Jump to content

Neue GPO - Zugriff verweigert / Modifizieren: geht


Direkt zur Lösung Gelöst von daabm,
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo Leute,

 

Habe in einer Umgebung das Problem, dass ich die GPO's nicht mehr verändern kann. Ist relativ schwierig nachzuvollziehen seit wann das Problem besteht, weil ich da schon eine halbe Ewigkeit keine neuen GPO's mehr erstellt habe.  In den letzten Monaten ja fast Jahre habe ich da lediglich Windows-Updates eingespielt oder GPO's verändert.

 

Was ich schon versucht habe:

- Prüfung der Event-Logs --> Keinerlei Einträge, auch nicht bei der FilterEngine wo normal etwas auftaucht wenn irgendwo Zugriff verweigert erscheint (habe umfangreiches Logging aktiviert)

- Check der Berechtigung von SYSVOL auf dem Server, keine sichtbare Beeinschränkung, Admins haben Vollzugriff

 

Was ich nicht mehr sicher bin: Ob ich in dieser Umgebung seit der Umstellung auf einen Central Store schonmal Policies neu erstellt habe oder nicht.

 

Jemand eine Idee was das sein könnte?

 

GPO's werden auch sauber angewant ohne Kniffe wie force update oder ähnliches.

 

Grüsse und vielen Dank

Link zu diesem Kommentar

@daabm: Nochmals mit anderen Worten:

Der Fehler: es lässt sich keine neue GPO auf dem DC erstellen, ändern ist aber kein Problem, löschen auch nicht. Anzeigen auch nicht.

 

Wie er sich äussert: Es erscheint nur eine Meldung: "Zugriff verweigert"  wenn eine GPO erstellt wird.  0815 Msgbox ohne Symbol, nur ein OK Button, ohne sonstige Erklärung oder Err. Nummer. Kein Log-Eintrag, weder im administrativen Teil, noch bei Group Policy noch bei der FilterEngine (wo Zugriffsverletzung aller Art normal geloggt werden, sofern aktiv).

 

Der Server ist weder abgestürzt (dass AD beschädig sein könnte) noch sonstwas. Es wurdne lediglich Updates eingespielt. Einträge im AD unter Computer/Benutzer erstellen ist auch kein Problem. Alles was ich den letzten Monaten gemacht wurde, ist die Windows Updates einzuspielen.

 

Werde mal versuchen den Policies-Ordner neu zu erstellen und die Berechtigungen frisch zuzuweisen. Gefällt mir zwar nicht so richtig, aber mir fehlt sonst grad eine zündende Idee.

bearbeitet von Weingeist
Link zu diesem Kommentar
vor 12 Stunden schrieb daabm:

Das Debug Logging interessiert Dich nicht? Das würde ich als erstes einschalten.

Wie und was genau? Bis jetzt hatte ich Probleme dieser Art noch nie, bzw. beschränkten sie sich auf das verabeiten auf den Zielmaschinen, das replizieren oder unterschiedliche Varianten der GPO's. =)

--> Suche wohl falsch einfach falsch. Fand nix dazu.l

 

@xrated2: Besitzverhältnisse liegen auch bei den Domain-Admins. Aber das problem sind ja auch nicht die existierenden GPO's. Da läuft alles rund. Sobald ich auf den Button neu erstellen drücke, kann ich noch den gewünschten Namen eingenben und sobald ich das bestätige, ist fertig.

bearbeitet von Weingeist
Link zu diesem Kommentar
  • Beste Lösung

Hm, Du bist doch eigentlich kein ganz Unerfahrener... https://lmgtfy.com/?q=gpmc+debug+logging&s=g

Und Deine Problembeschreibung ist immer noch wirr. Oben steht "GPOs nicht mehr verändern kann". Dann kommt "Bei existierenden GPOs läuft alles rund". Ja was denn nun? Hat jemand den Default Security Descriptor von groupPolicyContainer geändert? Oder hat jemand mit den ACLs von Sysvol oder im AD (System/Policies) gespielt?

Link zu diesem Kommentar

@daabm: *lololol*

Stimmt das ist widersprüchlich, ist mir erst jetzt aufgefallen wo dus sagst. Doofe Wortwahl. Auch wenn ich sonst überall geschrieben habe, dass modifizieren geht. Inklusive im Titel.

 

Sysvol-Berechtigungen wurde - zumindest in der Theorie - nix dran rumgeschraubt. Allerdings olé olé, war da doch was im Argen. Und zwar waren die Write-Berechtigungen für Zugriff der Admins auf policies lediglich für Unterordner und Dateien nicht aber für den Ordner Policies an sich vergeben. Gefühlt 100x die Berechtigungen angeschaut und trotzdem nicht gesehen. Ich glaubs echt nicht. Wie dies dahin bzw. weg kam, ist nicht mehr nachzuvollziehen. *hmpf*  :applaus::applaus:

 

Danke für die Geduld! :engel:

 

bearbeitet von Weingeist
Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...