Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Windows Server 2003 SBE Domänenanmeldung unmöglich bzw. nur einmalig

Frage Microsoft Windows Server

Mitglied: mclear

mclear (Level 1) - Jetzt verbinden

03.08.2006, aktualisiert 04.08.2006, 4404 Aufrufe, 6 Kommentare

Benutzerrechte erteilen, wo sind sie nur hin????

Hallo an alle!

Stellt euch folgendes Szenario vor:

Ein Kollege nimmt sein hier in der Firmendomäne angemeldetes und seit Monaten funktionierendes Notebook zur Heimarbeit mit nach Hause. Um dort aber ins Internet zu kommen benutzt er irrigerweise die Windows-Verbindungsfreigabe für Gemeinsame Nutzung der Internetverbindung. Er muss also die Domäne rausnehmen und in seine Arbeitsgruppe (Zuhause) wechseln.

Vorher hat er sich alle Einstellungen aufgeschrieben die unter Systemeigenschaften-->Computername zu finden waren.

Ergebnis: Seine Sachen bei ihm Zuhause gingen alle wie gewünscht, doch als er den nächsten morgen in die Firma kam konnte er sich nicht mehr in die Domäne einloggen.

Fehlermeldung: Beim Versuch den Computer an die Domäne anzumelden ist folgender Fehler aufgetreten. Zugriff verweigert.

Ich dachte, das gibts doch nicht die Einstellungen stimmen...

Mir blieb nichts anders übrig als Ihm kurzeitig Administratorrechte zu geben, damit er sich einloggen konnte.

Szenario Ende.

Jetzt habe ich versucht den Domänen-Benutzern das Recht zu geben sich an die Domäne anmelden zu können, wann immer sie wollen und aus welcher Arbeitsgruppe heraus sie wollen.

Der Adminstrator-Account hat offensichtlich dieses Recht, aber da in Server2003 ja alles so schön übersichtlich und sofort durchschaubar gestaltet ist, finde ich einfach nicht heraus welches Recht das sein soll, geschweigedem wo die ganzen Rechte überhaupt sind. Die kleine Liste in der "Sicherheitsrichtlinie für Domänencontroller" kann doch wohl nicht alles sein...

Welchen Sinn soll es haben, dass sich Domänen-Benutzer nur ein einziges mal am Anfang in die Domäne joinen können und später dann nicht mehr?

Gruß mclear
Mitglied: Maggus
03.08.2006 um 13:35 Uhr
Hi,

ich glaube Dein Problem liegt darin, dass ein Domain-User normalerweise nicht das Recht hat einen Rechner zu einem Mitglied einer Domain zu machen. Und das ist auch gut so aus Sicherheitsgründen. Dein Kollege sollte sich besser einen DSL-Router für zu Hause holen,
gibt es ab 50,- €. Alles andere ist eine Sicherheitsproblematik.

Des Weiteren solltest Du sicherstellen, dass Benutzer die Ihre Notebooks mit Heim nehmen
einen aktuellen Virenscanner haben. Damit das Firmennetz nicht von innen her kompromitiert
wird. Und oberstes Gebot, kein User erhält Admin-Rechte.

Oder habe ich Dein Problem falsch verstanden?

Mit freundlichen Grüßen
Maggus
Bitte warten ..
Mitglied: mclear
03.08.2006 um 15:21 Uhr
Ja, Problem absolut richtig verstanden. Nur leider keine Lösung für das Problem genannt...

Leider muss ich eben doch kurzzeitig Administratorrechte geben damit er wieder in die Domäne kommt.

Extra einen Router kaufen kommt nicht in Frage --> Lösungsvorschlag indiskutabel

Außerdem könnte er auch anders rein ohne die Domäne rauszuschmeißen, aber das ist nicht das Thema.

Was soll schlimmes daran sein oder gar sicherheitskritisch wenn ein autentifizierter Domänen-Benutzer sich aus der Domäne an und abmelden kann???

Er macht sich ja nicht zum Mitglied der Domäne, sondern war und ist es auch immer noch. Er darf eben nur nicht in die Domäne rein wenn er einmal draußen war, also z.B. in eine Arbeitsgruppe gewechselt hat. Der Sinn solch einer "Sicherheitsfunktion" bleibt mir verborgen.

Ich würde gern dem Domain-User das Recht geben sich ein- bzw. auszuwählen wann er will! Weiß nur nicht wo... Bei NT und 2000 wars ganz einfach, Benutzergruppe her; aus 100000 Rechten das richtige genommen und alles war klar.

Gruß mclear
Bitte warten ..
Mitglied: Maggus
03.08.2006 um 15:54 Uhr
Hi,

achso habe Dich falsch verstanden. Ich dachte Du willst einem Benutzer das Recht geben,
den PC zum Mitglied der Domain zu machen.

Allerdings ist es problematisch, wenn er den PC aus der Domain rausnimmt. Er sollte das nicht tun, damit Du ihn nicht jedesmal wieder in die Domain reinbringen musst. Das darf nämlich nur ein Admin.

Damit sich der Domain-User an der Domain anmelden darf bzw. kann muss der PC von dem aus er sich anmelden will, Mitglied der Domain sein. Wenn er ihn allerdings herausnimmt, geht das natürlich nicht.

-> Aus welcher Arbeitsgruppe heraus sie wollen???
--> Das geht nicht. Lediglich die Authentifizierung via DFÜ/VPN ist möglich. Allerdings wird
-->dann kein Profil gezogen.

Ich hoffe das hilft Dir weiter.

Mit freundlichen Grüßen
Maggus
Bitte warten ..
Mitglied: mclear
04.08.2006 um 07:37 Uhr
Also nochmal, er ist Mitglied unserer Domäne kann sich bei Arbeitsbeginn einloggen und zum Feierabend ausloggen. Kein Problem soweit.

Geht er jetzt nach Hause mit seinem Notebook und stellt unter Computername statt:
Mitglied von Domäne: "sowieso.local"

einfach Mitglied von Arbeitsgruppe: "Zuhause" ein, dann kann er richtigerweise Zuhause nicht mehr in die Domäne umschalten... Ist ja kein Domänencontroller da.

Wenn er aber wieder auf Arbeit kommt kann er trotzdem nicht in die Domäne umschalten, weil da "Zugriff verweigert!" kommt. Und das halte ich für einen Microsoft SBE Bug. Ich verstehe nicht warum das nur ein Administrator dürfen soll. Das ist doch nur ne kleine Klackssache. Außerdem meine ich das war früher bei NT-Server und Win2000-Server nicht so, jedenfalls ist es mir nie aufgefallen.

Aus diesem Grund möchte ich nun das eine Recht (was der Administrator auch hat um Mitglied einer Domäne zu werden) dem normalen Domänen-Benutzer auch geben. Leider weiß ich eben nicht, wie und wo ich das machen soll...

Mit freundlichen Grüßen

mclear
Bitte warten ..
Mitglied: Maggus
04.08.2006 um 09:40 Uhr
Hi,

also wie ich Dir schon gesagt habe. Einen PC zum Mitglied einer Domain zu machen, was bei Dir der Fall ist egal ob der PC schon beim Server eingetragen ist oder nicht, darf nur ein Domain-Admin. Und das ist schon immer so. Wahrscheinlich ist es Dir nie aufgefallen.

Um deinem Kollegen dieses Recht zu geben muss er beim Beitreten der Domain entweder mit administrator und passwort den PC wieder der Domain beitreten lassen, oder Du musst seinen User-Account der Gruppe der Domain-Admins hinzufügen, wovon ich Dir abraten würde.

Ich hoffe das hilft. ;)

Mit freundlichen Grüßen
Maggus
Bitte warten ..
Mitglied: Kai-Ffm
04.08.2006 um 10:21 Uhr
Ich muss maggus absolut recht geben!

Die Änderung der Zugehörigkeit von Rechnern zu Domainen kann nur durch einen Domänenadministrator durchgeführt werden! Dieses war auch schon unter WinNT und W2k der Fall!
Dieses ist auch absolut in Ordnung so und ist KEIN Bug von Microsoft.
Würde ich jedem User das Recht geben beliebige Rechner Mitglied einer Domäne zu machen, würde ich auch ein riesiges Sicherheitsloch in die Netzstruktur reissen.

Mit freundlichen Grüßen Kai-Ffm
Bitte warten ..
Neuester Wissensbeitrag
Windows 10

Powershell 5 BSOD

(2)

Tipp von agowa338 zum Thema Windows 10 ...

Ähnliche Inhalte
Windows Netzwerk
Windows Server 2003 SBS Netzwerk durch neuen Server Ersetzen (9)

Frage von MultiStorm zum Thema Windows Netzwerk ...

Exchange Server
gelöst Microsoft Excange Server 2007 auf Windows Server 2003 Installieren? (9)

Frage von Herbrich19 zum Thema Exchange Server ...

Windows Server
gelöst Suche Windows Server 2003 Enterprise ISO (8)

Frage von Herbrich19 zum Thema Windows Server ...

Server
gelöst Client bei Windows Server 2003 ändern (5)

Frage von Therealcookie zum Thema Server ...

Heiß diskutierte Inhalte
LAN, WAN, Wireless
gelöst Server erkennt Client nicht wenn er ausserhalb des DHCP Pools liegt (28)

Frage von Mar-west zum Thema LAN, WAN, Wireless ...

Windows Server
Server 2008R2 startet nicht mehr (Bad Patch 0xa) (18)

Frage von Haures zum Thema Windows Server ...

Outlook & Mail
Outlook 2010 findet ost datei nicht (18)

Frage von Floh21 zum Thema Outlook & Mail ...