Gruppe "Remoteunterstützungsanbieter" verschwindet

[Tom250376 10]

Hallo nochmal,

 

wir wollen nun Remoteunterstützung anstatt VNC einführen, und ich versuche remoteunterstützung anbieten einzurichten. Hab mich an die einschägigen Whitepaper gehalten.

Leider ist es nun so, dass nach starten des Computers die lokale Gruppe Remoteunterstützungsanbieter mit den eingestellten AD-User/Gruppen vorhanden ist, nach einer gewissen Zeit aber gelöscht wird. Warum kann das? gibt es irgendwo eine GPO-Einstellung, die die lokalen Gruppen beschränkt? Eingeschränkte Gruppen haben wir definiert, aber das kann doch wohl nichts damit zu tun haben.

 

Gruß

ToM

[Flatlander 10]

Hallo Tom250376,

 

hast du in den Gruppenrichtlinen unter Computerkonfiguration > Administrative Vorlagen > System > Remotunterstützung > Remotunterstützung anbieten die entsprechenden Benutzer / Gruppen eingetragen?

[Tom250376 10]

jep, hab ich. die tauchen kurz ja starten des computers auch auf in der angesprochenen loaklen gruppe. dann funktioniert das anbieten auch. kurz danach ist aber, wie beschrieben, die gruppe weg. in der ereignisanzeige stehen auch drei einträge dass die gruppe gelöscht wurde, nur nicht von wem....

[Flatlander 10]

Sorry, hab deine Frage falsch verstanden, ist wohl doch noch zu früh.

 

Ich denke nicht, dass es an den eingeschränkten Gruppen liegt, da damit ja nur die Mitglieder von Gruppen verwaltet werden und bei dir ja die ganze Gruppe gelöscht wird. Du könntest ja mal nach dem die Gruppe gelöscht wurde ja mal den Richtlinienergebnisatz mal ausführen und gucken ob die Einstellungen zur Remoteunterstützung noch da stehen. Oder mal testweise die Überwachung aktivieren.

 

Nach welcher Zeit wird die Gruppe immer gelöscht? Hab es jetzt mal beim mir getestet, noch ist die Gruppe da.

[Tom250376 10]

Mal ein Auszug von einem Client:

19:51 ID 635 Erstellte lokale Gruppe: Remoteunterstützungsanbieter

19:51 ID 636 Hinzugefügtes lokales Gruppenmitglied *Meine definierte Gruppe*

21:29 ID 638 Gelöschte lokale Gruppe: Remoteunterstützungsanbieter

 

und was soll ich sagen, im Richtlinienergebnisatz ist noch alles sauber eingetragen.

–

halt stop, nein die einstellungen sind NICHT mehr vorhanden. ich hatte auf einem falschen Computer geprüft....

–

Kann es denn sein, dass diese Einstellungen nicht additiv sind. Ich habe die GPO mit den Einstellungen ziemlich weit oben in der Hierarchie aufgehängt, direkt am Objekt gibt eine GPO, in der hierzu allerdings nichts konfiguriert ist

[Flatlander 10]

–

halt stop, nein die einstellungen sind NICHT mehr vorhanden. ich hatte auf einem falschen Computer geprüft....

–

Kann es denn sein, dass diese Einstellungen nicht additiv sind. Ich habe die GPO mit den Einstellungen ziemlich weit oben in der Hierarchie aufgehängt, direkt am Objekt gibt eine GPO, in der hierzu allerdings nichts konfiguriert ist

 

Hab jetzt erst gelesen, dass hier noch was Neues steht.

 

Spricht was dagegen, das GPO direkt mit der OU /den OU´s der Clients zu verknüpfen? Obwohl nach meinen Verständnis es nicht sein dürfte, dass wenn nichts konfiguriert ist es überschrieben wird. Und vor allen nicht immer erst nach einer bestimmten Zeit. Vielleicht meldet sich ja hier noch mal jemand von den Gruppenrichtlinienexperten zu Wort.

[Sunny61 773]

Mal ein Auszug von einem Client:

19:51 ID 635 Erstellte lokale Gruppe: Remoteunterstützungsanbieter

19:51 ID 636 Hinzugefügtes lokales Gruppenmitglied *Meine definierte Gruppe*

21:29 ID 638 Gelöschte lokale Gruppe: Remoteunterstützungsanbieter

 

und was soll ich sagen, im Richtlinienergebnisatz ist noch alles sauber eingetragen.

 

Dann kontrollier mal nach, ob da nicht noch Lokale Gruppen angeflogen kommen: Eingeschränkte Gruppen

[Flatlander 10]

Hallo Sunny61,

 

wie lösche ich mit eingeschränkten Gruppen ganze lokale Gruppen? Es geht ja nicht darum, das die Mitglieder entfernt werden, sondern die lokale Gruppe an sich gelöscht werden. Also entweder hast du ihn nicht richtig verstanden oder ich steh grad auf´n Schlauch.

 

Und Tom250376 hat ja auch gesagt, dass der Richtlinienergebnisatz ihn anzeigt, dass die Einstellungen für die Remotunterstützung auf einmal fehlen. Wenn diese Einstellungen nicht mehr auf die OU wirken, wird ja auch nicht mehr die lokale Gruppe Remoteunterstützungsanbieter benötigt. Die frag ist nur warum es erst funktioniert und dann auf einmal nicht mehr.

[Sunny61 773]

wie lösche ich mit eingeschränkten Gruppen ganze lokale Gruppen? Es geht ja nicht darum, das die Mitglieder entfernt werden, sondern die lokale Gruppe an sich gelöscht werden. Also entweder hast du ihn nicht richtig verstanden oder ich steh grad auf´n Schlauch.

 

Auszug: So nett wie sich das anhört so gefährlich kann diese Option sein, denn die Einstellung der Eingeschränkten Gruppe ersetzt komplett die lokal vorhandene Konfiguration, bzw. entfernt ggfs. alle Benutzer aus der per Default vorhandenen Gruppe und setzt dort nur noch die Mitglieder ein, die auch in der Eingeschränkten Gruppe definiert sind, spätestens bei erneuter Anmeldung des Users, bzw. nach 90 Minuten, wenn die Sicherheitsrichtlinie per Default Verhalten an die Clients neu übermittelt wird.

 

Und Tom250376 hat ja auch gesagt, dass der Richtlinienergebnisatz ihn anzeigt, dass die Einstellungen für die Remotunterstützung auf einmal fehlen. Wenn diese Einstellungen nicht mehr auf die OU wirken, wird ja auch nicht mehr die lokale Gruppe Remoteunterstützungsanbieter benötigt. Die frag ist nur warum es erst funktioniert und dann auf einmal nicht mehr.

 

Ich tippe drauf, daß die lokalen Gruppen wieder gelöscht werden.

[Tom250376 10]

Also ich habe das nun ein wenig beobachtet. Die Gruppe wird regelmässig angelegt und dann wieder gelöscht, es kommt in etwa hin mit 90 Minuten Abstand. Aus dem Grund glaube ich auch, dass es an den Eingeschränkten Gruppen liegt, auch wenn ich immer gedacht habe, dass die Einstellung nur die erlaubten Mitglieder einer Gruppe bestimmt.

Die Eingeschränkte Gruppe brauche ich nun, wie kann ich also mein Problem lösen? Kann ich die Gruppe manuell anlegen? Funktioniert dann die Remoteunterstützung?

[Sunny61 773]

Kontrollier doch mal mit RSOP.MSC direkt auf einem betroffenem Client, was alles an GPOs ankommt. Da ich es kürzlich bei mir hatte, gibts evtl. eine Standort-GPO (HUHU Norbert :) ) die dir da dazwischen haut?

 

Und nein, ein lokales anlegen bringt IMHO auch nichts, denn die Gruppen werden ja überschrieben.

 

Zu guter letzt würde ich die betroffenen Objekte oder eins zum testen mal in eine eigene OU packen und dort testen. Auf dieser OU sollte natürlich nichts außer Deiner GPO zur Remoteunterstützung ankommen.