mmc SnapIN Benutzer

[juhle]

Hi,

habe eine W2K3-Domäne mit folgendem Problemchen. Ic hhabe mir auf einem XP prof. Rechner die mmc installiert (Adminpak). Wenn ich dort das SnapIn Benutzer und Computer hinzufüge, klappt das prima. Nur ist die Ansicht, wenn ich einen Benutzer anklicke eine andere als wenn ich das auf dem ADS-Server mache. Auf dem ADS_Server sind ein paar Reiter mehr zur Auswahl z.B. Einwählen" usw....... Wie kann ich meine lokale mmc dahingehend erweitern, das ich das auch bei mir lokal sehe?? Jemand hat mal gemeint, das sei eine Geschichte mit irgendwelchen dll's die man noch hinzufügen müsste??

Danke

:confused:

[lakarando]

hm, weiss nicht obs auch hier hilft, aber unter W2k mmc stellt man das in der mmc selbst ein, unter "View" und dann "Advanced Features"

Diese erweiterte Ansicht ist erstmal per default ausgeschaltet.

Gruss

Thoralf

[juhle]

Das erweitert ja nur die "Ordneransicht" um Einträge wie Lostandfound und NTDS Quotas...

Auf dem ADS-Server habe ich beim Benutzer aber z.B. einen Reiter der sich "Einwahl" nennt, den habe ich in meiner mmc bei dem Benutzer nicht.

[janlutmeh]

Evtl. mal die Verbindung zum DC aktualisieren, sicherstellen das Du mit nem administrativen Account arbeitest.

[juhle]

Admin bin ich. Ansicht aktualisierne bringt auch nichts.

[janlutmeh]

Nicht die Ansicht aktualisieren sondern die Verbindung zum DC.

In der höchsten Ebene (glaube Actve-Directory Benutzer und Computer) Kontextmenu öffnen und verbinden mit Domäne ausführen. So nochmal mit der Domäne verbinden.

Habt Ihr mehrere DC´s? Wenn ja versuch Dich auf dem selben Weg mal mit dem DC der den Global Catalog oder den Infrastruktur-Master hostet zu verbinden.

[juhle]

Sorry, habe ich ja gemeint. Wir haben 3 Dom-Controller. Egal mit welchem ich mich per mmc verbinde, fehlen die Reiter.

[janlutmeh]

Kann es vielleicht sein das auf dem Global-Catalog Server auch der Infrastruktur-Master läuft??

Gemäß Microsoft dürfen diese beiden Rollen nicht gemeinsam auf einem DC laufen sobald mehrere DC´s vorhanden sind, da sonst Äanderungen an der Infrastruktur nicht mehr sauber repliziert werden. Könnte eine mögliche Fehlerquelle sein.

[juhle]

Auf dem einen läuft RID, PDC, Infrastruktur. Der ist auch Betriebsmaster. Aber wie gesagt, der Mensch von der Firma, die mit uns die Migration gemacht haben sagte, da muss noch eas nachinstalliert, bzw. irgendwelche DLLs kopiert werden.

[janlutmeh]

Hier nochmal Infos von Microsoft . Wenns denn speziell um die Registerkarte Einwählen geht:

"This behaviour is by design"

Diese Funktion wird auf Systemen mit Windows XP und den Remoteverwaltungstools nicht bereitgestellt.

Unter dem Link oben gibt detaillierte Informationen rund um das Adminpak.

[lakarando]

Das erweitert ja nur die "Ordneransicht" um Einträge wie Lostandfound und NTDS Quotas...

Wer erzählt denn sowas ? Wenn ich bei meiner MMC ( AdminPack auf W2K - Client ) die erweiterten Optionen einschalte, habe ich bei den Eigenschaften der User 15 Register ( vermutlich das was du als "Reiter" bezeichnest ) anstatt 12, also nix "nur Ordneransicht".

Aber DialIn ist auch ohne "erweiterte Funktionen" dabei und Janlutmeh hat ja eh schon die Lösung gefunden ......

hier nochmal der interessante Teil:

Die Registerkarte Einwählen zur Konfiguration von Routing- und RAS-Einwahl oder VPN-Zugangs- und Rückrufeinstellungen wird entfernt, wenn die Verwaltungsprogramme auf Windows XP-Clients installiert werden.

Um DFÜ-Eigenschaften für das Benutzerkonto zu verwalten, nutzen Sie das RAS-Richtlinien-Verwaltungsmodell. Dieses Modell wurde in Windows 2000 eingeführt, um die Beschränkungen des früheren Berechtigungsmodells für Einwählkonten aufzuheben. Das RAS-Richtlinien-Verwaltungsmodell nutzt Windows-Gruppen zur Verwaltung von RAS-Berechtigungen.

Kunden, die dieses empfohlene Verwaltungsmodell verwenden, sollten zur Verwaltung von RAS-Berechtigungen für Benutzer in Active Directory die Windows XP-Verwaltungsprogramme nutzen können. Die Einstellungen auf der Registerkarte Einwählen werden normalerweise nicht für VPN oder drahtlose Verbindungen genutzt. Es gibt jedoch mehrere Ausnahmen. Beispielsweise können Kunden, die DFÜ-Netzwerke nutzen, eine Rückrufnummer verwenden. Nutzen Sie in diesem Fall Terminaldienste oder Remotedesktop, um auf einen Windows 2000- oder Windows Server 2003-Computer zuzugreifen. Sie können sich auch bei der Konsole eines Windows 2000- oder Windows Server 2003-Computers anmelden, um die Registerkarte Einwählen zu verwalten. Das RAS-Richtlinien-Verwaltungsmodell hat folgende Vorteile: • Detaillierte Verwaltung

Administratoren müssen vollständigen Zugang zu dem Benutzerkonto haben, wenn sie Einwählrechte verwalten. Das Benutzerkonto hat viele weitere Sicherheitseigenschaften. Im Richtlinien-Verwaltungsmodell kann eine eigene Gruppe zum Erteilen von Einwählrechten erstellt werden, und Rechte zur Verwaltung des Zugriffs auf diese Gruppe können einem anderen Administrator erteilt werden.

• Gruppen für Zugriffssteuerung

Die meisten Microsoft Windows-Programme nutzen Gruppen für die Zugriffssteuerung. Gruppen ersparen den zusätzlichen Aufwand für die Verwaltung von separaten Netzzugriffsrechten. Dieselben Gruppen können zur Steuerung des Zugriffs auf DFÜ-Ordner, VPN-Ordner, drahtlose Netzwerke oder Dateifreigaben verwendet werden.

• Präzise verbindungsspezifische Zugriffssteuerung

Der gleichzeitige Einsatz mehrerer Zugriffstechnologien ist mit zahlreichen Herausforderungen verbunden. Die Berechtigungen und Einstellungen für DFÜ-, VPN- und drahtlose Technologien können unterschiedlich sein. Vertragspartner können beispielsweise auf drahtlose Netzwerke zugreifen, aber können von zu Hause aus keine Verbindung über ein VPN herstellen. Drahtlose Verbindungen erfordern unter Umständen andere Sicherheitseinstellungen als VPN- und DFÜ-Verbindungen. Rückrufeinstellungen können bei Ortsgesprächen sinnvoll sein, aber eventuell sollten Sie diese Einstellungen deaktivieren, wenn der Benutzer aus dem Ausland anruft.

Sie können das RAS-Richtlinien-Verwaltungsmodell im RAS-Richtlinien-Knoten des Snap-Ins "Routing und RAS" konfigurieren, wenn die Domäne im einheitlichen Modus von Windows 2000 oder höher konfiguriert ist. Greifen Sie über Terminaldienste oder Remotedesktop auf einen Windows 2000- oder Windows Server 2003-Computer zu, um die Registerkarte RAS-Einwahl in "Active Directory-Benutzer und -Computer" oder "Internet Authentication Server (IAS)" von einem Windows XP-Computer aus remote zu verwalten. Sie können sich auch bei der Konsole eines Windows 2000- oder Windows Server 2003-Computers anmelden, um diese Einstellungen direkt zu konfigurieren.

Gruss

Thoralf

[lakarando]

Kann es vielleicht sein das auf dem Global-Catalog Server auch der Infrastruktur-Master läuft??

Gemäß Microsoft dürfen diese beiden Rollen nicht gemeinsam auf einem DC laufen sobald mehrere DC´s vorhanden sind

Stimmt nur bedingt, wenn Du Dir den englischen Originaltext ansiehst, ist es wieder hinfällig, wenn alle DC = GC sind, dann ist es egal welcher DC der IM ist, weil alle DC durch die GC-Funktion sowieso alle aktuellen Infos haben .

Gruss

Thoralf

[janlutmeh]

Stimmt nur bedingt, wenn Du Dir den englischen Originaltext ansiehst, ist es wieder hinfällig, wenn alle DC = GC sind, dann ist es egal welcher DC der IM ist, weil alle DC durch die GC-Funktion sowieso alle aktuellen Infos haben .

Gruss

Thoralf

Muss ich Dir leider recht geben. :floet:

Aber das wär ja eigentlich schon wieder die Ausnahme wenn ich alle DC´s zu GC mache. Oder sagen wir eher Sonderfall.

[lakarando]

Muss ich Dir leider recht geben. :floet:

Aber das wär ja eigentlich schon wieder die Ausnahme wenn ich alle DC´s zu GC mache. Oder sagen wir eher Sonderfall.

uiiiiiii, cool, wir sind Sonderlinge

Im AD meines AG ( 6 Domänen weltweit in einem Forrest) ist das der Fall.

Gruss

Thoralf

[janlutmeh]

Na so würd ich das jetzt aber auch nicht sehen wollen.

Erzeugt das dann nicht einen wahnsinns Replikationsverkehr?

[lakarando]

hm, wir merken nicht sooo viel davon und wenn eine Kiste mal GC ist, hält sich das wohl in Grenzen, da ja IMHO inkrementell repliziert wird.Und wir haben bei uns 15min als Replikationsinterval eingestellt. Ausserdem brauchen wir sowieso in jedem Standort einen GC, d.h. über die WAN-Leitungen wird auf alle Fälle repliziert.

Und wenn dann ein Standort mal mehr als einen DC hat, stört es nicht sonderlich, wenn innerhalb des LAN's die Replikation nochmal läuft.

Ich weiss leider nicht mehr genau was es war ( peinlich, es ist erst ca 4 Wochen her ) aber wir hatten z.T. erhebliche Probleme, z.b. bei ADSI-Scripten gab es unterschiedliche Ergebnisse, abhängig davon, ob ich einen DC mit GC abgefragt habe oder nicht. Und noch ein paar andere Dinge, die Entscheidung hab schlussendlich nicht ich gefällt. :floet:

Gruss

Thoralf

[janlutmeh]

Dann ist das natürlich klar. Wenn Ihr eh an jeder Site einen GC braucht, dann macht das ja auch wieder Sinn. Worauf ich abzielte war ja das das nicht unbedingt der Standard ist an jeder Site nen GC zu implementieren.

Aber jetzt entfernen wir uns langsam vom Thema, das ja aber glaub ich auch inzwischen zu aller Zufriedenheit gelöst ist.