AD: Anmeldung an besonderem Client nur von ausgewählten Benutzern

[redwing1978 10]

In unserer Domain gibt es einen speziellen Client, an dem sich nur bestimmte Benutzer anmelden können sollten. Von den Usern A, B, C, D, E, .... sollen sich also lediglich B und C an diesem einen Client anmelden dürfen. Wie realisiert man sowas am einfachsten?

[matze-it 10]

In den Einstellungen der AD-Benutzer kann man da was definieren. Schau da mal nach.

[redwing1978 10]

Hallo!

 

In den Benutzereinstellungden der AD kann ich dazu leider nichts entsprechendes finden.

 

Ich habe inzwischen auch ein wenig gesucht und zB hier: https://www.administrator.de/index.php?content=65556 ... was gefunden. Allerdings will die Lösung über die GP (vorletzte Antwort) nicht richtig funktionieren, genauer gesagt: es funktioniert überhaupt nicht. Wir haben mehrere GP's in Anwendung und dabei eigentlich keine Probleme.

[XP-Fan 215]

Hallo,

 

sollen sich also lediglich B und C an diesem einen Client anmelden dürfen. Wie realisiert man sowas am einfachsten?

 

am einfachsten würde ich vorschlagen über die Richtlinie "lokal anmelden zulassen" die User zu definieren.

Dazu die lokale Gruppenrichtlinie bearbeiten ( gpedit.msc ) auf dem betroffenen System,

dort Computerconfiguration -> Windows Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Zuweisen von Benutzerrechten

 

Hier sind u.A. per Default eingetragen:

Administratoren

Benutzer

Gast

 

Wenn nun sich nur bestimmte Benutzer anmelden dürfen so wären die Benutzer herauszunehmen und die entsprechenden Benutzer einzutragen ( aus dem AD ).

[Sunny61 773]

am einfachsten würde ich vorschlagen über die Richtlinie "lokal anmelden zulassen" die User zu definieren.

Dazu die lokale Gruppenrichtlinie bearbeiten ( gpedit.msc ) auf dem betroffenen System,

dort Computerconfiguration -> Windows Einstellungen -> Sicherheitseinstellungen -> Lokale Richtlinien -> Zuweisen von Benutzerrechten

 

Und anschließend einen großen Zettel auf den Client kleben, spätestens nach 4 Wochen ist vergessen weshalb sich nur Benutzer Mustermann an dem Rechner anmelden kann. ;)

 

Lieber per GPO im AD und mit der Sicherheitsfilterung arbeiten.

[NorbertFe 1.810]

Und anschließend einen großen Zettel auf den Client kleben, spätestens nach 4 Wochen ist vergessen weshalb sich nur Benutzer Mustermann an dem Rechner anmelden kann. ;)

 

Kann man an solchen PCs ja auch per Anmeldehinweis per GPO anzeigen lassen. ;)

 

Lieber per GPO im AD und mit der Sicherheitsfilterung arbeiten.

 

Davon ging ich jetzt aus, dass man das nicht in der lokalen Sicherheitsrichtlinie definiert. :)

 

Bye

Norbert

[redwing1978 10]

Hallo,

 

und danke für die Antworten. Das mit der Sicherheitsfilterung in der AD habe ich bereits probiert. Oder zumindest denke ich, dass ich am rechten Ort gewerkelt habe:

 

- Den betreffenden Rechner in eine eigene OU verschoben.

- Für diese OU eine eigene GPO angelegt.

- In dieser GPO nur einer geschlossenen Benutzergruppe den Zugriff gewährt (in der Benutzer B und C sind...).

 

Allerdings: Kein Erfolg - nach wie vor können sich alle Domainuser an besagtem Rechner anmelden. Habe auch ein weilchen Gewartet zwecks Replikation und gpupdate ausgeführt. Aber Fehlanzeige...

 

Wo würdet ihr mit der Fehlersuche beginnen? Den Typ hier vor dem Monitor habe ich schon gefilzt...

 

Grüße

Red

[Sunny61 773]

und danke für die Antworten. Das mit der Sicherheitsfilterung in der AD habe ich bereits probiert. Oder zumindest denke ich, dass ich am rechten Ort gewerkelt habe:

 

- Den betreffenden Rechner in eine eigene OU verschoben.

- Für diese OU eine eigene GPO angelegt.

- In dieser GPO nur einer geschlossenen Benutzergruppe den Zugriff gewährt (in der Benutzer B und C sind...).

 

Du hast alle anderen Benutzer auf dem Rechner entfernt? Kommt die GPO denn überhaupt an? Was sagt RSOP.MSC oder GPRESULT /V auf dem Client als angemeldeter Benutzer?

[redwing1978 10]

Du hast alle anderen Benutzer auf dem Rechner entfernt?

 

Hallo Sunny,

wie meinst du das mit den anderen Benutzern? Du meinst das Profilverzeichnis? Es handelt sich ja um Domainbenutzer. Wie kann ich die auf dem Client entfernen?

 

Grüße

Red

[Sunny61 773]

wie meinst du das mit den anderen Benutzern? Du meinst das Profilverzeichnis? Es handelt sich ja um Domainbenutzer. Wie kann ich die auf dem Client entfernen?

 

Ich meine kein Profilverzeichnis. Lies doch nochmal das Posting von XP-Fan genau. Wenn es lokal auf dem Client noch die Gruppe Benutzer gibt, und darin noch die Gruppe der Domain-Benutzer, dann mußt die beiden löschen. Und jetzt trägst Du den User ein, der sich anmelden darf. Das Prinzip wird hier beschrieben: Eingeschränkte Gruppen