Anmeldeproblem nach DC-Umzug

Hallo zusammen,

habe ein kleines Problem.

Wir haben einen unserer DCs virtualisiert und jetzt haben wir ein Problem mit der Anmeldung bei ein paar ThinClients an den Terminalservern.
Und zwar ist es so, dass die Anmeldung über Domäne\Benutzer nicht mehr geht, da kommt ein Authentifizierungsfehler.
Die Anmeldung nur mit dem Benutzername dagegen klappt.

Woran könnte das liegen?

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 397072

Url: https://administrator.de/contentid/397072

Ausgedruckt am: 25.11.2024 um 23:11 Uhr

24 Kommentare

Neuester Kommentar

Hallo,

falsche Konfiguration/Netzwerkprobleme, Kabel nicht eingesteckt.

Vielleicht ist das AD auch einfach kaputt?

Viele Grüße!

Zitat von @certifiedit.net:

Hallo,

falsche Konfiguration/Netzwerkprobleme, Kabel nicht eingesteckt.

Vielleicht ist das AD auch einfach kaputt?

Oder DNS "durcheinander"?

Wie habt Ihr denn den "Umzug" gemacht? Einfach ein Image des alten DC in die virtuelle Maschine eingespielt oder neuen DC aufgesetzt und Rollen verschoben? Was ist aus dem alten DC geworden?

lks

Hab nen neuen DC aufgesetzt und die Rollen verschoben.
Der alte DC wurde entfernt.

Zitat von @meinsm:

Hab nen neuen DC aufgesetzt und die Rollen verschoben.

Haben denn alle Clients mitbekommen, daß DHCP und DNS und damit auch der DC jetzt woanders sind? ider werden die Rollen nicht vom DC übernommen?

lks

DNS ist geändert, DHCP gibt es keinen.

Netzwerkprobleme glaub ich jetzt eher nicht, da es ja an sich geht, wenn man "domäne\" weglässt.

Glaub ja auch eher die Auflösung des ganzen, aber da weiß ich nicht weiter.

Und es tritt nur bei den ältesten ThinClients auf, mit Windows CE 6.

Bei neueren ThinClients und den FatClients geht es ganz normal auch mit "domäne\Benutzer".

schau doch mal in die AD Anwendungsereignis Liste. Da wird ja standardmäßig auch jede Anmeldung mitgeloggt. Dort dürftest du mehr sehen.

DNS Auflösung vorwärts/rückwärts klappt aber an den Clients?

Das einzige, was mir jetzt aufgefallen wäre, ist bei der Anmeldung mit "domäne\user" kommt in der Ereignisanzeige eine leere Anmelde-GUID (also lauter 0).

Und Auflösung klappt.

Steht dort eine eine Ereignis ID ? Also bei mir (2012R2) ist Anmelden ID 4624 und Abmelden 4634. Dort sind auch alle Details zum User inkl. GUID aufgeführt. Keine Nullen oder sowas. Vielleicht ist das ja ein Ansatz zum Googlen.

Hmm, wenn ich es so recht sehe ID 4648

Zitat von @meinsm:

Hmm, wenn ich es so recht sehe ID 4648

~~Verzeichnis readonly machen.~~

Ups, falscher Thread.

lks

Wie meinst du da?

Hab dann noch folgende Meldung gefunden:

Ein Konto wurde abgemeldet.

Antragsteller:
Sicherheits-ID: Domäne\Benutzer
Kontoname: Benutzer
Kontodomäne: Domäne
Anmelde-ID: 0x10907DB

Anmeldetyp: 3

Dieses Ereignis wird generiert, wenn eine Anmeldesitzung zerstört wird. Es kann anhand des Wertes der Anmelde-ID positiv mit einem Anmeldeereignis korreliert werden. Anmelde-IDs sind nur zwischen Neustarts auf demselben Computer eindeutig.

Kann das was damit zu tun haben?

ist das denn auch der User vom Thin Client? Das würde ja bedeuten, dass der User auch vorher korrekt angemeldet wurde. Die Meldung sieht okay aus.

Wurde der DC gepatched und die Thin Clients nicht? Ich würde den Fehler jetzt erst mal bei den Thin Clients vermuten weil die Anmeldung ja generell geht.

Man kann nen DC auch noch mit nem Reg Key in einen tieferen Logging Level versetzen aber ich denke das hilft hier nicht weiter. Was für ein Auth Fehler wirft der Thin Client denn eigentlich?

Die ThinClients wurden nicht verändert, bis auf den DNS-Server.
Fehler 0x0000018b kommt.

Wie gesagt ich tippe auf ein Problem mit dem Image der Thin Clients. Klappen denn ein paar Thin Clients oder generell gar keine? Falls ja: Welche klappen? Was ist anders? Wird ein User für alle verwendet? Funtzt der gleiche User an einem Thick Client?

Ein bisschen mitspielen musst du schon

Jetzt hab ich neue Zertifikate eingespielt und jetzt kommt die Fehlermeldung 0x80090327.

Die meisten ThinClients gehen und alle FatClients.
Nur die alten mit Windows CE 6 gehen nicht.

Zitat von @meinsm:

Jetzt hab ich neue Zertifikate eingespielt und jetzt kommt die Fehlermeldung 0x80090327.

Bevor oder nachdem Du den DC migriert hast?

Und wo hast Du die zertifikate eingespielt? Client oder Server?

Die meisten ThinClients gehen und alle FatClients.
Nur die alten mit Windows CE 6 gehen nicht.

Das ist eigentlich eine wesentliche Information, die Du hättest gleich geben sollen. Vermutlich kommen die nicht mit den Zertifikaten zurecht.

lks

ich hätte auch die Stammzertifikate der Uralt Dinger im Verdacht. Lass das OS des TC mal von wem updaten sofern möglich. Unter Umständen klappt die Anmeldung dann direkt wieder.

Hab die Zertifikate gerade bei der RDP-Sammlung eingespielt.

Der Fehler 0x0000018b kam vorher.

Und das mit der Informationen, dass es nur ein paar Clients sind, hab ich glaub ich bereits geschrieben

Was mich wundert, die Original-Zertifikate, die ich in der Sammlung hatte, sind noch zwei Jahre gültig und gehen nicht.
Jetzt mit neuen kommt eben der Fehler 0x80090327.
Davor war es 0x000013b.

Wie oft denn noch? Lass mal ein CE Teil iwie an den Wsus oder wat weiß ich und patch das Ding. Vorher kann man keine Aussage treffen. Ich hatte selbst bei nem Fat Client mal so ein Problem, wo wir manuell per Clientmanagement Tool Updates verteilt haben und aber gewisse "Stammzertifierungsstellen Updates" (o.Ä.) gefehlt haben. Das führte auch zu seltsamen Fehlern.