 30 von 60 Clients nimmt er den User per UAC Abfrage nicht.

Logge ich mich direkt mit dem User ein geht es.

Ich weiß auch nicht woran das ganze liegt, auch im Event log finde ich nichts.

 

Der User ist im AD angelegt ebenso eine Gruppe Client Administratoren, die Gruppe wurde dann  per gpo in die lokale Administratorengruppe gemappt, so das nur der die Gruppe und der Administrator in der lokalen Administratoren Gruppe ist.

Testweise habe ich mein Konto mit reingenommen und wenn der den UAC Dialog nicht akzeptiert hat habe ich mein Kürzel und Passwort genommen.

 

Was ich jetzt ausprobiert habe ist das ich nicht die Domänen Client Administratoren gruppe in die Lokale Aminogruppe gemappt habe sondern den User direkt analog mein Konto, jetzt geht es.

 

 

 

 

 

Domänen User welcher lokaler Admin auf den Clients ist.

 

Ich verstehe das einfach nicht warum er das nicht akzeptiert.

 

Gibt es evtl. logs wo man schauen kann im Event log finde ich gar nichts.

 

Hallo Miteinander,

 

ich habe bei uns in der Firma ein Problem mit der UAC und einem Admin Konto.

Ich habe auf den Clients per GPO ein neuen User zu den Administratoren (Gruppe) hinzugefügt.

Wenn man sich jetzt als der neue User anmeldet, hat man auch nach dem UAC Dialog die Adminrechte.

Melde ich mich aber als Standard User an (ohne Adminrechte) dann gehe ich z.b. auf die cmd als Admin ausführen, gebe die Daten des neuen

Users ein (wo ich per GPO zum Admin gemacht habe) dann akzeptiert der das nicht. Die UAC kommt immer wieder mit der Namens und Passwort Aufforderung.

Wenn ich meine Daten nehme (bin auch in der Admingruppe) dann geht es sofort.

 

 

Wir haben ca. 60 Clients, bei 20 ist das so die anderen funktionieren.

Hallo guten Moregn,

 

ja es ist Windows 10 ich werde besagtes versuchen wobei schnellstart gibt es bei uns nicht, alles abgeschalten.

 

Was mich aber noch interessiert von wo zieht der Client die Gpos vom DC wo er sich anmeldet? Was passiert wenn der die Infos der erstellten gpo

vom anderen DC noch nicht hat? Wie lange ist denn die Zeit bis nach einer Erstellung der GPO der andere auch die Info hat?

 

Grüße

Hallo Miteinander,

 

ich hätte mal eine Frage bezüglich Gruppenrichtlinien.

 

Wir haben gestern unser CAD Programm geupdatet , hier habe ich ein Startscript per GPO erstellt welches vor dem Windowslogon die Installation anschmeißt.

 

Jetzt habe ich die gpo verlinkt und die betreffenden PCs neugestartet, jedoch wurde die Installation nicht ausgeführt. Erst wenn ich in der cmd gpupdate /force gemacht

und dann neu gestartet habe hat es funktioniert. Auch Pcs wo aus waren haben im ersten start nichts installiert, erst ein Einloggen gpupdate /force, Neustart brachte erfolg.

 

Wie lange dauert es nach dem erstellen bis die gpo wirkt? Ich finde immer nur das alle 90 min +- 30 die Richtlinien neu verarbeitet werden.

 

Wie ist das denn eig. wenn ich 2 DCs habe und die gpo auf dem einen erstelle muss diese ja noch der AD Replikation und FRS gesynct werden, kann es sein das die Clients sich am anderen

DC die Infos holen und die Replikation der beiden DCs noch nicht gelaufen ist?

 

Um Hilfe wäre ich euch dankbar

 

Grüße

 

 

Am 4.4.2018 um 11:52 schrieb NorbertFe:

Ist das nicht relativ klar erkenntlich anhand deines Screenshots? ;) die globale Adressliste enthält üblicherweise alle Exchangeobjekte (Verteiler, Mailenabled public Folders, Mailboxen usw. usf) und eine Adresseliste immer einen gewissen gefilterten Anteil davon. (die heißen ja nicht umsonst "alle Benutzer", "Alle Kontakte", usw.)

 

Bye

Norbert

da steht doch ein gefilterter Anteil vom Gal?

 

Du hast doch selber

Am 5.4.2018 um 07:31 schrieb NorbertFe:

Solltest du dir abgewöhnen. :)

mal abgesehen davon, dass afaik ein User eine gal braucht, hängen die Adressliste nicht von der gal ab. Wie kommst du auf deine Vermutung? 

Du hast doch selber geschrieben, die Adresslisten sind eine Teilmenge bzw. gefilterter Anteil des GAL.

Daher komme ich zu der Annahme das die Adresslisten vom GAl abgeleitet sind.

 

So wie du jetzt aber geschrieben hast sind die Adresslisten extra für sich und das GAL, haben also an sich nix miteinander zu tun?!

 

 

 

Guten Morgen,

 

 

das heist dann aber auch wenn ich das GAL löschen würde wären auch die Adresslisten weg, da diese ja vom GAL abgeleitetet sind?

 

 

P.s ich hantiere lieber mit Ip Adressen als mit Namen

Hi,

 

im Anhang mal ein Foto von dem wo mein Problem ist.

 

Es gibt doch eine Globale Adressliste (Typ Globale Adressliste) und normale Adresslisten (Typ Adresliste)

was ist da der Unterschied???

 

 

und die Addresslisten was sind die, eine Ableitung der GAL oder worauf beziehen die sich?

 

 

Bedeutet das dann das eine Adressliste auf dem Exchange vom GAL abgeleitet wird?

 

Wenn man das GAL aktualisiert sind dann auch die erstellten Adressliste aktuell?

 

Ich dachte immer das GAL steht immer sofort zu Verfügung und nicht das das auch 24 Std. braucht?

 

Ist das OAB und das GAL dasselbe Adressbuch nur das das OAB auch offline zur Verfügung steht oder sind das zwei unterschiedliche

Adressbücher wo unterschiedlich gehandhabt werden?

 

Grüße

Hallo Miteinander,

 

Kann mir jemand sagen was der Unterschiede zwischen "Globalen Adresslisten" und "Standard Adresslisten" sind?

 

Ebenso habe ich oft das Problem das in den Adresslisten wo wir haben nicht immer neu angelegte Exchange Konten angezeigt werden auf den Clients?

 

Im Outlook gibt es ja senden empfangen Adressbuch herunterladen, das hilf aber auch nicht.

 

Kann es sein das man auf dem Exchange (2016) noch die Addresslisten neu erstellen muss?

 

Grüße und danke für die Hilfe

 

 

 

 

Gut,

 

dann wäre aber immer noch die Frage wie ich Exchange dazu bringe die Änderungen im AD (zeitnah ) zu übernehmen?!

 

Grüße

Heist das jetzt das der Exchange das automatisch übernimmt nach x stunden?

Im Inet lese ich oft was mit cacheLimit und dem Postfachspeicher neu starten wenn man die 2 std. nicht warten will.

 

Also ich habe jetzt im AD den DisplayName und den CN geändert, im Exchange steht aber noch der alte.

 

Eine frage mal noch nebenher was ist der Unterschied zwischen CN und dem DisplayName?

 

Grüße und Danke

Hallo Miteinander,

 

einmal folgende Frage wenn ich im Exchange 2016 Verteilergruppen anlege werden diese ja im AD gespeichert.

Wenn ich jetzt im Nachgang den Namen der Gruppe ändern möchte, warum kann ich das dann nicht im AD machen bzw. wenn ich

den Namen im Ad umbenenne übernimmt das der Exchange nicht, in der Konsole heist er dann noch immer wie vor der Umbenennung.

Wir müssen einige Gruppen umbenennen und da geht das im AD Schneller.

 

Grüße und danke schon mal

 

Marcel

 

 

 

Morgen miteinander,

 

also das Outlook ist eine Click to run Version.

 

Wenn ich beim Popup auf abbrechen klicke ist die Verbindung nach ca. 5 sek. weg.

 

Grüße

 

Hi,

 

Hi,

 

also Outlook ist Outlook 2016 1801 (Build 9001.2171)

 

Exchange 2016 ist Version 15.1 ‎(Build 669.32)‎

 

Wir hatten auch oft das Problem das Outlook oft mittendrin anzeigte nicht verbunden zu sein.

Hier half dann nur ein netsh int ipv4 reset, Neustart und es lief wieder bis nach ca. 3 mal neustarten von Outlook

wieder das Problem war.

 

Grüße Marcel

Hallo Miteinander,

 

wir haben bei uns ein Problem in der Firma mit Exchange 2016 und Outlook (2013,2016), manchmal kommt bei einigen

Usern beim Start von Outlook eine Passwort abfrage (siehe Foto Anhang).

Komisch ist das unten verbunden steht aber die Abfrage kommt, auch verschwindet das verbunden nach 2 mi und es steht getrennt da.

Gibt man den Usernamen ein geht es.

 

Wie bekomme ich raus warum das so ist bzw. kann mir das einer erklären?

 

Das haben nicht alle User , was auch merkwürdig ist.

 

General für mich mal die Frage wie erfolgt die Authentifizierung bei Exchange, ist das Kerberos  (da ja AD) oder NTLM?

Ich hoffe ihr könnt mir helfen.

 

Grüße Marcel

 

 

also ich habe es eben nochmal versucht, in das script habe ich noch /log "Pfad..." reingebaut.,Jedoch wird nach Erscheinen der Fehlermeldung nichts in das Log geschrieben.

Melde ich mich aber an , gehe auf die UNC Freigabe und starte die bat Datei, dann poppt die UAC auf danach wird die msp komplett installiert und im Log steht das alles erfolgreich war.

"Ein Update wurde durch Windows Installer installiert. Produktname: Plancal® nova 12.1 x64. Produktversion: 12.1.0.11. Produktsprache: 1033. Hersteller: Trimble Inc.. Updatename: 12.1 (Patch 2). Erfolg- bzw. Fehlerstatus der Installation: 0."

 

Warum funktioniert das aber nicht per GPO vor dem logon, die Installation erfolgt doch als Lokales System und der Zugriff auf die UNC unter dem Computerkonto z.b PC-Mutermann$.

 

Merkwürdig ist das es bei einigen PCs funktioniert und bei einigen eben nicht.

 

Grüße

Hallo,

 

ja wenn ich mich anmelde und unter dem Pfad gehe wo das Script liegt und dies ausführe lässt sich alles ganz normal installieren.

 

Merkwürdig

Hallo Miteinander,

 

 

Ich habe mal eine Frage bezüglich MSI Installation, wir haben bei uns in der Firma eine CAD Software Plancal, wenn jetzt Patches erscheinen (als msp)

Gibt es vom Hersteller eine cmd Datei welche auf die msp verweist.

 

msiexec /p novapatch_x64_12.1.0.2.msp /qb REINSTALL=ALL REINSTALLMODE=omus

 

Die cmd binde ich per gpo als startscript ein und verlinke Sie auf die entsprechende OU.

 

Bei ca. 10 Clients wird der Patch nach dem Windows Neustart vor dem Windows Logon Installiert, bei den anderen 10 gibt’s ne Fehlermeldung.

 

Im Anhang mal der Fehler.

 

Kann mir einer sagen wie ich jetzt am besten rausfinde wo es da klemmt?

 

Die PCs sind alle identisch.

 

Der Hersteller meinte es müsse bei uns irgentwo das Problem sein, toll Antwort....

 

Grüße

Hallo Miteinander,

 

 

Ich wollte jetzt eig. keine Diskussion über Sin oder Unsinn aufmachen, mein Ziel war es nur zu verstehen warum es als Administrator nicht geht.

 

Mal anders gefragt, wenn ich einen normalen User nehme z.b den wo ich für ScanToSmb nehmen (nicht der Administrator :-)) muss der User dann

ein Konto im Exchange haben also Mail aktiviert sein ?

 

 

Das mit dem offenen Relay und der Sender Ip Bindung ist nur bedingt machbar, wir haben ja net nur ne USV sondern auch mehrere ESXI Hosts, SAN, Draytek Router (keine Fritz Box)

usw..

 

Grüße

Hi, ich lasse mir die Mails aufs Handy senden per Mail to SMS das geht per Vodafone (der router z.B sendet ne mail an xxx@vodafonde.de, der exchange relayt nur, deshalb Authentifizierung) Gateway. Das mit dem Passwort im Klartext stimme ich dir zu, jedoch wenn ich einen User nehme und den in die Domänen Admin gruppe stecke 

kann ich auch deren Konto zur Authentifizierung nutzen und es geht. Wenn ich den Administrator nehme geht es nicht muss man da noch etwas aktivieren?

 

 

Grüße

Hallo Miteinander,

 

kann mir evtl. einer zu folgenden Problem helfen?

 

Wir haben in unserer Firma ein Exchang 16, jetzt will ich Status Meldungen von der USV, Router usw. mir per Email aufs Handy senden.

Im Exchange habe ich den Standard Empfangsconnector (Client Frontend)  genommen , der hört auf alles IP Adressen port 587 mit standard  Authentifizierung ohne TLS.

Jetzt aber mein problem wenn ich im Rouuter oder USW usw.  alles eingebe und für die Authentifizierung den Administrator mit Passwort angebe  kommt immer ein

Authentifizierungsfehler. Nehme ich aber einen normalen Domänen Benutzer (welcher ein Echange Mailkonto hat)  geht es, der Administrator hat aber auch ein eingerichtetes E-Mail Konto.

Weis hier einer Rat?

 

Das sagt das Log (die Domäne heist igw)

 

Inbound authentication failed as we reject well-known account authentication for IGW\Administrator

Tarpit for '0.00:00:05' due to '535 5.7.3 Authentication unsuccessful',

535 5.7.3 Authentication unsuccessful,

 

 

Aber als normaler Benutzer geht es ohne Probleme.