Benutzer von Administrator zu normalem User machen ohne Einstellungen zu verlieren

[Turtle2k]

Hallo,
ich weiß nicht, ob ich hier richtig bin, stelle aber trotzdem meine Frage.

Unsere Domänen-User haben alle lokale Konten und neben dem Domänen-Benutzer-Recht derzeit auch lokale Admin-Rechte. Dies soll geändert werden, sodass alle User nur noch Domänen-Benutzer sind. Nun bekomme ich auch folgende Fehler:

Beim nächsten Anmelden sind dann alle bisherigen Einstellungen (Desktop, Mails, Programmeinstellungen,...) weg.

Stelle ich dann als Admin wieder den ursprünglichen Zustand her, also
"Domain-Benutzer" wieder als lokalen Admin, sind die ganzen Einstellungen wieder da.

Hat jemand eine Idee, was man da tun könnte? Ich habe echt das halbe Internet abgegrast, jedoch noch keine hilfreiche Seite gefunden.
Ihr würdet mir echt weiterhelfen.

Gruß Turtle

 

[DrTopo]

Titel zu lang

Hallo Turtle2k,

den Sinn in einer Domäne mit lokalen Benutzerkonten zu arbeiten verstehe ich zwar nicht, aber das ist ja nicht Gegenstand Deiner Frage.

Du darfst selbstverständlich nicht mit den Domänenrechten rumspielen, Dein Problem liegt in den lokalen Benutzerkonten der Clients. Dort setzt Du die Mitgliedschaft der entsprechenden Benutzer einfach von Administratoren auf Benutzer oder Hauptbenutzer, je nachdem was verlangt ist.

Dann musst Du noch die NTFS-Sicherheitsrichtlinien überprüfen, ob die Leute unter den Benutzerkonten auch Zugriff auf das haben, was sie brauchen - also auf ihr Profil...

Wenn Du das umsetzen wolltest, wäre das eine ganze Menge Arbeit, also lass es gleich sein und setz die Benutzerkonten so um, dass sie nur noch von der Domäne verwaltet werden. Das ist schließlich auch mit Sinn einer Domäne.

Grüße
StageZero

 

[Turtle2k]

Hallo StageZero,
ich glaube da haben wir uns missverstanden (vielleicht habe ich mich auch falsch ausgedrückt).
Ich wollte mit den "lokalen Konten" nur sagen, dass die Profile der Domänen-User lokal abgelegt sind und nicht servergespeichert sind. Sorry, wenn das falsch rüber gekommen ist.

Gruß Turtle

 

[DrTopo]

Titel immer noch zu lang.

Hallo Turtle2k,

da gibt es eine entsprechende Option in der Profilverwaltung. Ich bin mir an dieser Stelle jedoch nicht sicher, ob diese Option am Client oder am Server eingestellt werden muss.

Unter Start -> Systemsteuerung -> System -> Erweitert -> Benutzerprofile -> Typ ändern solltest Du schonmal prinzipiell richtig landen. Falls Du da die Konten von einem serverseitigem Profil nicht auf ein lokales umstellen kannst, musst Du die Einstellung aus dem Active Directory heraus machen.

Grüße
Stage Zero

 

[Turtle2k]

Wie man die Profile umstellen muss, weiß ich. Danke aber trotzdem.
Ich glaube ich stell meine Frage nochmal neu.

Unsere Domänen-User melden sich normal als Domänen-Benutzer in der Domäne an. Dieses Profil ist nicht servergespeichert, sondern liegt als lokales Konto auf jedem Rechner (was auch so bleiben soll). So weit ist alles in Ordnung.
Einige Domänen-Benutzer haben zusätzlich zu ihrem "Domänen-Benutzer-Recht" noch lokale Administratorrechte. Dieses Recht soll ihnen jetzt entzogen werden, sodass sie nur noch normale "Domänen-Benutzer" sind.
Schmeiß ich sie also aus der Administratorgruppe raus, melde den bestimmten Benutzer ab und wieder an, sind all seine Einstellungen (s.o.) weg.
Füge ich den Benutzer wieder in die Administratorgruppe ein, melde ihn ab und wieder an, sind die Einstellungen wieder da.
Jetzt meine Frage: Wie kann ich das handhaben, die Einstellungen zu behalten UND den Benutzer aus der Administratorgruppe zu entfernen.
Das kopieren des Profils klappt nicht - auch dann sind die Einstellungen weg.

Kannst du oder jemand anders mir bei dem Problem helfen?

Gruß
Turtle

 

[DrTopo]

...

Nun, "die Einstellungen sind weg" deuten darauf hin, dass die entsprechenden Benutzer keine Zugriffsrechte mehr auf ihr eigenes Profil haben und somit musst Du eben doch wieder an die jeweiligen Rechner...

Ich spreche die NTFS-Rechte an... Da liegt meiner Meinung nach der Hund begraben.

 

[Turtle2k]

Hab die NTFS-Rechte gerade überprüft. Auch als Nicht-Administrator hat der Domänen-Benutzer Vollzugriff auf "seinen" Ordner. Liegt also nicht daran.
Liegt es vielleicht an der Registry? Muss man da irgendwas einstellen/sichern/hinzufügen?

 

[DrTopo]

...

Die Registry verfügt über eine ähnliche Rechtestruktur wie NTFS. Nachzuprüfen über das Programm RegEdt32 -> Rechtsklick auf Schlüssel -> Berechtigungen...

Daran kann das aber eigentlich nicht liegen. Du könntest Testweise mal einen Benutzer zum Domänenadmin machen und gucken ob die Einstellungen immer noch verloren gehen.

 

[Turtle2k]

-Im RegEdt32 sind nur drei Schlüssel drin. Ein default, und zwei verschlüsselte
- habe den User zum Domänen-Administrator gemacht -> Einstellungen bleiben erhalten
habe ihm dann das lokale Administratorrecht entzogen -> Einstellungen bleiben erhalten
dann Recht des Domänen-Administrators entzogen -> Einstellungen sind weg

 

[DrTopo]

Der Titel nervt.

Dann liegt es definitiv an einem Rechteproblem...

Nur wo - da musst Du jetzt selber durchgucken, was relativ nervig sein kann. :-)

Klar - NTFS-Berechtigungen der Profile kontrollieren, genau so wie die NTFS-Berechtigungen der gemeinsam genutzten Ordner...

Notfalls gäbe es noch den Umweg das aktuelle Profil als DefaultProfil anzulegen, das aktuelle zu löschen und neu anlegen zu lassen - aber davon würde ich an Deiner Stelle die Finger lassen und betreuen werde ich das über ein Forum auch nicht, zu groß die Gefahr, dass was schief geht.

Grüße
Stage Zero

 

[Turtle2k]

Ok, ich schau nochmal wirklich alle Berechtigungen durch.
Da bei uns gleich Feierabend ist werde ich das vor Montag nicht schaffen. Falls es dann immer noch nicht geht, werde ich das mit dem Default-User trotzdem mal probieren (evtl. Hilfe von dir??).

Wünsche jetzt erstmal ein schönes Wochenende

TuRTle

 

[Turtle2k]

Guten Morgen,
zum Anfang der Woche habe ich gute Neuigkeiten: Ich habe es geschafft!
Von einem Bekannten habe ich einen Tipp bekommen, an den ich mich gehalten habe und siehe da, unsere User haben nun keine Administratorrechte mehr, aber trotzdem noch ihre Einstellungen. Ich will mal kurz erläutern, was ich getan habe:

- Als Domänen-Administrator am Client angemeldet
- Unter "Dokumente und Einstellungen" einen Ordner user1 erstellt
- Rechte Maustaste auf Arbeitsplatz -> Eigenschaften -> Benutzerprofile
- Entsprechendes Profil auswählen und "Kopieren nach" -> Ordner "user1" auswählen
- schauen, ob der Ordner "Lokale Einstellungen" mitkopiert wurde, ansonsten den manuell nach user1 kopieren (es liegt z.b. die Outlook.pst dort drin)
- altes Profil umbekennen, user1 auf das "originale" Profil umbenennen
- Besitz des neuen Profil auf den User legen
- dem Ordner Vollzugriff für den Benutzer geben
- neu anmelden

So hat es bei mir geklappt und hoffe nun, dass ich nichts übersehen habe

Vielen Dank nochmal an dich, StageZero, für deine Hilfe!

TuRTle