Policies på Windows 2000 pro. clienter

Det skal lige tilføjes at jeg gemmer \'policyen\' som NTconfig.pol .... men jeg er dog usikker på hvor de skal gemmes henne ?

Hej kjalle,
poledit duer ikke i Windows 2000!!
Du skal have AD (Active Directory) før du kan lave policies i Windows 2000.
Når du har installeret AD går du i \"Active Directory Users and Computers\" og højrekikker i dit domæne og vælger Properties og vælger Group Policy.
Det vil være for vidtgående at gå ind på hvordan og hvorledes du skal sætte op dine policies. Men nu er du geleidet hen til hvor det begynder og så kan du læse videre i hjælp!
Group Policy i Windows 2000 gjelder kun for Windows 2000 klienter!!
Poledit er til for at lave policies i Windows 9x og Windows NT og de policies kan fortsat bruges i Windows 2000 for Win9x og WinNT klienter. Men de policies, Win9x =config.pol og WinNT=ntconfig.pol skal laves på Win9x hhv. WinNT klienter. .pol filerne skal så kopieres hen til Netlogon sharet i Windows 2000 server og så vil alle Win9x og WinNT klienter få sine policies.

Jeg bruger AD ....

Og jeg har kopieret mine pol filer ned til \'netlogon\' sharet .....

Og eftersom poledit ligger i Windows 2000 (adv server) går jeg stærkt ud fra at det virker

Hvis jeg så skal bruge MMC kan jeg så lave en policy for en enkelt bruger \'test\' ?

Jeg kan få MMC og policy til at virke for en enkelt computer .... men det skal være sådan at jeg bruger en anden policy når jeg logger på som admin ..... dvs. jeg skal kunne lave det for en bruger og ikke en computr ????

Jeg har et problem til s[ jeg sætter points\'ne op .....

Undskyld kjalle,
men hvorfor har du affvist mit svar??
Det er jo et fuldstendig korrekt svar, og jeg påpeger igen;
POLEDIT kan ikke benyttes for at sætte policies på Windows 2000 klienter!

Svein >< som du sikkert kan se har jeg ændret pointsne til 500 istedet for 100 .... Da jeg har udviddet mit spm. !! :o)

Jeg er klar over at poledit ikke virker til 2000 clienter ..... Men jeg vil gerne ha\' svar på hvordan man får mmc og ad til at virke så du kan sætte policies på en enkelt bruger ! Og det andet spm. er ikke så vigtigt !

//Kjalle !

Kjalle>
Jeg forstår dig dithen at du ønsker at bruge en egen MMC konsol for GroupPolicy og ikke den som default er sat i  - Active Directory Users and Computers\" og højrekikker i dit domæne og vælger Properties og vælger Group Policy.
OK!
På din Advanced Server gå i :Start - Run/kjør - skriv MMC og en ny MMC konsol åbnes.
I menuen Console vælges Add/Remove Snap-in - Add -vælg GroupPolicy - Add - her vil du få op et vindu hvor der vil være valgt \"LocalComputer\". Du vælger at Browse/Gennemse og kommer så ind i et nyt vindu der hedder : Browse for GroupPolicy Object. Her har du mulighed for at vælge hvad for en policy du vil ha i din konsol og jeg vil her vælge \"Default Domain Policy\" og Finish og Close.
Du vil i det vindu som forbliver åben have din Deafult Domain Policy (med dit domæne navn/server). Vælg OK og du har lavet din Group Policy konsol.
Så skal vi igang med at sætte policies. Du har to valgmuligheder: Computer og user. Det er som i den gamle Poledit en politik for computer der sættes før logonbilledet og en for user som er de specielle brugerindstillinger der sættes når en bruger logger på!
Efter at du har sat dine politikker - er det så tid til at vælge hvem der skal have disse politikker.
Her højreklikker du i din konsol i Default Domain Policy og vælger Properties og Security.
Her skal den som default være sat til \"Aauthenticated users\" Read og Apply. For at politikken skal implementeres så skal bruger/gruppen have read og apply. Din \"test\" bruger er medlem i authenticated users så han skal automatisk få den politik du har sat op.
Til sidst skal du IKKE gemme denne nogen steds hen. Du har editeret en Default politik og den ligger allerede gemt i :
\\WINNT\\SYSVOL\\sysvol\\%domain%\\Policies.

Den du siger jeg skal bruge ..... er der ikke - jeg tror jeg kom til at slette den :o( hvordan oprettes en ny ? Jeg prøvede at gøre det manuelt inde fra AD men så skal den gemmes så vidt jeg kan se :o(

Jeg mener \'Default Domain Policy\' har jeg slettet inde fra AD !!

Hej,
inde i AD Users og Computers højreklikker du på domænet, vælger Properties og vælger Group Policy. Hvis din Domain Policy mangler der forsøger du med Add og i DOMAIN/OUs eller i All skal der ligge en DomainPolicy.
Du vælger den og så er der bare at start om igen!

OK, men når jeg går ind i MMC opretter den jo automatisk \'console1\' hvordan laver jeg ændringer uden at skulle gemme som du siger ?

Hej igen,
Når du laver en ny consol så må du naturligvis gemme ændringerne et eller andet sted, du har jo bedt om at få lave en ny konsol!!! Gem den i Administrative Tools, Skrivebordet....
Jeg foreslo ellers at du heller skulle gå ind i den standardkonsol Windows 2000 presenterer i AD Users and Computers. Den er færdig lavet for dig og så er der bare at gå igang.

ok, jeg har prøvet at gå ind i mmc (som selv åbner \'consol1\' jeg går ind i group policy og vælger under all en der hedder default domain controllers policy og ændrer nogen ting, bla. at den skal skjule logon scripts og disable logoff ..... men når jeg så logger ind virker de ikke .... når jeg gemmer siger jeg nej tak, men hvis jeg åbner den samme igen er ændringerne gemt ! hvorfor ?

Det virker forøvrigt heller ikke hvis jeg gemmer den som \'consol2\' .... hmm ...

Hvis jeg vælger den der hedder default domain policy som ligger under domain/OUs ...... så har jeg ikke adgang til den :o( .... how can that be ?

Indstillingerne gemmes naturligvis med det samme du sætter et hak i en politik. Det eneste der ikke gemmes er din konsol, men den er alligevel kun en genvej hen til dine politikker som jeg tidligere har forklaret hvor ligger.
Du har nu gang i to sager -
-det at lære at bruge en konsol
-det at lære at sætte politikker i Windows 200

Det er måske en ide at konsentrere sig om at lære det ene først, og så....
Jeg foreslå at du foreløbig glemmer dette med MMC konsoller og tager politikker først.
Gå ind i Start - Programmer - AD Users og Computers højreklikker du på domænet, vælger Properties og vælger Group Policy.
For at gå videre derfra se mit svar fra 14.09. kl.10:13:46 fra \"Så skal vi igang med at sætte policies\".

lige meget jeg har fundet ud af at få lavet det så sikkerheden er på alle maskiner og brugere, men den skal jo ikke være på det logon der hedder \'administrator\' hvordan gør jeg så det ikke går ud over den og så det kun er test der er policy på ??

Jeg tror jeg har fat i det hele nu ..... det er ved at sive ind, men det er noget andet end NT4.0 hehe ..... jeg mangler kun at policien KUN skal gælde for navnet test og ikke Administrator ?

Ja,
her er så et uddrag af mit svar fra 14.09:
Efter at du har sat dine politikker - er det så tid til at vælge hvem der skal have disse politikker.
Her højreklikker du i din konsol i Default Domain Policy og vælger Properties og Security.
Her skal den som default være sat til \"Authenticated users\" Read og Apply. For at politikken skal implementeres så skal bruger/gruppen have read og apply.
Authenticated users er naturligvis alle brugere i domænet og du vil kun ha den for din \"Test\" bruger.
Du fjerner hakket i \"Apply Group Policy\" for Authenticated users vælger Add/Tilføj og søger efter din \"test\" bruger og vælger OK og sætter hak i Read og Apply Group Policy udenfor din test bruger.
Til sidst skal du IKKE gemme denne nogen steds hen. Du har editeret en Default politik og den ligger allerede gemt i :
\\WINNT\\SYSVOL\\sysvol\\%domain%\\Policies.

politikken gælder stadig for alle brugere selv for administrator .... jeg har ellers fulgt dine anvisninger !

Under security har jeg følgende navne:
Authenticated users : hak i read
Test : hak i read og apply group policy

endvidere har jeg følgende navne:
System
CREATOR OWNERS
Domain AdminsEnterprise Admins

Jeg ved ikke om det hjælper dig men brugeren Vift er medlem af følgende:

Domain Admins
Domain Users
Domain Guests
Users

Dise oplysninger har jeg under AD

Vift = \'test\'

hm

Hej,
hvori har du sat dine politikker:
Computer
User
Hvis du har sat dine politikker i Computer så vil de være gjeldende for alle der logger på maskinen!!!
Hvis du vil ha sat en politik for en bruger eller en gruppe, så skal der sættes politik i User.

Hej Svein !
Jeg har sat politikken på bruger/gruppe og ikke computer .....

//Kjalle :o)

OK - så skal vi gennem nogen troubleshooters.
1. Hvem er der der logger på og fra hvad for en computer?
2. For at være sikker at vi snakker om Default Domain Policy! Du skrev den 15.09 kl. 14:38 at du ikke har adgang når du vælger Default Domain policy i Domain/OUs.... Gjelder det fortsat?
3. Hvis ikke hvori har du så sat politikkerne?
4. I \"Start - Programmer - AD Users og Computers højreklikker du på domænet, vælger Properties og vælger Group Policy\". Hvad for nogle politikker har du der og hvad er security på dem ??

I AD under domænet under Group Policy .... har jeg følgende: Default Domain Policy (den jeg bruger) og Group Policy Object (Som jeg ikke bruger) .... Tager jeg properties på Default Domain Policy og går ind på Security har jeg:

Authenticated Users hvor der kun er hak i read ...
Jeg har også:
CREATOR OWNERS
SYSTEM
Domain Admins
Enterprise Admins

Dem der logger på at brugeren \'test\' og \'administrator\' og der bliver logget på fra Win 2000 Pro. clienter.
2. Jeg har fået adgang da jeg slettede Default Domain Policy og oprettede den igen under AD !
..... det skulle være det hele !

Det skal lige siges at jeg heller ikke har sat hak i \'Block Policy inhertiance\'

Hvis jeg opretter en hel ny bruger er der også policies på ham - det burde der jo ikke være ?!

Hej Kjalle,
der er noget der har sket da du \"slettede\" den originale Default Domain Policy. Den du nu setter rettigheder på kan være en anden policy der ikke bliver benyttet.
Du skal igen ind i \"Start - Programmer - AD Users og Computers højreklikker du på domænet, vælger Properties og vælger Group Policy\". Her skal du vælge Default Domain Policy og tage Properties og notere dig den streng som f.eks.på min maskine starter med \"31B2F340-016D-...\".
Kig i Links samtidig og se til at din politik er linket til dit domain.
Så skal du køre en utility der hedder gpresult.exe og følger med Windows 2000 Res.Kit, hvis du har den. Send resultatet til en tekstfil og referer!
Videre vil jeg at du skal gå ind i Eventviewer på både din DC og klient og kig i System og Application log og fortæl om der står noget med \"userenv\" og \"secedit\".

Jeg har ikke kigget på det andet endnu, men jeg har opdaget at det i min event viewer på DC er 10000 fejl ..... under aaplication log:
er der mange som hedder warning og error ....source hedder på error: usernv og på warning: scecli

dette er taget fra en af de mange warnings med source usernv: Security policies are propagated with warning. 0x534 : No mapping between account names and security IDs was done.
Please look for more details in TroubleShooting section in Security Help.

ups warning var som sagt: scecli ....

på den der hedder error med soucre usernv: The Group Policy client-side extension Security was passed flags (17) and returned a failure status code of (1332). 

.....

der er ikke nogen fejl der hedder noget med secedit ...

stregen på min default domain policy er følgende: 6A59F968-6AEA-45D3-9D12-F70CE5ED955F}

politikken er linket til mit domain .....
jeg har desværre ikke der utility der som du nævner .... den ligger derhjemme :o(

Som du sikkert kan høre har jeg kun haft Win 2000 .... i 4 uger ..... jeg er bedst til NT4.0 og Windows 9x .... men jeg lærer jo :O)

Hej Svein!

Jeg har forstået at jeg skal bruge kommandoen \'secedit\' for at opdatere mine policy .... er det rigtigt ? Og vil dette ikke løse mit problem ?

Kjalle :o)

Hej Kjalle,
vi er efterhvert ved at komme meget dybt ned i Group Policy og bevæger os over i det der må kaldes avanseret fejlfinding.
For at  tage det sidste først, Secedit bruges til at opdatere ens politikker uden at skulle logge af/genstarte maskinen.
Det er ikke noget der der er problemet. Men til en anden gang kan du jo notere dig at hvis du vil have afprøvet dine indstillinger i Group Policy uden at skulle logge af/genstarte maskinen, så kan du køre enten:
secedit /refreshpolicy user_policy /enforce eller
secedit /refreshpolicy machine_policy /enforce
Er du ellers god til at editere i Registry??? Det næste stunt vi skal gennemføre skal forsøge at afdække dine problemer med :
scecli og userenv
Først skal du sætte en registrykey for at få skabt en logfil.
Her følger en kopi af noget fra en Technet artikkel:
1. Add the ExtensionDebugLevel DWORD value with the value data 2 to the
  following registry key:
HKEY_LOCAL_MACHINE\\Software\\Microsoft\\WindowsNT\\CurrentVersion\\Winlogon\\GPExtension\\{827...}
2. Under command window type \"secedit /refreshpolicy machine_policy /enforce\"
  (without the quotation marks) to generate the Winlogon.log file in the
  %windir%\\security\\logs folder.
3. Search the Winlogon.log file for deleted user accounts.
4. Remove those user accounts from the User Rights Policy.

Når du har udført dette siger du til hvad der så er resultatet i Event Viewer.

OK jeg har brugt secedit lidt og kigget mine indstillinger igennem endnu en gang .... problemet er næsten løst .... det virker på alle maskiner undtagen en ? Det er client4 ! Der kommer heller ikke mere fejl i min event viewer, så jeg tror fejlen er rettet !! Det kører perfekt ! Men hvorfor er der stadig politik på client 4 ? Jeg har prøvet at kigge nogen gamle indtillinger efter for om der skulle være noget tilbage men det ser ikke sådan ud ? Kan man få en oversigt over alle de policied man har ændret mm ??

Jah jeg er ok til at editere i regedit :o) jeg programmere også selv d-words mm. roder en del med hex workshop pro :o)

Der er ikke kommet noget 3.parts produkt der viser havad for nogle indstillinger der er sat i Group Policy og Microsoft har heller ikke lavet nogle til nu. Så der er bare at holde tungen lige i munden og dokumentere!!

Hej,
har du flere spørgsmål eller kan denne sag lukkes?

Mange mange tak for hjælpen ..... Det er fedt med sådan en MSCE\'er hehe ...... Nu håber jeg snart at begynde på at læse til datalog sååå :o)

//Kjalle :o)