24
Administrator - Zuwenig Rechte auf dem Client-PC
Wenn ich auf einem Client PC ein Programm installieren möchte und mich mit dem zweiten Administrator Account diese Installation freigeben möchte kommt die Meldung
"Diese Aktion erfordert höhere Rechte", obwohl der Benutzer eigentlich alle Rechte drauf hat.
Gebe ich hier nun den Originalnamen "Administrator" ein, geht es.
Hallo Zusammen,
ich habe auf einem Windows Server 2008 einen Domain Controller installiert und zwei Windows 7 Client's eingebunden.
Auf dem Server habe ich mehrere Benutzeraccounts erstellt, mit denen ich mich am Client auch einloggen kann.
Den Benutzer "Administrator" habe ich kopiert (geclont) und somit einen zweiten Administrator Account erstellt.
Wenn ich auf einem Client PC ein Programm installieren möchte und mich mit dem zweiten Administrator Account diese Installation freigeben möchte kommt die Meldung
"Diese Aktion erfordert höhere Rechte", obwohl der Benutzer eigentlich alle Rechte drauf hat.
Gebe ich hier nun den Originalnamen "Administrator" ein, geht es.
Woran kann das liegen!?
ich habe auf einem Windows Server 2008 einen Domain Controller installiert und zwei Windows 7 Client's eingebunden.
Auf dem Server habe ich mehrere Benutzeraccounts erstellt, mit denen ich mich am Client auch einloggen kann.
Den Benutzer "Administrator" habe ich kopiert (geclont) und somit einen zweiten Administrator Account erstellt.
Wenn ich auf einem Client PC ein Programm installieren möchte und mich mit dem zweiten Administrator Account diese Installation freigeben möchte kommt die Meldung
"Diese Aktion erfordert höhere Rechte", obwohl der Benutzer eigentlich alle Rechte drauf hat.
Gebe ich hier nun den Originalnamen "Administrator" ein, geht es.
Woran kann das liegen!?
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 147019
Url: https://administrator.de/contentid/147019
Printed on: April 19, 2024 at 00:04 o'clock
24 Comments
Latest comment
moin,
scheisseSupersuboptimal. Machs doch bitte richtig.
Und ganz ehrlich ich wüßte eigentlich auch keinen Grund, warum man auf einem Client zwei lokale Admins braucht.
Von daher - ists wahrscheinlicher, dass du den ganzen Towuhabohu gar nicht brauchst.....
Gruß
Den Benutzer "Administrator" habe ich kopiert (geclont) und somit einen zweiten Administrator Account erstellt.
Ich bin mal so frei und schreib - Klonen ist - Neuen Benutzer anlegen und dem Adminrechte geben.
Und ganz ehrlich ich wüßte eigentlich auch keinen Grund, warum man auf einem Client zwei lokale Admins braucht.
Von daher - ists wahrscheinlicher, dass du den ganzen Towuhabohu gar nicht brauchst.....
Gruß
hmmmm.... Vom prinzip her brauche ich lokal gar keinen Admin user.
Ich möchte mich mit einem Serveradminkonto auf den Clients legitimieren und wenn ich das Serveradminpasswort ändere ist es automatisch überall mitgeändert.
Wenn ich überall einen lokalen Admin anlege, muss ich wieder rumrennen und überall das pwd ändern, was keine Lösung darstellt.
Ich habe den klon Admin gelöscht und per Hand neu angelegt, jedoch habe ich nach wie vor die gleiche Fehlermeldung: Zu wenig rechte...
Ich möchte mich mit einem Serveradminkonto auf den Clients legitimieren und wenn ich das Serveradminpasswort ändere ist es automatisch überall mitgeändert.
Wenn ich überall einen lokalen Admin anlege, muss ich wieder rumrennen und überall das pwd ändern, was keine Lösung darstellt.
Ich habe den klon Admin gelöscht und per Hand neu angelegt, jedoch habe ich nach wie vor die gleiche Fehlermeldung: Zu wenig rechte...
Der lokale Administrator auf einem Client in der Domäne ist NICHT lokal auf dem Client eingerichtet, sondern Du räumst dem entspr. DOMÄNENBENUTZER (bzw. DOMÄNENADMIN) lokale Administrationsrechte auf dem Client ein.
Da mußt Du nicht von PC zu PC rennen und Passwörter ändern...?!?
Und da der "erste" Deiner Admins schon lokale Adminrechte auf dem Client hat, brauchst Du (wie Timo schon schreibt) eigentlich den ganzen Aufwand gar nicht betreiben...
Da mußt Du nicht von PC zu PC rennen und Passwörter ändern...?!?
Und da der "erste" Deiner Admins schon lokale Adminrechte auf dem Client hat, brauchst Du (wie Timo schon schreibt) eigentlich den ganzen Aufwand gar nicht betreiben...
ich verstehe nicht so ganz was du mit "zweiter benutzer geclont" meinst.
domänenadmins haben normalerweise automatisch lokale adminrechte.
sollte dir das nicht genug sein, kannst du beliebige domänen-accounts zu lokalen admins machen indem du sie in die gruppe administratoren auf dem jeweiligen client hinzufügst.
gruss
domänenadmins haben normalerweise automatisch lokale adminrechte.
sollte dir das nicht genug sein, kannst du beliebige domänen-accounts zu lokalen admins machen indem du sie in die gruppe administratoren auf dem jeweiligen client hinzufügst.
gruss
Moin,
Anyway - mal eben auf allen Domain Clients das Passwort vom lokalen User (auch der Administrator ist ein User, der hat nur höhere Rechte) zu ändern ist doch ein Klacks, für den man das Firmenmopped nicht anwerfen muß.
Wie genau hast du denn das gemacht und hast du dem Adminrechte gegeben?
Und wenn du schon mal dabei bist - erklär uns doch mal, was du mit:
Gruß
- Prinzipiell bezweifele ich diese Aussage und negiere Sie
Ich möchte mich mit einem Serveradminkonto auf den Clients legitimieren und wenn ich das Serveradminpasswort ändere ist es automatisch überall mitgeändert.
Das ist ja auch Sinn und Zweck einer Domain - oder meinst du du willst Dienste via domain"User" starten? - Wenn ja - dazu nimmt man einen eigenen (eingeschränkten) Admin - und nicht den, dessen Passwort auch mal bei einer UsersSchautAdminÜberDieSchulterNummer hergenommen wird.Wenn ich überall einen lokalen Admin anlege, muss ich wieder rumrennen und überall das pwd ändern, was keine Lösung darstellt.
? Der lokale Admin ist eh überall (außer auf einem DC) angelegt und wenn man einigermaßen schlau ist - hat der lokale und der Domainadmin nicht das gleiche Passwort.Anyway - mal eben auf allen Domain Clients das Passwort vom lokalen User (auch der Administrator ist ein User, der hat nur höhere Rechte) zu ändern ist doch ein Klacks, für den man das Firmenmopped nicht anwerfen muß.
Ich habe den klon Admin gelöscht und per Hand neu angelegt, jedoch habe ich nach wie vor die gleiche Fehlermeldung: Zu wenig rechte...
Wie genau hast du denn das gemacht und hast du dem Adminrechte gegeben?
Und wenn du schon mal dabei bist - erklär uns doch mal, was du mit:
ein Programm installieren möchte und mich mit dem zweiten Administrator Account diese Installation freigeben möchte
Gruß
Hallo,
ich habe dem User folgende Rechte zugewiesen:
http://img541.imageshack.us/img541/6406/mitgliedvon.png
In den Client Systemen ist unter der Gruppe "Administratoren" die Gruppe "Domain/Domänen-Admins" eingetragen.
Sobald das Funktioniert, soll der User "Administrator" deaktiviert werden (aus Sicherheitsgründen).
ich habe dem User folgende Rechte zugewiesen:
http://img541.imageshack.us/img541/6406/mitgliedvon.png
In den Client Systemen ist unter der Gruppe "Administratoren" die Gruppe "Domain/Domänen-Admins" eingetragen.
Sobald das Funktioniert, soll der User "Administrator" deaktiviert werden (aus Sicherheitsgründen).
Hi.
Was noch nicht genannt wurde:
Seit Vista und auch bei Win7 hat nur das eingebaute Konto "Administrator" ohne Weiteres alle Rechte. Die anderen Adminkonten inklusive Domänenadmin müssen darauf vertrauen, dass sich die Programme schon per UAC-Anfrage melden, wenn sie z.B. zur Installation hohe Rechte brauchen - ohne Weiteres sind nämlich alle Admins (erneut: außer "Administrator") nur normale User.
Hast Du ein Setup einer nicht UAC-bewussten Software, ist das Verhalten also normal. Dann könnte sich der Zweitadmin behelfen, indem er dies Setup per Rechtsklick startet und wählt "als Administrator ausführen" - dies triggert nämlich die UAC manuell an.
Was noch nicht genannt wurde:
Seit Vista und auch bei Win7 hat nur das eingebaute Konto "Administrator" ohne Weiteres alle Rechte. Die anderen Adminkonten inklusive Domänenadmin müssen darauf vertrauen, dass sich die Programme schon per UAC-Anfrage melden, wenn sie z.B. zur Installation hohe Rechte brauchen - ohne Weiteres sind nämlich alle Admins (erneut: außer "Administrator") nur normale User.
Hast Du ein Setup einer nicht UAC-bewussten Software, ist das Verhalten also normal. Dann könnte sich der Zweitadmin behelfen, indem er dies Setup per Rechtsklick startet und wählt "als Administrator ausführen" - dies triggert nämlich die UAC manuell an.
Hi,
auch mit rechtsklick und "als Administrator ausführen" meldet er auch wieder "höhere rechte erforderlich".
Noch eine Idee, wie ich den anderen Benutzer frei bekomme?
Selbst wenn ich den Administrator User "umtaufe" funktioniert es nicht...
auch mit rechtsklick und "als Administrator ausführen" meldet er auch wieder "höhere rechte erforderlich".
Noch eine Idee, wie ich den anderen Benutzer frei bekomme?
Selbst wenn ich den Administrator User "umtaufe" funktioniert es nicht...
Du schreibst nicht, ob es bei allen Setups so ist. Die ganz blöden Programmierer von Setups machen eine Abfrage "heißt der Benutzer Administrator" und stoppen, wenn das nicht gegeben ist.
Wenn das bei allen Setups so ist, würde ich den PC abschreiben und neu aufsetzen.
Wenn das bei allen Setups so ist, würde ich den PC abschreiben und neu aufsetzen.
Es betrifft sämtliche Setups, und sämtliche Aktionen (z.B. eine Verknüpfung vom Desktop entfernen)
Hier lassen sich nicht alle direkt löschen, manche wollen ein Admin Login.
Hier lassen sich nicht alle direkt löschen, manche wollen ein Admin Login.
Schreib das Ding ab. Letzte Frage noch: Gibt Dir das Kommando
net user %username%
denn noch aus, dass er Mitglied von "Administratoren" ist?
net user %username%
denn noch aus, dass er Mitglied von "Administratoren" ist?
Jip:
Benutzername sys
Vollständiger Name sys
Beschreibung
Benutzerbeschreibung
Ländereinstellung 000 (Standardsystemvorga
Konto aktiv Ja
Konto abgelaufen Nie
Letztes Setzen des Kennworts 16.07.2010 00:42:07
Kennwort läuft ab Nie
Kennwort änderbar 17.07.2010 00:42:07
Kennwort erforderlich Ja
Benutzer kann Kennwort ändern Ja
Erlaubte Arbeitsstationen Alle
Anmeldeskript
Benutzerprofil
Basisverzeichnis
Letzte Anmeldung 16.07.2010 12:44:43
Erlaubte Anmeldezeiten Alle
Lokale Gruppenmitgliedschaften *Administratoren
Globale Gruppenmitgliedschaften *Richtlinien-Ersteller
*Domänen-Benutzer
*Organisations-Admins
*Schema-Admins
*Domänen-Admins
Der Befehl wurde erfolgreich ausgeführt.
Das oben kommt, wenn ich die Abfrage am Server ausführe.
Benutzername sys
Vollständiger Name sys
Beschreibung
Benutzerbeschreibung
Ländereinstellung 000 (Standardsystemvorga
Konto aktiv Ja
Konto abgelaufen Nie
Letztes Setzen des Kennworts 16.07.2010 00:42:07
Kennwort läuft ab Nie
Kennwort änderbar 17.07.2010 00:42:07
Kennwort erforderlich Ja
Benutzer kann Kennwort ändern Ja
Erlaubte Arbeitsstationen Alle
Anmeldeskript
Benutzerprofil
Basisverzeichnis
Letzte Anmeldung 16.07.2010 12:44:43
Erlaubte Anmeldezeiten Alle
Lokale Gruppenmitgliedschaften *Administratoren
Globale Gruppenmitgliedschaften *Richtlinien-Ersteller
*Domänen-Benutzer
*Organisations-Admins
*Schema-Admins
*Domänen-Admins
Der Befehl wurde erfolgreich ausgeführt.
Das oben kommt, wenn ich die Abfrage am Server ausführe.
Am Server interessiert hier nicht, Du installierst am Client.
Hier kommt:
Der Benutzername konnte nicht gefunden werden.
Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 2221 eingeben.
Obwohl ich sogar damit gerade eingeloggt bin...
Der Benutzername konnte nicht gefunden werden.
Sie erhalten weitere Hilfe, wenn Sie NET HELPMSG 2221 eingeben.
Obwohl ich sogar damit gerade eingeloggt bin...
Das ist normal, ist ja kein lokaler Nutzer, sorry, da hab ich auch gepennt. Du müsstest hier also lediglich schauen, ob die Domänenadmins in der lokalen Admingruppe sind, was sie ja bei Domänenbeitritt automatisch sein müssten.
Ok, letzter Schritt bevor Du ihn in die Tonne kloppen solltest:
nutze als dieser Benutzer am Client erneut die Kommandozeile mit
gpresult
damit wird Dir auch angezeigt, in welchen Gruppen sich der Nutzer glaubt - Domänenadmins müssten dabei sein. Ist das der Fall, muss es gehen - tut es aber nicht - weg damit.
nutze als dieser Benutzer am Client erneut die Kommandozeile mit
gpresult
damit wird Dir auch angezeigt, in welchen Gruppen sich der Nutzer glaubt - Domänenadmins müssten dabei sein. Ist das der Fall, muss es gehen - tut es aber nicht - weg damit.
da fehlt noch was, bei dem Befehl:
GPRESULT [/S System [/U Benutzername [/P Kennwort]]] [/SCOPE Bereich]
[/USER Zielbenutzername] [/R | /V | /Z] [(/X | /H) <Dateiname> [/F]]
GPRESULT [/S System [/U Benutzername [/P Kennwort]]] [/SCOPE Bereich]
[/USER Zielbenutzername] [/R | /V | /Z] [(/X | /H) <Dateiname> [/F]]
Ab Vista muss man gpresult /r schreiben, richtig.
Ah, perfekt:
Hier kommt was:
Betriebssystem Microsoft (R) Windows (R) Gruppenrichtlinienergebnis-Tool v2.0
Copyright (C) Microsoft Corp. 1981-2001
Am 16.07.2010, um 13:52:33 erstellt
RSOP-Daten für srv24\user1 auf PC1: Protokollmodus
Betriebssystemkonfiguration: Mitglied der Domäne/Arbeitsgruppe
Betriebssystemversion: 6.1.7600
Standortname: Nicht zutreffend
Zwischengespeichertes Profil:Nicht zutreffend
Lokales Profil: C:\Users\user1.srv24
Langsame Verbindung? Nein
BENUTZEREINSTELLUNGEN
CN=user1,CN=Users,DC=srv24,DC=local
Letzte Gruppenrichtlinienanwendung: 16.07.2010, um 13:21:09
Gruppenrichtlinieanwendung von: srv24-local.srv24.local
Schwellenwert für langsame Verbindung:500 kbps
Domänenname: srv24
Domänentyp: Windows 2000
Angewendete Gruppenrichtlinienobjekte
--------------------------------------
Nicht zutreffend
Folgende herausgefilterte Gruppenrichtlinien werden nicht angewendet.
----------------------------------------------------------------------
Default Domain Policy
Filterung: Nicht angewendet (Leer)
Richtlinien der lokalen Gruppe
Filterung: Nicht angewendet (Leer)
Der Benutzer ist Mitglied der folgenden Sicherheitsgruppen
----------------------------------------------------------
Domänen-Benutzer
Jeder
Benutzer
INTERAKTIV
KONSOLENANMELDUNG
Authentifizierte Benutzer
Diese Organisation
LOKAL
Mittlere Verbindlichkeitsstufe
Hier kommt was:
Betriebssystem Microsoft (R) Windows (R) Gruppenrichtlinienergebnis-Tool v2.0
Copyright (C) Microsoft Corp. 1981-2001
Am 16.07.2010, um 13:52:33 erstellt
RSOP-Daten für srv24\user1 auf PC1: Protokollmodus
Betriebssystemkonfiguration: Mitglied der Domäne/Arbeitsgruppe
Betriebssystemversion: 6.1.7600
Standortname: Nicht zutreffend
Zwischengespeichertes Profil:Nicht zutreffend
Lokales Profil: C:\Users\user1.srv24
Langsame Verbindung? Nein
BENUTZEREINSTELLUNGEN
CN=user1,CN=Users,DC=srv24,DC=local
Letzte Gruppenrichtlinienanwendung: 16.07.2010, um 13:21:09
Gruppenrichtlinieanwendung von: srv24-local.srv24.local
Schwellenwert für langsame Verbindung:500 kbps
Domänenname: srv24
Domänentyp: Windows 2000
Angewendete Gruppenrichtlinienobjekte
--------------------------------------
Nicht zutreffend
Folgende herausgefilterte Gruppenrichtlinien werden nicht angewendet.
----------------------------------------------------------------------
Default Domain Policy
Filterung: Nicht angewendet (Leer)
Richtlinien der lokalen Gruppe
Filterung: Nicht angewendet (Leer)
Der Benutzer ist Mitglied der folgenden Sicherheitsgruppen
----------------------------------------------------------
Domänen-Benutzer
Jeder
Benutzer
INTERAKTIV
KONSOLENANMELDUNG
Authentifizierte Benutzer
Diese Organisation
LOKAL
Mittlere Verbindlichkeitsstufe
Sorry... Hab eben gepennt. Muss das ja mit dem Adminuser machen...
HIer nochmal:
Betriebssystem Microsoft (R) Windows (R) Gruppenrichtlinienergebnis-Tool v2.
Copyright (C) Microsoft Corp. 1981-2001
Am 16.07.2010, um 13:56:27 erstellt
RSOP-Daten für srv24\sys auf PC1: Protokollmodus
Betriebssystemkonfiguration: Mitglied der Domäne/Arbeitsgruppe
Betriebssystemversion: 6.1.7600
Standortname: Nicht zutreffend
Zwischengespeichertes Profil:Nicht zutreffend
Lokales Profil: C:\Users\sys.srv24
Langsame Verbindung? Nein
BENUTZEREINSTELLUNGEN
CN=sys,CN=Users,DC=srv24,DC=local
Letzte Gruppenrichtlinienanwendung: 16.07.2010, um 13:55:01
Gruppenrichtlinieanwendung von: srv24-local.srv24.local
Schwellenwert für langsame Verbindung:500 kbps
Domänenname: srv24
Domänentyp: Windows 2000
Angewendete Gruppenrichtlinienobjekte
--------------------------------------
Nicht zutreffend
Folgende herausgefilterte Gruppenrichtlinien werden nicht angewendet.
----------------------------------------------------------------------
Default Domain Policy
Filterung: Nicht angewendet (Leer)
Richtlinien der lokalen Gruppe
Filterung: Nicht angewendet (Leer)
Der Benutzer ist Mitglied der folgenden Sicherheitsgruppen
----------------------------------------------------------
Domänen-Benutzer
Jeder
Benutzer
Administratoren
INTERAKTIV
KONSOLENANMELDUNG
Authentifizierte Benutzer
Diese Organisation
LOKAL
Richtlinien-Ersteller-Besitzer
Domänen-Admins
Organisations-Admins
Schema-Admins
Abgelehnte RODC-Kennwortreplikationsgruppe
Hohe Verbindlichkeitsstufe
HIer nochmal:
Betriebssystem Microsoft (R) Windows (R) Gruppenrichtlinienergebnis-Tool v2.
Copyright (C) Microsoft Corp. 1981-2001
Am 16.07.2010, um 13:56:27 erstellt
RSOP-Daten für srv24\sys auf PC1: Protokollmodus
Betriebssystemkonfiguration: Mitglied der Domäne/Arbeitsgruppe
Betriebssystemversion: 6.1.7600
Standortname: Nicht zutreffend
Zwischengespeichertes Profil:Nicht zutreffend
Lokales Profil: C:\Users\sys.srv24
Langsame Verbindung? Nein
BENUTZEREINSTELLUNGEN
CN=sys,CN=Users,DC=srv24,DC=local
Letzte Gruppenrichtlinienanwendung: 16.07.2010, um 13:55:01
Gruppenrichtlinieanwendung von: srv24-local.srv24.local
Schwellenwert für langsame Verbindung:500 kbps
Domänenname: srv24
Domänentyp: Windows 2000
Angewendete Gruppenrichtlinienobjekte
--------------------------------------
Nicht zutreffend
Folgende herausgefilterte Gruppenrichtlinien werden nicht angewendet.
----------------------------------------------------------------------
Default Domain Policy
Filterung: Nicht angewendet (Leer)
Richtlinien der lokalen Gruppe
Filterung: Nicht angewendet (Leer)
Der Benutzer ist Mitglied der folgenden Sicherheitsgruppen
----------------------------------------------------------
Domänen-Benutzer
Jeder
Benutzer
Administratoren
INTERAKTIV
KONSOLENANMELDUNG
Authentifizierte Benutzer
Diese Organisation
LOKAL
Richtlinien-Ersteller-Besitzer
Domänen-Admins
Organisations-Admins
Schema-Admins
Abgelehnte RODC-Kennwortreplikationsgruppe
Hohe Verbindlichkeitsstufe
muss ich's nochmal schreiben? : ) Hau ihn weg, da ist der Wurm recht tief drin.
Hi,
ich habe nun doch noch mal das System neu aufgesetzt.
Nun klappt alles.
Danke für Eure Tipps
ich habe nun doch noch mal das System neu aufgesetzt.
Nun klappt alles.
Danke für Eure Tipps
