Was tun wenn Admin keinen zugriff mehr hat?

[obelixx]

hi!

ich habe irgendetwas im AD bzw im DC umgestellt in den richtlinien....damit eine gruppe anwendungen nicht ausfuehren kann, bzw das wollte ich wieder zurueckstellen....

rausgekommen ist, dass jetzt sogar der admin, wenn er versucht eine anwendung zu starten, sprich zb active directory verwaltung oder solche sachen (genauso bei word und excel) eine fehlermeldung "sie haben keine berechtigung, sie sind eingeschränkt" oder so ähnlich *g* auf jeden fall habe ich keine ahnung wie ich wieder den vollzugriff bekommen kann!...ich habe versucht die .pol dateien und .policy dateien rauszulöschen, jedoch hat dies nichts gebracht!

ich denke jetzt hilft nur mehr format c: ? oder gibts da hilfsprogramme die das wieder gutmachen koennen?? waer superfein!

danke mfg obelixx !

PS ist es möglich eine einzige anwendung via DC für eine gewisse benutzergruppe zu erlauben und sonst nichts!.....sprich es soll abmelde button und remotedesktopverbindung im startmenue angezeigt werden, sonst soll alles deaktiviert sein!...beim remotedesktop soll dann nur eine einzige anwendung laufen..sprich sobald remotedesktop aufgebaut wird, soll die anwendung starten, wenn diese geschlossen wird soll die remote desktop verbindung wieder geschlossen werden...

weiß jemand dazu etwas?

thx mfg obelixx

[Sowisd]

Hallo,

womit bearbeitet ihr die Gruppenrichtlinien ?

Ich bin sicher ob das geht, aber ihr könntet mal probieren die Gruppenrichtlinien mit dem GPMC-Tool zu bearbeiten..

Gruss

Michael

[janlutmeh]

Ich schau mal in meine Glaskugel und sehe .... vermutlich ein AD mit Windows 2000 Servern.

Als erstes den Vorschlag mit GPMC probieren, wenn das nicht klappt hier der Notnagel:

Da kann das passieren wenn Du nicht explizit den Administratoren das übernehmen der Policiys verweigerst. Wenn dann drinsteht Domänen-Benutzer übernehmen erlaubt, dann knallts halt, denn der Admin ist ja auch ein Domänen-Benutzer.

Aber es gibt Mittel und wege das zu ändern.

Anmeldung am DC mit der Verzeichnisdienstwiederherstellung (Na hoffentlich hast Du das Passwort noch), also quasi abgesicherter Modus. Dadurch wird das AD nicht geladen und die GPO´s ziehen nicht. Allerdings kannst Du die Richtlinien so nicht mit ner mmc oder ähnlichem bearbeiten.

Also mit dem Explorer ins Sysvol C:\Windows\sysvol\sysvol\domain.local\policies

dort musst Du nach der Policiy suchen die das verursacht. Dafür musst Du ungefähr Deine Einstellungen kenn die das verursacht haben und versuchen die entweder in den pol Dateien oder entsprechenden Ordnern zu finden.

Hast Du die Rchtlinie identifiziert, am besten die Richtlinie komplett in ein anderes Verzeichnis verschieben. Wenn Du Dir gar nicht sicher bist verschieb alle Policies. Die musst Du halt später wieder herstellen.

Falls Du bedenken hast wegen der Default Domain Policie, die lässt sich als jungfräuliche Richtlinie mit dem dcgpofix-Tool wiederherstellen.

#Nach dem Neustart sollte die Kiste dann wieder laufen.

Um einzelne Anwendungen zu verhindern gibt es mehrere Möglichkeiten. In den Windows Einstellungen entweder unter User oder Machine in den Sicherheitseinstellungen eine Richtlinie für Software Einschränkungen erstellen, oder in der User Konfiguration unter Administrative Vorlagen - System die Einstellungen unter Angegeben Windows Anwendungen nicht ausführen die jeweilig exe eintragen.

[obelixx]

wow das nenne ich eine antwort !! die klingt so als wuerde sowas funktionieren koennen

leider zu spaet fuer mich ...mir hats gereicht und ich habe neu aufgesetzt *g*

aber ich werde mir diesen beitrag merken !!

PS ist es möglich am terminal server nur gewisse anwendungen zu erlauben? evenduell excel, word, und eine andere anwendung noch ?

--> ich habe versucht mit der richtlinie "Diese Programme beim anmelden ausführen" oder ähnlich --> fuer terminal server --> und bekam einen 193 fehler. das initialisierungsprogramm konnte die anwendung "pfad der anwendung (ist eine .mde datei ---> access datenbank)" nicht starten...oder so ähnlich...

weiß jemand wieso das so ist?

danke vielmals fuer die antwort von janlutmeh

mfg obelixx

[Tiro]

das initialisierungsprogramm konnte die anwendung "pfad der anwendung (ist eine .mde datei ---> access datenbank)" nicht starten...oder so ähnlich...

Ich habe eine "oder so ähnlich"-Vermutung.

Wahrscheinlich ist der Dateityp .mde nicht mit Access verknüpft.

Im Explorer unter Extras-Ordneroptionen-Dateitypen kanst Du das mit access verknüpfen.

Tiro

PS: uns helfen Fehlermeldung mehr, wenn sie exakt sind

[obelixx]

normal schon...also beim ganz normalen starten funktioniert das ja wunderbar...oder wenn ich am remote desktop auf die verknüpfung klicke!...

aber ich werde das nochmal checken !!

danke fuer den tipp!

freue mich aber noch auf andere lösungen...

kann sein dass ich nur den pfad oder so falsch angegeben habe?...

ich habe nur reich c:\programme\anwendung.mde hineingeschrieben...

als arbeitspfad habe ich c:\programme\ hineingeschrieben... muss man da irgendwie "" setzen oder so?...ich kann mich dran erinnern, dass ich da mal sowas eingeben musste....aber schon ein jahr her