GPO an falsche Domain gebunden

[Rainer Krause]

Hallo ...

Ich habe kürzlich eine Windows 2000 Domäne mit zwei DC's in eine neue
Domäne in einer neuen Gesamtstruktur migriert. Es giing darum, den
Namen der bestehenden Domäne zu ändern. Habe dabei die Daten mit
XCOPY (mit Berechtigungen und Besitzer) kopiert und anschließend die
Gruppen- und Benutzerkonten (mit SID-History) mit ADMT v3 migriert.
Dazu hatte ich einen Windows 2003 Server temporär als Mitgliedsserver
in die neue Domäne eingebunden. Die vorhandenen Gruppenrichtlinien
habe ich in der neuen Domäne völlig neu erstellt.

Jetzt habe ich das Problem, daß bei einem Benutzer (zumindest ist es
diesem einen aufgefallen) die Gruppenrichtlinien nicht übernommen
werden. GPMC brachte dann zum Vorschein, daß die Gruppenrichtlinien
bei diesem Benutzer immernoch an die alte Domäne gebunden sind. Und
dort werden sie bei der Anmeldung scheinbar auch noch gesucht und
selbstverständlich nicht gefunden. Bei anderen stichprobenartig
untersuchten Benutzer auf verschiedenen Computern sind die
Gruppenrichtlinien, sowohl die angewendeten als auch die übergangenen,
an die neue Domäne gebunden. Übergangen werden sie durchweg, weil der
Benutzer keine Berechtigung hat, diese zu übernehmen. Also völlig
logisches Verhalten.

Wo ist denn vermerkt, wo die Gruppenrichtlinien gesucht werden, und ist
dies überhaupt vermerkt? Ich dachte immer, Gruppenrichtlinien werden
in der Domäne gesucht, in der man sich anmeldet.

Gibt es irgend eine Möglichkeit, diesem Benutzer die Verwendung der
Gruppenrichtlinien der neuen Domäne zuzuweisen? Der letzte Ausweg
wäre für mich, den Benutzer neu anzulegen, aber das wollte ich
vorerst verhindern.

[Rainer Krause]

Hallo nochmal ...

Vielleicht sollte ich dies noch etwas erklären.

Post by Rainer Krause
Ich habe kürzlich eine Windows 2000 Domäne mit zwei DC's in eine neue
Domäne in einer neuen Gesamtstruktur migriert. Es giing darum, den
Namen der bestehenden Domäne zu ändern. Habe dabei die Daten mit
XCOPY (mit Berechtigungen und Besitzer) kopiert und anschließend die
Gruppen- und Benutzerkonten (mit SID-History) mit ADMT v3 migriert.
Dazu hatte ich einen Windows 2003 Server temporär als Mitgliedsserver
in die neue Domäne eingebunden. Die vorhandenen Gruppenrichtlinien
habe ich in der neuen Domäne völlig neu erstellt.

Einer der DC's wurde durch einen neuen Server ersetzt, den ich zuerst
zum DC der neuen Domäne gemacht habe. Auf diesen habe ich dann die
Daten kopiert und anschließend die Konten migriert. Danach die beiden
alten DC's entfernt und einen dieser Server in die neuen Domäne als DC
und den anderen als Mitgliedsserver installiert. Jetzt noch schnell die
zuvor kopierten Daten auf die anderen Server verteilt. Das war's.

[Rainer Krause]

Hallo ...

Ich habe das Problem zwar halbwegs lösen können. Allerdings nur
halbwegs.

Im Grunde ging es ja darum, daß bei zwei Lehrern die
Gruppenrichtlinien nicht übernommen wurden. Und zwar hatten die keine
Laufwerksmappings mehr. Das lag ganz einfach daran, daß die in ca. 70
Gruppen Mitglieder sind, jede dieser Gruppen durch die Migration
inzwischen zwei SID's besitzt und Kerberos mit UDP arbeitet. Und da
diese Datenmenge nicht mehr in ein UDP Paket passt, werden von userenv
die Gruppenrichtlinien nicht abgearbeitet. So hab ich es zumindest
herausgelesen.
(http://searchwinit.techtarget.com/tip/0,289483,sid1_gci1179607,00.html?bucket=ETA&topic=298820)
Ein Eintrag in der Registrierung beim Client reichte, um Kerberos auf
TCP umzustellen.

HKLM/System/CurrenTControlSet/Control/Lsa/Kerberos/Parameters ->
MaxPacketSize (DWORD) = 1

Das Problem ist nun, daß´dieses unter Windows XP funktioniert. Jedoch
nicht unter Windows 2000. Kennt vielleicht jemand für Windows 2000
eine Lösung?

[Mark Heitbrink [MVP]]

Hi,

Post by Rainer Krause
Das Problem ist nun, daß´dieses unter Windows XP funktioniert. Jedoch
nicht unter Windows 2000. Kennt vielleicht jemand für Windows 2000
eine Lösung?

Ja. Update auf XP :-) SCNR

Tschö
Mark

[Rainer Krause]

Post by Mark Heitbrink [MVP]
Hi,

Post by Rainer Krause
Das Problem ist nun, daß´dieses unter Windows XP funktioniert. Jedoch
nicht unter Windows 2000. Kennt vielleicht jemand für Windows 2000
eine Lösung?

Ja. Update auf XP :-) SCNR

Keine so gute Idee. Das ist der letzte brauchbare Rechner zur
Fernadministration der drei W2K Server. Mit XP und all den englischen
Admintools gabs bisher nur Probleme. Oder kennt jemand eine legale
Quelle der deutschen W2K3 Admintools? Bei MS hab ich sie nicht gefunden.

[Mark Heitbrink [MVP]]

Hi,

[...] Oder kennt jemand eine legale Quelle der deutschen W2K3 Admintools?
Bei MS hab ich sie nicht gefunden.

Auf jeder 2003 Server CD oder auch in jedem ServicePack.
Ein direkter Download ist nur in englisch zur Verfügung. Aber du
musst dir nur das deutsche SP1 als Vollinst runterladen und entpacken,
dann hast du auch ein deutsches Adminpak.

Tschö
Mark

[Rainer Krause]

Hallo ...

Post by Mark Heitbrink [MVP]
Auf jeder 2003 Server CD oder auch in jedem ServicePack.
Ein direkter Download ist nur in englisch zur Verfügung. Aber du
musst dir nur das deutsche SP1 als Vollinst runterladen und entpacken,
dann hast du auch ein deutsches Adminpak.

Tja, das mit der CD ist (zumindest auf legalem Wege) ein Problem. :-)
Aber das Servicepack werd ich dann mal ziehen.
Danke für den Tip.