Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Windows Server 2003 SBE Domänenanmeldung unmöglich bzw. nur einmalig

Mitglied: mclear

mclear (Level 1) - Jetzt verbinden

03.08.2006, aktualisiert 04.08.2006, 4476 Aufrufe, 6 Kommentare

Benutzerrechte erteilen, wo sind sie nur hin????

Hallo an alle!

Stellt euch folgendes Szenario vor:

Ein Kollege nimmt sein hier in der Firmendomäne angemeldetes und seit Monaten funktionierendes Notebook zur Heimarbeit mit nach Hause. Um dort aber ins Internet zu kommen benutzt er irrigerweise die Windows-Verbindungsfreigabe für Gemeinsame Nutzung der Internetverbindung. Er muss also die Domäne rausnehmen und in seine Arbeitsgruppe (Zuhause) wechseln.

Vorher hat er sich alle Einstellungen aufgeschrieben die unter Systemeigenschaften-->Computername zu finden waren.

Ergebnis: Seine Sachen bei ihm Zuhause gingen alle wie gewünscht, doch als er den nächsten morgen in die Firma kam konnte er sich nicht mehr in die Domäne einloggen.

Fehlermeldung: Beim Versuch den Computer an die Domäne anzumelden ist folgender Fehler aufgetreten. Zugriff verweigert.

Ich dachte, das gibts doch nicht die Einstellungen stimmen...

Mir blieb nichts anders übrig als Ihm kurzeitig Administratorrechte zu geben, damit er sich einloggen konnte.

Szenario Ende.

Jetzt habe ich versucht den Domänen-Benutzern das Recht zu geben sich an die Domäne anmelden zu können, wann immer sie wollen und aus welcher Arbeitsgruppe heraus sie wollen.

Der Adminstrator-Account hat offensichtlich dieses Recht, aber da in Server2003 ja alles so schön übersichtlich und sofort durchschaubar gestaltet ist, finde ich einfach nicht heraus welches Recht das sein soll, geschweigedem wo die ganzen Rechte überhaupt sind. Die kleine Liste in der "Sicherheitsrichtlinie für Domänencontroller" kann doch wohl nicht alles sein...

Welchen Sinn soll es haben, dass sich Domänen-Benutzer nur ein einziges mal am Anfang in die Domäne joinen können und später dann nicht mehr?

Gruß mclear
Mitglied: Maggus
03.08.2006 um 13:35 Uhr
Hi,

ich glaube Dein Problem liegt darin, dass ein Domain-User normalerweise nicht das Recht hat einen Rechner zu einem Mitglied einer Domain zu machen. Und das ist auch gut so aus Sicherheitsgründen. Dein Kollege sollte sich besser einen DSL-Router für zu Hause holen,
gibt es ab 50,- €. Alles andere ist eine Sicherheitsproblematik.

Des Weiteren solltest Du sicherstellen, dass Benutzer die Ihre Notebooks mit Heim nehmen
einen aktuellen Virenscanner haben. Damit das Firmennetz nicht von innen her kompromitiert
wird. Und oberstes Gebot, kein User erhält Admin-Rechte.

Oder habe ich Dein Problem falsch verstanden?

MfG
Maggus
Bitte warten ..
Mitglied: mclear
03.08.2006 um 15:21 Uhr
Ja, Problem absolut richtig verstanden. Nur leider keine Lösung für das Problem genannt...

Leider muss ich eben doch kurzzeitig Administratorrechte geben damit er wieder in die Domäne kommt.

Extra einen Router kaufen kommt nicht in Frage --> Lösungsvorschlag indiskutabel

Außerdem könnte er auch anders rein ohne die Domäne rauszuschmeißen, aber das ist nicht das Thema.

Was soll schlimmes daran sein oder gar sicherheitskritisch wenn ein autentifizierter Domänen-Benutzer sich aus der Domäne an und abmelden kann???

Er macht sich ja nicht zum Mitglied der Domäne, sondern war und ist es auch immer noch. Er darf eben nur nicht in die Domäne rein wenn er einmal draußen war, also z.B. in eine Arbeitsgruppe gewechselt hat. Der Sinn solch einer "Sicherheitsfunktion" bleibt mir verborgen.

Ich würde gern dem Domain-User das Recht geben sich ein- bzw. auszuwählen wann er will! Weiß nur nicht wo... Bei NT und 2000 wars ganz einfach, Benutzergruppe her; aus 100000 Rechten das richtige genommen und alles war klar.

Gruß mclear
Bitte warten ..
Mitglied: Maggus
03.08.2006 um 15:54 Uhr
Hi,

achso habe Dich falsch verstanden. Ich dachte Du willst einem Benutzer das Recht geben,
den PC zum Mitglied der Domain zu machen.

Allerdings ist es problematisch, wenn er den PC aus der Domain rausnimmt. Er sollte das nicht tun, damit Du ihn nicht jedesmal wieder in die Domain reinbringen musst. Das darf nämlich nur ein Admin.

Damit sich der Domain-User an der Domain anmelden darf bzw. kann muss der PC von dem aus er sich anmelden will, Mitglied der Domain sein. Wenn er ihn allerdings herausnimmt, geht das natürlich nicht.

-> Aus welcher Arbeitsgruppe heraus sie wollen???
--> Das geht nicht. Lediglich die Authentifizierung via DFÜ/VPN ist möglich. Allerdings wird
-->dann kein Profil gezogen.

Ich hoffe das hilft Dir weiter.

MfG
Maggus
Bitte warten ..
Mitglied: mclear
04.08.2006 um 07:37 Uhr
Also nochmal, er ist Mitglied unserer Domäne kann sich bei Arbeitsbeginn einloggen und zum Feierabend ausloggen. Kein Problem soweit.

Geht er jetzt nach Hause mit seinem Notebook und stellt unter Computername statt:
Mitglied von Domäne: "sowieso.local"

einfach Mitglied von Arbeitsgruppe: "Zuhause" ein, dann kann er richtigerweise Zuhause nicht mehr in die Domäne umschalten... Ist ja kein Domänencontroller da.

Wenn er aber wieder auf Arbeit kommt kann er trotzdem nicht in die Domäne umschalten, weil da "Zugriff verweigert!" kommt. Und das halte ich für einen Microsoft SBE Bug. Ich verstehe nicht warum das nur ein Administrator dürfen soll. Das ist doch nur ne kleine Klackssache. Außerdem meine ich das war früher bei NT-Server und Win2000-Server nicht so, jedenfalls ist es mir nie aufgefallen.

Aus diesem Grund möchte ich nun das eine Recht (was der Administrator auch hat um Mitglied einer Domäne zu werden) dem normalen Domänen-Benutzer auch geben. Leider weiß ich eben nicht, wie und wo ich das machen soll...

MfG

mclear
Bitte warten ..
Mitglied: Maggus
04.08.2006 um 09:40 Uhr
Hi,

also wie ich Dir schon gesagt habe. Einen PC zum Mitglied einer Domain zu machen, was bei Dir der Fall ist egal ob der PC schon beim Server eingetragen ist oder nicht, darf nur ein Domain-Admin. Und das ist schon immer so. Wahrscheinlich ist es Dir nie aufgefallen.

Um deinem Kollegen dieses Recht zu geben muss er beim Beitreten der Domain entweder mit administrator und passwort den PC wieder der Domain beitreten lassen, oder Du musst seinen User-Account der Gruppe der Domain-Admins hinzufügen, wovon ich Dir abraten würde.

Ich hoffe das hilft. ;)

MfG
Maggus
Bitte warten ..
Mitglied: Kai-Ffm
04.08.2006 um 10:21 Uhr
Ich muss maggus absolut recht geben!

Die Änderung der Zugehörigkeit von Rechnern zu Domainen kann nur durch einen Domänenadministrator durchgeführt werden! Dieses war auch schon unter WinNT und W2k der Fall!
Dieses ist auch absolut in Ordnung so und ist KEIN Bug von Microsoft.
Würde ich jedem User das Recht geben beliebige Rechner Mitglied einer Domäne zu machen, würde ich auch ein riesiges Sicherheitsloch in die Netzstruktur reissen.

Mfg Kai-Ffm
Bitte warten ..
Ähnliche Inhalte
Windows Server
Abmeldescript einmalig ausführen
gelöst Frage von xbast1xWindows Server10 Kommentare

Hallo zusammen, gibt es eine Möglichkeit ein Abmeldeskript einmalig anzuwenden? Zum Hintergrund: Derzeit haben wir allerhand Adobe Reader Versionen, ...

Outlook & Mail
Outlook Signatur einmalig vereilen
Frage von 113726Outlook & Mail18 Kommentare

Hallo, ich habe schon im Internet gesucht aber keine wirkliche Lösung gefunden. Gibt es eine Möglichkeit, einmalig eine neue ...

Windows Server

Gruppenrichtlinie Datei ersetzen, einmalig anwenden

gelöst Frage von MeierjoWindows Server2 Kommentare

Hallo zusammen System: Windows 2011 SBS, Clients Win7 64Bit Habe da folgendes Verständigungsproblem: Im Gruppenrichtlinien-Editor gibt's die Möglichkeit, Dateien ...

Windows 10

Windows 10, angepasstes Sartmenü einmalig anderen Anwendern zuweisen als Empfehlung

Frage von FalaffelWindows 103 Kommentare

Hallo, wie hier zu lesen, ist es offensichtlich möglich das Startmenü von Windows 10 an einem Rechner anzupassen und ...

Neue Wissensbeiträge
iOS
WatchChat für Whatsapp
Tipp von Criemo vor 23 StundeniOS

Ziemlich coole App für WhatsApp User in Verbindung mit der Apple Watch. Gibts für iOS sowohl als auch für ...

iOS
IOS hat nen Cursor !!!
Tipp von Criemo vor 1 TagiOS5 Kommentare

Nette Funktion im iOS. iPhone-Mauszeiger aktivieren „Nichts ist nerviger, als bei einem Tippfehler zu versuchen, den iOS-Cursor an die ...

Off Topic
Avengers 4: Endgame - Erster Trailer
Information von Frank vor 3 TagenOff Topic2 Kommentare

Ich weiß es ist Off Topic, aber ich freue mich auf diesen Film und vielleicht geht es anderen hier ...

Webbrowser
Microsoft bestätigt Edge mit Chromium-Kern
Information von Frank vor 3 TagenWebbrowser5 Kommentare

Microsoft hat nun in seinem Blog bestätigt, dass die nächste Edge Version kein EdgeHTML mehr für die Darstellung benutzen ...

Heiß diskutierte Inhalte
Exchange Server
Exchange Server 2010: Keine Eingehenden E-MAils
gelöst Frage von gabeBUExchange Server17 Kommentare

Hallo Zusammen Ich habe das kurzen auf dem Exchange 2010 Server das Problem, dass ich keine externen E-Mails mehr ...

Windows Netzwerk
Kerio. Kann keine Mails empfangen aber senden. Wer ist schuld. Kerio oder Windows domäne?
gelöst Frage von frosch2Windows Netzwerk14 Kommentare

Hallo, es existiert ein Problem bei uns mit dem mailen. Alle bestehenden Nutzer können mailen. Raus wie rein. Neuen ...

Viren und Trojaner
"Erpressermail" über eigenen web.de-Account
gelöst Frage von istike2Viren und Trojaner13 Kommentare

Hallo Zusammen, ein User aus dem Team hat folgende "Erpressermail" scheinbar von dem eigenen Mailaccount bekommen: Da die User ...

Server
Server in zwei verschiedene Netzwerke einbinden
gelöst Frage von BennyFServer13 Kommentare

Hallo zusammen, bei uns im Haus sind im Erdgeschoss die Geschäftsräume und ab dem 1. Stock sind unsere privaten ...