Nægte klient login hvis netværk mangler

Fra http://www.win2000mag.net/Articles/Index.cfm?ArticleID=16215

use a registry editor to go to the HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon subkey and find the data item CachedLogonsCount. This registry entry specifies how many user account entries the computer can cache. The value can range from 0 to 50; the default is 10 users. Change the value to 0 to stop Win2K from saving user account information in the logon cache. You must reboot to put the new setting into effect. After you make this registry change, if no DC is available when a user tries to log on to the domain, Win2K will display the following message: The system cannot log you on now because the domain DomainName is not available. The user can click OK to return to the Log On to Windows dialog box and can use the available drop-down list to select the local computer.

Det kan gøres ved hjælp af en GPO.
Computer Configuration -> Administrative Templates -> System -> User Profiles
Enable: Delete cashed copies of roaming profiles
Og/eller
Enable: Log users off when roaming profile fails

tpo> Ja det er klart nemmere. Templaten gør faktisk præcis det samme. Men det er den rigtige løsning.

bigbird> Giv tpo points - min løsning vil jeg ikke engang stå ved mere :-)

JP

Jeg vil vælge at give point imorgen.. Men højst tænkeligt til jpvj. fordi den anden løsning er jeg ret overbevist om ikke virker.. Jeg har prøvet den, da den var den mest oplagte.. Men hvis DC er nede eller netværket mangler, hvordan skal klient maskinen så kunne læse de policies og se at den ikke må logge brugeren på :)

Den bruges blot hvis roaming fejler. Det kan være fejl i profilen, serveren med profilerne mangler eller andet.

jpvj> Din løsning er den mest sikre, med min løsning bliver ikke ændret i cachedlogonscount, derfor kan Domain/administratorer godt logge på, der bliver oprettet en TEMP profil. Domain/Users bliver nægtet adgang.

bigbird> Det er en Computer Configuration, så den bliver skrevet i den lokale registry.

jpvj's svar er det rigtige.
Det kan gøres via GPO:
Computer Configuration -> Windows Settings -> Security settings -> Local Policies -> Security Options
Number of previous logon to case (in case domain controller is not avalible)

For at opdatere med det samme "kør" dette på din DC

secedit /refreshpolicy MACHINE_POLICY
secedit /refreshpolicy USER_POLICY

Den kendte sikkert i forvejen.

Ps. MACHINE_POLICY opdateres først på den enkelte maskine når den er genstartet.

Lukketid :-)