Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Windows Server 2003 SBE Domänenanmeldung unmöglich bzw. nur einmalig

Frage Microsoft Windows Server

Mitglied: mclear

mclear (Level 1) - Jetzt verbinden

03.08.2006, aktualisiert 04.08.2006, 4428 Aufrufe, 6 Kommentare

Benutzerrechte erteilen, wo sind sie nur hin????

Hallo an alle!

Stellt euch folgendes Szenario vor:

Ein Kollege nimmt sein hier in der Firmendomäne angemeldetes und seit Monaten funktionierendes Notebook zur Heimarbeit mit nach Hause. Um dort aber ins Internet zu kommen benutzt er irrigerweise die Windows-Verbindungsfreigabe für Gemeinsame Nutzung der Internetverbindung. Er muss also die Domäne rausnehmen und in seine Arbeitsgruppe (Zuhause) wechseln.

Vorher hat er sich alle Einstellungen aufgeschrieben die unter Systemeigenschaften-->Computername zu finden waren.

Ergebnis: Seine Sachen bei ihm Zuhause gingen alle wie gewünscht, doch als er den nächsten morgen in die Firma kam konnte er sich nicht mehr in die Domäne einloggen.

Fehlermeldung: Beim Versuch den Computer an die Domäne anzumelden ist folgender Fehler aufgetreten. Zugriff verweigert.

Ich dachte, das gibts doch nicht die Einstellungen stimmen...

Mir blieb nichts anders übrig als Ihm kurzeitig Administratorrechte zu geben, damit er sich einloggen konnte.

Szenario Ende.

Jetzt habe ich versucht den Domänen-Benutzern das Recht zu geben sich an die Domäne anmelden zu können, wann immer sie wollen und aus welcher Arbeitsgruppe heraus sie wollen.

Der Adminstrator-Account hat offensichtlich dieses Recht, aber da in Server2003 ja alles so schön übersichtlich und sofort durchschaubar gestaltet ist, finde ich einfach nicht heraus welches Recht das sein soll, geschweigedem wo die ganzen Rechte überhaupt sind. Die kleine Liste in der "Sicherheitsrichtlinie für Domänencontroller" kann doch wohl nicht alles sein...

Welchen Sinn soll es haben, dass sich Domänen-Benutzer nur ein einziges mal am Anfang in die Domäne joinen können und später dann nicht mehr?

Gruß mclear
Mitglied: Maggus
03.08.2006 um 13:35 Uhr
Hi,

ich glaube Dein Problem liegt darin, dass ein Domain-User normalerweise nicht das Recht hat einen Rechner zu einem Mitglied einer Domain zu machen. Und das ist auch gut so aus Sicherheitsgründen. Dein Kollege sollte sich besser einen DSL-Router für zu Hause holen,
gibt es ab 50,- €. Alles andere ist eine Sicherheitsproblematik.

Des Weiteren solltest Du sicherstellen, dass Benutzer die Ihre Notebooks mit Heim nehmen
einen aktuellen Virenscanner haben. Damit das Firmennetz nicht von innen her kompromitiert
wird. Und oberstes Gebot, kein User erhält Admin-Rechte.

Oder habe ich Dein Problem falsch verstanden?

MfG
Maggus
Bitte warten ..
Mitglied: mclear
03.08.2006 um 15:21 Uhr
Ja, Problem absolut richtig verstanden. Nur leider keine Lösung für das Problem genannt...

Leider muss ich eben doch kurzzeitig Administratorrechte geben damit er wieder in die Domäne kommt.

Extra einen Router kaufen kommt nicht in Frage --> Lösungsvorschlag indiskutabel

Außerdem könnte er auch anders rein ohne die Domäne rauszuschmeißen, aber das ist nicht das Thema.

Was soll schlimmes daran sein oder gar sicherheitskritisch wenn ein autentifizierter Domänen-Benutzer sich aus der Domäne an und abmelden kann???

Er macht sich ja nicht zum Mitglied der Domäne, sondern war und ist es auch immer noch. Er darf eben nur nicht in die Domäne rein wenn er einmal draußen war, also z.B. in eine Arbeitsgruppe gewechselt hat. Der Sinn solch einer "Sicherheitsfunktion" bleibt mir verborgen.

Ich würde gern dem Domain-User das Recht geben sich ein- bzw. auszuwählen wann er will! Weiß nur nicht wo... Bei NT und 2000 wars ganz einfach, Benutzergruppe her; aus 100000 Rechten das richtige genommen und alles war klar.

Gruß mclear
Bitte warten ..
Mitglied: Maggus
03.08.2006 um 15:54 Uhr
Hi,

achso habe Dich falsch verstanden. Ich dachte Du willst einem Benutzer das Recht geben,
den PC zum Mitglied der Domain zu machen.

Allerdings ist es problematisch, wenn er den PC aus der Domain rausnimmt. Er sollte das nicht tun, damit Du ihn nicht jedesmal wieder in die Domain reinbringen musst. Das darf nämlich nur ein Admin.

Damit sich der Domain-User an der Domain anmelden darf bzw. kann muss der PC von dem aus er sich anmelden will, Mitglied der Domain sein. Wenn er ihn allerdings herausnimmt, geht das natürlich nicht.

-> Aus welcher Arbeitsgruppe heraus sie wollen???
--> Das geht nicht. Lediglich die Authentifizierung via DFÜ/VPN ist möglich. Allerdings wird
-->dann kein Profil gezogen.

Ich hoffe das hilft Dir weiter.

MfG
Maggus
Bitte warten ..
Mitglied: mclear
04.08.2006 um 07:37 Uhr
Also nochmal, er ist Mitglied unserer Domäne kann sich bei Arbeitsbeginn einloggen und zum Feierabend ausloggen. Kein Problem soweit.

Geht er jetzt nach Hause mit seinem Notebook und stellt unter Computername statt:
Mitglied von Domäne: "sowieso.local"

einfach Mitglied von Arbeitsgruppe: "Zuhause" ein, dann kann er richtigerweise Zuhause nicht mehr in die Domäne umschalten... Ist ja kein Domänencontroller da.

Wenn er aber wieder auf Arbeit kommt kann er trotzdem nicht in die Domäne umschalten, weil da "Zugriff verweigert!" kommt. Und das halte ich für einen Microsoft SBE Bug. Ich verstehe nicht warum das nur ein Administrator dürfen soll. Das ist doch nur ne kleine Klackssache. Außerdem meine ich das war früher bei NT-Server und Win2000-Server nicht so, jedenfalls ist es mir nie aufgefallen.

Aus diesem Grund möchte ich nun das eine Recht (was der Administrator auch hat um Mitglied einer Domäne zu werden) dem normalen Domänen-Benutzer auch geben. Leider weiß ich eben nicht, wie und wo ich das machen soll...

MfG

mclear
Bitte warten ..
Mitglied: Maggus
04.08.2006 um 09:40 Uhr
Hi,

also wie ich Dir schon gesagt habe. Einen PC zum Mitglied einer Domain zu machen, was bei Dir der Fall ist egal ob der PC schon beim Server eingetragen ist oder nicht, darf nur ein Domain-Admin. Und das ist schon immer so. Wahrscheinlich ist es Dir nie aufgefallen.

Um deinem Kollegen dieses Recht zu geben muss er beim Beitreten der Domain entweder mit administrator und passwort den PC wieder der Domain beitreten lassen, oder Du musst seinen User-Account der Gruppe der Domain-Admins hinzufügen, wovon ich Dir abraten würde.

Ich hoffe das hilft. ;)

MfG
Maggus
Bitte warten ..
Mitglied: Kai-Ffm
04.08.2006 um 10:21 Uhr
Ich muss maggus absolut recht geben!

Die Änderung der Zugehörigkeit von Rechnern zu Domainen kann nur durch einen Domänenadministrator durchgeführt werden! Dieses war auch schon unter WinNT und W2k der Fall!
Dieses ist auch absolut in Ordnung so und ist KEIN Bug von Microsoft.
Würde ich jedem User das Recht geben beliebige Rechner Mitglied einer Domäne zu machen, würde ich auch ein riesiges Sicherheitsloch in die Netzstruktur reissen.

Mfg Kai-Ffm
Bitte warten ..
Ähnliche Inhalte
Windows 10
Windows 10 : Drucken aus allen Programmen unmöglich
gelöst Frage von johanna-pWindows 102 Kommentare

Liebe Gemeinde, auf einem PC (Fujitsu Esprimo E900 Desktop E90+ Intel I5 2400 8GB, Windows 10 Pro 64) kann ...

Windows Server
Einmalige Anmeldung im TS-Cluster
Frage von killtecWindows Server2 Kommentare

Hallo, wir haben hier einen Windows TS-Cluster (Cluster über IP). Ist es möglich, den Cluster so einzustellen, dass sich ...

Windows Userverwaltung
Keine Internetverbindung durch Domänenanmeldung
Frage von DrCoxWindows Userverwaltung5 Kommentare

Ich habe seit einigen Wochen immer wieder Ausfälle mit dem Internet. Nun habe ich dies provisiorisch dadurch gelöst, dass ...

Netzwerkmanagement
Dateien für einmaligen Download auf einen FTP Server ermöglichen
Frage von staybbNetzwerkmanagement6 Kommentare

Hallo zusammen, ich habe folgendes Anliegen. Für unsere Band möchten wir für jede verkaufte EP CD einen gratis Download ...

Neue Wissensbeiträge
Windows 10

Autsch: Microsoft bündelt Windows 10 mit unsicherer Passwort-Manager-App

Tipp von kgborn vor 13 StundenWindows 102 Kommentare

Unter Microsofts Windows 10 haben Endbenutzer keine Kontrolle mehr, was Microsoft an Apps auf dem Betriebssystem installiert (die Windows ...

Sicherheits-Tools

Achtung: Sicherheitslücke im FortiClient VPN-Client

Tipp von kgborn vor 15 StundenSicherheits-Tools

Ich weiß nicht, wie häufig die NextGeneration Endpoint Protection-Lösung von Fortinet in deutschen Unternehmen eingesetzt wird. An dieser Stelle ...

Internet

USA: Die FCC schaff die Netzneutralität ab

Information von Frank vor 1 TagInternet3 Kommentare

Jetzt beschädigt US-Präsident Donald Trump auch noch das Internet. Der neu eingesetzte FCC-Chef Ajit Pai ist bekannter Gegner einer ...

DSL, VDSL

ALL-BM200VDSL2V - Neues VDSL-Modem mit Vectoring von Allnet

Information von Lochkartenstanzer vor 1 TagDSL, VDSL2 Kommentare

Moin, Falls jemand eine Alternative zu dem draytek sucht: Gruß lks

Heiß diskutierte Inhalte
TK-Netze & Geräte
VPN-fähige IP-Telefone
Frage von the-buccaneerTK-Netze & Geräte16 Kommentare

Hi! Weiss noch jemand ein VPN-fähiges IP-Telefon mit dem man z.B. einen Heimarbeitsplatz gesichert anbinden könnte? Habe nur einen ...

Windows Server
GPO nur für bestimmte Computer
Frage von Leo-leWindows Server13 Kommentare

Hallo Forum, gern würde ich ein Robocopy script per Bat an eine GPO hängen. Wichtig wäre aber dort der ...

Windows Server
KMS Facts for Client configuration
Frage von winlinWindows Server13 Kommentare

Hey Leute, wir haben in unserem Netz nun einen neuen KMS Server. Haben Bestands-VMs die noch nicht aktiviert sind. ...

Windows Tools
Software-Tool zum Entfernen von bösartigem Windows
Frage von emeriksWindows Tools11 Kommentare

Hi, siehe Betreff hat das jemals irgendjemand schonmal sinnvoll eingesetzt? (MRT) E.