m1k2k 10 Posted January 31, 2011 Report Share Posted January 31, 2011 Guten Morgen, Etwas sehr ****es ist mir gerade unterlaufen. Wie auf Gruppenrichtlinien.de beschrieben Gruppenrichtlinien - Übersicht, FAQ und Tutorials habe ich die lokale Administratoren Gruppe unter "Eingeschränkte Gruppen" in der Default Domain Policy so angepasst dass dort 3 mitglieder Stehen (2 Admins von uns und der Domain Admin), damit wurde wie erwartet die bestehenden lokalen Admins überschrieben. In der Theorie hört sich alles super an, jedoch hab ich jetzt mit dem lokalen Domänen Admin oder den beiden Admin Benutzern auf jedem Computer im Unternehmen keine Lokalen Berechtigungen mehr. Was ist schief gelaufen? Wie kann ich den Zugriff wiederherstellen? Habe bereits versucht die PC´s aus der Domäne zu entfernen und wieder hinzuzufügen, jedoch ohne Erfolg. Vielleicht hatte schon mal jemand das Problem bzw. hat einen guten Tip?! Danke und Gruß Quote Link to comment
NorbertFe 2,056 Posted January 31, 2011 Report Share Posted January 31, 2011 Wer steht denn jetzt in der lokalen Admingruppe? So oder so, wenn du es falsch konfiguriert hast, mußt du das GPO entsprechend so anpassen, dass es wieder funktioniert. Ich geb dir mal nen Tipp. Sowas konfiguriert man auf keinen Fall in der Default Domain Policy, sondern in einer eigenen Policy, die nur für die PCs gilt. Bye Norbert PS: Das rein oder rausnehmen von PCs, kann gar nicht funktionieren, da du dein GPO ja noch aktiv hast. ;) Und da du ja cleverweise die DDP genutzt hast, kannst du die jetzt auch nicht einfach mal deaktivieren. Nu weißt du, warum man sowas nicht tut. :p Quote Link to comment
Sunny61 807 Posted January 31, 2011 Report Share Posted January 31, 2011 Auszug aus dem gen. Artikel: Komplizierter Satz, einfaches Beispiel. Ich mache Asterix und Obelix zu Lokalen Administratoren über die Funktion der Eingeschränkten Gruppe. Jetzt passiert folgendes, alle ehemaligen Mitglieder der Lokalen Administratoren werden aus dieser Gruppen entfernt und nur noch Asterix und Obelix sind lokale Admins … in diesem Moment haben wir gerade den Domänen-Administrator zu einem einfachen „Benutzer“ an den Workstations degradiert. Man sollte also darauf achten, daß dir original vorhandenen Einstellungen erhalten bleiben und in der obigen Konfiguration nicht nur Asterix und Obelix hinzugefügt werden, sondern auch Administratoren. Quote Link to comment
m1k2k 10 Posted January 31, 2011 Author Report Share Posted January 31, 2011 Hi Sunny, eben dass ist mir nicht passiert, ich hab alle 3 hinzugefügt, auch den Domänen Admin, hab den nicht vergessen. Aus welchen Gründen auch immer hab ich das Problem bischen lokalisieren können, der Domänen Admin war im AD kein Domänen Admin mehr, er war kein Mitglied der Gruppe mehr.. :-/ Vielleicht lag es daran dass ich die DDP angefasst habe :suspect: , war wohl etwas zu leichtsinnig und voreilig :wink2: Quote Link to comment
Sunny61 807 Posted January 31, 2011 Report Share Posted January 31, 2011 Aus welchen Gründen auch immer hab ich das Problem bischen lokalisieren können, der Domänen Admin war im AD kein Domänen Admin mehr, er war kein Mitglied der Gruppe mehr.. :-/ Ist er dort von allein rausgeflogen? ;) Vielleicht lag es daran dass ich die DDP angefasst habe :suspect: , war wohl etwas zu leichtsinnig und voreilig :wink2: In der DDP und der Default Domain Controller Policy werden IMHO nur Passwortrichtlinien und das SMB-Signing eingestellt. Für den Rest erstellt man sich eigene GPOs und OUs: Erste Schritte zum Erstellen einer Gruppenrichtlinie Quote Link to comment
m1k2k 10 Posted January 31, 2011 Author Report Share Posted January 31, 2011 Ja, war auch bisher immer meine Devise :) Sorry, FATAL ERROR ! Danke für eure schnelle Antworten immer ;) Gruss Quote Link to comment
NorbertFe 2,056 Posted January 31, 2011 Report Share Posted January 31, 2011 Hi Sunny, eben dass ist mir nicht passiert, ich hab alle 3 hinzugefügt, auch den Domänen Admin, hab den nicht vergessen. Was genau hast du wie konfiguriert? Aus welchen Gründen auch immer hab ich das Problem bischen lokalisieren können, der Domänen Admin war im AD kein Domänen Admin mehr, er war kein Mitglied der Gruppe mehr.. :-/ hmm da is wohl was schief gelaufen bei dir, oder? ;) Vielleicht lag es daran dass ich die DDP angefasst habe :suspect: , war wohl etwas zu leichtsinnig und voreilig :wink2: Ja, das war leichtsinnig. Wie ich schon schrieb, testet man sowas vorher an einem PC mit einer dedizierten Richtlinie und danach konfiguriert man sowas auf keinen Fall ganz oben und schon gar nicht in der DDP (auch wenns dort funktionieren würde). Bye Norbert Quote Link to comment
Recommended Posts
Join the conversation
You can post now and register later. If you have an account, sign in now to post with your account.