Domain Anmeldung vs. Lokaler Anmeldung - was ist anders

[torstenv 10]

Hi!

 

Ich habe einen Dienst, der beim Systemstart geladen wird. Dieser Dienst stürzt hin und wieder ab, aber nur, wenn ein Benutzer sich an der Domain anmeldet. (AD). Meldet er sich lokal an, gibt es keine Probleme. Ich frage mich, was bei der lokalen Anmeldung anders ist, als bei der Domain-Anmeldung.

 

HKCU wird durch Einträge aus dem Profil überschrieben

\Dokumente und Einstellungen\Username wird mit den Daten aus dem Profil überschrieben

 

Nochwas?

 

T.

[lefg 276]

Hallo,

 

was ist unter Abstürzen zu verstehen, Einfrieren, Beenden?

 

Was für ein Dienst ist das, ein Systemdienst oder ein selbst eingefügter, ein als Dienst gestartetes Programm?

[torstenv 10]

was ist unter Abstürzen zu verstehen, Einfrieren, Beenden?

Was für ein Dienst ist das, ein Systemdienst oder ein selbst eingefügter, ein als Dienst gestartetes Programm?

 

Es ist ein selbstgeschriebenes Programm, das als Dienst läuft.

 

Aber das tut nichts zur Sache. Ich möchte wissen und muss verstehen, was eine Anmeldung in der Domain von einer lokalen Anmeldung unterscheidet. Bitte nicht auf den Fehler im Dienst eingehen, sondern auf die Ausgangsfrage: Welche Unterschiede gibt es im System bei den beiden Anmeldearten?

[weg5st0 10]

Hallo Torstenv,

 

die Unterschiede sind vielfältig!

Andere Richtlinien werden angewendet, Andere Profile geladen, andere Berechtigungen gegeben,...

 

Ich denke nicht daß du mit diesem Ansatz zum Ziel kommst.

Ich könnte mir vorstellen, daß regmon oder Filemon hier evt. Dienste leisten können.

Zu kriegen unter Sysinternals Freeware

 

Entscheidend könnte auch das Konto sein, mit dem der Dienst angemeldet wird. Versuche das mal zu ändern.

[lefg 276]

Es ist ein selbstgeschriebenes Programm, das als Dienst läuft.

 

Aber das tut nichts zur Sache.

Du bist gut. :)

[torstenv 10]

Du bist gut. :)

 

Nun mal langsam. Ich finde den Ansatz, erst einmal den Hintergrund zu verstehen, ganz sinnvoll. Und darum ging es mir in dem Posting. Es geht nicht darum, dass ein Programm abstürzt. Der Hintergrund hinter diesem Posting ist, zu verstehen, was bei einer Anmeldung an einer Domain anders ist, als bei einer lokalen Anmeldung. Mit Kenntnis dieser Informationen kann ich zukünftig viel gezielter Debuggen oder auch beim Design direkt Probleme vermeiden. Also ich bleibe dabei, dass das Posting durchaus seine Berechtigung hat.

[torstenv 10]

die Unterschiede sind vielfältig!

Andere Richtlinien werden angewendet, Andere Profile geladen, andere Berechtigungen gegeben,...

Hier wären Details hilfreich:

 

Richtlinie schlagen sich doch in der Registry nieder, oder? Damit handelt es sich eigentlich also nur um Änderungen in der Registry, richtig?

 

Andere Profile geladen? Plural? Also ein anderes Profil wird geladen, oder? Das heißt doch nur, dass die Dateien unter \Dokumente und Einstellungen\Username aus dem Profil (oder beim ersten Login aus dem Default-Profil) stammen, richtig? Oder hängt noch mehr dahinter?

 

"Andere Berechtigungen gegeben"? Sind das nicht auch nur Berechtigungen in der Registry? Ich verstehe nicht ganz, was das heißen soll "andere Berechtigungen". Gibt es noch eine andere Datenbank in Windows, in der Berechtigungen festgelegt werden können, außer in der Registry? Sind Änderungen mittels GPEDIT.msc nicht schlussendlich auch nur Änderungen in der Registry? Folgt eine an die Domain verknüpfte Richtlinie nicht dem gleichen Prinzip wie eine loakel Richtlinie? Falls ja, dann ist das nichts, was zwischen einer Domain-Anmeldung und einer lokalen Anmeldung unterschiedlich ist. Die Richtlinien stammen nur von woanders.

 

Ich denke nicht daß du mit diesem Ansatz zum Ziel kommst.

 

Oh, ich schon. Es hilft ungemein, wenn man etwas versteht. Viel zu viele Entwickler "machen erst mal" und ärgern sich dann später mit Designfehlern rum. Ich komme nunmal aus der Unix-Welt, da muss ich bei Windows noch einiges nachholen...

 

Was ist mit lokalen Variablen? Sagen wir %TEMP%? Wird möglicherweise auch über eine Richtlinie geändert? Schlussendlich ist fast alles über eine Richtlinie zu ändern, oder? Was ist denn "defaultmäßig" anders, wenn sozusagen an den Profilen oder Berechtigungen der Benutzer nichts gefummelt wurde? Also ich meine etwas Grundsätzliches. Denn, wie ich das bisher sehe, gibt es bis auf die Tatsache, dass lokale Dateien unter /Dokumente und Einstellungen/USername beim Login durch die Dateien aus dem Profil überschrieben werden, keine wirklichen Unterschiede zwischen einer lokalen Anmeldung und einer Anmeldung an einer Domain, die keine Richtlinien konfiguriert hat. Oder irre ich da?

[mcdaniels 22]

Hey!

Ich bin jetzt nicht der "Oberguru" was den Unterschied zwischen Domänenanmeldung und Lokaler Anmeldung betrifft aber:

 

Lokale Anmeldung:

Verwaltung der User lokal am PC (Systemsteuerung / Benutzerkonten...)

Zugriff auf die Domäne nur möglich, wenn der User mit gleichem Usernamen und Kennwort in der Domäne existiert. Man kann sich natürlich auch nach entsprechender Authentifizierung auf einen Domänenserver hängen.

 

Was die Richtlinien betrifft würd ich mal sagen, dass das von deiner Serverkonfig und Clientconfig abhängt was denn nun genau "abläuft"... Hast du zb. eigene Policies die der Client vom Server übernimmt? Dazu gehört zb. das Abarbeiten von Loginscripts (zum Verbinden von Netzlaufwerken etc), Lokale Profile oder Serverseitige Profile etc. etc.

 

Vor allem "Was macht denn der Rechner der sich aufhängt?" Braucht er dazu einen Zugriff auf die Domäne, oder reichts zb auch einfach ein Laufwerk entsprechend zu mappen....

 

Viele Variablen also ;)

[dippas 10]

Hallo Thorsten,

 

ich versuche die Frage zu beantworten und glaube auch, dass Du meinen Ausführungen einigermaßen folgen kannst.

 

Zunächst möchte ich aber vorwegschicken, dass ich es gut finde, dass Du dich vorher informierst. Das machen leider viel zu wenige, auch unter uns Admins.

 

Los gehts:

 

Zuncähst zum grundsätzlichen Unterschied. Hier gabelt sich ein technischer Weg. Domain-Anmeldung und lokale Anmeldung ist die Anmeldung mit jeweils unterschiedlichen Benutzern. Auch wenn diese auf den gleichen Namen (beispielsweise Müller, im folgenden verwendet) lauten, so sind es für den Comupter 2 unterschiedliche Personen bzw. Userkonten. Diese Userkonten haben auch unterschiedliche SIDs. Dadurch bedingt, gibt es zunächst mal keine Gemeinsamkeiten der Userkonten, ausser vielleicht der Name. Aber der ist, wie man so schön sagt "Schall und Rauch" ;)

 

Bei der Anmeldung legt der Rechner in beiden Fällen ein Userprofil an. Der lokal angemeldete Müller hat den Profilpfad c:\dokumente .. \müller während der an der Domäne angemeldete User Müller den Profilpfad c:\dokumente ..\müller.domänenname hat.

 

Diese Profil speist sich zunächst aus den Inhalten des Default-Profils unter c:\dokumente ..\default sowie den Dingen des jeweiligen User.

 

Meldet sich der User mit seinem lokalen Konto "Müller" nun lokal an, werden die lokalen Richtlinien des Computers auf den User angewendet.

 

Meldet sich der Domain-User "Müller" an der Domain an, bekommt er die Usereinstellungen von der Domain zugestellt. Etwaige lokale Einstellungen des lokalen Users "Müller" werden nicht berücksichtigt.

 

Die Reihenfolge bei der Anwendung der Gruppenrichtlinien-Objekte läuft nach folgenden Schema:

 

Einsatz von Windows XP Professional mit Service Pack 1 in einer verwalteten Umgebung (Anhang B : Informationsquellen für den Einsatz von Gruppenrichtlinien)

 

Ist der Computer Mitglied einer Domäne - und das ist er ja, sonst könnte man sich ja nicht als Domain-User anmelden ;) - ziehen Computer-Einstellungen nach demselben Schema.

 

Jetzt kommt es halt nur noch darauf an, was jeweils eingestellt ist. dabei addieren sich die Einstellungen, es zählt aber die letzte zugespielte Einstellung eines bestimmten Parameters , wenn hierfür vorher ein anderer Wert übergeben wurde.

 

Hierbei werden natürlich auch Registry-Schlüssel eingetragen/umgetragen, aber für jeden User separat.

 

Kurzfassung:

Der "echte" User Müller hat zwei für den Computer unterschiedliche Usereigenschaften, obwohl er ein und dieselbe Person ist (lokaler User/Domain User). Die Einstellungen des Users sind die Summe der zugestellten Parameter, nach Abarbeitung der oben genannten Reichenfolge. Jeder Benutzer hat sein eigenes Profil mit vom anderen Benutzer getrennt abgelegten Einstellungen.

 

Die Einstellungen des jeweiligen Users können natürlich auch das Verhalten des Rechners Einfluß nehmen. Ist beispielsweise der User domainname\müller in einer lokalen Gruppe, deren Rechte er benötigt?

 

Jedes einzelne Detail ist aber hier nicht zu besprechen. Das wäre zuviel verlangt ;)

 

grüße

 

dippas

[Volvotrucker 10]

In welchen Gruppen sind denn die 2 Benutzer?

Ich geh einfach mal vom Durchschnittsfall aus und glaube, dass der lokale Benutzer Adminrechte hat, der Domainbenutzer jedoch nicht.

Ergo wäre das ein Problem der Rechte.

Verleih dem Domainuser doch mal kurzfristig Adminrechte (Neustart nicht vergessen um die Änderung sofort zu übernehmen) und kuck ob es dann auch noch zu dem Problem kommt.

Damit liese sich das ganze dann etwas eingrenzen.

 

Heiko

[lefg 276]

Welche Unterschiede gibt es im System bei den beiden Anmeldearten?

Ich empfehle geeignete Literatur: Mark Minasi, Eric Tierling, da Technet von MS.

 

Ob das bei der Beseitigung des geschilderten Problems mit dem Absturz hilft? Qien sabe?

[DigitalKeeper 10]

Hiho,

 

@ dippas

 

Toll erklärt - Spitze :D

 

@ Volvotrucker

 

TIP: Vorsicht mit Adminrechten - auch wenn Sie "nur" lokal sind! Ein Benutzer ist ein Benutzer und nix anderes - die "Fummeltrienen" sind da manchmal echt schlau, und haben uns Admins doch immer wieder etwas voraus; und wenn's nur purer Zufall ist. Jaja, ich weiss: manche Programme lassen sich nur mit Adminrechten überreden, einwandfrei zu funktionieren - ABER....das ist keine Lösung in einer Produktivumgebung und führt zum Tod der EDV

 

@ Thread

 

Bitte nicht vergessen: es gibt ZWEI unterschiedliche Berechtigungsarten: Einmal die Berechtigung an sich, und einmal die Freigabe im Netz - das wird öfter mal verwechselt. Eine Netzfreigabe ist nicht eine Freigabe für eine Datei und deren Zugriff darauf - hoffe konnte mich verständlich ausdrücken...

 

Für den Dienst tippe ich mal *grübel* darauf, das er LOKAL läuft und nicht als Netzdienst. Das könnte u. U. Probs verursachen. Soll heissen: lokal darf und kann er laufen, aber im Netz gibt es keine Berechtigung, bzw. die Netzdienste wissen nichts mit ihm anzufangen Bei evtl. Abfragen kann es zum "hängen" der Dienste kommen, da ein anderer einen wichtigen Dienst "blockiert" (i.e. keine Rückmeldung mit Fehlercode). Falls der Fehlercode übermittelt wird, wird nach "Standard" ein Reset durchgeführt - auch hier kann es zu einem stehenbleiben des Systems führen.

 

Infos: Recommended methods to permit account lookups and interactive logons across forests

 

mit weiterführenden Links...

 

mfg