Anwendung will nicht mit normalen Rechten starten?

[Wolke2k4 11]

Hallo,

 

ich sitze hier an einem Problem, das eine einzige Anwendung betrifft. Die Anwendung wird über ein Netzlaufwerk mit einer Verknüpfung zur Exe gestartet.

Der Nutzer arbeitet auf einem W2K Terminal Server und startet über eine ICA/RDP Session die Anwendung

 

Das Problem ist, dass man als normaler Nutzer mit den "einfachen Berechtigungen" die Anwendung nicht starten kann. Das heisst, in gewissem Maße startet sie schon, denn das Anmeldefenster der Anwendung erscheint. Bei der Anmeldung an der Anwendung gibt es jedoch einen "Zugriff verweigert" Fehler.

 

Mit Domain Administratorrechten und Organisations-Admin Rechten lässt sich die Anwendung komplett starten...

 

Lokale Administrator Rechte für den Nutzer auf dem TS reichen nicht aus, es gibt weiterhin einen "Zugriff verweiter" Fehler. Dies lässt vermuten, dass der Nutzer erhöhte Rechte innerhalb des Netzes bzw. auf dem Server wo sich das Programm befindet, benötigt.

 

Ich habe schon Filemon, Regmon und den Dependencywalker rangezogen um zu schauen, an wecher Stelle es haken könnte, leider ohne Erfolg.

 

Hat sonst noch jemand eine Idee, was man in diesem Fall zum Tracing benutzen könnte?

Support gibt es leider nicht mehr auf die Anwendung, der Kunde hat den Wartungsvertrag mit der Firma gekündigt...

[XP-Fan 215]

Hi Wolke2k4,

 

das kommt mir irgendwie bekannt vor.

 

Ich habe den Usern entsprechende Berechtigungen auf das Programmverzeichnis

geben müssen und im Windows Verzeichnis lagen 2 ini Dateien welche die

User auch vom Zugriff her ändern dürfen.

 

Erst dann hat sich die Anwendung normal als User bedienen lassen.

[zuschauer 10]

Hi Wolke24 !

Wo hast Du denn regmon und filemon laufen lassen - nur auf dem TS oder auch auf dem Server mit der Freigabe ?

 

Es hört sich wirklich so an, dass es an fehlenden Rechten auf dem Server liegt.

 

(Ich hatte auch mal sowas "Selbstgestrickte" ohne Support vor mir. Das Ding verhielt sich zusätzlich noch unterschiedlich (rechtemäßig), je nachdem ob es von einem Netzwerk-Client oder aus einer TS-Session gestartet wurde.:suspect:

[lefg 276]

Möglicherweise ist das Problem mit Aufnahme der User in die Gruppe der Hauptbenutzer lösbar, Aufnahme mit der Gruppenrichtlinie Eingeschränkte Gruppen.

 

Bei der Anmeldung an der Anwendung gibt es jedoch einen "Zugriff verweigert" Fehler.

Die Frage ist, worauf wird der Zugriff verweigert, auf ein Verzeichniss oder einen Registryschlüssel?

 

Ich hatte es mal, da ging es um ein Sub-Programmverzeichnis und einen Registryschlüssel. Es handelte sich um ein für einzelne Workstations (Hauptbenutzer) vorgesehenes Programm, dieses wurde aber auf Clients einer Domäne eingesetzt.

[Userle 144]

Nun die Registry Abteilung läßt sich nahezu ausschließen, da ggfs. benötigte Einträge ja in der lokalen Registry geschrieben werden, was ja mit lokalen Admin Rechten möglich wäre.

Der Tip mit den Berechtigungen auf das Programmverzeichnis sehe ich da schon als wahrscheinlicher. Auch stellt sich mir die Frage, ob die Verknüpfung richtig konfiguriert ist (Arbeitsverzeichnis usw.)

 

Greetings Ralf

[Wolke2k4 11]

Hallo und Danke für die Antworten.

 

Das Programmverzeichnis wie auch die Freigabe des selbigen auf dem Server ist mit den richtigen Berechtigungen ausgestattet. Ich habe die Rechte extra noch mal bis nach unten vererben lassen, ohne Erfolg.

 

Regmon und Co. habe ich jeweils in der TS Session gestartet. Alle drei Programme (Filemon, Regmon, DPW) habe ich mit administrativen Rechten ausgeführt (geht ja auch nicht anders) leider auch ohne den "Feind" erkennen zu können. Und ich denke schon, dass ich da sehr genau war.

 

Die Idee mit dem Filemon und Regmon auf dem Programm Server ist einen Test wert. Ich dachte eigentlich immer, dass beide Tools den Zugriff entsprechend mittracen würden, wenn er auch auf das Zielsystem notwendig wäre. Aber wenn es ein Unterschied ist teste ich das gern.

Probleme mit den Berechtigungen auf die Registry des Terminalservers schließe ich aus den von mir und Userle genannten Gründen aus. Wenn der User lokale Admin Rechte hat sollte er auch in die Registry schreiben können.

 

Da sich das Programm auf einem DC befindet schliessen sich Tests mit lokalen Nutzerrechten auf der Maschine aus.

 

Der DPW zeigt, interessanterweise, nur Abhängigkeiten der Exe zu Files, die im Windows Verzeichnis (Winnt) liegen an. Auch hier habe ich die Rechte entsprechend mit "Jeder Vollzugriff" zum Test angepasst, leider negativ.

 

Die Anwendung nutzt, wenn ich den Kunden richtig verstanden habe, eine Phoenix Datenbank und greift irgendwie über COM auf den Programmserver zu. Vielleicht fällt euch dazu noch was ein?

[thorsatten 10]

Hallo,

 

welches "Ausführen"-Verzeichnis ist den in der Verknüpfung hinterlegt? Das Netzlaufwerk? Falls ja, versuch doch mal dort ein lokales Laufwerk/Verzeichnis (im Zweifel mal das TEMP) einzutragen. Hatte mal nen Fall, da konnte man das Programm zwar aus der Share starten, aber es lief nur wenn man ihm ein lokales Verzeichnis zum auführen anbot :)

 

Gruß,

Thorsten

[zuschauer 10]

Hast Du schon getestet, ob es eventuell an der TS-Session liegt, funktioniert es von einem "normalen" Client auch nicht ?

(Manche Hersteller haben was gegen den Einsatz auf TS ;) )

 

Phoenix Datenbank kenn ich nicht - aber das könnte auch ein Ansatzpunkt sein. Hast die eine eigene Userverwaltung, oder wenn nicht, haben die User Schreibrechte drauf ?

[Wolke2k4 11]

An der Verknüpfung kann es auch nicht liegen, denn die ist immer gleich, egal ob mit oder ohne Domain Admin Rechten.

 

Das es über RDP/ICA nicht gehen soll ist mit nahezu 100% auszuschließen da:

 

1. Die Anwendung auch als Domain Admin über ICA/RDP läuft

2. Die Anwendung für die Nutzer schon mal im TS Betrieb lief. Leider weiss vor Ort niemand mehr, warum und wie es damals ging und warum es heute nicht mehr geht.

 

Ich lasse es aber trotzdem noch mal im Client-Server Betrieb testen, man weiss ja nie.

 

Ansonsten wäre einzig die Datenbank noch ein Ansatzpunkt. Wenn diese in einem anderen als den Programmverzeichnis Pfad liegt wäre das zur prüfen.

 

Update: Mit der Andwendungsexe werden auf dem Server, auf dem das Programmverzeichnis liegt zwei Exen gestartet. Eine Exe ist für die Phoenix Datenbank, die andere für... was weiss ich...

Ich denke, dass hier der Hund begraben liegt, denn normalerweise hat man als normaler User auf einem Server/Domain Controller nicht das recht einfach so Exe Dateien auszuführen, würde ich mal vermuten.

Eine Option wäre vielleicht auch das Programmverzeichnis einfach mal auf den TS zu kopieren und von dort auszuführen. Mal schauen, was man da kaputtspielen kann... :D

[Wolke2k4 11]

So, Problem gelöst! Es war ein Mix aus fehlendem ODBC Eintrag, Programmverzeichnis lokal (auf den TS) kopieren und eine Anpassung in dem zugehörigen Inifile...

 

Schön, wenn Programme so richtig "logisch" gestrickt sind...