login-problem: keine interaktive anmeldung möglich

[attackdecay 10]

hi,

 

ich habe vor ein paar tagen meinen rechner mit winxp pro neu installiert. um "bösen" mächten nicht alles offen stehen zu lassen, habe ich für mein arbeitsumfeld zusätzlich einen "hauptbenutzer" angelegt und eingerichtet.

 

es lief soweit alles prima, doch heute heisst es plötzlich: "die sicherheitsrichtlinien erlauben keine interaktive anmeldung". das betrifft aber nur den hauptbenutzer, wenn ich den als admin ändere geht's... nur das will ich ja nicht...

 

eine kleine ergänzung noch, der rechner wurde für eine domäne eingerichtet, doch die anmeldung klappt auch nicht wenn ich das umfeld in eine "arbeitsgruppe" ändere.

 

hat jemand eine ahnung woran das liegt bzw. wie ich meinen user wieder als hauptbentzer nutzen kann? für hilfe wäre ich dankbar.

 

grüße

attackdecay

[Champ 10]

Hey

 

Die Sicherheitsrichtlinie der Domäne erlaubt keine lokale Anmeldung. Die solltste dann schon anpassen.

 

By Champ

[IThome 10]

Schau mal in der Lokalen Sicherheitsrichtlinie (Verwaltung) - Lokale Richtlinien - Zuweisen von Benutzerrechten, wer unter "Lokal anmelden" und "Lokale Anmeldung verweigern" eingetragen ist.

Im Domänenbetrieb kann es schon sein, dass eine übergeordnete Richtlinie die interaktive Anmeldung einschränkt. Um das zu überprüfen kannst Du entweder GPRESULT (entsprechende Parameter setzen) oder den Richtlinienergebnissatz im Protokollierungsmodus ausführen ...

[attackdecay 10]

Hi Champ, hi IThome,

 

zu Champ:

"Die Sicherheitsrichtlinie der Domäne erlaubt keine lokale Anmeldung. Die solltste dann schon anpassen."

- Hab aber die ganze Zeit problemlos arbeiten können ohne bewußt einzugreifen... wo könnte ich die anpassen? am Server? Aber warum hab ich auch das Problem wenn ich den Rechner aus der Domäne rausnehme und ihn nur als ein Arbeitsgruppenmitglied einrichte?

 

zu IThome:

unter "lokal Anmelden" kann ich gar nix machen, das ist alles grau hinterlegt, ich kann nichtmal die volle Liste der eingetragenen Mitglieder sehen. unter "verweigern" ist nur Gast eingetragen.

das weitere von dir klingt interessant, ist mir aber etwas zu hoch... will sagen, gpresult kann ich zwar abrufen, aber wo könnte ich da bzw. wo müsste ich da was eintragen?

gleiches gilt für "Richtlinienergebnissatz im Protokollierungsmodus ausführen" wo stell ich das ein?

 

gruß

attackdecay

[IThome 10]

Ist der Rechner jetzt Mitglied einer Domäne oder ein Arbeitsgruppenrechner ?

[attackdecay 10]

im augenblick einer domäne - soll ich das wieder ändern?

 

gruß

attackdecay

[IThome 10]

Starte unter "Ausführen" RSOP.MSC und schaue nach, welche Einstellungen woher kommen. Kommen sie von irgendeiner Domänenrichtlinie, musst Du Deinen Administrator bemühen ;)

[attackdecay 10]

hi,

 

ich vermute, dass die vom Server kommen da "ich nur eine lokale kopie der ADM-Datei erhalte.

 

wieso, kann ich das nicht mit dem umtragen in eine workgroup umgehen? der rechner hat eigentlich in dem netzwerk nicht viel zu tun...

 

aber wenn du in windows server 2003 fit bist, kannste mir evtl. sagen wo ich das dort ändern kann, da ich zugriff als admin auf den server habe, aber nix verbocken will.

 

gruß

attackdecay

[IThome 10]

Ich weiss ja nicht, was da steht :D

Wenn Du den Rechner nicht im Domänenbetrieb benötigst, wechsele wieder in eine Arbeitsgruppe, rufe die Sicherheitskonfiguration und Analyse auf (MMC eingeben - Datei - Snapin hinzufügen ). Dann mit der rechten Maustaste auf Sicherheits... - Datenbank öffnen und eine neue Datenbank erzeugen, dann wirst Du nach einer inf-Datei gefragt, dort wählst Du die Setup Security.inf. Jetzt hast Du die Möglichkeit, den Computer zu analysieren oder zu konfigurieren. Wenn Du ihn konfigurierst, setzt Du alle Sicherheitseinstellungen auf den Stand zurück, der nach der Installation eingestellt war (alle eventuellen Werte, die aus einer Domänenrichtlinie kamen, werden auf Standard zurückgesetzt)

[attackdecay 10]

hi IThome,

 

habe die maschine nun wieder in einer workgroup und das snap-in zugefügt, kann aber die von dir angegebene datei (Setup Security.inf) nicht öffnen, es kommt eine fehlermeldung... generell, wenn ich an der stelle eine datenbank öffnen möchte, wird eine .sdb datei gefordert, hab dann kurzerhand mal die "secedit.sdb" versucht zu öffnen, da heisst es aber dass der zugriff verweigert wird...

 

hab es nun mit der "update.sdb" versucht: das hat geklappt hier kann ich analysieren und konfigurieren. werde's gleich versuchen, ob's was gebracht hat.

[IThome 10]

Einfach eine neue erstellen mit irgendeinem Namen, bist Du als Administrator oder äquivalenter Benutzer angemeldet ?

[attackdecay 10]

hi IThome,

 

das ganze erweist sich als äußerst lästiges problem, ich hatte den rechner nun aus der domäne raus in die workgroup rein, doch dann lies sich der benutzer, der ja eigentlich keine admin rechte haben sollte und nur vorrübergehend welche hatte, nicht mehr in einen standardbenutzer umstellen.

 

meine lösung war nun kurzerhand den rechner wieder in die domäne zu packen, den benutzer auch in der domäne am server anlegen und dann eben nicht mehr bei der anmeldung am pc die lokale variante zu nehmen, sondern die domäne. dann noch kurz das lokale profil am pc angepasst und jetzt tut's. für mich ist die sache soweit erledigt.

 

was mir aber auf den tod nicht einleuchtet, warum funktionierte es einen tag lang völlig ohne probleme und von einer anmeldung auf die andere kommt plötzlich diese richtlinienmeldung.... aber das wird wohl in den sphären der windowswelt bis in alle zeiten ungewiss bleiben...

 

vielen dank jedenfalls allen die sich mit mir den kopf zerbrochen haben.

 

gruß

attackdecay

[IThome 10]

Wenn ich das jetzt lese, glaube ich, dass ich das ganze Problem von Anfang an nicht verstanden habe ... :rolleyes:

Wenn Dein Rechner Mitglied einer Domäne ist und Du Dich auch an dieser Domäne anmelden willst, aber möchtest, dass das Konto auf Deiner lokalen Maschine Hauptbenutzer-Rechte hat, dann muss das Domänenkonto der lokalen Hauptbenutzergruppe zugefügt werden (z.B. mit lusrmgr.msc). Weiterhin ist es auch möglich, die Mitgliedschaften von Gruppen durch Richtlinien zu steuern, so dass es nichts bringt, die Mitglieder lokal festzulegen. Ist der Rechner kein Mitglied der Domäne, wird das Benutzerkonto lokal angelegt und der Gruppe der Hauptbenutzer zugefügt.

Ob sich ein Benutzer interaktiv anmelden kann oder nicht, wird über die lokalen Benutzerrechte eingestellt (über die lokale Sicherheitsrichtlinie). Standardmässig wird dieses Recht den Hauptbenutzern nicht verweigert, es könnte aber sein, dass, bei Domänenmitgliedschaft, die Vergabe von solchen Benutzerrechten auf einer höhergelegenen (Standort, Domäne, Organisationseinheit) Ebene von einem Admin konfiguriert wird. Diese Einstellungen überschreiben die lokalen Einstellungen, so dass mir eine Konfiguration auf dem betroffenen Rechner nicht weiter bringt.

[viperk15 10]

Hallo, habe neues Phänomen zum alten Thema !

 

Win2k3 Standard Server ist Memberserver an einer NT4.0 Domäne.

Nach jedem Neustart habe ich automatisch unter den

Lokalen Sicherheitseinstellungen > Zuweisen von Benutzerrechten >

Lokale Anmeldung verweigern die Administratoren-Gruppe drin.

 

Somit kann sich keiner im Netz anmelden.....ich Tippe auf ein Wurm/Trojaner/Rootkit.

 

Leider hat mir google noch nix dazu gebracht...kennt ihr das Phänomen ?

Danke im Vorraus !!!

 

viperk15