Servergespeicherte Profile: Problem nach Domänenumstellung

[pepper]

Servus allerseits,

das Problem: eine Win2k-Domäne wurde wegen (u.a.) DNS-Problemen von einer Domäne ohne Punkt (.) auf eine mit Punkt umgestellt. Active Directory wurde erst entfernt, dann neu installiert. Alle Benutzer wurden neu angelegt, ihre Profile (der Domänencontroller dienst auch als Fileserver) wurden nicht angetastet, die Benutzer haben Vollzugriff auf ihre Profile.

Das Problem ist, dass die Benutzer nur, wenn sie am Client lokaler Admin sind, ihre Profile laden können. Sobald man sie aus der Gruppe der lokalen Admins rausholt, lässt sich Outlook nicht mehr starten und es ist kurioserweise ein englischer Tastaturtreiber eingestellt; weiterhin lässt sich bspw. in der Systemsteuerung nicht von der Kategorie- in die klassische Ansicht umswitchen. Man kann für Outlook und das Tastaturtreiberproblem den Hebel ansetzen, wo man will, beim nächsten Anmelden ist alles wieder beim alten.

Legt man einen neuen Benutzer mit neuem Profil an, funktioniert die Geschichte als Hauptbenutzer; allen neuen Profile und neue Benutzer anzulegen fällt wegen Arbeitsaufwand aus.

Das Lustige: Umbenennen und Neuanlegen der Profile hilft auch nicht weiter, es muss offensichtlich jeweils ein neuer Benutzer mit neuem Profil her....

Vorschläge?

Gruß,

pepper

PS: Das ganze Aufhebens daher, weil der Auftraggeber nicht wünscht, dass alle lokale Admin-Rechte haben.

[Thanks-and-Goodbye]

Hast du nach der Neuerstellung von ADS auch wieder neue Computerkonten erstellt, sprich, die PCs neu in die Domäne reingebracht? Hat bei mir schonmal ulkige Folgen gehabt, weil ich das nicht gemacht hatte. Anmeldung war zwar möglich (in 90% der Fälle), aber es gab halt Rechteprobleme.

[pepper]

Hallo

ja, vor der Umstellung wurden die PCs aus der alten (ohne Punkt-)Domäne entfernt; sobald die neue (mit Punkt-)Domäne verfügbar war, hat ein Domänen-Admin die PCs einzeln in die neue Domäne aufgenommen...

Interessefrage: hätten sich die User überhaupt anmelden können, ohne dass Computerkonten vorhanden wären? Im Windows'schen Anmeldedialog wird doch gar keine Domäne angeboten, wenn der PC kein Konto hat. Oder?

Gruß,

pepper

[Mickey26]

Ich denke einmal, daß da interne ID's vom Betriebssystem nicht mehr stimmen.

Jedes Objekt (so auch der Benutzer) hat intern eine sogenannte ID. Wird eine Benutzer gelöscht und wieder angelegt, so bekommt er eine neue interne ID.

Die könnte dafür verantwortlich sein, daß das Profil nicht mehr ordentlich verwendet wird.

Es wäre einmal interessant wer welche Rechte auf dem einzelnen Benutzerprofil genau hat.

Gruß

Mickey26

(Chrusafan)

[Mickey26]

Ach Du hast die Domäne getötet und dann eine "neue" installiert ?!?!

Und dann wunderst Du Dich das es nicht läuft....

Die Benutzer hätten in die neue Domäne migriert werden müssen (Drittanbietertool).

Ob das jetzt noch geht, möchte ich doch sehr bezweifeln...

Gruß

Mickey26

(Chrusafan)

[pepper]

Mir ist klar, dass es SIDs gibt, die aber nix mit dem Client-OS zu tun haben, sondern an die Objekte im Active Directory gebunden sind. Dass es Migrationstools gibt, is ebenfalls klar, es sollte aber ein neues, sauberes Active Directory her.

Die neuen Benutzer heißen genauso wie die alten Benutzer und sind auch explizit Besitzer ihrer Profile (nach der Umstellung).

[cujo]

Ist nur eine vage Idee von mir, aber wie sieht's aus, wenn Du mal alle Benutzer (auch die alten SID's) aus den Berechtigungen herausnimmst, die neuen Rechteinhaber nochmals einfügst und dann den Besitzer änderst?

Gruß, cujo

[MaikGr76]

Frage (nur zum Verständis für mich):

Habt Ihr die Berechtigungen auf die Profile - Freigaben neu gesetzt oder steht da jetzt Irgendeine alte SID drin. Die Clients erhalten alle eine neue SID und damit auch neue Profile nach einer Neuinstall bzw. dem löschen und wieder hinzufügen von Benutzern.

Gruß,

Maik

[pepper]

Das ist das verwunderliche: sämtliche Berechtigungen wurden an die neuen Benutzer vergeben

@ cujo: ja, die alten SIDs sind alle rausgeflogen.

Wir sind mittlerweile so weit, dass wir komplett neue Profile erstellen werden müssen... :confused:

Gruß