Änderungen im Profile-Verzeichnis ermöglichen

[OSC 10]

Hallo,

 

wir haben einen W2K-Server mit Active Directory Service und 25 WinXP-Pro-Clients. Alle Geräte nagelneu und eben erst installiert inkl. aller Treiber-Updates und SPs und Windows-Updates. Als DHCP-Serer wird ein T-DSL-Router eingesetzt. Der Server hat eine feste IP-Adresse wegen des Einsatzes von DATEV-Programmen.

Alles funktioniert einwandfrei. Jetzt zu unserem Problem. Wir möchten, da die Arbeitsstationen als Schulungsrechner eingesetzt werden verhindern, dass Manipulationen am Desktop möglich sind. Nach jedem Neustart soll der Desktop aussehen wie ursprünglich von mir festgelegt. Das das möglich ist einfach durch Umbenennen der NTUSER.DAT der einzelnen User in NTUSER.MAN ist schon klar (gemanagte Profile). Nur komme ich auch als Administrator auf dem Server im Profile-Verzeichnis nicht mehr an die Verzeichnisse der einzelen User ran. Ich erhalte als Meldung:"Zugriff verweigert!". Über eine Boot-CDROM (WindowsPE) konnten wir dann zwar trotzdem die jeweiligen NTUSER.DAT umbenennen; aber das kanns ja wohl nicht sein. Schon deshalb nicht weil ich ja dazu immer den Server neu starten muss. Ist zwar im Schulungsraum nicht so schlimm, trotzdem nervig. Es muss doch auch eine Möglichkeit geben, als Admin in den Profil-Verzeichnissen zu arbeiten. Der Hammer ist, dass wir beim "Rumspielen" mit den Rechten schon auf einen User zugreifen können. Allerdings finden wir absolut keinen Unterschied in den Einstelleungen zu den anderen Usern. Wars***einlich sind wir blind oder zu **** oder beides. Vielleicht kann jemand von Euch Wissenden helfen.

[grizzly999 11]

Du musst nur als Admin den Besitz am Profilordner übernehmen, mit samt seinen Unterordnern und danach den User mit Vollzugriff eintragen. Dann hat man auch als Admin VZ auf den Ordner, so wie es bei NT 4.0 war.

Bei 2003 gibt es eine Richtlinie, in der man dieses NT 4.0 Verhalten einfach wieder einschalten kann (Computersettigns/..../Benutzerprofile oder so). Ob es diese Richtlinie auch bei 2000 gibt, kann ich jetzt nicht sagen, habe gerade keines da.

 

 

grizzly999

[OSC 10]

Hallo grizzly999,

 

vielen Dank für die schnelle Hilfe. Nachdem ich als Admin den Besitz übernommen habe komme ich an alle Profile-Ordner ran. Super. Nur können jetzt trotz dem User-Vollzugriff die Profile von den einzelnen Stationen nicht mehr geladen werden.

Meldung auf der Station beim User-Anmelden:

 

"Das servergespeicherte Benutzerprofil wurde nicht geladen. Sie werden mit einem lokalen Benutzerprofil angemeldet. Änderungen an dem Profil werden nach der Abmeldung nicht auf den Server kopiert. Das Profil wurde nicht geladen, weil eine bereits vorhandene Serverkopie des Profilordners nicht die richtigen Sicherheitseinstellungen hat. Entweder der aktuelle Benutzer oder die Administratorengruppe muss Besitzer dieses Ordners sein. Wenden Sie sich an den Netzwerkadministrator."

 

Das hört sich so an, als ob ich noch irgendwas bei den Sicherheitseinstellungen vergessen habe. Was habe ich falsch gemacht? Wie gibt man dem User genau Vollzugriff?

[grizzly999 11]

Es sieht so aus, als ob du nicht allen Unterordern und Datein die Berechtigung durchgegeben hast. Gehe auf dem Profilordner (direkt auf dem Ordner selber) in die Sicherheitseinstellungen, schau dass die stimmen, gehe auf Erweitert und setze das Häkchen bei "Berechtigungen in allen Unterordern blabla ... ersetzen" )

 

grizzly999

[Dienstbier 10]

Hi!

 

Und dannach folgende GPO-Einstellung aktivieren:

Computerkonfig|Administrative Vorlagen|System|Benutzerprofile|Sicherheitsgruppe "Administratoren" zu servergespeicherten Profilen hinzufügen

(Quelle: Win2k3-Server)

 

Dann haben Admins standardmäßig vollzugriff auf das Profil.

 

Cu

[OSC 10]

Hallo grizzly999,

 

habe inzwischen schon selbst das Problem gelöst. Es war genau das, was Du eben beschrieben hats. Trotzdem vielen Dank für die kompetente Hilfe.

 

Es ist doch erstaunlich, dass es Leute gibt, die am Sonntag anscheinend nichts Besseres zu tun haben, als über irgendwelchen Computerproblemen zu brüten. Genau wie ich. Und das ist auch gut so. :)