manuelw
Goto Top

Terminalserver Herunterfahren und Neu Starten verhindern funktioniert nicht

Hallo,

wir haben vor kurzem bei einem Kunden zwei Terminalserver übernommen und stehen nun vor einem Problem.
Es handelt sich um zwei Windows Server 2012R2 Server welche als Terminalserver eingerichtet sind.

Normalerweise sollte es ja so sein, dass die Terminalbenutzer den Server nicht ausschalten können.
Leider ist das in diesem Fall nicht so. Wenn ich mit dem selben Benutzer auf beiden Servern einsteige (abwechselnd) dann kann ich bei Server1 "Herunterfahren" und "Neu Starten" auswählen.
Bei Server2 kann ich das nicht.

Auch habe ich schon eine eigene erzwungene Gruppenrichtlinie erstellt mit der Einstellung:

Benutzerkonfiguration => Richtlinien => Administrative Vorlagen => Startmenü und Taskleiste => Befehle "Herunterfahren", "Neu starten", "Energie sparen" und "Ruhezustand" entfernen und Zugriff darauf verweigern

Leider bringt das auch keinen Erfolg.

Es befinden sich beide Server in der selben Organisationseinheit und bekommen daher die komplett gleichen GPOs zugewiesen.
Die Richtlinie muss auf jeden Fall funktionieren, denn wenn ich dieser wieder herausnehme, dann kann ich auch auf dem Server2 auf "Herunterfahren" klicken.

Könnt Ihr mir da vielleicht sagen ob ich noch irgendwo etwas einstellen kann um das Herunterfahren bzw. Neu Starten zu unterbinden?

lg.
Manuel

Content-Key: 332210

Url: https://administrator.de/contentid/332210

Ausgedruckt am: 19.03.2024 um 04:03 Uhr

Mitglied: DerWoWusste
DerWoWusste 15.03.2017 um 12:07:18 Uhr
Goto Top
Hi.

Das Ausblenden aus dem Startmenü kannst Du Dir sparen.
Wenn die Nutzer keine lokalen Admins sind (prüfen!), dann muss jemand an den Einstellungen gedreht haben und zwar:
secpol.msc am TS öffnen ->lokale Richtlinie ->Zuweisen von Benutzerrechten ->Herunterfahren des Systems
Dort sollen nur Administratoren und Backup Operators drin stehen.

Zudem setzt man noch fast an selber Stelle (secpol.msc am TS öffnen ->lokale Richtlinie ->Sicherheitsoptionen) die Einstellung, dass ein Runterfahren nur nach voriger Anmeldung zulässig sein soll.
Mitglied: manuelw
manuelw 15.03.2017 um 12:24:53 Uhr
Goto Top
Hallo,

diesen Punkt habe ich zuerst nachgesehen. Die Benutzer sind nur in der Gruppe "Domänen-Benutzer".
In der Lokalen Richtlinie unter "Herunterfahren des Systems" sind nur die Gruppen "Administratoren" und "Sicherungs Operatoren" eingetragen.

Auch ist die Richtline "Herunterfahren des Systems ohne Anmeldung zulassen" deaktiviert.
Mitglied: Pjordorf
Pjordorf 15.03.2017 um 12:38:37 Uhr
Goto Top
Hallo,

Zitat von @manuelw:
Die Benutzer sind nur in der Gruppe "Domänen-Benutzer". In der Lokalen Richtlinie
Wenn dieser Benutzer in der Lokalen Gruppe der Admins nicht ist, wo dann? Er wird entweder als Benutzer oder als Admin irgendwo das Recht herbekommen sonst ist nichts mit Herunterfahren. Wer weiss was dein Vorgänger dort bei euren Kunde dort zusammengebacken hat. Notfalls mit ADSIEdit das AD durchforsten.

Da wird jemand dran gedreht haben und hat es euch nicht gesagt.

Vielleicht sitz er nur in einer anderen Gruppe welches dir erstmal nicht klar ist was die überall darf.

Passiert das auch bei einen jetzt neu angelegten Domänenbenutzer der auch die TS nutzen darf?

Gruß,
Peter
Mitglied: DerWoWusste
DerWoWusste 15.03.2017 um 13:08:30 Uhr
Goto Top
Dann muss er Adminrechte haben, ganz klar.
Liste die lokale Admingruppe auf und durchforste auch Untergruppen dieser Gruppe.
Mitglied: BassFishFox
BassFishFox 15.03.2017 um 21:54:29 Uhr
Goto Top
Hallo,

Schau mal bei Dir in diese Einstellung.

8p76a

Nicht das sich dahin die Benutzer oder die Gruppe der Benutzer "verrirrt" haben.

BFF