DC: Wiederverwendung von Computerkonten bei Domänenbeitritten zulassen

Hi,
ich habe hier ein komisches Verhalten im AD.

Ich versuche die Sicherheitsoption

Domänencontroller: Wiederverwendung von Computerkonten bei Domänenbeitritten zulassen

auf Domänencontrollern per GPO zu setzen.

Dazu habe ich diese Option in der "Default Domain Controllers Policy" festgelegt.

Die DC's wenden diese Richtlinie auch an, laut RSOP auch diese Sicherheitsoption mit dem gewünschten Wert.
Aber wenn man dann am DC (egal welcher) in die "Lokale Sicherheitsrichtlinie" reinschaut, dann ist das Feld dort leer. (siehe Screenshot)

"Neu laden", MMC neu starten, "gpupdate /force" - alles schon gemacht.

Hat jemand ne Idee, was da los sein könnte?

E.

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 668199

Url: https://administrator.de/contentid/668199

Ausgedruckt am: 18.11.2024 um 13:11 Uhr

9 Kommentare

Neuester Kommentar

Der entsprechende Registry-Wert kommt auch an ...

Die lokale Richtlinie graut manchmal Dinge aus, wenn eine Domänen GPO was vorschreibt, aber längst nicht immer. Normales Verhalten.

Danke, DWW.

Habe gerade in einer anderen Domäne getestet: It's a feature!

Wenn man auf einem DC manuell diesen Wert setzt, dann landet das dort auch in der Registry.
Startet man nanschließend die MMC neu, wird wieder angezeigt "nicht definiert". Na klasse ...

Zitat von @DerWoWusste:

Die lokale Richtlinie graut manchmal Dinge aus, wenn eine Domänen GPO was vorschreibt, aber längst nicht immer. Normales Verhalten.

Dito gleiches Verhalten auch hier. Die lokale MMC ist auf einem Auge blind, manchmal auch auf 2

. Nur ein Anzeigeproblem, angewendet wird es trotzdem ...

Müsste man nicht mit secedit die aktuell geltenden Einstellungen exportiert bekommen?

Wenn ich das exportiere mit

secedit /export /mergedpolicy /cfg c:\temp\temp.inf

dann ist in der erzeugten INF die Zeile aus der GPO ~~nicht~~ enthalten.

In der Datei "GptTmpl.inf" der "Default Domain Controllers Policy" ist die Zeile enthalten:

[Registry Values]
MACHINE\System\CurrentControlSet\Control\SAM\ComputerAccountReuseAllowList=1,"O:BAG:BAD:(A;;RC;;;BA)(A;;RC;;;S-1-5-21-xxxxxxxxxx-xxxxxxxxxx-xxxxxxxxxx-51044)"  

~~In der mit secedit erzeugten INF jedoch nichts dergleichen.~~

Mist! Gilt diese Einstellung nun oder nicht?
Wir kann man das sicher verifizieren? Einfach auf den vorhandenen Registry-Wert verlassen?