Windows Server 2019 Client UAC dauert sehr lange

[matthiaslmb 0]

Hallo zusammen,

ich schlage mich seit ewigkeiten mit folgende Problem rum:

Meine Clients laufen soweit Problemlos, bis ich "ausführen als..." verwenden möchte, um z.B. eine Anwendung zu installieren.

Die Abfrage dauert ewig, bricht oft / meißtens nach mehreren Minuten ab. Mit ewig meine ich mehrere Minuten, wobei das UAC Fenster schnell da ist, aber wenn ich die Zugangsdaten des Admin eingegeben habe, ist der Bildschirm Minuten lang dunkel.

Ich kan nmich mit dem entsprechenden Admin Konto Problemlos am Rechner anmelden und meine Installation durchführen, aber wenn ich z.B. im normalen Userprofil eine Powershell mit erhöhten Rechten brauche, habe ich ein Problem.

Mein Admin Konto hat keinen Zugriff auf Userprofile, aber das hatte ich beim SBS2011 auch nicht und da hat alles Tip Top funktioniert.
Ich habe keine Migration gemacht, sondern neu aufgesetzt. Die Userdaten habe ich danach über Skript im Userkontext zurückgespielt. Das sollte alles passen, denke ich.

Während der Denkpause gibt es keine Fehler im Ereignisprotokoll. Auch DNS Anfragen habe ich mit mal angeschaut, bin aber nicht ganz schlau geworden. IP4 sieht alles gut aus, IP6 gibt es immer wieder ungültige Anfragen, aber nicht speziell bei der UAC Aktion. DNS Server funktioniert, nach allen Tests, die ich gemacht habe. Mein Verdacht war, dass irgendwie doch die Adresse des alten Domain Cotrollers rein gerutsch ist, aber ich habe keinerlei Hinweise hierzu gefunden.

 

Was ich bisher gemacht habe:

• Mit ipconfig /all die Adresse von DNS Server geprüft
• Mit DCDIAG den DC geprüft. Wenn ich DCDIAG als Administrator ausführe erhalte ich keine Fehler.
• Ereignisprotokolle auf Server und Client geprüft. Nichts gefunden, was ich in Verbindung bringe
• Die meißten Gruppenrichtlinien deaktiviert
• Netzwerkhardware, reduziert (direktverbindung von Client zu Server)
• Netzwerkkonfiguraton auf Host von 2 NEtzwerkkarten (extern und Intern) auf eine gemeinsame Karte geändert

*Anderes Administratorkonto verwendet

Hat jemand eine Idee?

Viele Grüße
Matthias

[muenster 16]

Hast Du bei der UAC Admin Anmeldung den vollständigen NetBIOS oder den Domänenanmeldenamen angegeben? Meiner Erfahrung nach braucht der Client bei der ersten Anmeldung diese Bezeichnung. Danach reicht der reine Benutzername.

[matthiaslmb 0]

ja, habe ich. netbios- und domänenamen sin nicht die gleichen bei diesem Server. Ich habe beides versucht.

[matthiaslmb 0]

Hat denn wirklich keiner mehr eine Idee? Ich habe schon lange keine mehr...

[NilsK 2.786]

Moin,

 

Bitte beschreibe noch mal genau, was du machst. Die Angaben bisher sind nicht ganz konsistent. UAC und "ausführen als" sind zwei verschiedene Dinge.

 

Gruß, Nils

[matthiaslmb 0]

ok, danke für den Hinweis, Ich meine "Ausführen als", aber ich ging davon aus, dass der erscheinende Dialog zur UAC gehört.

[NilsK 2.786]

Moin,

 

Gut, dann beschreibe doch bitte genau, was du tust und was passiert.

 

Gruß, Nils

 

[matthiaslmb 0]

Hallo, aber das hatte ich doch eingangs geschrieben. Und da steht auch dass ich ausführen als meine. Was möchtest du denn noch wissen? Ich weiß leider gerade wirklich nicht wie ich es noch erklären soll.

[NilsK 2.786]

Moin,

 

die Idee ist, dass du Schritt für Schritt aufschreibst, was du genau machst und was genau dann passiert. Damit wir mögliche Anhaltspunkte finden. Wie du ja merkst, sind deine Angaben bislang teils widersprüchlich, und da das Problem nicht auf der Hand liegt, müssen wir eben tiefer eintauchen. Darum hast du ja selbst gebeten.

 

Mit was für einem Konto bist du angemeldet? Wo klickst du? Was gibst du genau ein? Was genau passiert jeweils?

 

Gruß, Nils

 

[matthiaslmb 0]

Ok, ich versuche es.

 

Es sind alle Windows Clients (alle Windows 10 pro 64 bit) betroffen. Die User können sich mit Ihrem Servergespeicherten Profil fehlerfrei anmelden. Die User haben aber keine Adminrechte. machmal kommt es aber vor, dass ein User Adminrechte benötigt, wie z.B. fpr Powershell zur Fehlerbehebung, oder für openVPN, oder...

 

In diesen Fällen gibt ein User über den Befehl "Als Administrator ausführen" ein Konto mit mit lokalen adminrechten an (passiert aber genauso mit dem Domänenadmin). Das Fenster erscheint sofort, Man kann die entsprechenden Zugangsdaten eingeben, aber dann bleibt der Bildschirm ewig schwarz. Meißtens dauert es so lange, das es wohl zu einem Timeout kommt. Jedenfalls wird der Befehl dann nicht ausgeführt. Wenn ich falsche Zugangsdaten eingebe, wird das aber ohne merkliche Verzögerung erkannt und abgewiesen.

 

Ich kann mich auch an den Clients problemlos mit dem besagten lokalen Admin (ebenfalls Domänenbenutzer) anmelden.

[MurdocX 904]

Hallo matthiaslmb,

 

ich kenne das Problem. Ohne dir einen technischen Hintergrund zu dem Fehlernennen zu können, wurde es damals schnell durch den Neustart der DCs behoben. Dementsprechend würde ich ein Authentifizierungsproblem vermuten.

 

Folgende Fragen habe ich:

• Stimmen die DNS-Server IPAdressen auf den Clients? Also nur DCs und keine Gateways etc. eingetragen.
• Stimmt die IP-DNS Zuordnung des Clients im DNS-Server?

Edit:

 

vor einer Stunde schrieb matthiaslmb:

Ich kann mich auch an den Clients problemlos mit dem besagten lokalen Admin (ebenfalls Domänenbenutzer) anmelden.

Das hat erstmal nichts zu bedeuten, denn der Client kann auf Cached Credentials zurückgreifen.

[matthiaslmb 0]

Hallo,

 

danke soweit.

Neustart DC nützt nichts.

Cached Credentials glaube ich nicht, habe in der Zeit auch den ein oder anderen PC neu installiert...

Es ist nur ein DNS Server eingetragen und das ist wirklich der DNS

 

Bin mir nicht sicher, was Du mit der IP-DNS Zuordnung meinst.

 

[teletubbieland 139]

Hi,

 

ich hatte eine ähnliche Situation.

In dem Fall hat es geholfen die Gruppenrichtlinien zu bereinigen. Es waren zu viele Verkettungen drin.

 

Vielleicht hilft Dir das ja bei Deinen Überlegungen.

[matthiaslmb 0]

Danke für den Tipp, aber wie oben geschrieben habe ich die meisten Gruppenrichtlinien auch schon deaktiviert.

[MurdocX 904]

vor 19 Stunden schrieb matthiaslmb:

Bin mir nicht sicher, was Du mit der IP-DNS Zuordnung meinst.

Die aktuelle IP-Adresse des Clients = IP-Adresse zu DNS-Computername im DNS

 

Gab es früher schon mal andere Domaincontroller die vielleicht nicht mehr existieren?