Настойка политик на Windows Server 2003

[Emax]

Ejik:

Вы эту политику применили на отдельную группу?

Проблемный комп входит в эту группу?

Да, на группу "Администраторы домена", в этой группе моя учетка.

Комп в эту группу не входит. Нужно его занести?

И еще, как обновить политики без перезагрузки? Они ведь каждые пять минут на контроллере обновляются или я не прав?

Изменено 10 ноября, 2008 пользователем Emax

[Ejik]

Ejik:

Да, на группу "Администраторы домена", в этой группе моя учетка.

Комп в эту группу не входит. Нужно его занести?

Вы назначаете политику определенной группе, но "проблемный комп" в эту группу не входит.

Почему же к нему не применяется политика???? ;)

Конечно его нужно ввести в эту группу.

Чтобы посмотреть какие политики применяются на клиентской машине, можно использовать команду gpresult

И еще, как обновить политики без перезагрузки? Они ведь каждые пять минут на контроллере обновляются или я не прав?

Для принудительного обновления политик есть команда gpupdate.

Все зависит от настройки, не буду утверждать, но по мойму поумолчанию этот интервал состовляет 15 мин.

[Ejik]

Maikll: Добрый день.

Еще можно вопрос, создал OU=Test на этой группе настроил политику так что все пользователи домена являются юзерами и дал полный доступ к D:\oracle. В этой группе сейчас 20 компов, но на одном компе проблема, пользователь на нем не может открыть папку D:\oracle, выходит ошибка "Отказ в доступе". Почему это происходит только с этим компам? :wallbash:

Проверил применяемые им политики, вроде все правильно.

[Maikll]

Ejik: Если политика применяется (это можно проверить по результирующей) но в свойствах папки не появляются назначаемые пользователи то проблема может быть например в названии папки. У меня был случай, когда в имени была одна буква кириллицей, поэтому скрипт его не обрабатывал. Попробуй пересоздать папку и применить политики снова.

[Ejik]

проблема может быть например в названии папки.

Вы про какую папку, Test?

[Maikll]

D:\oracle. ;)

[Ejik]

Аааа!!! Сейчас проверю.

Перевел еще несколько машин в эту группу, с ними вообще творится что-то не понятное, у пользователей меняется картинка раб. стола(ну это мелочи), перестают запускаться программы (1С, Spark, это те которые проверил) непонятно с чем это связано.

Блин вообще не пойму, вроде большенство машин работают исправно.

[Maikll]

надо смотреть результирующую политику на этих машинах, возможно применяемая gpo для test перекрывается какой-то другой. Ну и попробовать принудительно применить еще раз командой gpupdate /force не мешает, поскольку по-умолчанию политики могут применяться довольно долго.

[Ejik]

Проверил какие политики применяются, различий не нашел. Принудительное обновление так же запускал, результат =0. Буду разбираться что с ними не так. ;)

Maikll: Большое спасибо за помощь и потраченное на меня время.

[Ejik]

Всем доброе время суток и С НОВЫМ ГОДОМ!!!!

Maikll, помните я как то писал:

Перевел еще несколько машин в эту группу, с ними вообще творится что-то не понятное, у пользователей меняется картинка раб. стола(ну это мелочи), перестают запускаться программы (1С, Spark, это те которые проверил) непонятно с чем это связано.

Блин вообще не пойму, вроде большенство машин работают исправно.

хотел вернуться к этой проблеме, ситуация описанная выше меняется когда пользователя подымаю до админа, все приложения запускаются. И есть очень интересный глюк (незнаю как это еще назвать). Вкратце опишу картину.

Есть OU=Desktop политики настроены так, что все пользователи являются юзерами. Беру пользователя, захожу под ним на виртуальной машине, создается чистый профайл, все приложения работают. Теперь копирую профайл этого пользователя с его копа, перегружаю и все ни одно приложение не работает, пока не подымешь права пользователя до админа.

Как с этим бороться и вообще в чем глюк?

[Maikll]

Ejik:

что понимается под словом "профайл"? NTUSER.DAT что-ли?

какие ошибки возникают при попытке запуска под обычным пользователем?

после ввода компа в тестовую группу перестают запускаться даже те программы, которые раньше работали, правильно?

наследование политики для тестового OU отключено?

я бы в данной ситуации сначала проанализировал права доступа ntfs на проблемную папку(и), скажем выгрузив в более удобочитаемый вид с помощью facl.vbs

затем с помощью утилит Regmon и Filemon посмотрел, к каким файлам/кустам реестра нет доступа (запустив программу под простым юзером, когда она не работает), проверил права на эти объекты.

По результату уже можно будет делать какие-либо предположения.

[DrumBoy]

У! =) политика Windows 2003 это вообще очень интересная тема! Давно работаю на 2003 и до сих пор удевляюсь её возможнастям, открываю все новые и новые втемы и разные фичи!

!

Предупреждение:

Очень рад за вас. Жаль только, что эта тема не для выражений восхищения возможностями Windows 2003. Следующий ваш пост ни о чем повлечет за собой штраф...

[Ejik]

что понимается под словом "профайл"? NTUSER.DAT что-ли?

Нет, я копировал всю папка данного пользователя.

после ввода компа в тестовую группу перестают запускаться даже те программы, которые раньше работали, правильно?

Да.

наследование политики для тестового OU отключено?

Нет.

я бы в данной ситуации сначала проанализировал права доступа ntfs на проблемную папку(и), скажем выгрузив в более удобочитаемый вид с помощью facl.vbs

затем с помощью утилит Regmon и Filemon посмотрел, к каким файлам/кустам реестра нет доступа (запустив программу под простым юзером, когда она не работает), проверил права на эти объекты.

По результату уже можно будет делать какие-либо предположения.

Хорошо, попробую проверить.

[Ejik]

Maikll при вводе в командной строке facl.vbs, выходит вот такой ответ "facl.vbs" не является внутренней или внешней командой, исполняемой программой или пакетным файлом. Что это значит?

[Ejik]

Закинул скрипт в папку System32, запустил скрит серез пруменут выдоет сообщение Done и где искать этот отчет?

[Maikll]

Ejik: скрипт надо запускать обязательно с параметром-именем анализируемого каталога т.е.

facl.vbs e:\folder

где e:\folder - путь к тому каталогу, расширения которого вы хотите просмотреть. Скрипт формирует отчет в формате MS Excel.

По умолчанию результаты выполнения сохраняются в той же папке, что и facl.vbs

Я бы еще посоветовал отключить наследование для этого OU.

[Ejik]

По умолчанию результаты выполнения сохраняются в той же папке, что и facl.vbs

а с каким именем создется файл, я не могу найти.

Я бы еще посоветовал отключить наследование для этого OU.

попробую

[Maikll]

а с каким именем создется файл, я не могу найти

folder_acl.xls

Р.S. отклюдчение наследования наверняка не решит проблему, оно поможет легче анализировать ее причины, не отвлекаясь на другие объекты gpo...

[Ejik]

отключить наследование, но ни чего не изменилось.

Тогда не ясно почему при формировании чистого профайла у пользователя ни каких проблем нет, при этом политики и настройки все те же?

[Maikll]

Надо поточнее убедится, в чем проблема. Пробуем копировать не весь профиль целиком а только файл реестра NTUSER.DAT из старого. Если будет тоже самое, то надо искать ответ в реестре.

[Ejik]

Надо поточнее убедится, в чем проблема. Пробуем копировать не весь профиль целиком а только файл реестра NTUSER.DAT из старого. Если будет тоже самое, то надо искать ответ в реестре.

Хорошо, попробую.

А по поводу facl.vbs, ни чего не создается после выполнения скрипта.

[Maikll]

Так не бывает, скрипт рабочий. Пробуем запустить его через сервер сценариев, команда такая

cscript facl.vbs e:\folder

[Ejik]

Так не бывает, скрипт рабочий. Пробуем запустить его через сервер сценариев, команда такая

cscript facl.vbs e:\folder

Так сработал. :doh:

Вы правы, если копировать только NTUSER, то проблемы остаются и в новом профайле. Это значить нужно смотреть реестр?

[Maikll]

И реестр в том числе, конкретнее ветку HKCU. Подключаем к анализу Regmon и Filemon.

Что говорят результаты выполнения facl? разрешения у пользователя на каталог есть?

[Ejik]

Что говорят результаты выполнения facl? разрешения у пользователя на каталог есть?

Под этим пользователем скрипт не запускается, пишет: Ошибка CScript:Ошибка загрузки устоновок <Отказ в доступе.>