maxmobil

Klingt interessant. Was genau macht die?

Ist eine Schulsoftware des Landesmedienzentrum Baden Württemberg. Über eine Webseite (IIS-ASP Application) kann z.B. ein Lehrer die in seinem Unterrichtsraum befindlichen PCs am ISA sperren oder nur bestimmte URLs zulassen sowie ein paar andere Gimmicks.

 

MM

Ruf doch mal RSOP.MSC auf, Du wirst bestimmt eine GPO finden die das überschreibt. ;)

 

Eingeschränkte Gruppen

 

:jau: Das wars....Danke! Die Quelle hast Du ja schon genannt: ...denn die Einstellung der Eingeschränkten Gruppe ersetzt komplett die lokal vorhandene Konfiguration, bzw. entfernt ggfs. alle Benutzer aus der per Default vorhandenen Gruppe und setzt dort nur noch die Mitglieder ein, die auch in der Eingeschränkten Gruppe definiert sind, spätestens bei erneuter Anmeldung des Users, bzw. nach 90 Minuten, wenn die Sicherheitsrichtlinie per Default Verhalten an die Clients neu übermittelt wird.

 

 

Rein interessehalber. Welche Software stellt denn solche Anforderungen?

Eine Software die einen dort installierten ISA Server scriptgeführt steuert.

 

 

 

Auf dem lokalen PC für den sie gelten. ;)

woooo dort.

 

 

 

Gruß

MM

Moin!

 

Ich habe eine Software auf 1 Server die verlangt das das Computerkonto dieses Servers auf einer weiteren Maschine Mitglied in der Gruppe der lokalen Administratoren ist.

 

Mein Problem ist das dieses Computerkonto aus der Gruppe wieder verschwindet. Ohne Hinweise auf irgendwas.

 

Wo werden denn lokale Gruppenmitgliedschaften gespeichert?

 

any ideas?

 

MM

Was sagt denn die Ereignisanzeige an den betroffenen Rechnern?

 

MM

Schau dir mal den Ausgangspost an. Genau das funktioniert bei diesen Emails nicht mehr.

:jau: jetzt seh ichs auch :D

 

--> Lesen bildet

Hi

 

In Outlook unlesbare/nichtlöschbare Mails habe ich auch schon problemlos in OWA beseitigen können.

 

MM

An einer Berufsschule, ja, hatte ich gelesen. Du auch?

Ja, ich hatte aber auch ein paar Wörter mehr gelesen:

In der Berufsschule ist es verboten eigene software zu installieren.

Von Microsoft Tools kommen in der Regel keine Schädlinge mit.

Für die von Dir genannten "Tools" (btw., welche meinst Du genau?) könnten z.B. standalone Maschinen verwendet werden mit lokalen Adminrechten und Zusatzsoft/hardware die den Rechner auf Abruf in einen definierten Ausgangszustand versetzt. Da kann der Benutzer dann tun und lassen was er will. Mir kommt kein Benutzer mit mehr Rechten ins Netz.

Hauptbenutzer geht ja noch. Wenn du aber z.B. als Dienstleister für Microsoft tätig bist, kommst du schon mal in die Verlegenheit, deren eigentlich internen Programme/Tools auf deinen Maschinen einsetzen zu müssen. Für viele davon sind lokale Administrator-Berechtigungen notwendig, weil sie sonst nicht funktionieren. Ist von MS gesehen aus by design.

Jemand der "interne" MS-Tools/Programme einsetzt sollte Wissen was er tut. Sonst benötigt er so etwas nicht. In diesem Thread ging es um Schüler :rolleyes:

Für einige Programme, die unsere Schüler brauchen, sind Hauptbenutzerrechte lokal nötig. werden...

Ein m.E. weit verbreiteter Irrtum. Das ist entweder technisch lösbar (Rechtevergabe auf Verzeichnisse, Dateien, Registry), meistens hilft eine kurze Anfrage an den Support und man weiss an welcher Schraube man drehen muß, oder durch Druck auf den Hersteller, der, wenn entsprechend viele Nutzer das Programm so gerne einsetzen würden wenn es mit Benutzerrechten funktionieren würde sicher etwas tut um den Verkauf nicht zu gefährden. Sinnvoll ist natürlich immer eine Klärung vor Kauf. Eine Alternativproduktnennung beim Vertrieb wirkt manchmal stark beschleunigend.

Ich finde es immer wieder erstaunlich wieviele Benutzer mit Rechten ausgestattet sind die niemals benötigt werden. Benutzerrechte und deren Einschränkungen im Netzwerk sind schon eine 99% Sicherung gegen Schädlinge.

 

Gruß

MM

:) Danke euch allen!

 

 

Gruß

MM

Hat diese Konstellation wirklich niemand am laufen?

Moin Gemeinde

 

Ich muß auf einige Schulungsrechner Office2003 und Office2007 parallel draufinstallieren. Bei einem händischen Vorabversuch konnten die Versionen koexistieren. Nun zu den Fragen:

Hat das jemand im Einsatz und kann die Funktionalität bestätigen?

Wie verteile ich 2007 am besten ohne das die 2003 deinstalliert wird?

 

Um vorzubeugen: Ja, ich habe die Lizenzen für beide Versionen!

 

Gruß+Danke

MM

Weshalb nicht per Computer? Gibts dafür einen trifftigen Grund?

.

.

Konzept nicht verstanden würde ich spontan sagen. Mach es per Computer und alles wird gut.

Das macht es etwas zu einfach würde ich sagen. Natürlich hast Du recht bei der Aussage "geht nicht". Es kann aber durchaus:

- triftige Gründe geben (Software nur für x Benutzer lizenziert, un d auch nur x Benutzer benötigen diese an wechselnden Computern)

- Zenworks u.a. kann das

- warum wird die option "mit erhöhten rechten installieren" angezeigt wenns doch nicht so ist?

 

Nicht das ich es nicht verstehe ;) aber es ist irreführend.

 

Gruß

MM

Hi

evtl. ein Update des Virenscanners? Hast Du den TS mal neu gestartet?

 

Gruß

MM

Meiner Meinung nach brauchen wir zur Vorsorge einen Proxy Dienst z.B Belwue (Schulen in BW aber sau Teuer) und zur Nachsorge eine die Protokolle im ISA Server !!!

Mit dem Belwue-Proxy / Jugendschutzfilter bist Du auf jeden Fall mal gegenüber dem Jugendschutz rechtlich draussen. Den setze ich auch ein, allerdings sinds hier fast 3000 Schüler - da lohnt das preislich. Da ISA die Logs sowieso schreibt hast Du nur eine Aufbewahrungspflicht zu erfüllen, die voreingestellten 10 Tage halte ich im Ernstfall für zu knapp. Obwohl ich ca. 1GB Logs pro Woche habe schreibe ich 30 Tage vor Löschung.

 

In einer kleineren Umgebung würde ich eher auf die Blacklistthematik setzen, das ganze evtl. noch durch Benutzungsregeln (die logischerweise auch die Erziehungsberechtigten zu unterschreiben haben) ergänzt. Das dürfte die sinnvollste sowie kostengünstigste Lösung sein.

MM

 

Gruß

MM

Hi

 

Irgendwie gehen mir bei der Suche die Stichworte aus.

 

Problemkurzbeschreibung: Ich möchte ein AD auf einen anderen Server (selber Name, selber Domänenname) kopieren ohne Ihn zu replizieren (also ins alte Netz zu hängen). Evtl. würden Teilbereiche es AD reichen, z.B. Userkonten, Computerkonten? ,OUs....

 

Wie könnte man da am dümmsten vorgehen?

Ein systemstate fällt aus da dort ja auch die Registry mit geschrieben wird, oder sehe ich das falsch? Lassen sich solche sachen per Script auslesen und wieder einpuzzeln?

 

Gruß

MM

TS-Lizenzserver sollte auf dem DC sein.

gibts dafür triftige Gründe?

 

MM

Hi

Ich habe gute Erfahrungen gemacht mit batches die auf vorhandensein z.B. einer Datei abprüfen (if exist ...... goto :end / call.... / :end) um einen setupaufruf abzusetzen.

 

Gruß

MM

Hi

heissen die LAN-Verbingen wieder gleich wie beim alten Server?

 

MM

Hi

Falls Du mit Images klonst (womit ich bisher btw. recht gute Erfahrung gemacht habe) beachte bitte - im Fall Du Lizenzserver o.ä. auf dem Server laufen hast - das sich die MAc-Adresse ändert, Du also evtl. den Hersteller kontaktieren musst.

 

Gruß

MM

Die Fehlermeldung kann ich auswendig nicht wiedergeben, ich müsste das nochmals nachstellen. M.W. war es eine inf oder ini die zu schreiben versucht wurde, danach lief nochmals der komplette Entpackprozess des IE. Natürlich ohne Erfolg. Das ganze im Userkontext, mit Adminrechten kam keine Fehlermeldung.

 

Gruß

MM

Im Forum http://www.mcseboard.de/government-53/ gibt es einige Anregungen dazu.

 

MM

Rückmeldung:

Nach mehreren Versuchen kann ich feststellen das sich der IE7 sehr wohl non-interaktiv per GPO installieren lässt, jedoch bekommt der erste angemeldete Benutzer -falls er keine administrativen Rechte hat- ne doofe Fehlermeldung. Der IE7 funktioniert danach problemlos, jeodch ist die Fehlermeldung für den Benutzer verwirrend. Die fehlermeldung stammt offensichtlich vom Versuch Dateien ins %Program Files% Verzeichnis zu kopieren die aber am Zielort schon vorhanden sind, was erklärt warum der IE funktioniert.

 

Mit einem Startscript und den div. zu übergebenden Parametern lässt sich dass Problem lösen, mit einem "if exist" im Batch auf eine neue Datei des IE7 kann man die Installation abprüfen.

 

Gruß

MM

es kommt wie es kommen muß. Der msiinstaller läuft lt. Eventlog korrekt ab und die im msi verwendete setupIE.exe schreibt zusätzlich eine log Datei im Windows Verzeichnis. Die sagt aus das er nicht installieren kann weil eine andere Installation abläuft :suspect:

 

Das ganze auf einer danach mehrmals neugestarteten Maschine mit erneutem Zuweisen der GPO getestet funktioniert dann wirklich, bis auf das der danach angemeldete Benutzer eine kryptische Fehlermeldung bekommt das ein Api-Aufruf fehlgeschlagen ist. Zudem bekommt er eine Meckerbox das er keine Administrativen Rechte hat. Diese 2 Sachen muß ich bei Gelegenheit testen ob es am in diesem speziellen Fall nicht schreibbaren Profil liegt. Der IE7 ist danach aber offensichtlich funktionsfähig wobei ich dies auch noch genau verifizieren muß.

 

Wenn es dann läuft mache ich hier nochmal ne Rückmeldung.

Gruß+Danke an alle die geholfen haben

MM

Fehlermeldungen im Eventlog vom Client?

Leider nur die Erfolgsmeldung von msiexec.

 

Wenn die GPO vorher so eingestellt wurde, dann sollte es nach der Benutzeranmeldung keinerlei Installationen mehr geben. Kannst Du es nochmal mit einer sauberen Maschine probieren?

Das habe ich schon mehrere male getan. Das es eine virtuelle Maschine ist sollte ja kein Hinderungsgrund sein. Nach der Benutzeranmeldung kommt ja offensichtlich auch erst der haupteil der Installation. Auch die Methode von appdeploy mit dem selbstgebauten msiwrapper kommt zum selben Ergebnis.

 

Ich denke ich werde mal noch alle mögliche Optionen die mir der IEAK bietet durchprobieren, möglicherweise liegt es an einer Kleinigkeit. Der MS-Artikel über Deployment des IE7 ist ja auch nicht so sonderlich ausführlich im Punkt der Verteilung über GPO

 

@maxmobil

 

Natürlich kannst Du das anderst machen und natürlich gibt es viele Wege !

 

 

Doch ob man etwas nicht umsetzen möchte oder ob es nicht geht ! Das sind 2 Paar Schuhe.

MS sagt aber dass es geht, dann sollte es auch funktionieren. Das erwartest Du bei Funktionen des WSUS die von MS beschrieben werden doch auch?

Gruß

MM