Active Directory User werden aus der lokalen Admingruppe geworfen

[Arthur Dent]

Morgen Luxxer und Haxxor, ich verzweifel hier an einem Problem

Kurz und prägnant: Ich habe einen Server 2008 Standard, in dessen lokale Admingruppe ich zwei Benutzer aus der Domäne hinzufügen will. Das klappt soweit auch, bis auf die komische Verhaltensweise von Server 2008, diese User nach einer Weile wieder aus der Gruppe zu entfernen.

Habe schon mit einem Kollegen einiges unternommen, z.B. die User in eine andere OU zu verschieben, oder mit dem Domänen-Admin die User hinzufügen, hat alles nicht geklappt.

Weiß jemand einen Rat? Ist das eventuell eine Lokale Sicherheitsrichtlinie?

Vielen Dank schon mal!

 

[Matsushita]

Bitte etwas genauer! Der Server ist ein Memberserver, kein RODC? Warum erstellst Du keine neuen Konten in der lokalen SAM?

 

[Arthur Dent]

Der Server ist ein Memberserver. Die Konten sollten im Active Directory sein, das ist für SharePoint der bessere Weg. Ebenso für den SQL-Server. (Zumindest denke ich das ;-))

 

[Matsushita]

Versuch es doch mal mit Gruppen. Die User kommen in eine globe Gruppe, diese Gruppe nimmst Du dann in einer Domänenlokale Gruppe auf Deinem Memberserver auf (A-G-DL-P-Prinzip ).

 

[Arthur Dent]

Okay, werd ich mal versuchen! Danke für den Hinweis PS: was bedeutet A-G-DL-P-Prinzip?

 

[Matsushita]

A=Account G=Globale Gruppe DL=Domänenlokale Gruppe P=Permission

Bedeutet: Ein User kommt in einer Globale Gruppe, die Globale Gruppe kommt in eine Domänenlokale Grupp und diese Domänenlokale Gruppe bekommt die Berechtigungen. Man berechtigt also weder die Globale Gruppe, noch steckt man User in einer Domänenlokale Gruppe.

Das nennt man das A G DL P Prinzip.

 

[0711]

erstell mal einen richtlinienergebnisssatz auf dem computer und schau mal ob die gruppe administratoren per gp inkl mitglieder definiert ist...evtl auch mal die lokale richtlinie checken...

wie du die user/gruppen hinzufügst ist eigentlich egal sofern man die vorteile von aglp aussen vor lässt...

 

[heuchler]

Richtlinienergebnissatz mit gpresult... nur so als Info am Rande.

Ich werde es hier mal nachstellen an einem SBS2008.. auch wenn es m.M. nach keinen Sinn macht einen Domänen-User als lokalen Server-Admin zu nutzen.
Ggf. kommen sich die Benutzerrollen in die Quere, aber man wird es ja sehen.

 

[heuchler]

Haste mal neuinstalliert?
Letztens habe ich diesen Fall noch irgendwo gelesen... ganz schwach in Erinnerung.
Da ging es auch darum dass die Zuordnung nicht passte..

 

[heuchler]

Also hier kann ich es nicht nachvollziehen.. der Domänen-User bleibt als lokaler Admin bestehen und verschwindet nicht. Allerdings, wie gesagt, ein SBS.
Grüße,
Daenni