Jump to content

Script über GPO geht nicht....:o(


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo!

 

Vielleicht ein Hinweis, der etwas bringt.

 

Ich habe eine Sicherheitsgruppe AT04-4, um die zugehörigkeit zu dieser Klasse mit eigenen Permissions versehen zu können.

 

Ich habe einen user AT04-4-DAU, der im AD als Mitglied der Gruppe AT04-4 geführt wird.

 

Wenn ich aber gpresult auf einem Client-Rechner laufen lasse, wir die Mitgliedschaft in dieser Gruppe nicht angezeigt!

 

Wie kann das sein?

 

Sascha

Link zu diesem Kommentar

Nein, ich denke nicht.

 

Aber ich muß ja irgendwie realisieren, das nur Mitglieder der entsprechenden Klasse Zugriff auf das Laufwerk haben. Das mache ich über die Mitgliedschaft in einer Sicherheitsgruppe.

 

Und auf dem Client-Rechner sagt gpresult eben, das der entsprechende Benutzer NICHT zu dieser Gruppe gehört.

 

Warum aber die Policy nicht auf dem Ckient Rechner zieht, verstehe ich immer noch nicht.

 

Sascha

Link zu diesem Kommentar

Vielleicht muß ich andersherum herangehen:

 

Ich habe ein Verzeichnis, welches ich als Gemeinsames Klassenlaufwerk für eine Schulklasse allen mitgliedern dieser Klasse bei Anmeldung am System unter dem Laufwerksbuchstaben 'K:' zuordnen möchte.

 

Wie mache ich das?

 

Es gibt eine OU für die Klasse und es gibt eine Sicherheitsgruppe für die Klasse.

 

Das Verzeichnis ist so eingerichtet, daß nur Mitglieder der Sicherheitsgruppe der Klasse Zugriff daraf haben.

 

Sascha

Link zu diesem Kommentar

Wie bereits vorher beschrieben:

 

Es existiert eine aus NT-Zeiten stammende Domäne. Der NetBIOS-Name ist Lubeca, der FQDN ist Lubeca.wak.de. Das WAK wird in absehbarer Zeit entfernt. das de geändert.

 

Für jeden Klassenverband gibt es in der Root des AD eine OU. Auf dem Datenplattensatz (Userbasis) wurde jeweils ein Klassenordner angelegt. Darauf haben die Dozenten und die Klasse (Sicherheitsgruppen) Zugriff über eine Freigabe. Innerhalb des Klassenordner gibt es Aufgaben-, Austauschordner und für jeden User jeweils ein Home- und ein Profilverzeichnis. Auf die Benutzerverzeichnisse haben zu Beginn nur die Benutzer selbst Zugriff, sie können selbst den Dozenten Zugriff gewähren.

Freigegeben sind nicht die Verzeichnisse der Benutzer, nur das der Gruppe.

Off-Topic:

kleine Unterbrechung

Der Container eines Benutzers ist feststellbar mit Dsquery. Das Programm ist bei mir auf dem DC im Share NETLOGON abgelegt.

\\1fs-lubeca\dsquery user -name %username%

Die Anwort lautet

"CN=EscherJ,CN=Dozenten,DC=Lubeca,DC=wak,DC=de"

Wir brauchen also den Term Dozenten zum Mappen in eine Variable.

for /f "tokens=2 delims=," %%a in ('%logonserver%\netlogon\dsquery user -name %username%') do set group=%%a
set group=%group:~3%

Danach können wir mappen in Abhängigkeit der Existenz.

set FS=1FS-LUBECA
if exist \\%FS%\%group%\%username%Home net use P: \\%FS%\%group%\%username%Home /persistent:no 
if exist \\%FS%\%group% net use G: \\%FS%\%group%

Soweit erstmal für ein Home- und ein Gruppenlaufwerk.

 

Ich mache die Abfrage und das Mapping allerdings nicht in einem von der Gruppenrichtlinie abhängigen Loginskript. Es wird ein Loginskript für alle benutzt. Der Hintergrund ist, ich möchte nicht für jede Gruppe ein neues Skript anlegen. Ich lege auch nicht für jede neue Gruppe in der OU eine Gruppenrichtlinie an.

Off-Topic:

Vorläufiges Ende

Link zu diesem Kommentar

OK.

 

Sehr ähnliche Struktur, völlig andere Herangehensweise.

 

Ich rekapituliere mal, was ich verstanden habe:

 

Du holst den OU-Namen mit dsquery, checkst, ob eine Freigabe mit dem selben Namen existiert, und wenn ja, dann bindest Du sie ein.

 

Korrekt?

 

Das muß ich mir erstmal auf der Zunge zergehen lassen.....

 

Ich bin im Windows Scripting nicht so bewandert, deshalb die folgende dumme Frage:

Das sind Windows-Shell Kommandos, kein VBS?

 

Ich muß jetzt erst einmal einiges austesten.

 

*denk*

 

Danke,

Sascha

Link zu diesem Kommentar
Du holst den OU-Namen mit dsquery, checkst, ob eine Freigabe mit dem selben Namen existiert, und wenn ja, dann bindest Du sie ein.
Strenggenommen ist es der Container(CN) des Users, dieser ist aber die OU, so der User nicht im Standardcontainer(CN) ist. Es ist etwas spitzfindig von mir, sei deshalb bitte nicht gram. ;)
Das sind Windows-Shell Kommandos, kein VBS?
Dsquery ist kein Kommando der Shell selbst, es ist eine Exe, ein Bestandteil von 2k3, wird auch von 2k ausgeführt. Es gibt dsadd, dsmod, dsget, dsmove, dsrm, dsquery.

Off-Topic:

Du verwendest den Begriff Skripting. Damit verbinde ich Windows Skripting Host, VBS usw.

Hier ist eher der Begriff Batching angebracht. Das ist viel älter als Skripting. Mit Batches haben wir schon vor Windows und Dos gearbeitet, vor der Gründung von MS überhaupt. Es gab nämlich schon ein (EDV)Leben vor Bill Gates. ;)

Ich habe nämlich noch Heinz Nixdorf, Gary Kildall und Konrad Zuse in Erinnerung. :)

Link zu diesem Kommentar

Hi,

Strenggenommen ist es der Container(CN) des Users, dieser ist aber die OU, so der User nicht im Standardcontainer(CN) ist. Es ist etwas spitzfindig von mir, sei deshalb bitte nicht gram. ;)

Auf keinen Fall! Das ist völlig OK. Container und OU sind ja auch nicht zwangsläufig gleich.

Dsquery ist kein Kommando der Shell selbst, es ist eine Exe, ein Bestandteil von 2k3, wird auch von 2k ausgeführt. Es gibt dsadd, dsmod, dsget, dsmove, dsrm, dsquery.

Du verwendest den Begriff Skripting. Damit verbinde ich Windows Skripting Host, VBS usw.

Hier ist der Begriff Batching eher angebracht. Das ist viel älter als Skripting. Mit Batches haben wir schon vor Windows und Dos gearbeitet, vor der Gründung von MS überhaupt. Es gab nämlich schon ein (EDV)Leben vor Bill Gates. ;)

 

Hihi, wem sagst Du das...

Ich habe meine ersten (professionellen) Schritte auf einer PDP11 gemacht.

Das angesagte Kleincomputer-System nannte sich damals Osbourne-1 und lief unter CP/M.

 

Ach ja, PIP und ED...

 

Als UNIX Mensch bin ich natürlich mit batching und scripting durchaus vertraut.

Da das Behaviour von DOS etc. allerdings in meinen Augen nicht deterministisch war/ist(?),

habe ich darum immer einen großen Bogen gemacht. Und VBS war sowiso in meinen Kreisen immer sehr verpöhnt (ohne eigentlich zu wissen, warum)

 

Die Scripte, diew wir im Moment nutzen, habe ich aus dem Netz, oder diesem Forum und habe sie nach kurzem Studium an unsere Bedürfnisse angepasst.

 

Heute ist letzter Schultag, morgen werden die Messer gewetzt und scripte ausgetestet.

 

Vielen Dank erst einmal für diesen anderen Ansatz.

 

Sascha

Link zu diesem Kommentar
Hihi, wem sagst Du das...

Ich habe meine ersten (professionellen) Schritte auf einer PDP11 gemacht. Das angesagte Kleincomputer-System nannte sich damals Osbourne-1 und lief unter CP/M. Ach ja, PIP und ED...

Supi :) Da kannst du ja auch auf einiges zurückblicken. :D
Als UNIX Mensch bin ich natürlich mit batching und scripting durchaus vertraut.

Da das Behaviour von DOS etc. allerdings in meinen Augen nicht deterministisch war/ist(?),

habe ich darum immer einen großen Bogen gemacht. Und VBS war sowiso in meinen Kreisen immer sehr verpöhnt (ohne eigentlich zu wissen, warum)

Naja, nach dem Hörensagen soll CP/M gegenüber Unix ja auch ein wenig einfach gewesen sein hinsichtlich der Möglichkeiten.
Die Scripte, diew wir im Moment nutzen, habe ich aus dem Netz, oder diesem Forum und habe sie nach kurzem Studium an unsere Bedürfnisse angepasst.
Ich denke, du bist ja insgesamt mit dem Thema vertraut. Das VBS ist auch nicht von mir, habe es aus dem Web so übernommen. Es ist primitiv, hat keine Fehlerbehandlung.
Heute ist letzter Schultag, morgen werden die Messer gewetzt und scripte ausgetestet.
Heute habe ich nochmals abends Fortbildung, morgen noch eine Baustelle, Freitag wird es ruhig. Ich habe hier (wieder) ein Problem mit einer 2k3Dom, möglicherweise erneuere ich über die Feiertage und den Jahreswechsel komplett.
Vielen Dank erst einmal für diesen anderen Ansatz.
Gern geschehen. Falls wir uns nicht lesen, schöne Feiertage und guten Rutsch wünsche ich dir.

 

Gruß

 

Edgar

Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...