» Общие вопросы про AD (Active Directory) - часть II

можно ли через GP сделать следующее
переводить n-ое время не использующиеся аккаунты в состояние disable?

ITeXPert
Спасибо большое сделал как вы подсказали и получилось.Кстати я запретил использование m-agent.exe и ICQ.exe, ну если пользователи переименуют эгзешники то тогда они в дальнейшем опять будут пользоваться этими прогами, так? Как выйти из этой ситуатции?
З.Ы. Извините за офф-топ, я знаю что я не там задаю вопрос.

rkhodjaev
Теоретически да, если программе все равно как называется ее экзэшник, обрисуй полную картину, надо запретить запуск некоторых программ?

Цитата:

Теоретически да,

и теоретически - да и практически - да.

Цитата:

если программе все равно как называется ее экзэшник

подавляющему большинству - все равно.

Цитата:

Как выйти из этой ситуатции?

Да, бывают откровенные вредители
Если совсем слов не понимают, есть клиент-серверный софт от winternals
(protection manager). Есть у него и свои недостатки, но зато работает на ура против вредителей.

ITeXPert

Цитата:

обрисуй полную картину, надо запретить запуск некоторых программ?

Да надо некоторые программы,такие как m-agent,ICQ,MSN messenger.Просто сейчас они не догадываются что через переименование можно запустить.Но уверен что через некоторое они найдут выход через rename.
5555555

Цитата:

есть клиент-серверный софт от winternals
(protection manager). Есть у него и свои недостатки, но зато работает на ура против вредителей.

Окей я поищу но если есть ссылка дайте знать что это такое?

rkhodjaev
В WinXPSp2 есть такая штука, как Политика ограниченного использования программ.
Она позволяет кроме как по имени, еще и хэшу делать ограничение.

rkhodjaev
к совету FreemanRU добавлю еще назначение через политики прав доступа к папкам, т.к. QIP можно запускать откуда угодно

Уважаемый All !

Есть домен с 2-мя контролерами: на одном Windows Server 2003 Enterprise Edition (RUS), на втором Windows Server 2003 Standard x64 Edition (ENG). Все роли находятся на первом DC.
Есть третий комп, который ходим сделать дополнительным DC, а потом на него перенести основные роли. На нем Windows Server 2003 Standard Edition RC2 (RUS).

Проблема.
При попытке установки AD на этот новый комп пишет о несовместимости версий AD на локальной машине и в домене...
Я понимаю, что версии AD действительно разные (скорее всего 31 и 30), об этом уже писали в этой ветке.

Что можно сделать? Команды adprep /forestprep и adprep /domainprep - не проходят, говорят у вас и так все Ок. Попробовать поднямать винду до RC2 на первом сервере?

FreemanRU
ITeXPert
Спасибо нашел то что вы написали, по ХЭШу сделал так.ХЭШ значения не установочного файла взял, а испольняемый файл.Теперь надо на практике проверить.Спасибо еще раз.

Доброго времени суток. Такая трабла:
2к3, KWF на выходе в инет, внутри домен. При импорте юзеров из DC, KWF выдает сообщение типа *Импорт из домена *** failed. error: strong authentication required*. Когда то получилось один раз импортировать пользователей, и потом опять нивкакую (( Помогите плз, в чем загвоздка. Что означает это *strong authentication*? Что не дает авторизироваться?

Lovec
не путай RC2 и R2
первое - это Release Candidate - пререлизный кандидат
второе - это Release 2 - типа второй релиз

Не работает у тебя потому что бы наверное уже поставил R2 третий сервер. Если бы ты этого не сделал, то тогда можно было бы передать. А так теперь тебе нужно расширять схему на первом контроллере

Добавлено:
astelia
как вариант включить требования сложности к паролям в домене в политиках

Цитата:

как вариант включить требования сложности к паролям в домене в политиках

Не пускает всеравно. Что за ошибка вообще такая?

Пытаюсь завести в AD принтеры пользуясь следующей мануалкой ( http://www.windowsnetworking.com/articles_tutorials/Deploying-Printers-Group-Policy-Windows-R2.html ).
В результате на клиенты почему то не деплоятся принтеры через OGP.. Скрипт в логон добавляю, все как надо..

astelia
http://www.google.com/search?client=opera&rls=en&q=ldap+signing&sourceid=opera&ie=utf-8&oe=utf-8

ITeXPert

Цитата:

не путай RC2 и R2

Виноват. Действительно R2.


Цитата:

Не работает у тебя потому что бы наверное уже поставил R2 третий сервер.

В смысле уже поставил?... Реальность такая. Куплена машина (сервер) на нем уже предустановленный R2. Никто не спрашивает нужен он там или нет. Он есть.
Скачал R2. Теперь ставить его на DC? Больше нет вариантов? Опасаюсь проблем после установки...

Lovec
тебе понадобиться второй диск (R2) от такой же версии, а у тебя купленный стандарт и имеющийся Enterprise. Т.е. либо тянуть с нета R2 для Enterprise и терять лицензию соответсвенно, либо попробуй расширить схему из командной строки на первом контроллере используя adprep диска со стандартной версией сервера, хотя сам такой вариант не пробовал

Господа, нет никаких мыслей почему не появляются принтеры на клиентах?
Общие вопросы про AD (Active Directory) - часть II

ITeXPert
Короче все заработало
Сделал так. Вытянул R2 с мелкомягких, от там различается только на x32 и x64, версия сервера неважна. Накатил его на PDC. И далее в командной строке

cd \cmpnents\R2\adprep
adprep /forestprep

Версия схемы поднялась с 30 до 31. После этого AD отлично встала.

Всем спасибо.

А не подскажите ли, какие права нужно дать человеку/группе, чтобы они могли добавлять учётки и компьютеры в домен, но не могли их переименовывать, менять пароли, добавлять в группы, удалять из групп?
Параметр "Могут добавлять компьютеры в домен" действует только на ту OU, в ГПО которой он определён?

Помогите найти ошибку.
Задача:
Нужно сделать так, чтобы при входе определенного пользователя в систему запускался сценарий, монтирующий сетевые диски.
Что делаю:
Открываю оснастку "Пользователи и компьютеры", открываю свойства пользователя, вкладка "Профиль".
В поле "сценарий входа" вписываю \\servername\users_scrypts\mntdrv.bat
В самом mntdrv.bat пишу net use z: \\servername\users_docs\username
Батник ложу по указанному пути, право читать и выполнять батник у пользователя есть.
Входит в систему - эффекта ноль.

RoDeZiya
В сценарии входа просто имя батника, а сам батник сюда \\имя_домена\sysvol\имя_домена\scripts

Разобрался с принтерами, оказывается также необходимо расшарить и зарегистрировать принтер в AD на клиентской машине под локальным админом для того, чтобы через AD в дальнейшем его разбрасывать по клиентам. Спасибо за внимание.

подскажите:
есть папка расшаренная, для того чтобы увидеть кто в ней был и что брал/забирал с нее,
что нужно для этого? (публикация в АД не стоит щас)
p.s. где то видел, что можно включить аудит на папку, только не нашел где.

snayper7
Свойства папки-безопасность-дополнительно-аудит

всем привет
можно ли всех пользователей и группы скопировать куда нить чтоб потом на новом домене вставить если да то как это сделать
без участия программы ADMT

Народ возникла такая проблема.Была папка общая папка на сетевом диске,и сказали на данную папку закрыт доступ всем и 2-х.Я их добавил и сделал Фул контроль (Folder Properties>Security),а для аутентифицированных польз - денай для фулл контроля. ТЕПЕРЬ никто не может получит доступ к этой папке,даже админ домена.А там много инфи.Не подскажите как решит теперь проблему?
Спасибо большое за любую инфу!

rkhodjaev

Цитата:

Не подскажите как решит теперь проблему?

Может профессию поменять?
А вообще, сменить владельца папки на администратора и поставить нужные разрешения.

PhoenixUA

Цитата:

А вообще, сменить владельца папки на администратора и поставить нужные разрешения.

Там вкладка Security нет уже,а где менять теперь владельца папки.

если поднимать дополнительный домен контроллер на сервере на котором стоит терминальный доступ 1С - останутся ли настройки для 1С как были или нужно будет заново всех заводить и настраивать?

Цитата:

А не подскажите ли, какие права нужно дать человеку/группе, чтобы они могли добавлять учётки и компьютеры в домен, но не могли их переименовывать, менять пароли, добавлять в группы, удалять из групп?
Параметр "Могут добавлять компьютеры в домен" действует только на ту OU, в ГПО которой он определён?

Это решается не групповыми политиками, а делегированием управления.