gpupdate bringt fehler in Default Domain Policy

[sockel7 10]

Moin,

und da bin ich auch schon wieder mit dem nächsten Problem.

 

Eigentlich verteile ich nur Drucker über die GPO

Aber seit einiger Zeit habe ich damit Probleme.

Auf einem Win10 Client läuft es sauber durch.

Bei meinen Win7 Client´s nicht mehr. Wenn ich gpupdate laufen lassen will "egal ob als Admin oder User"

bekomme ich eine Fehlermeldung.

 

Ereigniss ID : 1058

"

Fehler bei der Verarbeitung der Gruppenrichtlinie. Der Versuch, die Datei "\\phoenix.local\sysvol\phoenix.local\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}\gpt.ini" von einem Domänencontroller zu lesen, war nicht erfolgreich. Die Gruppenrichtlinieneinstellungen dürfen nicht angewendet werden, bis dieses Ereignis behoben ist. Dies ist möglicherweise ein vorübergehendes Problem, das mindestens eine der folgenden Ursachen haben kann:

a) Namensauflösung/Netzwerkverbindung mit dem aktuellen Domänencontroller.

B) Wartezeit des Dateireplikationsdienstes (eine auf einem anderen Domänencontroller erstellte Datei hat nicht auf dem aktuellen Domänencontroller repliziert).

c) Der DFS-Client (Distributed File System) wurde deaktiviert."

 

Herausgefunden habe ich nur, das Policy 31B2F340....... die Default Domain Policy ist.

 

Da es mit Win10 ja klappt weis ich leider nicht wo ich ansetzen muß um das Problem zu beseitigen.

 

Kann jemand helfen ?

 

Habe mal ein Bild angehangen von den Einstellungen. unten im Bild der Eintrag ! den finde ich nicht.

Ich habe noch einen ähnlichen Server laufen.. alles fast identisch, da gibt es diesen Eintrag nicht.

https://drive.google.com/file/d/0B2WB5xA8gIKXa3VoVVh4S3RMMk0/view?usp=sharing

 

Nach weiteren Recherchen, ist mir aufgefallen, das bei mir in der Default Domain Policy z.B. alle Einträge zur Sicherheit (Passwort länge und alter usw, nicht vorhanden sind. !!!!!!!

Ich habe dan versucht mit "dcgpofix /target:Domain" diese in den Urzustand zu setzten.

Leider ohne Erfolg. Diese Einträge fehlen weiterhin gänzlich.

Desweiteren habe ich einen Fehler "0x8007003a" bekommen als ich die GPO Editieren wollte.

https://drive.google.com/file/d/0B2WB5xA8gIKXTkdEbGhjcnUteW8/view?usp=sharing

Ich bin ratlos.

 

 

Danke

Gruß

Dirk

bearbeitet 2. September 2016 von sockel7

[blub 115]

- komplett gebootet ist der Win7 worden?

- gibt es nur 2 Clients in der Domäne?

 

Der 1058-er hat nichts direkt mit der Default Policy zu tun. Diese GPO wird nur als erste verarbeitet und wenn die GPO-Verarbeitung, warum auch immer, hängt, zeigt er diese GPO bzw. deren GUID eben an.

[sockel7 10]

Hallo

 

Ja alle Clients werden ordentlich gebootet

Ich habe 10 win7pro und 4 win10pro alle 64bit in dieser domaine

 

Was ich vergessen habe ist das ich mal auf dem. Server einen wsus laufen hatte der aber nach einen deinstallationsversuch voellig abgeschmirt ist. Das wäre Ü Bringens mein nächste Problem das ich hier ansprechen würde.. Aber die 10 machen ja keine Probleme deswegen vermute ich mal das es damit nicht inne du Zusammenhängen muss.

 

Gruß

Dirk

[blub 115]

Hängt der Client sauber in der Domäne?

Mach mal "klist tgt" mit und ohne Adminrechten. Die Ausgabe brauch ich nicht, nur ob korrekt das TGT Ticket angezeigt wird. Vergleichs mal mit funktionierenden Rechnern.

Sonst nimm den Rechner nochmal neu in die Domäne auf. DNS ist auch immer sehr beliebt, wenn DCs nicht erreichbar sind.

 

Blub

[sockel7 10]

Hallo,

Ich kann das erst am Montag testen.

Ich werde mich dann melden.

 

Danke schonmal für die Hilfe.

 

Gruß

Dirk

[sockel7 10]

Moin,

 

So, hab das mal ausgeführt und als Admin kommt tatsächlich ein Problem.

 

Als USER

 

"

Aktuelle Anmelde-ID ist 0:0x1a385

Zwischengespeichertes TGT:

ServiceName        : krbtgt
TargetName (SPN)   : krbtgt
ClientName         : vmuser
DomainName         : PHOENIX.LOCAL
TargetDomainName   : PHOENIX.LOCAL
AltTargetDomainName: PHOENIX.LOCAL
Ticketkennzeichen       : 0x40e00000 -> forwardable renewable initial pre_authent
Sitzungsschlssel        : KeyType 0x12 - AES-256-CTS-HMAC-SHA1-96
                   : KeyLength 32 - 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
StartTime          : 9/5/2016 8:02:13 (lokal)
EndTime            : 9/5/2016 18:02:13 (lokal)
RenewUntil         : 9/12/2016 8:02:13 (lokal)
TimeSkew           :  + 0:00 Minute(n)
EncodedTicket      : (Gr”áe: 1044)
0000  61 82 04 10 30 82 04 0c:a0 03 02 01 05 a1 0f 1b  a...0...........
0010  0d 50 48 4f 45 4e 49 58:2e 4c 4f 43 41 4c a2 22  .PHOENIX.LOCAL."
0020  30 20 a0 03 02 01 02 a1:19 30 17 1b 06 6b 72 62  0 .......0...krb
0030  74 67 74 1b 0d 50 48 4f:45 4e 49 58 2e 4c 4f 43  tgt..PHOENIX.LOC
0040  41 4c a3 82 03 ce 30 82:03 ca a0 03 02 01 12 a1  AL....0.........
0050  03 02 01 02 a2 82 03 bc:04 82 03 b8 34 d9 b5 23  ............4..#
0060  e1 e3 3e f6 52 99 97 49:e7 e8 01 7f 8c 53 76 d4  ..>.R..I.....Sv.
0070  50 6c 65 a0 a2 d9 68 45:71 d9 a0 24 0f 51 ae 33  Ple...hEq..$.Q.3
0080  17 d9 29 59 f6 96 e1 2c:89 4e 34 bc 60 d9 08 36  ..)Y...,.N4.`..6
0090  b4 33 99 d3 c8 ed 87 82:d5 bb 7c d3 91 86 5c 88  .3........|...\.
00a0  4c 56 a9 d0 fd 11 47 cc:22 4e a7 18 a5 e7 9a f0  LV....G."N......
00b0  8e e8 1e 5e b1 09 07 70:56 4c bb eb 98 db 06 8e  ...^...pVL......
00c0  0a 47 b7 fb 30 7c a0 34:83 a1 a8 ee 68 41 f4 04  .G..0|.4....hA..
00d0  e4 ae d0 c0 50 5e a9 75:9f 1a be cf 3f ed 92 80  ....P^.u....?...
00e0  80 15 66 79 88 b5 b8 23:71 99 7f ef 6d 24 a8 98  ..fy...#q...m$..
00f0  98 5d 78 43 24 78 71 59:de 8b b2 88 10 6c 9a 41  .]xC$xqY.....l.A
0100  18 64 b7 b7 fb b9 5e 28:b9 fc 14 e9 27 a2 78 dc  .d....^(....'.x.
0110  c9 8f 37 b5 46 2d 2b f7:67 b2 48 c8 b0 31 d5 e5  ..7.F-+.g.H..1..
0120  ab b9 a8 96 1d 97 0f 6c:44 fc 38 49 4b da 79 cc  .......lD.8IK.y.
0130  e6 7b 88 71 ca db 4a 6b:94 d2 1f 76 98 19 96 8c  .{.q..Jk...v....
0140  c2 ce cb 72 47 94 98 a2:c0 9f 36 87 7d 69 4d 20  ...rG.....6.}iM
0150  8e ee 70 79 1b 01 8a 5f:83 5c 2f ea f6 af 4e 59  ..py..._.\/...NY
0160  11 c0 37 86 bd d7 2d 45:64 ef 48 ac 3a af 2f ea  ..7...-Ed.H.:./.
0170  a5 48 72 a3 f0 c9 2e 34:27 a8 ae be b9 4c f8 f0  .Hr....4'....L..
0180  4d d1 97 a2 3d c4 0e 6c:4b fe ea cd 25 17 34 5d  M...=..lK...%.4]
0190  1e 82 87 3c d8 20 21 85:3e 2e 65 e9 64 b7 a9 bc  ...<. !.>.e.d...
01a0  df d6 fd 7f 05 d9 9f 50:93 32 05 63 5d a6 5d b2  .......P.2.c].].
01b0  88 9d 6a fb 7c 37 87 7c:b2 eb 46 ca 70 15 c0 c4  ..j.|7.|..F.p...
01c0  ba 59 61 09 95 50 bd ce:1e 79 fb 39 33 90 8b 67  .Ya..P...y.93..g
01d0  3d cd f6 b2 fc 78 84 ae:0c 9f 7f 2e bd fb 20 2b  =....x........ +
01e0  e4 71 e4 bd f5 47 90 8a:24 bd 97 89 f6 fb f5 5f  .q...G..$......_
01f0  de 5b 3a a7 08 44 dc f5:3a 8d 04 4e 97 2c 0c 07  .[:..D..:..N.,..
0200  ce 31 77 62 e9 d2 ac 69:a8 12 a2 8e 0f 12 40 63  .1wb...i......@c
0210  7a 9e 03 e8 27 a5 68 2f:e4 ef 2c 15 7f 21 6e 57  z...'.h/..,..!nW
0220  0b 6f 21 a8 5d 64 83 8e:aa 90 b6 7c 41 5a 7f b7  .o!.]d.....|AZ..
0230  66 d4 6c 0d 2d a7 a1 26:0d 09 3e d3 69 af ac 93  f.l.-..&..>.i...
0240  c7 1f 00 1c 61 1b 19 44:37 c3 22 1c 08 f3 b0 dc  ....a..D7.".....
0250  89 7f a8 cc 26 ad 9c 84:97 4d 75 e4 8d 08 ef 4b  ....&....Mu....K
0260  21 f8 86 df 81 27 a5 cc:4a 69 72 e3 f8 07 6d b5  !....'..Jir...m.
0270  f5 1c 5f 63 ea 63 42 f4:6b 45 61 ef b8 05 15 ec  .._c.cB.kEa.....
0280  e3 26 d9 02 00 43 03 68:a2 99 82 be 8b e8 22 20  .&...C.h......"
0290  40 a5 48 df c6 89 01 11:96 92 e6 44 f9 fb ce 94  @.H........D....
02a0  af 0f 14 89 86 e7 5e a5:4b 9c 58 ff 88 bb 30 b7  ......^.K.X...0.
02b0  a3 1e 48 65 31 9a ee 03:dc 63 db 02 4a fe c5 48  ..He1....c..J..H
02c0  0f c6 be 20 7c 52 20 a7:04 5c 7e c5 9b db a7 88  ... |R ..\~.....
02d0  5d bb ec 04 f3 31 03 14:d0 2e 0d 96 29 ed a0 f6  ]....1......)...
02e0  0b f7 6f 67 13 61 ac cd:7a 45 97 b2 78 a3 30 cf  ..og.a..zE..x.0.
02f0  bf 75 80 13 60 b8 7a 77:b8 63 e2 6e 07 b4 4d 3d  .u..`.zw.c.n..M=
0300  76 55 4d 79 1d 40 0b 98:eb 22 78 82 15 5b 56 9b  vUMy.@..."x..[V.
0310  a0 00 52 4c cc 6a 89 df:b0 c1 83 a2 19 20 9d 24  ..RL.j....... .$
0320  06 80 25 55 3b 0d 72 5f:38 02 9e 64 f8 c8 e1 12  ..%U;.r_8..d....
0330  21 05 4a ee b2 6c 06 9a:e4 78 1d 15 ca 9a 3d 4d  !.J..l...x....=M
0340  27 a0 a9 98 e9 f4 f8 1b:ba f0 34 a8 6a a8 70 1e  '.........4.j.p.
0350  52 90 f3 9c 60 95 aa 7c:ce d7 c9 16 0e b2 f2 dc  R...`..|........
0360  58 1f 8f 6e 59 56 55 58:e1 ff f8 60 65 1e 95 89  X..nYVUX...`e...
0370  4b 09 9e 02 c9 48 eb 8a:c2 f2 06 8c d1 dd ee cc  K....H..........
0380  9e 96 4f a7 3f 0b 38 89:39 ef db 43 ef fa 48 cc  ..O.?.8.9..C..H.
0390  af 76 bb 3c 0e 38 97 c3:6f 65 66 7b 15 1c 6d 98  .v.<.8..oef{..m.
03a0  a1 9a 65 23 18 8a 3f d3:c8 f7 3c a3 a1 16 5e 4b  ..e#..?...<...^K
03b0  e2 57 61 d2 7b bc ae 21:51 fd 8e e1 76 a0 66 08  .Wa.{..!Q...v.f.
03c0  31 e9 54 f1 29 8b 4d aa:3f d1 fb cb 6b 2d c4 37  1.T.).M.?...k-.7
03d0  6f a5 a7 2b 3f 72 5a e1:dc 3d 71 d1 90 48 52 a9  o..+?rZ..=q..HR.
03e0  b8 5b 6c 0d 65 1e 11 44:48 64 55 b7 eb ac 50 00  .[l.e..DHdU...P.
03f0  b2 4c ff 05 d3 57 b4 89:34 a7 c5 b1 fe 33 d2 54  .L...W..4....3.T
0400  2d 93 82 0c 72 bf f4 79:aa fc ae 5f af 84 22 cb  -...r..y..._..".
0410  90 3e 3f 0a                                      .>?.

 

 

"

 

Als Admin

 

"

Aktuelle Anmelde-ID ist 0:0x9247ce
Fehler beim Aufrufen von API LsaCallAuthenticationPackage (Teilstatus fr Ticket Granting Ticket): 1312

Fehler bei klist. Fehler: 0x8009030e/-2146893042: Im Sicherheitspaket sind keine Anmeldeinformationen verfgbar.

 

"

 

Was bedeutet das ?

 

Gruß

Dirk

[blub 115]

Ich bin im Moment nur mit einem Smartphone bewaffnet. :-) und bald längere Zeit offline.

Check mal, ob das Computerkonto auf allen DCs repliziert ist. Dann setz das Computer Passwort zurück.

 

Blub

[sockel7 10]

Hallo,

 

Leider sprengen deine Wünsche meine Kentnisse.

Ich vermute mal mit DCs meint du Domain Cotroller. "Ich habe nur diesen einen"

replizietrt sagt mir leider nix und ich wüsste auch nicht wie ich was nachschauen sollte.

Computerkonto ist mir leider auch nicht geläufig. Compuerpasswort kenne ich auch nicht.

Leider bin ich kein eingefleischter IT Spezialist. Sry. :confused:

kannst du mir nich doch noch ein wenig auf die Sprünge helfen. :jau:

 

Das Benutzerkonto "vmuser" ist ganz frisch angelegt auf dem PDC.

 

Gruß

Dirk

Hab mal kurz hier im Forum nachgesehen. Computerkonto habe ich verstanden !.

Der Rechner der z.B. nicht funktioniert ist ein VM den ich versuchsweise installiert habe.

Der ist ganz frisch und wurde auch ganz frisch an dem AD angemeldet.

Deswegen debnke ich nicht das ich irgendwelche Probleme mit der SID haben sollte.

Aber ich werde da mal ansetzen und schauen was ich dazu finde.

[Sunny61 772]

Ich vermute mal mit DCs meint du Domain Cotroller. "Ich habe nur diesen einen"

replizietrt sagt mir leider nix und ich wüsste auch nicht wie ich was nachschauen sollte.

Wenn Du mehr als einen DC (Domaincontroller) hättest, würden die sich, je nach Konfiguration, mehrmals täglich miteinander replizieren. Sprich, die Änderungen die Du am AD auf DC1 durchführst, siehst Du auch am DC2.

 

Computerkonto ist mir leider auch nicht geläufig. Compuerpasswort kenne ich auch nicht.

Der Computer mit dem Du gerade das Problem hast, hat auch im AD ein Konto. Out of the Box ist das im Container 'Computers' zu finden.

 

Leider bin ich kein eingefleischter IT Spezialist. Sry. :confused:

kannst du mir nich doch noch ein wenig auf die Sprünge helfen. :jau:

Mach doch mal einen Rechtsklick auf das Computerkonto.

[sockel7 10]

Hallo Sunny,

 

Ja habe das schon auf die Kette bekommen. :)

Compuerkonto , Automatisches Passort usw. wurde hier im Forum gut erklärt.

Ich habe das Konte der VM Maschiene Resettet und den Rechner dann aus der Domaine raus und wieder rein gepackt.

klist tgt sieht nun gut aus wenn ich mich direkt an der VM anmelde :)

Welde ich mich per RDP an klappt das nicht mehr.. hmmmmmm

jetzt habe ich natürlich auch nicht getestet ob das vorher bevor ich die VM aus der AD genommen habe auch geklappt hätte.

Ich habe mich ja die ganze Zeit nur per Remotedesktop angemeldet.

 

Puhh... ich nix verstehen.

Ich habe nun weiter festgestellt, das auf einem Windows 10 Pro Notebook welches auch in der Domaine ist,

dieses klist tgt als Admin auch den Obigen fehler auswirft.

An diesem Notebook bin ich natürlich direkt angemeldet.

 

Was mir auch nicht ganz klar ist, diese ganzen Sicherheitseinstellungen "Passwort länge, alter, fehlversuche usw. " die in der Default Domain Poliy eingetragen sein sollten, fehler ja bei mir gänzlich.

 

Ich habe ja dieses Server nochmal in eienr anderen Einrichtung laufen. Dieser ist zu 90% gleich eingerichtet.

Dort werden in der DDP diese einträge für die Computer aufgelistet.

Kann es damit zusammenhängen ?

Ich habe auch schon ein Recovery der DDP und DDCP durchgeführt. Aber die Einträge fehler weiterhin.

 

Ich habe doch oben 2 Bilder über G Drive angehängt. In dem 2ten Bild kann man erkennen, das unter Sicherheitseinstellungen

diese Werte überhaubt nicht aufgelistet sind.

Als ich dann ziemlich weit unten auf Einstellungen geklickt habe, kam diese Fehlermeldung.

So, ich frisch das Problem mal kurz auf.

 

Ich habe mir jetzt noch ein Notebook besorgt.

Frisch Win7Pro 64bit installiert.

Mich an der Domaine angenmeldet.

klist tgt als Admin und als User melden keine Fehler. Siehe klist tgt "VMUSER" ausgabe oben im Post.

Die mittels GPO verteilten Drucker erscheinen nicht auf dem Notebook.

gpupdate meldet den ganz oben Post1 angegeben Fehler.

 

Hilfe !! :mad:  :confused:

bearbeitet 5. September 2016 von sockel7

[blub 115]

1. Sowohl User, wie auch Computer benötigen für eine funktionierende Domänenmitgliedschaft jeweils ein TGT Kerberosticket. Fehlt eines der Tickets, brauchst du mit GPOs etc. gar nicht anfangen.

 

2. Was heißt, "hab den Server in einer anderen Einrichtung laufen?" Ein Computer kann nur in einer einzigen Domäne hängen!

 

Wenn du mit Domänen arbeiten willst, dann benötigst du elementare Grundlagen ("mit DC meinst du Domaincontroller?"), sonst macht das weder dir noch uns Spaß.

[sockel7 10]

Oh mein Fehler.

Mit Einrichtung meinte ich natürlich unterschiedliche Standorte Häuser in denen jeweils unabhängig von einander jeweils ein Server rum werkelt

 

Sorry

 

Gruß

Dirk.