Domänenadministrator kann kein Gerät installieren!

[AleWalDo 10]

Hallo,

 

gestern abend hat mich mein Domänencontroller fast zum Wahnsinn getrieben.

 

Ich wollte in meinem DC also ein neues Bandlaufwerk einbauen weil das alte nicht mehr für die Datenmengen aussreicht. Da sagt mir dann der DC nach dem ich es eingebaut hatte "Sie haben nicht die erforderlichen Rechte, wenden Sie sich an Ihren Administrator oder melden sie sich als Administrator an!" Dies ist die Meldung die nach einem Neustart kommt..... :suspect:

Dann wenn ich auf die Computerverwaltung gehe, und dort im Grätemanager den Treiber installieren will kommt wieder die Meldung das Ich keine rechte hab und mich als Administrator anmelden soll. :suspect:

 

Das ganze Szenario spielt auf einem Win2k AdvSrv, als Domänencontroller.

 

In der Default Domain Policies ist unter "Computerconfiguration-Windowseinstellungen-Sicherheitseinstellungen-Lokale Richtlinien-Zuweisen von Benutzerrechten" der Punkt Laden und Entfernen von Gerätetreiben dem DomAdmin zugewiesen und sogar dem Administrator Account der das Gerät installieren sollte.

 

Ich habe sogar schon einen neuen Account erstellt und das gleiche Problem damit gehabt.

Auch das Starten im Abgesicherten Modus ergab keinen Erfolg.

 

Ich bin mittlerweile Ratlos

 

Vielen Dank für euer Hilfe im Voraus

 

MFG

AleWalDo

[grizzly999 11]

Hast du mal nachgeschaut, ob die Domänen-Admins noch Mitglied der Gruppe Administratoren sind (im Container Builtin)?

 

grizzly999

[AleWalDo 10]

Hallo,

 

das werd ich am Montag mal machen, aber sag mal ich hab gestern noch in der Default Domain Controllers Policie nachgeschaut, dort steht niemand (also leeres Feld) in der "Computerconfiguration-Windowseinstellungen-Sicherheitseinstellungen-Lokale Richtlinien-Zuweisen von Benutzerrechten" der Punkt Laden und Entfernen von Gerätetreiben drin. Das ist doch auch nicht so richtig oder?

Dann noch mal ne Frage wann wird diese DDC PO erstellt? Diese wird doch erst erstellt nach dem ich den Win2k AdvSrv zum Primären DC gemacht habe oder? und vor diesem Zeitpunkt existiert dies Richtlinie ja noch nicht, oder täusch ich mich da? dh. bis zu diesem Zeitpunkt kann ich Geräte installieren, und ab dann brauch ich theoretisch einen Höherwertigen Admin, also einen Standortadmin der die Domänencontroller Hardewaretechnisch verändern darf.

Ist meine Vermutung richtig, (oder annähernd?) oder totaler quatsch?

 

MFG

AleWalDo

[blub 115]

hi,

hol dir mal bei http://www.sysinternals.com das Tool psexec.exe

Starte das mit "psexec -sdi cmd.exe" und starte das Installprogramm aus dieser Console. Dann kommst du mit Systemrechten an - mehr Rechte gehen dann wirklich nicht mehr.

 

cu

blub

[AleWalDo 10]

moin,

 

@ Grizzly:

Hast du mal nachgeschaut, ob die Domänen-Admins noch Mitglied der Gruppe Administratoren sind (im Container Builtin)?

 

Ja, das sind sie noch.

 

 

@ blub:

 

hol dir mal bei http://www.sysinternals.com das Tool psexec.exe

 

das werd ich heute abend mal ausprobieren.....

 

Danke noch mal

Mfg

AleWalDo

[AleWalDo 10]

Hallo,

 

Ich hab die Lösung für mein Problem selbst gefunden.

 

Ich habe in der Default Domain Controllers Policie nachgeschaut, dort steht niemand (also leeres Feld) in der "Computerconfiguration-Windowseinstellungen-Sicherheitseinstellungen-Lokale Richtlinien-Zuweisen von Benutzerrechten" der Punkt Laden und Entfernen von Gerätetreiben drin

 

Im oben beschriebenen Abschnitt einfach die Gruppe der DomAdmins oder den Administrator eintragen, Danach Neustarten und schon geht es.

 

Vielen Dank für eure Unterstützung

 

MFG

AleWalDo :D

[grizzly999 11]

Im oben beschriebenen Abschnitt einfach die Gruppe der DomAdmins oder den Administrator eintragen, Danach Neustarten und schon geht es.

Das hattest du doch in der Domain Policy eingetragen (die auch auf dem DC ziehen sollte, so er nicht was anderes drin haben sollte.

Zum Anderen: das Recht wird normalerweise an die Gruppe "Administratoren" vergeben, nicht an DEN Admnistrator und auch nicht an die Domänen-Admins ;)

 

grizzly999

[AleWalDo 10]

Hallo,

 

Das hattest du doch in der Domain Policy eingetragen (die auch auf dem DC ziehen sollte, so er nicht was anderes drin haben sollte.

 

Das hatte ich auch gedacht, aber die Domain Policy scheint bei meinen DCs nicht zu ziehen, dafür aber die Domain Controllers Policy.... (was ja eigentlich auch sinn macht)

 

Zum Anderen: das Recht wird normalerweise an die Gruppe "Administratoren" vergeben, nicht an DEN Admnistrator und auch nicht an die Domänen-Admins

 

zu dem Thema danke für den Hinweis, ich hab es geändert.

 

 

MfG

AleWalDo

[ChristianHemker 10]

Das hatte ich auch gedacht, aber die Domain Policy scheint bei meinen DCs nicht zu ziehen, dafür aber die Domain Controllers Policy

Dafür fallen mir spontan zwei mögliche Gründe ein:

1. Vererbung auf der OU Domain Controllers deaktiviert

2. In der Default Domain Controllers GPO konkurrierende Einstellungen gesetzt.