Profile Roaming - Fehlermeldung nur beim ersten Login
Hallo zusammen,
ich habe zu Testzwecken einen Samba4 AD DC (192.168.3.16) eingerichtet mit einem Samba4 Fileserver (192.168.5.1) als Domainmember.
Soweit so gut und es funktioniert soweit auch alles, inklusive GPOs, Basis Ordner, der per GPO gemountet wird etc.
Jetzt habe ich mit Hilfe des AD Benutzer und Computer Tools in den User Einstellungen den Profilpfad zu "\\192.168.5.1\profiles\username" geändert, sodass ich Profile Roaming über mehrere Computer nutzen kann.
Jetzt gibt es aber das Problem, dass beim ersten Login, wenn noch kein Profile Ordner existiert, die im Anhang gezeigte Fehlermeldung aufpopt. Windows nutzt dann ein "TEMP" Profile und erstellt lediglich den
leeren username.v6 Ordner in dem Profile Share. Aufgrund des TEMP Profiles Wird folglich beim Logout auch nichts in den entsprechenden Ordner zurückkopiert.
Sobald ich mich im Anschluss, wie in der Fehlermeldung aufgefordert, neu anmelde, gibt es diesen Fehler nicht erneut und das Profile Roaming funktioniert wie gedacht.
Wenn ich mich nun auf einem neuen Domänen Computer anmelde, so wird der User auch ohne Probleme eingeloggt, und diese Fehlermeldung popt nicht erneut auf, da der Profilordner auf dem Server ja bereits existiert. So soll es ja auch eigentlich sein.
Im Eventviewer tritt die Fehlermeldung "1521" mit einem "Zugriff verweigert" auf. Da die Windows Fehlermeldungen ja immer so super spezifisch sind, ist jetzt die Frage, auf was denn genau der Zugriff verweigert würde? Die Daten sollten ja eigentlich erst beim Logout geschrieben werden, weshalb mir ein "Zugriff verweigert" aufgrund des Samba4 Shares eher unwahrscheinlich vorkommt.
Zu Testzwecken, habe ich dem share 777 permissions gegeben, aber auch hier keine Änderung.
Zum erstellen des Shares have ich diese Anleitung genutzt https://wiki.samba.org/index.php/Roaming_Windows_User_Profiles ("Using POSIX ACLs").
Jetzt ist die Frage wie man das ganze weiter debuggen könnte? Hättet ihr weitere Ideen, oder ggf. sogar eine Lösung, sofern ihr dieses Problem auch schon hattet?
System:
Client: Windows 10 HyperVM Build 1709
Server: Samba4 4.7.3
Disclaimer:
Ich habe den Thread unter
"Windows Server" erstellt, da ich davon ausgehe, dass es sich nicht um einen Samba4 Fehler handelt, da das Profile Roaming ja außer beim ersten Login einwandfrei funktioniert. Außerdem denke ich, dass Leute die von Profile Roaming Ahnung haben, eher diese Threads lesen als unter der Kategorie "Linux"
ich habe zu Testzwecken einen Samba4 AD DC (192.168.3.16) eingerichtet mit einem Samba4 Fileserver (192.168.5.1) als Domainmember.
Soweit so gut und es funktioniert soweit auch alles, inklusive GPOs, Basis Ordner, der per GPO gemountet wird etc.
Jetzt habe ich mit Hilfe des AD Benutzer und Computer Tools in den User Einstellungen den Profilpfad zu "\\192.168.5.1\profiles\username" geändert, sodass ich Profile Roaming über mehrere Computer nutzen kann.
Jetzt gibt es aber das Problem, dass beim ersten Login, wenn noch kein Profile Ordner existiert, die im Anhang gezeigte Fehlermeldung aufpopt. Windows nutzt dann ein "TEMP" Profile und erstellt lediglich den
leeren username.v6 Ordner in dem Profile Share. Aufgrund des TEMP Profiles Wird folglich beim Logout auch nichts in den entsprechenden Ordner zurückkopiert.
Sobald ich mich im Anschluss, wie in der Fehlermeldung aufgefordert, neu anmelde, gibt es diesen Fehler nicht erneut und das Profile Roaming funktioniert wie gedacht.
Wenn ich mich nun auf einem neuen Domänen Computer anmelde, so wird der User auch ohne Probleme eingeloggt, und diese Fehlermeldung popt nicht erneut auf, da der Profilordner auf dem Server ja bereits existiert. So soll es ja auch eigentlich sein.
Im Eventviewer tritt die Fehlermeldung "1521" mit einem "Zugriff verweigert" auf. Da die Windows Fehlermeldungen ja immer so super spezifisch sind, ist jetzt die Frage, auf was denn genau der Zugriff verweigert würde? Die Daten sollten ja eigentlich erst beim Logout geschrieben werden, weshalb mir ein "Zugriff verweigert" aufgrund des Samba4 Shares eher unwahrscheinlich vorkommt.
Zu Testzwecken, habe ich dem share 777 permissions gegeben, aber auch hier keine Änderung.
Zum erstellen des Shares have ich diese Anleitung genutzt https://wiki.samba.org/index.php/Roaming_Windows_User_Profiles ("Using POSIX ACLs").
Jetzt ist die Frage wie man das ganze weiter debuggen könnte? Hättet ihr weitere Ideen, oder ggf. sogar eine Lösung, sofern ihr dieses Problem auch schon hattet?
System:
Client: Windows 10 HyperVM Build 1709
Server: Samba4 4.7.3
Disclaimer:
Ich habe den Thread unter
"Windows Server" erstellt, da ich davon ausgehe, dass es sich nicht um einen Samba4 Fehler handelt, da das Profile Roaming ja außer beim ersten Login einwandfrei funktioniert. Außerdem denke ich, dass Leute die von Profile Roaming Ahnung haben, eher diese Threads lesen als unter der Kategorie "Linux"
Please also mark the comments that contributed to the solution of the article
Content-ID: 359252
Url: https://administrator.de/contentid/359252
Printed on: December 14, 2024 at 19:12 o'clock
11 Comments
Latest comment
Hallo,
ohne das jetzt auseinander zu pflücken(01:15Uhr), warum denkst du das bei so einem komplex gestalteten Domain Controller der Fehler auf Windows Seite liegt? In der Regel sollte das nämlich wie in deinem Anhang gezeigt funktionieren. Greifen die GPO's diesbezüglich? Warum PosiX und nicht Windwos ACL? Wird der Temp Ordner vom nicht zugreifenden User geschrieben? Vielleicht dochmal im Linux-Bereich posten?
BG N8
ohne das jetzt auseinander zu pflücken(01:15Uhr), warum denkst du das bei so einem komplex gestalteten Domain Controller der Fehler auf Windows Seite liegt? In der Regel sollte das nämlich wie in deinem Anhang gezeigt funktionieren. Greifen die GPO's diesbezüglich? Warum PosiX und nicht Windwos ACL? Wird der Temp Ordner vom nicht zugreifenden User geschrieben? Vielleicht dochmal im Linux-Bereich posten?
BG N8
Hallo,
Pruefe mal die Logfiles des Fileservers und natuerlich auch die des DC.
Deine verwendeten IP fuer DC und FS liegen in unterschiedlichen Subnetzen. Eventuelle Zeitverzoegerungen in dieser Richtung pruefen.
Meine Vermutung:
Wenn zum allerersten mal ein Benutzer aufschlaegt und der Fileserver soll gemaess Richtlinie den Profilpfad erstellen fragt der FS den DC ob der Benutzer existent ist. Das dauert u.U. etwas zu lange und/oder Windows wartet nicht lange genug.
Hast Du als Richtlinie festgelegt, dass immer auf das Netzwerk gewartet werden soll?
BFF
Pruefe mal die Logfiles des Fileservers und natuerlich auch die des DC.
Deine verwendeten IP fuer DC und FS liegen in unterschiedlichen Subnetzen. Eventuelle Zeitverzoegerungen in dieser Richtung pruefen.
Meine Vermutung:
Wenn zum allerersten mal ein Benutzer aufschlaegt und der Fileserver soll gemaess Richtlinie den Profilpfad erstellen fragt der FS den DC ob der Benutzer existent ist. Das dauert u.U. etwas zu lange und/oder Windows wartet nicht lange genug.
Hast Du als Richtlinie festgelegt, dass immer auf das Netzwerk gewartet werden soll?
BFF
Hallo,
Warum eigentlich?
Es ist nicht nur das Login, es ist auch das Anlegen des Ordners auf dem FS. Und u.U. halt eine Zeitueberschreitung bei Pruefen der Benutzercredentials. Das kannst Du sicherlich nachvollziehen, wenn Du auf einer W10 das Benutzerprofil sauber entfernst und auf den FS nach Neustart des entsprechenden W10 den Profilordner loeschst.
Genug zum Suchen gegeben.
BFF
Ja die Test VMs haben IPv6 deaktiviert
Warum eigentlich?
Komischerweise funktioniert es ja nur beim aller ersten Login nicht.
Es ist nicht nur das Login, es ist auch das Anlegen des Ordners auf dem FS. Und u.U. halt eine Zeitueberschreitung bei Pruefen der Benutzercredentials. Das kannst Du sicherlich nachvollziehen, wenn Du auf einer W10 das Benutzerprofil sauber entfernst und auf den FS nach Neustart des entsprechenden W10 den Profilordner loeschst.
Genug zum Suchen gegeben.
BFF
Hi,
wenn der Computer, an welchem sich der Benutzer anmeldet, beim Login den Benutzerordner im Profil-Stamm auf dem Server anlegt, dann ist das schon mal ein gutes Zeichen. Es zeigt, dass er kapiert hat, dass der Benutzer ein Roaming Profile haben soll, dieses aber noch nicht existiert. Es zeigt auch, dass der Computer das Recht hat, dort einen Ordner zu erstellen. Der Computer benötigt dort aber zusätzlich noch das Recht, die Berechtigungen des Ordners zu bearbeiten. Also würde ich mal überprüfen, ob in der ACL des Benutzerordners das Benutzerobjekt mit "Vollzugriff" enthalten ist. Wenn nicht und die Anmeldung beim 2. Mal dann trotzdem funktioniert, dann liegt das wohl daran, dass stattdessen "Jeder" oder eine andere Gruppe mit Änder- oder Vollzugriff-Recht enthalten ist.
Interessant wäre auch noch zu wissen, ob dieses Verhalten beim 1. Anmelden ohne vorhandenem Roaming Profile auch noch eintritt:
E.
wenn der Computer, an welchem sich der Benutzer anmeldet, beim Login den Benutzerordner im Profil-Stamm auf dem Server anlegt, dann ist das schon mal ein gutes Zeichen. Es zeigt, dass er kapiert hat, dass der Benutzer ein Roaming Profile haben soll, dieses aber noch nicht existiert. Es zeigt auch, dass der Computer das Recht hat, dort einen Ordner zu erstellen. Der Computer benötigt dort aber zusätzlich noch das Recht, die Berechtigungen des Ordners zu bearbeiten. Also würde ich mal überprüfen, ob in der ACL des Benutzerordners das Benutzerobjekt mit "Vollzugriff" enthalten ist. Wenn nicht und die Anmeldung beim 2. Mal dann trotzdem funktioniert, dann liegt das wohl daran, dass stattdessen "Jeder" oder eine andere Gruppe mit Änder- oder Vollzugriff-Recht enthalten ist.
Interessant wäre auch noch zu wissen, ob dieses Verhalten beim 1. Anmelden ohne vorhandenem Roaming Profile auch noch eintritt:
- an anderen Computern
- für andere Benutzer
- wenn der Benutzer bereits ein lokales Profil hat (welches dann zum Roaming Profile kopiert wird)
- wenn der Benutzer noch kein lokales Profil hat (er das Default Profile bekommt)
E.
Zitat von @BassFishFox:
Das Netzwerk ist hier doch für die konkrete Frage vollkommen irrelevant.Ist ein 192.168.0.0/21 Subnetz, also eher nicht.
Ziemlich gross fuer Testzwecke. Die IP der PC ist wo angesiedelt und haben den DC (192.168.3.16) alleinig als DNS?- Benutzer kann sich anmelden
- Client kann Benutzerordner auf Server erstellen
- 2. Anmeldung funktioniert ohne Probleme