Domain-Benutzer verschwindet aus Lokaler Administratoren Gruppe

[Roli79 10]

Hallo Leute,

 

habe ein mysteriöses Problem in einer Windows Server 2003 - Active Directory Umgebung.

 

Habe einen Domänen Benutzer auf einen Meberserver der Lokalen Administratoren Gruppe hinzugefügt. Und das Problem ist dass dieser nach gewisser Zeit wieder aus dieser Gruppe verschwindet oder sich einfach automatisch löscht. So würde ich das jetzt mal erklären.

 

Das ganze habe ich auch noch einmal mit einem Test-User probiert. Also User in der Domäne angelegt und ihn dann der Lokalen Amdins Gruppe auf dem Memberserver hinzugefügt.

 

Kann das eventuell noch an einer GroupPoliy liegen, oder hat der Server selbst ein Problem? Habe auch keine Hinweise auf dieses Phänomen im Event Log gefunden. Werde aber noch mal die Security Audit einschalten. Viellecht sehe ich noch was.

 

Der Benutzer ist dafür da um den Cluster Service starten zu können. Deswegen muss dich diesen explizit in die Lokale Admins Gruppe hängen, und kann nicht einfach die Domain-Amdins-Gruppe verwenden in der dieser auch Mitglied ist.

 

danke scho mal im voraus für euere Hinweise

Roland

[-!The body is only an interface for the mind - The spirit is real!-]

[klausk 10]

Schätze mal, dass eine Policy exisitiert, in der die Administratoren-Gruppe via "Eingeschränkte Gruppe" auf dem gewünschten Stand gehalten wird. Da Dein Benutzer nicht in dieser Policy mit aufgeführt sein wird, wird dieser bei jeder Aktualisierung der Computerrichtlinien wieder aus der Gruppe entfernt.

[Roli79 10]

das würde Sinn machen. Danke für den Tipp! :-)

Ich Melde mich wieder. wenn ich die Resultate habe.

--------------------------------------------

[-!The body is only an interface for the mind - The spirit is real!-]

[Roli79 10]

So habe mir ma die Default Domain Policy auf dem DC genauer angeschaut. Da gibt es unter:

\\Local Computer\Computer Configuration\Windows Settings\Restricted Groups

2 Eintragungen auf die Domänen Admins Grupe und für den Lokalen Administrator.

 

Habe mal einen kleinen Proof of Concept gemacht und ein manuelles Update auf den betreffenden Server durchgeführt. Nach der Aktion war mein geaddeder User wieder aus der Lokalen Administratoren Gruppe verschwunden :-) Somit ist das Problem lokalisiert.

 

Danach habe ich meinen ClusterAdmin in die Restricted Groups Policy (diese übrigens nur in den Domänen-Richtlinien existiert nund nich lokal auf den Servern) aufgenommen. Ein weiteres gpupdate hat den User nicht mehr aus der Gruppe geworfen.

 

Danke noch mal für den Tip.