Windows 2000 Domäne und XP Clients

[serpico 10]

Hallo bin neu hier, habe aber schon viele nützliche Tips aus diesem Forum.

 

Wir setzen seit geraumer Zeit Windows XP SP1 ein. Wir haben eine W2K Domäne mit Active Directory. Folgendes Problem tritt auf: Da per default auf Windows XP Rechnern unsere Domänenbenutzer wg. zu "wenig Rechten" keine Bilder (jpg, gif usw.) aufmachen dürfen (war auch schon unter W2K so) gab ich diesen immer auf folgenden Key in der Registry Vollzugriff: HKEY_LOCAL_MACHINE/Software/Microsoft/Shared Tools. Unter W2K hats dann auch super funktioniert. Uns ist jetzt aber aufgefallen dass nach einem Reboot eines XP Clients dieser Key und eigentlich alle Rechte-Veränderungen aus der Registry verschwunden sind. Die Anmeldung dauert auch länger (ca 30 Sec). Habe Testweise einen XP Rechner mal von Domäne getrennt und des ganze mal in einer Arbeitsgruppe ausprobiert. Dort wird der Key problemlos übernommen. Scheint an irgentwelchen Policies von der Domäne zu liegen, oder? Unsere Policies sind aber noch auf default. Sprich wurden noch nie angefaßt. Hat jemand eine Idee, was dies sein kann und wie man am besten dies in den Griff bekommt? Folgendes ist mir noch aufgefallen: Wenn ich versuche von einem W2K Rechner auf einen XP Rechner remote auf die Registry zuzugreifen, sind die Keys grau hinterlegt und nicht veränderbar. Desweiter wenn ich versuche Remote auf die Computerverwaltung eines XP Rechners zugreife bekomme ich die Meldung, dass der Zugriff verweigert wird.

Hoffe auf Eure Hilfe. Danke.

[edv-olaf 10]

Hallo und willkommen an Board,

 

wieso haben eure User zu wenig Rechte? Ist das eine GPO-Einstellung der Domäne? Standard ist das wohl nicht, ich kann Bilder bei uns öffnen ohne Probleme.

Ist möglicherweise das entsprechende Programm gesperrt?

 

Grüße

Olaf

[amay 10]

bei 2000 lag das am Photo Editor, da fehlten normalen Benutzern Registry Rechte.

 

Andreas

[serpico 10]

Nein es ist keine Einstellung in den Group Policys in unserer Domäne. Das Programm welches die Probs gemacht hat war wie amay schon schrieb der Photo Editor. Aber dies ist nicht mein Problem, da mir ja bekannt ist was ich zu tun habe damit dies funktioniert. Mein Prob ist dass die Einstellungen die ich auf einem XP Client Rechtemäßig in der Registry tätige nach einem Reboot verschwunden sind. Dies heißt, dass einige Programme, wie auch der besagte Photo Editor nicht unter einem Domänenbenutzer laufen wollen. Wie schon gesagt dauert die Anmeldung bei den XP Clients zum Teil schon sehr lange. Ich schätze, dass die Registry in diesem Moment neu (?) geschrieben wird. Leider weiss ich nicht wo ich hinlangen muss, um dies abzustellen. An den Group Policies wurde wie schon erwähnt nicht herumgespielt. Scheint aber trotzdem bei der Anmeldung an unsre Domäne zu liegen da in einer Workgroup alles normal funktioniert.

[edv-olaf 10]

Hi,

 

schon mal in der Registry geschaut, ob der User überhaupt berechtigt ist, dort Schlüssel zu ändern? Rechtsklick auf Schlüssel - Berechtigungen.

 

Hatte sowas mal mit der Bildschirmauflösung bei CurrentControlSet: User durfte Auflösung umstellen, beim nächsten Boot war alles weg.

 

Grüße

Olaf

[serpico 10]

ICH ändere die REGISTRY und nicht meine User. Dass diese auf HKLM keinen Zugriff haben ist OK und auf jeden Fall SEHR GUT.

 

Es geht um meine Berechtigungs-Änderungen als DOMÄNEN ADMIN, auf unseren XP Maschinen, welche ich für bestimmte Keys in der REg vergebe und nach REBOOT und ANMELDUNG dann weg sind.

[amay 10]

Hallo,

 

warum vergibst du das Schreibreche auf den Schlüssel nicht über ien Gruppenrichtlinie?

 

Andreas

[edv-olaf 10]

@sepico

Nun bleib mal flockig, du schreibst da das erste Mal, dass Du dich als Domänen-Admin angemeldet hast. Bin ich Hellseher, oder was?

 

Erzähl mal ein paar weitere Infos, wie eure Umgebung aussieht:

- servergesp. Profile?

- Schon mal die Default-Domin-Policy durchgecheckt?

- Tritt das Phänomen auch auf, ohne Reboot, also nur nach einer Abmeldung?

 

Grüße

Olaf

[serpico 10]

Hmm stimmt ich hab nicht erwähnt unter welchem Account ich mich selbst anmelde. Sorry Olaf.

 

Unsere Umgebung sieht folgendermaßen aus: Windos 2000 Active Directory mit 3 Domänencontrollern auf dennen alle 3 Dns, Wins läuft. Diese bedienen ca. 140 Windows 2000 SP4 und ca. 25 Windows XP Clients. Die Profile werden lokal gehalten, sind also nicht servergespeichert. Die Default Domain Policy haben wir schonmal "durchgecheckt". Da ich auf dem Gebiet mit Policies noch voll der Newb bin kann ich aber nicht sagen, ob dies alles richtig ist. Auffallen tut nur dass folgender key in den lokalen Richtlinien-Sicherheitsoptionen aktiviert ist: Serverkommunikation digital signieren=aktiviert. Die anderen sind alle "nicht definiert". Auf was muss geachtet werden?

 

Die Berechtigungen werden nicht nach der sofortigen Wiederanmeldung überschrieben. Nur nach einem Reboot ist dies mit der Zurücksetzung der Berechtigungen zu bemerken. Anfügen möchte ich noch, dass es egal welcher Benutzer sich anmeldet. Egal ob Admin oder Domänenbenutzer. Nach einem Reboot sind die Einstellungen weg.

[grizzly999 11]

Ich würde da nicht lange nach Ursachen suchen, sondern die Rgeistryberechtigungen, wie von amay vorgeschlagen, per Gruppenrichtlinie in der Domäne setzen. Dann sind die immer da....

In einer neuen Gruppenrichtlinie auf OU/Domäne unter Computerkonfiguration/Windows Einstellungen/Sicherheitseinstellungen/Registrierung

 

grizzly999

[serpico 10]

Jetzt mal dumm gefragt. In der Default Domain Policy stehen bei uns unter Computerkonfiguration/Windows Einstellungen/Sicherheitseinstellungen/Registrierung schon etliche Keys. Wahrscheinlich haben die dort doch gar nichts zu suchen, wenn nicht so gewollt, oder?

[grizzly999 11]

Nein, in der Default Domain Policy stehen nach dem Aufsetzen keine Berechtigungen für Registry Keys drin. Die müssen manuell gesetzt worden sein.

 

 

grizzly999

[serpico 10]

Hmm kann es sein, dass der Upgradeprozess von unserer alten NT 4.0 Domäne diese Keys angelegt hat? Wir Admins haben diese nicht erstellt.

 

Mir ist dies auch erst unter Windows XP aufgefallen. Unter Windows 2000 haben diese Keys keine Auswirkung. Ist dies normal?

[grizzly999 11]

Auch ein Inplace-upgrade setzt hier IMHO nichts rein. Vielleicht irgend eine installierte Software

Diese GPO-Einstellungen betreffen normal alle Computer von 2000 aufwärts, sofern der Registry Key dort auch vorhanden ist.

 

grizzly999