» Общие вопросы про AD (Active Directory) - часть II

emfs
не правильно выразился 5 ролей + GC (глобальный каталог)

Добрый день - изучаю по мере возможности AD как говорится методом проб и ошибок. И такой есть вопрос - при установки операционной системы системный администратором - administrator и соответствующий пароль.

После поднятие роли AD был заведен пользователь админ домена, добавлен в соответствующие группы, но тут начались какие-то странности - под этим пользователем не имею прав на доступ к диску D - да и на С особо большого доступа нету. Удалять могу, создавать нет, ставить программы тоже могу.

Когда под логином администратора системного естественно все работает.
=========================================
Вопрос оно так и должно быть? Если да то почему (безопасность к контроллеру домена).


p.s. да домен на уровне 2008 R2

Всем привет. Подскажите можно ли, и если можно, то как развернуть актив директори на уже существующем без доменов и с кучей пользователей 2003 сервере, и по возможности без переустановки и лихорадки пользователей.

megarom
эм... а пользователи у вас простите что за сервером работают??? или это сервер терминалов и используются его учётки??? Если же все учётки у юзеров на клиентских ПК то создание AD ни как им не навредит - вот только перетаскивать их придётся в соответствующие папки на сервере...

Доброго времени суток!
Нужна помощь в разборе ошибки АД 2003 сп2.
На месте старого домена создал новый, настроил днс, вроде все хорошо... но после перезапуска сервера каждый раз добавляется ошибка:

Тип события: Ошибка
Источник события: NTDS General
Категория события: Внутренняя обработка
Код события: 1168
Дата: 13.08.2010
Время: 12:49:13
Пользователь: NT AUTHORITY\АНОНИМНЫЙ ВХОД
Компьютер: SERVER
Описание:
Внутренняя ошибка. Возникла ошибка Active Directory.

Дополнительные данные
Значение ошибки (десятичное):
1053
Значение ошибки (шестнадцатеричное):
41d
Внутренний ID:
3000502


dcdiag говорит, что все хорошо.

kievman
возможно это поможет -- а вообще могли бы и сами найти, если конечно еще не пробовали...

Alukardd
Приветствую!
К сожалению данный линк ничем не помог, Ntds.dit у меня находится ровно там, где должен быть согласно рееста.

Добавлено:
netdiag:

[more] Computer Name: SERVER
DNS Host Name: server.Partner.local
System info : Microsoft Windows Server 2003 (Build 3790)
Processor : x86 Family 6 Model 23 Stepping 6, GenuineIntel
List of installed hotfixes :
KB923561
KB924667-v2
KB925902-v2
KB927891
KB929123
KB930178
KB932168
KB933854
KB936357
KB938127
KB941569
KB943055
KB943460
KB944338-v2
KB944653
KB945553
KB946026
KB948496
KB950762
KB950974
KB951066
KB951748
KB952004
KB952069
KB952954
KB953298
KB954155
KB955069
KB956572
KB956802
KB956803
KB956844
KB957097
KB958469
KB958644
KB958687
KB958869
KB959426
KB960225
KB960803
KB960859
KB961063
KB961371-v2
KB961501
KB967715
KB967723
KB968389
KB968816
KB969059
KB969947
KB970238
KB970653-v3
KB971032
KB971486
KB971557
KB971633
KB971657
KB971961
KB971961-IE8
KB973037
KB973354
KB973507
KB973525
KB973540
KB973687
KB973815
KB973869
KB974112
KB974455-IE8
KB974571
KB975025
KB975364-IE8
KB975467
KB976098-v2
KB976749-IE8
Q147222


Netcard queries test . . . . . . . : Passed
GetStats failed for 'Прямой параллельный порт'. [ERROR_NOT_SUPPORTED]
[WARNING] The net card 'Минипорт WAN (PPTP)' may not be working because it has not received any packets.
[WARNING] The net card 'Минипорт WAN (PPPoE)' may not be working because it has not received any packets.
[WARNING] The net card 'Минипорт WAN (IP)' may not be working because it has not received any packets.
GetStats failed for 'Минипорт WAN (L2TP)'. [ERROR_NOT_SUPPORTED]



Per interface results:

Adapter : Резерв

Netcard queries test . . . : Passed

Host Name. . . . . . . . . : server
IP Address . . . . . . . . : 192.168.0.2
Subnet Mask. . . . . . . . : 255.255.255.0
Default Gateway. . . . . . : 192.168.0.100
Dns Servers. . . . . . . . : 127.0.0.1


AutoConfiguration results. . . . . . : Passed

Default gateway test . . . : Passed

NetBT name test. . . . . . : Passed
[WARNING] At least one of the <00> 'WorkStation Service', <03> 'Messenger Service', <20> 'WINS' names is missing.

WINS service test. . . . . : Skipped
There are no WINS servers configured for this interface.


Global results:


Domain membership test . . . . . . : Passed


NetBT transports test. . . . . . . : Passed
List of NetBt transports currently configured:
NetBT_Tcpip_{589AA12A-A22C-49A1-A887-ADC4C3E73AFB}
1 NetBt transport currently configured.


Autonet address test . . . . . . . : Passed


IP loopback ping test. . . . . . . : Passed


Default gateway test . . . . . . . : Passed


NetBT name test. . . . . . . . . . : Passed
[WARNING] You don't have a single interface with the <00> 'WorkStation Service', <03> 'Messenger Service', <20> 'WINS' names defined.


Winsock test . . . . . . . . . . . : Passed


DNS test . . . . . . . . . . . . . : Passed
[WARNING] The DNS Resolver Cache service is not running. [ERROR_SERVICE_NEVER_STARTED]
PASS - All the DNS entries for DC are registered on DNS server '127.0.0.1'.


Redir and Browser test . . . . . . : Passed
List of NetBt transports currently bound to the Redir
NetBT_Tcpip_{589AA12A-A22C-49A1-A887-ADC4C3E73AFB}
The redir is bound to 1 NetBt transport.

List of NetBt transports currently bound to the browser
NetBT_Tcpip_{589AA12A-A22C-49A1-A887-ADC4C3E73AFB}
The browser is bound to 1 NetBt transport.


DC discovery test. . . . . . . . . : Passed


DC list test . . . . . . . . . . . : Passed


Trust relationship test. . . . . . : Skipped


Kerberos test. . . . . . . . . . . : Passed


LDAP test. . . . . . . . . . . . . : Passed


Bindings test. . . . . . . . . . . : Passed


WAN configuration test . . . . . . : Skipped
No active remote access connections.


Modem diagnostics test . . . . . . : Passed

IP Security test . . . . . . . . . : Skipped

Note: run "netsh ipsec dynamic show /?" for more detailed information


The command completed successfully[/more]

Alukardd

Цитата:

эм... а пользователи у вас простите что за сервером работают??? или это сервер терминалов и используются его учётки??? Если же все учётки у юзеров на клиентских ПК то создание AD ни как им не навредит

нет, терминалов нет, просто учетные записи, профилей не сервере нет.

Ау народ а что на мой вопрос никто не знает ответа?

подскажите как сделать чтобы у всех пользователей в домене в сетевом окружении появились расшареные ресурсы(папки)?

Bear39
в групповых политиках добавить скрипт в автозагрузку для монтирования bat там или vbs...

Дабы не создавать лишних тем, спрошу здесь.

Суть вопроса вот в чем. Когда и в каких случаях нужно использовать имя первого домена в новом лесу с суффиксом ".local", а в каких ".ru (например)"?

konst2k6
с суффиксом .ru не очень хорошо создавать т.к. это может привести к совпадению имен локального и глобального доменов, и потом этот вопрос придётся решать...

что касается .local, то это уже на ваше усмотрение - хоть .konst2k6... и вообще не стоит использовать домен .local это не сказывается только в винде и то кажется не во всех приложениях...
Вот прочтите про .local.

Есть основной контроллер домена
есть удалённый филиал
между контролером домена и филиалом медленный канал связи
из за того что канал забит в филиале наступают следующие проблемы:
1) долго логинятся пользователи
2) долго формируется документ на печать
у меня такое впечатление что это происходит из за того что пользователи долго получают разрешения от контроллера домена.
Если добавить дополнительный контроллер домена ускорит ли это работу?
или лучше отделить филиал в отдельный домен?

GawkV
зависит от размера филиала и от наличия там собственного сисадмина, в общем случае лучше дополнительный контроллер своего домена, только не забыть добавить новый сайт и настроить межсайтовую репликацию в нерабочее время

В филиале около 20 пользователей, там нет сисадмина, но есть адекватных программиста + есть связь и удалённое администрирование + путь до филиала занимает 20-30 минут

GawkV тогда точно свой поддомен им не нужен.

Помогите - не могу разобраться:
Домен W2k3r2:
Рабочие станции WinXP при назначении разрешений для общих ресурсов не находят группы с областью действия "Локальная в домене".
W2k3r2, Win7 и W2k8r2 в диалоге поиска показывают эти группы, а WinXP - нет!

Доброго часа всем!
Есть DC на W2K3, всем пользователям домена расшарена папка, возможно ли логировать действия пользователей? Например удаление и копирование файлов, относительно этой папки. Возможно ли решить это средствами AD или потребуется стороннее ПО?

2poisonS В виндах существует такая вещь как аудит.Настраиваете его и имеете всю информацию.

vlary Благодарю будем разбираться!

В домене нужно дать администраторские права на определенную группу комп-ров определенному пользователю. Как это сделать проще чтобы рутино на каждом комп-ре не добавлять этого пользователя в администраторы?

noobofthenoobs
В групповых политиках (Конфигурация Windows - Параметры безопасности - Группы с ограниченным доступом) сделай добавление этого пользователя в группу админов. И примени эту политику на нужных компьютерах.

Старый сервер 2003, новый 2008 standard. dcpromo перенес AD на новый, проверил AD и DNS, все нормально. Понизил старый до рядового. Проверил AD и DNS, полет нормальный. Дабы не менять пути в множестве программ используемых старый сервер, решил поменять имя DC. Использовал NETDOM computername Server.domain.ru /add:Superserver.domain.ru
После перезагрузки при входе на сервер пишет:
база данных диспетчера учетных записей на сервере не содержит записи для регистрации компьютера через доверительные отношения с этой рабочей станции
Все компы локальной сети в домен могут войти. DNS работает. Войти на сервер под любой из учетных записей не возможно.
По ходу после переименования, в Домены и Доверие имя этого сервера отсутствует, как его востановить?

Прдолжаю
С рядового сервера получил dcdiag контроллера

Был сервер srv001K, после переименования контроллера домена стал srv001. Но, Default-First-Site остался прежним и роли и глобальный каталог остались на SRV001K. ntdsutil видит только SRV001K. Ну и от этого вся пляска. Все компьтеры сети регистрируются, подключаются сетевые папки, в сети DC видится как srv001. Но зайти на DC не возможно, ни под какой учетной записью, не локально ни через RDP.

C:\Program Files\Support Tools>dcdiag /s:srv001

Domain Controller Diagnosis

Performing initial setup:
Done gathering initial info.

Doing initial required tests

Testing server: Default-First-Site\SRV001K
Starting test: Connectivity
The host d321f5d1-0a72-4dbb-ae4b-6fc9dccaeb5a._msdcs.MyDomain.local could n
ot be resolved to an
IP address. Check the DNS server, DHCP, server name, etc
......................... SRV001K failed test Connectivity

Doing primary tests

Testing server: Default-First-Site\SRV001K
Skipping all tests, because server SRV001K is
not responding to directory service requests

Running partition tests on : ForestDnsZones
Starting test: CrossRefValidation
......................... ForestDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... ForestDnsZones passed test CheckSDRefDom

Running partition tests on : DomainDnsZones
Starting test: CrossRefValidation
......................... DomainDnsZones passed test CrossRefValidation

Starting test: CheckSDRefDom
......................... DomainDnsZones passed test CheckSDRefDom

Running partition tests on : Schema
Starting test: CrossRefValidation
......................... Schema passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Schema passed test CheckSDRefDom

Running partition tests on : Configuration
Starting test: CrossRefValidation
......................... Configuration passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... Configuration passed test CheckSDRefDom

Running partition tests on : MyDomain
Starting test: CrossRefValidation
......................... MyDomain passed test CrossRefValidation
Starting test: CheckSDRefDom
......................... MyDomain passed test CheckSDRefDom

Running enterprise tests on : MyDomain.local
Starting test: Intersite
......................... MyDomain.local passed test Intersite
Starting test: FsmoCheck
Warning: DcGetDcName(GC_SERVER_REQUIRED) call failed, error 1722
A Global Catalog Server could not be located - All GC's are down.
Warning: DcGetDcName(PDC_REQUIRED) call failed, error 1722
A Primary Domain Controller could not be located.
The server holding the PDC role is down.
Warning: DcGetDcName(TIME_SERVER) call failed, error 1722
A Time Server could not be located.
The server holding the PDC role is down.
Warning: DcGetDcName(GOOD_TIME_SERVER_PREFERRED) call failed, error 1722
A Good Time Server could not be located.
Warning: DcGetDcName(KDC_REQUIRED) call failed, error 1722
A KDC could not be located - All the KDCs are down.
......................... MyDomain.local failed test FsmoCheck

Доброго времени суток

Никак не могу разобраться, нужна помощь.
Проблема заключается в том что при входе пользователя на рабочую машину под своим именем и паролем не сохраняются пользовательские настройки системы (обои рабочего стола, подключаемые сетевые диски и т.д.) Как я понял из-за того что у группы "Пользователи домена" нет достаточных прав.
Как только пользователей делаешь членами группы "Администраторы домена" все настройки подхватываются и изменения остаются.
Как исправить положение оставив пользователей в группе "Пользователи домена"?

OKTANred Делать пользователей членами группы "Администраторы домена" совершенно излишне. Достаточно добавить их в группу администраторов того локального компьютера, которым они пользуются.

OKTANred
Если всё настроено "по умолчанию", то у пользователей с правами "Domain Users" должны сохранятся все настройки.
Дело в настройках GPO и/или в типе профиля.
vlary
Совет необходимый, но не достаточный. Я бы рекомендовал никогда не давать пользователям права администратора, даже локального. У меня 500+ пользователей разного профиля и все обходятся без прав администратора.

OKTANred

Вероятнее всего у Вас нет прав (NTFS) на соответствующую локальную папку нужного профиля и на куст реестра HKCU.

anton04

Цитата:

Вероятнее всего у Вас нет прав (NTFS) на соответствующую локальную папку нужного профиля и на куст реестра HKCU.

Тогда бы профиль вообще не загружался, а использовался бы временный, о чём мастдай должен каждый раз сообщать.