Domain security policy

Har du forsøgt, at åbne "local security settings/policy" på WKS, for at se om de slår igennem ??

Hvis de ikke slår igennem, kan du kontrollere, om der er sat en GPO, hvor denne er defineret.

En GPO har altid 1. prioritet end de settings som bliver sat i din "Domain Security Policy".

Pr. default er en GPO 60 +- 30 minutter om at slå igennen, til klienterne.

Kør disse kommandoer på din DC, for at gennemtvinge opdatering af din GPO:

secedit /refreshpolicy user_policy /enforce
secedit /refreshpolicy machine_policy /enforce

:-)

Jeg har forsøgt at åbne "local security settings/policy" på WKS, for at se om de slår igennem, men det er her at jeg kan se at det gør de ikke.

Mht GPO, har jeg åbnet GPEDIT.MSC på min DC og for computer configuration/security settings/local policies/user rights assignment er der sat den samme bruger gruppe for "act as part of OS" som i DSP.

Hvis jeg åbner GPEDIT.MSC på min WKS er der ikke sat noget for computer configuration/security settings/local policies/user rights assignment/Act as part of OS

Jeg har også prøvet at gennemtvinge opdateringen af GPO med de to linier fra svaret fra TPO, men det har heller ikke gjort nogen forskel.

Så hjælp er stadigvæk ønsket.

Åbn Active Directory Users and Computers.
Højreklik på Dit_Domæne.dk >Properties.
Fanebladet Group Policy.
Klik på knappen New.
Giv den et navn (Gerne et der fortæller hvad Policy'en gør).
Klik på knappen Edit.
Naviger til: Computer Configuration >Windows Settings >Security Settings >Local Policies >User Rights Assignment.
I vinduet til højre.
Dobbeltklik på: Act as part of the operating system.
Sæt hak i Define these policy settings.
Klik Add.
Klik Browse, og find den gruppe/bruger der skal have disse beføjelser.
Klik OK.
Klik OK.
Klik OK.
Luk vinduet Group Policy.
Klik Close.

Åbn en kommandoprompt.
Kør disse to kommandoer:
secedit /refreshpolicy user_policy /enforce
secedit /refreshpolicy machine_policy /enforce

:-)

Hej Tpo

Jeg har nu fulgt din fine anvisning, men lige meget hjælper det!!

Når jeg har kørt de sidste to komando linier, og derefter logget WKS ud og ind igen, findes der i Locale policy settings/act as part of OS stadigvæk ingen af de grupper der er defineret i GPO.

hHvad der undre mig er at ændringerne der fortages på min DC slår godt nok igennem på den WKS hvor der er intsalleret W2K server men ikke på de WKS hvor det er W2K proff.

Det skal virke.
Problemet er nok at de maskiner hvor det ikke virker, ikke er medlem af domænet, eller har en korupt SID.
Kontroler at maskinerne er medlem af domænet. Hvis de er, så meld dem ud og ind igen.

:-)

Maskinerne er medlem af domænet. Det ved jeg for jeg har haft dem ude i workgroup og tilbage til domænet igen, og når jeg logger på disse maskiner gør jeg det som domain administrator. men ligemeget hjælper det!

Det var du ikke længe om, 8 minutter og 4 sekunder inc. posting af svar.

Jeg har testet det på mit domæne, og her virker det som det skal.

Når du kører: gpedit.msc, på din W2K Pro, hvad står der så i: Act as part of the operating system ?

:-)

Jeg var klar over at det ville blive det næste forslag så det havde jeg prøvet uden held, og kunne derfor svare så hurtigt tilbage.

Når jeg køre GPEDIT.MSc på min W2K pro står der ingen ting i "Act as part of the operating system"

Lad os se om det kun er Computer policies, der ikke slår igennem.

I den Group Policy, som jeg beskrev i svaret: 19/11-2003 08:59:30
Sæt denne User policy:
User Configuration >Administrative Templates >Desktop.
Enable: Hide all icons on Desktop.

:-)

Hvis det var meningen at mini ikoner på desktoppen på min WKS ikke skulle være synlige efter jeg har logget ud og ind, så slår dette heller ikke igennem, kun på min W2K server.

Ja det var meningen. En GPO lavet på domæne nievau bør slå igennnem til alle maskiner og brugere.

Prøv en gang til. Meld din W2K Pro ud af domænet, og ind igen. Husk at genstarte.

Kontroler at maskinen er listet i Active Directory Users and Computers.

:-)

Nu har jeg prøveten gang til, men uden held. Først meldte jeg min W2K pro ud af domænet og slettede din i i Active Directory Users and Computers.

Derefter meldte jeg den ind i domænet igen, hvorefter den blev listet i Active Directory Users and Computers, men lige meget hjalp det. DSP er stadigvæk ikke overført til min W2K pro, desværre.

Prøv at kikke i Event Viewer på din W2K Pro.
Application Log.
Se efter events hvor Source er SceCli.
Post hvad du finder.

:-)

En ting mere som måske kan hjælpe. Hvis jeg på min W2K pro i local security settings/local policies/user rights assignment dobbelt klikker på "Act as part of the OS" og i dette vindue i "Look in" vælge mit domæne fremfor mit lokal maskine, og derefter tilføjer en fra listen over brugere på domænet, ovælger "check names". Nu kommer der en fejlmeddelse op der fortæller at det angivne domæne enten ikke findes eller ikke kan kontaktes. Hvis jeg gør det samme på min W2K server der virker som WKS kan det godt lade sig gøre.

Jeg ved ikke op dette kan være et hint til hvad der kan være galt.

Udfra det du skriver, undrer det mig MEGET, at du kan melde maskinen ind i domænet. Nu er det vel ikke bare en Workgroup, med samme navn som domænet, maskinen er medlem af.
- Kontroler at maskinens navn er: MaskinNavn.DomæneNavn.Dk
- Sørg for at maskinen har din DC som primær DNS server.

:-)

Når du melder maskinen ind i domænet, så er det vel fra selve din W2K Pro?
:-)

Først svar på kl. 12:43:22: Når jeg i application loggen finder de events der hedder SceCli, indeholder de allesammen den samme beskrivelse :"Security policy in the group policy objects are apllied succesfully"

kl 12:51:54: jeg har checket at maskinen kommer på domænet og ikke bare en workgroup maskinenavn.domænenavn.local
Maskinen havde ikke min DC som primær DNS, det er rette nu og det var løsningen på problemet.

Mange tak for hjælpen.

Nu skal du bare sende et svar til mig. så skal jeg acceptere så du kan få dine point.

:-)