Joining workstations to the Domain

[Spone 10]

Hi all!

 

Habe folendes Problem:

Zu einer bestehenden Domäne (mixed mode) werden immer wieder clients (meist notebooks) hinzugefügt. Der/die Accounts der Leute, welche diese Aufgaben erledigen haben die entsprechenden Rechte, Workstations in die Domäne zu heben.

 

Problem:

Teilweise erscheint veom Versuch die Domäne zu joinen, nach der Eingabeaufforderung für User und Passwort die Fehlermeldung Access denied!

Bei solch einer Workstation funktioniert das Heben in die Domäne nur mit dem Administrator Account der Domäne.

Bei einem anderen Gerät, funktioniert es jedoch mit dem selben User Account, der im vorherigen Szenario nicht funktioniert hat, problemlos.

 

Was kann hier der Grund sein?

 

danke im Vorraus für die Hilfe!

 

Grüße, Spone

[grizzly999 11]

Welche Rechte haben die User genau? Kann es sein, dass die Rechner, bei denen es nicht klappt, schon mal in der Domäne drin waren, es also dort in irgendeiner Art schon ein Computerkonto mit dem Namen gibt?

 

 

grizzly999

[Spone 10]

Ich hab auch schon daran gedacht, dass es viell. daran scheitern könnte, dass für manche dieser Geräte bereits ein Computer Account im ADS existiert.

 

Nur fehlt mir momentan eine schlüssige Erklärung warum man dafür andere bzw. Dom. Admin User Rechte braucht..

[grizzly999 11]

Ja ist es denn so?

Und welche Berechtigungen hast du wo genau vergeben?

 

 

grizzly999

[Spone 10]

zumindest bei den heutigen fällen ist es mir aufgefallen!

Ich hab die Rechte im ADS nicht selber vergeben, drum kann ich es momentan nicht genau sagen. (müsst nachsehn bzw. nachfragen)

Jedoch weiß ich ,dass in der Policy das User Right "Add workstations to the domain" gesetzt ist!

 

Geht es bei den vergebenen Rechte um bestimmte Gruppenmitgliedschaften im ADS oder um spezielle Userrights in der Policy (sorry, mein ADs KnowHow ist noch ausbaufähig)?

[grizzly999 11]

Einen Computer zur Domäne hinzufügen braucht andere (weniger) Berechtigungen, als einen hinzuzufügen, dessen Konto existiert. Im zweiten Fall braucht man auf dem Container (oder den Containern), in welchen die Konten hinzugefügt werden sollen, zusätzlich die Berechtigung für Computerkonten das Kennwort zurückzusetzen.

Dan kann über das Tool "Active Directory Benutzer und Computer" geschehen, dort mit erweiterter Ansicht selektiert über den Reiter Sicherheit des Containers, oder per ADSIedit.msc. hierfür gibt es eine Beschreibung in der KB: Error Message "Access Denied" When You Join a Computer to a Domain

 

 

grizzly999

[Spone 10]

Hallo!

 

Nun hat es funktioniert!

 

Danke für die Hilfe!

 

grüße,