2003 server доступ к файлам

[GVV]

Прошу помощи!!!!

После вынужденной переустановки server2003 (диск С)пришлось вручную внести всех юзеров и группы в Active Directory.

снова открыл доступ к общей папке( на диске E), там для каждого каталога нв вкладке безопасность в свойствах папки остались

вместо имен юзеров ссылки типа 5-1-.... Удалил все. Внес юзеров из Active Directory. даю права - нет доступа к файлам и папкам .

убрал начиная с самой верхней папки всех. вношу пользователя даю ему все права все равно нет доступа на копирование удаление

Подскажите, что мешает?????

[Maikll]

Как я понимаю, переустанавливается непосредственно сам контроллер домена? В сети еще есть контроллеры кроме этого?

Ситуация неоднозначная поэтому проблем может быть как минимум две:

1. проблемы на самом сервере. Нужно убедится, что у пользователей действительно есть права для работы с каталогом и его подкаталогами.

В этом может помочь прилагаемый скрипт. Запуск скрипта выполняется из командной строки с параметром указывающим на сканируемый каталог (полный путь к каталогу)

facl.vbs e:\folder

где e:\folder - путь к тому каталогу, расширения которого вы хотите просмотреть. Скрипт формирует отчет в формате MS Excel.

(автор скрипта - webveter с blogspot.com)

Создайте такой отчет и убедитесь что с разрешениями все в порядке. Кстати, напомню - запреты для групп перекрывают разрешения для пользователей.

2 Проблемы у клиентов. Если этот сервер был единственным в домене контроллером (а мне почему-то кажется, что так и было) то всех клиентов придется переводить в новый домен. Иначе работать с новым сервером они не смогут несмотря на никакие разрешения (развсе что Гостя разрешить).

Причем, раз из-за выхода из строя старого сервера доверительные отношения между доменами установить уже не удастся, перевод надо будет выполнять в 3 этапа.

- логинимся на компьютере клиента как член группы Администраторы - выводим в рабочую группу. Перезагружаемся.

- входим снова в систему как локальный администратор. Ничего не делаем кроме этого, опять перезагружаемся.

- заходим в систему в вводим машину в новый домен. Перезагружаемся, входим в систему как пользователь нового домена, проверяем доступ.

Если пропустить второй шаг, добавить ПК к новому домену не даст.

У меня есть подозрение, что правильным будет второй вариант, но все же проверьте и сам сервер сначала.

Изменено 2 октября, 2008 пользователем Maikll

[Loader]

когда даешь права по умолчанию ставятся три галочки, чтение выполнение и что-то еще...

нужно установить галочку полный доступ

[GVV]

Как я понимаю, переустанавливается непосредственно сам контроллер домена? В сети еще есть контроллеры кроме этого?

Ситуация неоднозначная поэтому проблем может быть как минимум две:

1. проблемы на самом сервере. Нужно убедится, что у пользователей действительно есть права для работы с каталогом и его подкаталогами.

В этом может помочь прилагаемый скрипт. Запуск скрипта выполняется из командной строки с параметром указывающим на сканируемый каталог (полный путь к каталогу)

facl.vbs e:\folder

где e:\folder - путь к тому каталогу, расширения которого вы хотите просмотреть. Скрипт формирует отчет в формате MS Excel.

(автор скрипта - webveter с blogspot.com)

Создайте такой отчет и убедитесь что с разрешениями все в порядке. Кстати, напомню - запреты для групп перекрывают разрешения для пользователей.

2 Проблемы у клиентов. Если этот сервер был единственным в домене контроллером (а мне почему-то кажется, что так и было) то всех клиентов придется переводить в новый домен. Иначе работать с новым сервером они не смогут несмотря на никакие разрешения (развсе что Гостя разрешить).

Причем, раз из-за выхода из строя старого сервера доверительные отношения между доменами установить уже не удастся, перевод надо будет выполнять в 3 этапа.

- логинимся на компьютере клиента как член группы Администраторы - выводим в рабочую группу. Перезагружаемся.

- входим снова в систему как локальный администратор. Ничего не делаем кроме этого, опять перезагружаемся.

- заходим в систему в вводим машину в новый домен. Перезагружаемся, входим в систему как пользователь нового домена, проверяем доступ.

Если пропустить второй шаг, добавить ПК к новому домену не даст.

У меня есть подозрение, что правильным будет второй вариант, но все же проверьте и сам сервер сначала.

Большое человеческое спасибо (особенно за скрипт).

Да - это был первичный контроллер. в нем лег каталог реестра. После попытки восстановления CHKDSK сервер запустился, но відал ошибку по службе каталогов и всее.... Ввиду безисходности запустил восстановление по BACKUP из 2003. Проклятый Билл Гейтс почистил мой диск C и умер, не закончив работу. Пришлось переустанавливать. У меня есть вторичный контроллер домена, но восстановить не смог из-за сообщения (Служба RPC не запущена). Т.к. я в отпуске , то Вручную внес пользователей в Active Directory, причем даже если я указіваю тот же логин и пароль сервер не пустил 3

юзеров. Дал разрешения на изменение всем пользователям к общей папке и в свойствах папок на вкладке безопаасность стал давать необх. права и для многих все нормально , а некоторые вообще не попадают на эту папку. Вроде бы положение пока терпит, появлюсь на работе позже. Еще раз спасибо!!!!

[Maikll]

То есть контроллеров было 2, правильно? И оба были в работе?

И что означает?

У меня есть вторичный контроллер домена, но восстановить не смог из-за сообщения (Служба RPC не запущена).

Это сообщение когда возникает?

Тогда вы двинулись совсем не в том направлении. В доменах на основе win2003 отсутствует понятие первичный и вторичные контроллеры домена, все сервера равноправны и только один из них как правило является хозяином ролей. (т. н. роли FSMO)

Есто означает в часности, что база пользователей из AD должна была автоматически реплицироваться на оба сервера при работе.

Правильным решением было бы принудительная передача ролей на второй сервер, перенастройка клиентов на работу через второй сервер (перенастройки DNS обычно достаточно), удаление вручную из AD следов от первого. Затем можно было спокойно переустановить ОС на первом и внести его в домен как рядовой сервер (без AD) Тогда все права были бы в силе, расшаренные ресурсы находились на другом диске и при переустановке не трогались.

Теперь же у вас 2(!) разных домена с одинаковым названием как я понимаю. Что происходит в сети представить даже не берусь.

Вариантов решения вижу опять же два:

1. Отключить первый сервер, далее как я описал выше. (+) Клиентов при этом перенастраивать почти не придется.

2. Перенастраивать уже все под этот новый домен. В этом случае обязательно гасить надо второй сервер.

Выбирать конечно вам, но мне больше импонирует первый вариант - возни в итоге будет гораздо меньше, имхо.

[GVV]

То есть контроллеров было 2, правильно? И оба были в работе?

И что означает?

Это сообщение когда возникает?

Тогда вы двинулись совсем не в том направлении. В доменах на основе win2003 отсутствует понятие первичный и вторичные контроллеры домена, все сервера равноправны и только один из них как правило является хозяином ролей. (т. н. роли FSMO)

Есто означает в часности, что база пользователей из AD должна была автоматически реплицироваться на оба сервера при работе.

Правильным решением было бы принудительная передача ролей на второй сервер, перенастройка клиентов на работу через второй сервер (перенастройки DNS обычно достаточно), удаление вручную из AD следов от первого. Затем можно было спокойно переустановить ОС на первом и внести его в домен как рядовой сервер (без AD) Тогда все права были бы в силе, расшаренные ресурсы находились на другом диске и при переустановке не трогались.

Теперь же у вас 2(!) разных домена с одинаковым названием как я понимаю. Что происходит в сети представить даже не берусь.

Вариантов решения вижу опять же два:

1. Отключить первый сервер, далее как я описал выше. (+) Клиентов при этом перенастраивать почти не придется.

2. Перенастраивать уже все под этот новый домен. В этом случае обязательно гасить надо второй сервер.

Выбирать конечно вам, но мне больше импонирует первый вариант - возни в итоге будет гораздо меньше, имхо.

Добрый день! Был в отпуске, поэтому молчал.

Второй сервер будет нужен для других задач. Поэтому я на всяк случай сделал на нем копю AD. В работе он не был. моя глупрсть или незнание материала в том, что я решил, что можно будет после нового создания домена с тем же именем реплицировать AD со второго контроллера. Именно в этот момент и было сообщение (Служба RPC не запущена). Поскольку я не могу поменять их местами(слишком различны их характеристики и они для разных задач), то теперь я иду по ворому пути (вывожу их из домена и ввожу снова). Очень долгая и противная процедура.

Если можно , пару вопросов

1. есь ПК, он внесен в AD в новый домен. я его прекрасно вижу, могу им управлять с 2003. На нем есть принтер, но я не могу опубликовать его в AD.

(Нигде не найду такой возможности). Раньше (до краха) по-моему при объявлении общего доступа к принтеру сразу-же можно было опубликовать его в AD. В чем причина?

2. Как мне уберечься в дальнейшем о таких крахов.

Могу ли я сделать какими-либо средствами образ 2003?

(Acronis,Norton Ghost..). Будут ли проблемы с RAID SCSI

Если можно, то чем и какая версия.

Не хочется экспериментировать на живом сервере.

Или иметь ПК с копией AD?

Спасибо за помощь!

[Maikll]

Очень долгая и противная процедура.

охотно верю, поскольку сам сталкивался.

но в этом случае вы сами добавили себе работы и как я вижу, успели это мучительно осознать.

1. есь ПК, он внесен в AD в новый домен. я его прекрасно вижу, могу им управлять с 2003. На нем есть принтер, но я не могу опубликовать его в AD.

(Нигде не найду такой возможности). Раньше (до краха) по-моему при объявлении общего доступа к принтеру сразу-же можно было опубликовать его в AD. В чем причина?

1. возможно, есть запреты в применяемой к компьютеру политике, я-то их не знаю, не видел :)

2. Пользователь, под которым это делается не имеет на это прав.

попробуйте добавить принтер в АД вручную - http://technet2.microsoft.com/windowsserve...9.mspx?mfr=true

2. Как мне уберечься в дальнейшем о таких крахов.

разработав схему backup Для хранения глобального каталога я бы посоветовал использовать все 2 сервера как контроллеры домена и хранители каталога, это поможет при правильном восстановлении в случае чего. Ну и надежность самом-собой.

Могу ли я сделать какими-либо средствами образ 2003?

(Acronis,Norton Ghost..). Будут ли проблемы с RAID SCSI

Если можно, то чем и какая версия.

образ самой системы - любой из указанных программ, но есть другой момент про который не надо забывать.

Изменения в глобальном каталоге происходят ежечасно и восстановив сервер из вчерашней копии, мы столкнемся к проблемой несовпадения информации в каталоге АД между 2 серверами.

Я бы рекомендовал отдельно как можно чаще делать копию глобального каталога (это неплохо делает и встроенный ntbackup) а например акронисом держать наготове образ самой системы. В случае сбоя восстанавливаем файл из образа, заливаем на него последнюю копию каталога и подключаем в домен. Но полностью избавится от телодвижений не получится, и в этом случае нужны будут дополнительные перенастройки при вводе сервера назад, но уже не такие конечно.

Ну и само собой не теряем пароль режима восстановления :g:

Изменено 30 октября, 2008 пользователем Maikll