SBS2008 - Clients mit einem geplanten Task herunterfahren (GPO)

S

se7Ro

Gast

• 1. Juli 2015

• #1

hallo,

ich versuche derzeit alle Computer die sich in der Domäne befinden mit Hilfe eines geplanten Tasks zu einer bestimmten Uhrzeit herunterzufahren.
Ich habe unter "gpmc.msc" ein Objekt angelegt und in diesem Objekt dann den geplanten Task konfiguriert und erstellt.
Unter Sicherheitsfilterung habe ich einen Testrechner hinzugefügt sowie einen speziellen Benutzer, in meinem Fall den ServiceAccount. Dieser kommt laut diversen Anleitungen in eine spezielle OU und hat nur die Berechtigung, dass er die Rechner herunterfahren darf.


Mein Problem ist nun, dass der Rechner nicht herunterfährt. Ich nehme mal an, dass mein Task ordnungsgemäß konfiguriert wurde aber die GPO nicht greifen bzw. keine "Zuweisung" stattfindet.


Mir geht es im Endeffekt nur darum, dass der Server das Herunterfahren des Rechners zu einer bestimmten Zeit anstoßt.


"Einheitliche" Anleitungen habe ich nicht gefunden.. die Lösungen variieren von meiner Vorgehensweise (eher einfach?) bis hin zu schwierigeren Umsetzungen.

Vielen Dank im Vorab.

(im Bild ist der Task deaktiviert, ist aber aktiviert!)

 

Anhänge

• 
  2.JPG

  48,7 KB · Aufrufe: 382
• 
  1.JPG

  60,3 KB · Aufrufe: 350
• 
  3.JPG

  19,3 KB · Aufrufe: 319

S

st0rax

Lt. Commander

Registriert

Feb. 2014

Beiträge

1.066

• 1. Juli 2015

• #2

du musst die gpo normalerweise mit einer ou verknüpfen.
Der Rechner muss sich natürlich in der entsprechenden OU befinden.

Ergänzung (1. Juli 2015)

ansonsten gibt es shutdown noch mit dem parameter -i, evtl hilft das auch weiter

 

S

se7Ro

Gast

• 1. Juli 2015

• #3

Eine OU habe ich erstellt und der Rechner befindet sich darin, aber wie verknüpfe ich die OU mit der erstellten GPO?
Reicht es, wie im Bild zu sehen, den Rechner in den "Sicherheitsfilter" zu setzen?


Was ich noch anmerken wollte:
komischerweise kann ich die Uhrzeit im Fenster des geplanten Task nur zwischen 00.00 - 12.59 setzen.
Ich hab quasi ein anderes Zeitformat, obwohl das in Windows selbst nicht der Fall ist..

und auch das "ausführen als" ist bei mir ausgegraut

 

S

st0rax

Lt. Commander

Registriert

Feb. 2014

Beiträge

1.066

• 1. Juli 2015

• #4

du musst die erstellte gpo eigentlich nur auf die entsprechende ou ziehen.
bei der sicherheitsregel muss man dann eigentlich auch nichts eintragen wenn alles ordentlich über OU's strukturiert ist (zumindest wenn es nicht tiefer ins detail geht, bei terminalservern und sogenannten loopback-gpos wird es dann doch gebraucht)

 

Zuletzt bearbeitet: 1. Juli 2015

S

se7Ro

Gast

• 1. Juli 2015

• #5

Ich habe den entsprechenden Rechner in einer anderen OU (siehe Bild, SBSComputers). Kann ich in meiner neuen OU eine Gruppe erstellen und den Rechner dieser Gruppe zuweisen? Denke mal, den Rechner kann ich nicht ohne weiteres durch die OUs ziehen.

Bzgl. der Verknüpfung:
das eine auf das andere ziehen klappt bei mir nicht. Wenn ich einen Rechtsklick auf die OU mache und auf Objektverwaltung zuweisen gehe kann ich einen Benutzer hinzufügen (ServiceAccount bspw.) und ihm sagen, was er verwalten darf/kann. Müsste ich da nicht die Möglichkeit haben mein eigenes Objekt auszuwählen? Denn das ist nicht der Fall.


edit:
die Verknüpfung scheint doch schon vorhanden zu sein, siehe letztes Bild

 

Anhänge

• 
  5.JPG

  38,8 KB · Aufrufe: 261
• 
  4.JPG

  14,9 KB · Aufrufe: 274
• 
  6.JPG

  58,4 KB · Aufrufe: 264

Zuletzt bearbeitet: 1. Juli 2015

S

st0rax

Lt. Commander

Registriert

Feb. 2014

Beiträge

1.066

• 1. Juli 2015

• #6

also den rechner kannst du eigentlich beliebig zwischen den ous hin und her schieben.
Meines wissens ist das einzige was dann probleme machen kann:

1. GPOs, da diese immer an OU's gebunden sind, sprich wenn du den rechner verschiebst, kann es sein das plötzlich GPOs nicht mehr greifen.

2. Zum Verknüpfen einfach die GPO per drag und drop auf die OU ziehen, du wirst dann gefragt ob du die GPO damit verknüpfen willst, anbei screenshot

Ich sehe gerade du hast die gpo mit der ganzen domäne verknüpft, deswegen dann auch die sicherheitsfilterung mit den enthaltenen pcs.

Also ich würds so machen:

Ihr habt bestimmt eine OU in der nur die pcs/workstation/notebooks drin sind.
Hier einfach die gpo richtlinie erstellen und die sicherheitsfilterung leer lassen.
Ich weiß allerdings nicht wie das mit dem ausführen als "service account" laufen soll.

Der andere weg der mir einfallen würde um das umzusetzen wäre einfach einen task auf einem server zu erstellen, mit einer batch datei die als domänen admin ausgeführt wird.
In der batch datei dann einfach die pcs remote herunterfahren mit einer for schleife und einer textdatei mit den pc namen.

 

Zuletzt bearbeitet: 1. Juli 2015

S

se7Ro

Gast

• 1. Juli 2015

• #7

Danke dir.

Ich habe nochmal, da ich ein wenig rumgespielt habe (ist kein produktiver) alles neu erstellt bzw. vorher alles gelöscht:

1. OU erstellt, ServiceAccount erstellt, Rechner aus anderer OU in meine verschoben
2. GPO erstellt, Task erstellt, ServiceAccount darf den Rechner herunterfahren, GPO im Verwaltungseditor auf meine OU gezogen -> Verknüpft

Ansonsten habe ich in meiner GPO Standardeinstellungen, ergo Sicherheitsfilterung: Authentifizierte Benutzer

hab mal ein Bild angehangen (Benutzer müssen noch unter Sicherheitsfilterung entfernt werden)


edit:
ja, das war mein Fehler. Habe bereits alles neu erstellt.

das mit dem Task werde ich bei Gelegenheit ausprobieren, hab ich vorhin auch schon als Lösungsweg gefunden.


hier stand das mit dem ServiceAccount:
https://escde.net/automatisierter-shutdown-mit-windows-bordmitteln/

 

Anhänge

• 
  7.JPG

  161,1 KB · Aufrufe: 282

Zuletzt bearbeitet: 1. Juli 2015

Darkblade08

Commodore

Registriert

Mai 2008

Beiträge

4.813

• 1. Juli 2015

• #8

Es reicht, wenn du auf der OU Rechtsklick --> Vorhandenes Gruppenlinienobjekt hier verknüpfen auswählst und die entsprechende GPO so der gewünschten OU zuweist. Mehr musst du nicht machen.

Oder habe ich das Problem nicht verstanden?

 

S

st0rax

Lt. Commander

Registriert

Feb. 2014

Beiträge

1.066

• 1. Juli 2015

• #9

funktionierts denn nun auch?

 

S

se7Ro

Gast

• 1. Juli 2015

• #10

@Darkblade08

das Problem hat sich schon erledigt.. ich war wohl in den falschen Menüpunkten unterwegs

@st0rax
das werde ich gleich testen

 

S

st0rax

Lt. Commander

Registriert

Feb. 2014

Beiträge

1.066

• 1. Juli 2015

• #11

gpupdate /force bzw reboot nicht vergessen falls es sich um eine computerrichtlinie handelt

 

S

se7Ro

Gast

• 2. Juli 2015

• #12

guten morgen!

Die Vorgehensweise gestern hat nicht geklappt. Ich habe ja bereits alles neu angelegt und nur folgendes gemacht:
GPO erstellt, Computereinstellungen -> Task erstellt -> Pfad zur Shutdown.exe + Argumente, Zeit etc. eingestellt
OU erstellt und einen Rechner eingefügt, mit der GPO verknüpft, gpupdate/force durchgeführt (ist ein reboot zwingend notwendig?)

Das hatte gestern nicht geklappt.

Nun habe ich mal selber ein kurzen Befehl geschrieben der den Rechner herunterfahren soll und in den Taskeinstellungen eingefügt bzw. zum entsprechenden Pfad navigiert. Soll den Rechner quasi ohne jegliche Meldung herunterfahren (shutdown.exe -s)

Auch das hat nicht geklappt.

Muss ich wohl noch ein wenig tüfteln.

Ich hätte noch folgende Frage:
In den Taskeinstellungen habe ich nur (meine ich) einen Zeitintervall von am/pm. Also 0 - 12 Uhr. Wenn ich den Rechner bspw. um 15 Uhr hreunterfahren möchte, wähle ich 03:00 aus, aber ich weiß leider nicht ob es nun Nachmittags ist oder Nachts

 

C

chriss_msi

Captain

Registriert

Feb. 2005

Beiträge

3.564

• 2. Juli 2015

• #13

se7Ro schrieb:

shutdown.exe -s

Zum Vergrößern anklicken....

Wie soll das auch funktionieren? Shutdown.exe /? hätte dir die Antwort geliefert.

Shutdown braucht immer einen Zeitfaktor, wann die Maschine herunterfahren soll.

Richtiger Befehl für Windows: shutdown.exe -s -t x

Das -t gibt den Zeitfaktor an (t wie Time). Die Variable x ist in Sekunden anzugeben. Willst du, dass die Clients ohne Verzögerung herunterfahren, nimmst du folgenden Befehl:

shutdown.exe -s -t 0

Zusätzlich gibt es noch den Parameter -f für Force und den Parameter -c für eine Meldung auf dem Bildschirm.

Willst du also die Mitarbeiter nicht foppen und Gelegenheit geben, offene Sachen noch abzuspeichern, gibst du Folgendes an:

shutdown.exe -s -f -t 60 -c "PC wird in 1 Minute heruntergefahren"

Des Weiteren darfst du beim Erstellen der GPO natürlich nicht vergessen, im Mainscreen der GPO die Punkte "Mit höchsten Privilegien" und "Unabhängig der Benutzeranmeldung ausführen" anzuhaken und natürlich den Domänenadministrator-Account zur Remote-Authentifizierung an den Clients mitzugeben.

 

S

se7Ro

Gast

• 3. Juli 2015

• #14

Ah, danke dir.

Unter SBS2008 habe ich diese Einstellungsmöglichkeiten nicht, zumindest unter dem geplanten Task, wo es sein sollte.

http://www.administrator.de/images/content/0f5dc1e9623cab349302fe92e4245b8e.jpg


"Ausführen als" ist bei mir zwar vorhanden, jedoch deaktiviert bzw. ausgegraut.



edit:
ok, ich glaube du meinst die Sicherheitsfilterung?

Die Punkte "Mit höchsten Privilegien" und "Unabhängig der Benutzeranmeldung ausführen" sind mir bekannt, jedoch nur aus dem einfachen Aufgabenplaner.



edit2:
So, es funktioniert endlich. Server rebootet, Einstellungen überprüft und den Administrator authentifiziert.

Nur ein kleines Problem habe ich noch:
auch den Server wollte der Task herunterfahren, obwohl in der OU nur ein Rechner enthalten ist. Das Herunterfahren wurde jedoch mit dem Hauptadministratoraccount (also Admin des Servers, der Domäne, ..) durchgeführt. Könnte es eventuell daran liegen, dass dieser Admin am Server angemeldet war und er dann quasi alle runterfährt?

Meine (hoffentlich) letzte Frage wäre somit:
ein zusätzliches Benutzerkonto, wie oben mein ServiceAccount, wäre dann vielleicht doch von Nutzen, oder?

 

Zuletzt bearbeitet: 3. Juli 2015