Benutzerrechte Terminalserver vs Client

[gismo911112 10]

Hallo Zusammen,

 

ich denke ich sehe den Wald vor lauter Bäumen nicht...

Benutzer sollen die Möglichkeit haben sich lokal an Ihrem PC anzumelden und dort auch weitestgehend Vollzugriff (Hauptbenutzer) haben. Parallel dazu sollen diese Benutzer sich mit Ihrem Benutzernamen und Kennwort auch an einem Terminalserver anmelden dürfen und dort selbstverständlich komplett eingeschränkt arbeiten.

Wie muss ich welche Berechtigungen vergeben, damit das funktioniert?

z.Zt. ist es so, dass wenn ein Benutzer in der OU Terminalserver drin ist lokal auf seinem Arbeitsplatz auch komplett eingeschränkt ist. Das finde ich etwas unglücklich.

[NorbertFe 1.826]

Einsatz von Gruppenrichtlinien auf einem Terminal Server

faq-o-matic.net » Wie werde ich lokaler Administrator?

 

Bye

Norbert

[gismo911112 10]

Tach Norbert,

 

die Geschichte mit den Gruppenrichtlinien habe ich durch. Scheint aber bei 2008R2 nicht zu klappen. Entweder kann sich nur der Administrator anmelden oder der Terminaluser hat vollen Zugriff. Habe mehrere Versuche unternommen.

Ich glaube der zweite Link löst mein Problem auch nicht. Benutzer soll lokal auch seinem Client halt die Möglichkeit haben z.B. den PC herunterzufahren, Bildschirmeinstellungen vorzunehmen usw. im Gegensatz dazu soll er das auf dem TS nicht dürfen.

[NorbertFe 1.826]

Tach Norbert,

 

die Geschichte mit den Gruppenrichtlinien habe ich durch. Scheint aber bei 2008R2 nicht zu klappen.

 

Dann hast du was falsch gemacht.

 

Entweder kann sich nur der Administrator anmelden oder der Terminaluser hat vollen Zugriff. Habe mehrere Versuche unternommen.

 

Dann hast du was falsch gemacht.

Arbeite den Artikel von oben nach unten durch. Es hat sich diesbezüglich nichts zwischen 2003 und 2008 R2 geändert.

 

Ich glaube der zweite Link löst mein Problem auch nicht. Benutzer soll lokal auch seinem Client halt die Möglichkeit haben z.B. den PC herunterzufahren, Bildschirmeinstellungen vorzunehmen usw. im Gegensatz dazu soll er das auf dem TS nicht dürfen.

 

Das war der "dezente" Hinweis, dass Hauptbenutzer quasi lokale ADmins sind, und dass man sowas eigentlich nicht will.

 

Bye

Norbert

[gismo911112 10]

Ok, überredet. Ich baue mir die GPO noch einmal zusammen. Und poste dann das Ergebnis.

[gismo911112 10]

Verständnisfrage: In der OU "Terminal Server" ist mit Computer der Client vom Benutzer gemeint oder Terminal Server selbst?

Gruppenrichtlinien - Übersicht, FAQ und Tutorials

Ich meine es muss der Terminal Server sein, damit die GPO "Terminal Server Einschränkungen" beim Terminalserver greift und nicht bei den Clients, die ja offener sein sollen.

bearbeitet 21. Juni 2011 von gismo911112
Ergänzung Server/Client

[StefanWe 14]

Du kannst auch zwei GPOs erstellen. Eine für den Terminalserver und eine für die Clients und wendest beide auf die entsprechenden Benutzer an.

 

Anschließend erstellst du dir zwei WMI Abfragen und hängst diese an die entsprechende GPO. Für die TS Server Filterst du auf Server Systeme und fr Clients auf Clientsysteme.

 

So wird die GPO für die TS Server nur angewandt, wenn der User sich am TS anmeldet.

 

Die GPO für die Clients nur, wenn er sich an einem Client anmeldet.

[NorbertFe 1.826]

Verständnisfrage: In der OU "Terminal Server" ist mit Computer der Client vom Benutzer gemeint oder Terminal Server selbst?

 

Was würdest du in einer OU namens "Terminal Server" denn erwarten? ;) Ich würde den Terminalserver dort reinschmeißen.

 

Ich meine es muss der Terminal Server sein, damit die GPO "Terminal Server Einschränkungen" beim Terminalserver greift und nicht bei den Clients, die ja offener sein sollen.

 

Und was sprach gegen einen schnellen Test? ;)

 

Bye

Norbert

[NorbertFe 1.826]

Du kannst auch zwei GPOs erstellen. Eine für den Terminalserver und eine für die Clients und wendest beide auf die entsprechenden Benutzer an.

 

WMI Abfragen in solchen Fällen sind bäh. ;) Sind meiner Meinung nach nur der letzte Ausweg, vor dem es noch einige sinnvollere gibt.

 

Bye

Norbert

[gismo911112 10]

Hallo noch einmal,

habe jetzt Schritt für Schritt noch einmal wie auf gruppenrichtlinie.de - Gruppenrichtlinie die Sache zusammengebaut. Funktion ok. Hatte die Clients auch für die TS Einschränkungen mit vorgesehen und somit konnte es nicht gehen. Danke an Euch.