Active DIrectory - Benutzerkonten werden nicht mehr aktualisiert

[stronzo]

Hallo!
Habe folgendes Problem mit meinem AD auf Win2K3.
Vor etwa 2 Wochen hat es begonnen, dass die Profildaten eines Users bei Abmeldung nicht mehr mit dem Server synchronisiert werden. Es kommt allerdings keine Fehlermeldung bei der Abmeldung! Die Synchronisation bei Anmeldung funktioniert (wenn ich z.B. auf dem Server im Profilverzeichnis eine Datei erstelle, dann ist sie nach dem EInloggen auch auf dem Desktop). Jedoch bringt das herzlich wenig, wenn die Änderungen nicht mehr an den Server gehen. Alle Profile veralten also zur Zeit. Ich finde in den AD Logs keinen Anhaltspunkt zu dem Problem.

Ich vermute, dass es mit den Berechtigungen auf den Profilordnern zu tun hat (auf dem Server). Der alte Admin hat damals merkwürdige Dinge gemacht, z.B. kann im Profilverzeichnis kein Administrator lesen... Wie sollten für den Profilordner die Berechtigungen konkret aussehen?
Sonst jemand irgendwelche Ideen woran es liegen kann?

 

[traxxus]

http://cs.thefoleyhouse.co.uk/blogs/karl/archive/2005/04/06/440.aspx

 

[stronzo]

Mir wäre es lieber konkret zu wissen, wie die Berechtigungen aussehen sollen, anstatt irgendein ominöses Script über alles drüber zu bügeln.

Für ein Testprofil habe ich die Berechtigungen auf Vollzugriff gesetzt für Domänen Admins und den Benutzer. Der Besitzer ist Benutzer oder Admin, beides bringt kein Erfolg.

Was kann es noch sein?

 

[0711]

der benutzer muss mindestens änderungsrechte auf sein eigenes verzeichniss haben...darüber muss er mindestens verzeichnisse auflisten können...um profile erstellen zu können müssen domänenbenutzer (beispiel) mindestens schreibrechte nur auf dem aktuellen ordner haben (KEINE unterordner oder dateien!)...der admin braucht keine rechte (für was auch?)

zu dem verlinkten
als erstes wird ne userliste in ner textdatei erstellt
diese wird beim 2. und 3. skript mit ner schleife durchgegangen um die benutzerprofile nicht selbst angeben zu müssen und setzt zu den vorhandenen berechtigungen auf userhome + userprofil je änderungsrechte für den benutzer und lässt sie nach unten vererben (vorhandene berechtigungen werden beibehalten)


nebenbei:
- ist auf dem client ein fehler in der ereignissanzeige (anwendung) von der quelle userenv dass besagt dass das profil nicht entladen werden konnte?


was für ein clientsystem kommt zum einsatz? wo liegt das benutzerprofil?

 

[Guinnes]

benutzer muss auf den profilordner minimum "ändern" können, vollzugriff schadet auch nix, der ordner ist für den user eh nicht zu sehen.
ich komme als admin auch nicht in die profilordner (außer ich hol mir eben den besitz) also das ist ok so.

komisch ist aber dass der Client beim abmelden nicht meckert, dass er eben keine änderungen in den profilordner schreiben kann !!!

poste doch bitte mal wenn du dein problem gelöst hat, schlage mich hier auch öfters mal mit solchen problemen rum...

Guinnes

 

[stronzo]

der benutzer muss mindestens änderungsrechte auf sein eigenes verzeichniss haben...darüber muss er mindestens verzeichnisse auflisten können...um profile erstellen zu können müssen domänenbenutzer (beispiel) mindestens schreibrechte nur auf dem aktuellen ordner haben (KEINE unterordner oder dateien!)...der admin braucht keine rechte (für was auch?)

Wie gesagt, der Benutzer hat Vollzugriff, das kann doch eigentlich nicht schaden? Aber es kann sein, dass ich ihm auch die Rechte für Unterordner erteilt habe. Ich spreche dabei konkret vom Benutzerverzeichnis, nicht vom Überverzeichnis, in dem alle Konten liegen.

nebenbei:
- ist auf dem client ein fehler in der ereignissanzeige (anwendung) von der quelle userenv dass besagt dass das profil nicht entladen werden konnte?

Muss ich nochmal nachschauen, aber ich glaube schon. Wie wäre das zu deuten?

 

[0711]

Wie gesagt, der Benutzer hat Vollzugriff, das kann doch eigentlich nicht schaden? Aber es kann sein, dass ich ihm auch die Rechte für Unterordner erteilt habe. Ich spreche dabei konkret vom Benutzerverzeichnis, nicht vom Überverzeichnis, in dem alle Konten liegen.

nein vollzugriff schadet nicht

wer ist besitzer der profildaten?
-> benutzer sollten besitzer ihrer profildaten sein!

Das von Unterverzeichniss bezog sich auf \\server\profile\!
auf \\server\profile\benutzer\ sollte der benutzer auf die untergeordneten objekte mindestens änderungsrechte haben (und dies auch auf unterordner + dateien)

Muss ich nochmal nachschauen, aber ich glaube schon. Wie wäre das zu deuten?

wenns die id 1517 ist, dann sperrt ein programm (i.d.R.) einen reg hive unter hkcu beim abmelden und deswegen wird nicht/noch nicht hochgeladen
wenn xp
-> http://www.microsoft.com/downloads/...6D-8912-4E18-B570-42470E2F3582&displaylang=en
auf den clients ausrollen und schauen ob das zurückschreiben funktioniert

bei vista/7 sollte dieser fehler nicht auftreten

 

[stronzo]

Ok, die Profilverzeichnisse haben jetzt den jeweiligen User mit Vollzugriff und Domäne Administratoren mit Vollzugriff drin. Den Besitzer habe ich auf Administratoren gesetzt (Zweck: Demnächst wird der gesamte Profilordner verschoben). Das scheint auch so zu laufen. Auf den meisten Rechnern jedenfalls. Hatte grad noch ein Rechner, wo das Problem trotzdem noch besteht. Werde mir das mal im Zusammenhang mit dem userenv Fehler anschauen.

Dann noch die Frage:
Da die Profile auf dem Server jetzt ja veraltet sind, was geschieht, wenn ich die Synchronisierung wieder in Gang setze? Wenn ich z.B. in den letzten 2 Wochen mit einem Profil neue Bookmarks gesetzt habe, Datein gelöscht, verschoben, neue Mails etc. Was wird passieren?
Beim einloggen wird zuerst das veraltete ServerProfil reingeladen. Überschreibt es dann meine neueren Dateien? Oder lädt er das alte Profil zusammen mit dem lokalen Offlineprofil?

Ich möchte halt Datenverlust verhindern.
Danke für Antworten!

 

[0711]

serverprofil ist federführend...

den besitz brauchst du doch fürs verschieben nicht?!

 

[stronzo]

Soll heissen, alle Änderungen gehen verloren der letzten 2 Wochen?
Das wär verdammt mies. Gibt es noch eine andere Möglichkeit die Daten zu retten, ausser an jedem Rechner als Admin einloggen und das Profil auf den Server zu kopieren?

Adminbesitz brauche ich fürs verschieben anscheinend schon!

 

[0711]

Soll heissen, alle Änderungen gehen verloren der letzten 2 Wochen?

ja, aber woher kommen die 2 wochen? ich dachte das laden des profils vom server hat immer sauber funktioniert?!

Das wär verdammt mies. Gibt es noch eine andere Möglichkeit die Daten zu retten, ausser an jedem Rechner als Admin einloggen und das Profil auf den Server zu kopieren?

skript o.ä., sonst wüsst ich ausm stehgreif auch nix

Adminbesitz brauche ich fürs verschieben anscheinend schon!

öhm, nö

 

[stronzo]

ja, aber woher kommen die 2 wochen? ich dachte das laden des profils vom server hat immer sauber funktioniert?

Laden ja, aber das Speichern beim Abmelden nicht! Und daher ist das lokale Profil aktueller als das Servergespeicherte.