MSI Verteilung über GPO - Freigabe auf Fileserver

[Sebell 10]

Hallo,

 

ich versuche seit ein paar Tagen - leider erfolglos - über GPOs via Computerrichtline Software zu verteilen und benötige dazu eure Hilfe.

 

Folgendes Szenario:

Wir setzen einen Windows 2003 Server als Domänencontroller ein, auf dem leider ein bißchen Platzmangel herscht - es sind noch 3-4 GB frei. Aus diesem Grund möchte ich die .msi Pakete auf einen Fileserver (Storage01) (ebenfalls Windows 2003 Server) auslagern.

 

Doch hier habe ich das Problem:

Mein Computer (PCABC) kann laut lokaler Ereignisanzeige leider keine Verbindung zu dem Freigabeordner aufnehmen (Meldung: Die Installationsquelle für dieses Produkt ist nicht verfügbar)

 

Die Freigabe auf den Server ist:

\\Storage01\software$\

 

Als Freigabe Berechtigungen habe ich folgende Einstellungen gesetzt:

- Authentifizierte Benutzer: Vollzugriff

- Domänencomputer: Vollzugriff

- PCABC: Vollzugriff

- Jeder: Vollzugriff

- Organisations-Admins: Vollzugriff

- Domänen-Admins: Vollzugriff

- DOMÄNENCONTROLLER DER ORGANISATION: Vollzugriff

 

Bei den Sicherheitsheitseinstellungen habe ich genau die gleichen Einstellungen gewählt.

 

Auf dem Domänencontroller habe ich angegeben, dass dem Computer Storage01 zu Delegierungszwecken vertraut werden soll.

 

In den Foren, die ich bisher gelesen habe, wird immer gesagt, dass die Gruppe Domänencomputer lesend Zugriff auf diesen Ordner haben muss - das hat sie bei mir - nur warum klappt es nicht?

 

Gibt es ein Tool, mit dem ich prüfen kann, ob das Computerkonto Zugriff auf diesen Ordner hat?

 

Gibt es in den GPOs Einstellungen, dass die Software von dem Server Storage01 als Vertrauenswürdig eingestuft wird?

 

Ich hoffe auf zahlreiche Hilfe...und schon einmal im Vorraus vielen Dank!

 

Vielen Dank und noch einen schönen Abend

Sebell

[Sebell 10]

Hallo,

 

ich habe es selber hinbekommen.

Der Fehler war, dass ich den Server immer über den 2. Namen angesprochen habe, oder über die IP. Der Server muss angesprochen werden über den Namen, mit dem er installiert wurde.

 

Der Server wurde bei uns als Storage03 installiert und hinterher hat man in den Einstellungen festgelegt, dass er auch über Storage01 angesprochen werden kann. Ich habe aber immer die Freigabe in den GPOs mit \\Storage03 angesprochen. Das war der Fehler dabei.

 

Hier die Schritte, die ich gemacht habe:

1. Der Ordner wird ganz normal auf den Fileserver erstellt.

Anschließend wird er freigegeben. Hierbei ist es egal, ob er versteckt (\\Storage03\software$) oder sichtbar freigegeben (\\Storage03\software) wird.

 

2. Anschließend sind die Freigabeberechtigungen zu setzen:

Hierbei ist darauf zu achten, dass die Gruppe Domänencomputer Zugriff: Ändern + Lesen hat. Ändern, damit die GPOs den Zähler hochsetzen kann. Die Berechtigung „Jeder“ kann entfernt werden.

 

Anschließend muss bei den NTFS Berechtigung hinterlegt werden:

Die Gruppe Domänencomputer, muss folgenden Zugriff haben:

- Ändern

- Lesen, Ausführen

- Lesen

Vollzugriff habe ich nicht angehakt!

 

Testen:

Um die Berechtigungen testen, muss das Programm psexec.exe aus den psTools von der Seite Windows Sysinternals runtergeladen werden und mit dem String:

psexec.exe -s -i cmd.exe

ausgeführt werden. Damit agiert man als NT Authority\System, also dem Computerkonto im Netz.

 

Anschließend ruft man mittels:

dir \\Fileserver\share\ den Inhalt der Freigabe auf - bei uns wäre das \\Storage03\software$\

WICHTIG: Hier muss der DNS Namen stehen, mit dem der Server installiert wurde. Der Aufruf über einen 2. Namen, wie Storage01 funktioniert nicht! Ebenfalls funktioniert der Aufruf über die IP-Adressen nicht!

 

Brscheint die Meldung, dass der Zugriff verweigert wurde, sind die Berechtigungen falsch gesetzt und man muss diese nochmal überprüfen.

 

Gruß

Sebell

[Sunny61 824]

Der Fehler war, dass ich den Server immer über den 2. Namen angesprochen habe, oder über die IP. Der Server muss angesprochen werden über den Namen, mit dem er installiert wurde.

 

Nein, muß nicht. Wenn DNS in Ordnung ist, dann klappt es auch mit einem ALIAS.

 

Der Server wurde bei uns als Storage03 installiert und hinterher hat man in den Einstellungen festgelegt, dass er auch über Storage01 angesprochen werden kann. Ich habe aber immer die Freigabe in den GPOs mit \\Storage03 angesprochen. Das war der Fehler dabei.

 

Wenn Storage03 im DNS in der Forward und Reverse Lookup Zone korrekt mit der richtigen IP eingetragen ist, muß das auch funktionieren.

 

Hier die Schritte, die ich gemacht habe:

1. Der Ordner wird ganz normal auf den Fileserver erstellt.

Anschließend wird er freigegeben. Hierbei ist es egal, ob er versteckt (\\Storage03\software$) oder sichtbar freigegeben (\\Storage03\software) wird.

 

2. Anschließend sind die Freigabeberechtigungen zu setzen:

Hierbei ist darauf zu achten, dass die Gruppe Domänencomputer Zugriff: Ändern + Lesen hat. Ändern, damit die GPOs den Zähler hochsetzen kann. Die Berechtigung „Jeder“ kann entfernt werden.

 

Wenn Du von dem Ordner sprichst, in dem die SW zum verteilen abgelegt ist, ist das falsch. In dem Ordner reicht es aus, wenn die Authentifizierten Benutzer (da sind auch die Computerkonten enthalten) Lesen Rechte haben. Den Zähler in der GPT.INI muß nicht der Computer hochsetzen, das passiert IMHO wenn Du die GPO veränderst, und das kann eh nur ein Admin.

 

Anschließend muss bei den NTFS Berechtigung hinterlegt werden:

Die Gruppe Domänencomputer, muss folgenden Zugriff haben:

- Ändern

- Lesen, Ausführen

- Lesen

Vollzugriff habe ich nicht angehakt!

 

Lesen für Authentifizierte Benutzer reicht völlig aus.

 

Testen:

Um die Berechtigungen testen, muss das Programm psexec.exe aus den psTools von der Seite Windows Sysinternals runtergeladen werden und mit dem String:

psexec.exe -s -i cmd.exe

ausgeführt werden. Damit agiert man als NT Authority\System, also dem Computerkonto im Netz.

 

Wenn Du es richtig machst, ist das überflüssig.

 

Anschließend ruft man mittels:

dir \\Fileserver\share\ den Inhalt der Freigabe auf - bei uns wäre das \\Storage03\software$\

WICHTIG: Hier muss der DNS Namen stehen, mit dem der Server installiert wurde. Der Aufruf über einen 2. Namen, wie Storage01 funktioniert nicht! Ebenfalls funktioniert der Aufruf über die IP-Adressen nicht!

 

Stimmt alles nicht. Bei korrekter DNS Auflösung funktionieren alle Möglichkeiten.

 

Brscheint die Meldung, dass der Zugriff verweigert wurde, sind die Berechtigungen falsch gesetzt und man muss diese nochmal überprüfen.

 

Genau. ;) Schau dir dieses kleine HowTo mal dazu an: Service Pack Installation über die Softwareverteilung