Групповая политика в Windows server 2003
 

Имеются два компьютера (десктоп и ноутбук)
На сервере (десктоп) установлен windows server 2003 – поднят Ad, Dns.
Всё нормально работает.

Теперь вот в чем проблема.
На сервере …в Active Directory Users and Computers – в панели Users мне надо создать юсера…. которого буду прописывать и логиниться им на ноутбуке. (для работы ДНС).
Хочу создать – дохожу до места ввода пароля для юсера.. выходит ошибка которая на фотке.

Думаю ошибку надо исправлять в групповой политике (gpedit.msc) – но групповая политика как будто заблокирована…
Тоесть например хочу поменять параметр из раздела Password Policy ( и не только) – открываю какой то параметр (например ДЛИНА пароля)…а изменить его невозможно!!!
Как бы по умолчанию выделено серым цветом..и всё....не нажимается кнопка …не работает типа.!
Хотя может групповая политика тут непричем.

P.S для нормальной работы сети осталось сделать только это (что неполучается). Выручайте =)

RuLe
Нужно править политику домена, а ты открываешь локальную политику компьютера. Проще всего открыть на КД через ярлык в "Администировании", либо через оснастку "Active Directory - пользователи и компьютеры" в "Administrative Tools".

Я не врубился...
Понел что это не через gpedit.msc...
Ну а открыл я оснастку "Active Directory - пользователи и компьютеры" - где там политика домена ??

(там есть вкладка Domain Controllers - но там же вроде нету никаких политик ?)

RuLe
Ткнуть в корень\свойства, там будет закладка про политики, где и увидишь политику домена...

Наконец таки получилось…создал юсера…и зашел под этим ником на ноутбуке..)) ( уже замучался...10х)
Только почему то на ноутбуке практически все запрешено…(msconfig, gpedit.msc….)…
Это из-за того что мне кажется надо дать права с сервера для этого юсера ??
Никак не получается найти? =(((((((((
(в свойствах юсера не нашел).

RuLeнужно этого доменного юзера прописать в группу локальных администраторов ноутбука (compmgmt.msc --> Локальные пользователи и группы --> Группы --> Администраторы --> Добавить --> домен\имя_пользователя". Теперь доменный пользователь является локальлным админом и ему будет все разрешено.

У меня такое чуство … что мне не суждено нормально настроить это всё ((((

Я несколько раз входил на ноутбуке под логином, которого я создал на сервере(хочу сказать все (DNS) работало…) …уже хотел ввести этого юсера на ноутбуке в группу администраторы…НО вот что вышло….
Когда загружается ноутбук….прописываю там юсера (созданного на сервере в домене) …выходит ошибка…

“Windows cannot conect to the domain, either because the domain controller is down or otherwise unaviable, or because your computer account was not found.Please try again later.”

P.S прописываю не только этого юсера...какого бы я не прописал....все равно выходит эта ошибка...как будто не видет ДОМАИН!

Зайди на сервак в Active Directory\Пользователи и компьютеры\Computers создай Компьютер под именем что у тебя на ноуте. Потом выдерни сетевой шнур из ноута и попробуй зайти в домен под Юзером что ты создал. При логине тебе скажет: "типа не найден профиль юзера, будет сделана попытка зайти с локальным профилем. Все изменения сохранены не будут." Потом вставляй сетевой шнур. На Мой компьютер пр.кн. мыши\Св-ва\Имя компа\Идентификация. Пройди идентификацию, НО при предложении добавить пользователя в домен - откажись!!! Учетка твоего ноута будет вновь создана на серваке и потом ты сможешь нормально логинится в домене.

Огромное спасибо …сделал все так…и всё НАКОНЕЦ таки получилось ))) (держи полезное сообщение).

Я решил не торопиться радоваться…. (и в какой то степени был прав)
1)Сначала перегрузил ноутбук (хотел посмотреть как будет все после перезагрузки)… когда опять надо было вводить доменного юсера…я ввел…вышла та же ошибка(но так же не должно быть? )
Я попробовал выташить шнур..ввел того же юсера…комп загрузился ))…потом вставил шнур….все нормально работает...мне не составляет труда вытаскивать и вставлять шнур..НО всё таки …это же надо как то решить?

2)Попробовал перегрузить сервер…посмотреть что тогда станет…
Нормально сервер перегрузился..загрузился.
Я зашел в сетевое окружение…захожу на значок ноутбука…выходит ошибка….пишет “……Primary domain failed”
Пришлось опять на ноутбуке сделать идентефикацию…перегрузиться и опять все работает…Просто не могу же всегда так делать =))) (смешно как то …)
Как можно это решить…чтобы все автоматически идентифицировалось ….???
Один раз , чтобы настроить ….и всё.!
В компаниях…например 40 компов..все пришли на работу..включили компы..и всё…они нормально вошли в домен..(работают 2-3сервера). (Никто же из работников не будет каждый раз делать идентефикацию..потом перезагрузку =) )

P.S в реестре есть такой параметр “ UpdateTopLevelDomainZones ”…может его надо подправить на ноутбуке или на сервере… ??Или еще есть какая та настройка в групповой политике..на ноутбуке надо сделать может…чтобы автоматически все иденцифировалось???

RuLe
а какая ОС стоит на ноутбуке?
странно, но почему то тебе не задали этот вопрос...
если Windows XP Home Edition - дак в ней нет возможности присоединять компьютер к домену, а также использовать групповые политики - все твои симптомы налицо.

Не....групповую политику уже возможно использовать.
А ОС - Windows XP Profesional. - в ней 100% как то можно сделать...чтобы типа домен автоматически обновлялся.
Но как :)?

RuLe посмотри еще раз, есть ли в Active Directory\Пользователи и компьютеры\Computers имя твоего ноута. Если есть, то все должно работать и не надо будет каждый раз делать Идентификацию(это и правда смешно). Если нет, то создай. И если есть возможность, то посмотри на серваке, после перезагрузки ноута, не удаляется ли твоя запись (опять в Active Directory\Пользователи и компьютеры\Computers).

НА сервере ….в Active Directory\Пользователи и компьютеры\Computers есть имя моего ноутбука ( это самое первое что я сделал).
Если перезагружаю или выключаю ноутбук – это запись всегда остается в вкладке Computers(на сервере) - никуда не исчезает.

P.S вот сейчас опять когда включил ноутбук….когда хотел зайти в домен…под определенным юсером (вообще ни под каким не получается)…не получилось зайти…вышла опять ошибка указанная в верхнем ПОСТЕ…=((((
Пришлось зайти под юсером ноутбука…сделать Идентификацию…перегрузиться и зайти в домен ….а потом опять та же ситуация..
Прошу помочь…очень нужно побыстрее настроить ДНС (уже столько времени вожусь не получается…точнее почти что получилось…осталась только эта трабла =(()

RuLe, если данных на доменном юсере нет или они не критичны(но лучше все равно сделать архив), то единственное что приходит на ум - это вывести ноут из домена в раб. группу, а затем вновь его ввести в домен. При этом можно попробовать сменить имя ноута(если писал кирилицей, то написать латинскими буквами).
P.S. А кроме ноута еще компы в домене есть? Такая трабла тока на ноуте?

Ввел ноутбук в раб.группу…потом обратно в домен. (указал юсера с которым ему подключаться в домен..)
Все нормально ….подключился…ОПЯТЬ перезагрузил ноутбук (для проверки )….хочу ввести этого же юсера и пароль..выходит ошибка из верхнего поста..=(((((

Я уже не знаю что это может быть? Думаю все таки дело в сервере…там может надо установить ..что то типа КЭША..чтобы все сохранялось?? (я предполагаю просто..потому что больше ничего не осталось…все нормально настроено..)
Вроде такая легкая проблема…а почему =то не решается….
Надо чтобы клиэнт нормально идентифицировался на сервере и всё….! ???

RuLe, посмотри в Просмотр Событий\Система какая там ошибка. Если 5723, то попробуй отключить встроенный виндовый фаервол на ноуте(про него то мы и не спрашивали). Потом выведи ноут из домена в раб. группу. Потом удали запись твоего ноута в Active Directory\Пользователи и компьютеры\Computers, если она там осталась после вывода ноута из домена. Ну и затем снова заведи ноут в домен. Возможно это поможет.
P.S. Если ошибка не та, что я написал, то напиши какая у тебя.

Grub огромное спасибо … ты мне мощно помог! (+_+)
И вообще всем кто участвовал в теме спасибо.

Проблема решена вот так : (наконец таки)
У меня имя домена было с одной меткой (domen).
Я читал что когда имя домена..бывает с одной меткой…вот именно это идентификация не правильно работает.Поэтому решил не смотреть какие там ошибки происходят …и УДАЛИЛ полностью AD,DNS.
Снова установил АД и ДНС…(название поставил rambler.ru)…
Все настройки сделал…теперь все отлично работает -) -) -) Очень Рад =)
Вот такие вот дела…:=) …всем 10х!

А вот это зря. Проблем еще поимеете.

1)Примерно догадываюсь..но все таки можете пояснить почему такое название не стоило ставить?(надо было поставить например :monte.carlo ???? я прав ?? )
2)И какие проблемы могут выйти ?

Если что...пока не поздно ..снесу опять все...и восстанавлю...максимум 1 час уйдет..(и то меньше) :)

Статьи МС по возможным проблемам

Это же не по теме ссылка...хм...(single label domain name - это если типа "monte"...а это уже понятно..и решено)
Теперь я поставил "rambler.ru" - Вы мне сказали что не стоило такое название ставить...????
И это ссылка там все на английском...- не так уж хорошо понятно :)

У Вас в локальном DNS rambler.ru будет прописан, как в Инет-то попасть на Рамблер удастся? Если есть желание - попробуйте, конечно. Общепринятая практика - расширение типа .local (lukoil.local, к примеру).

точно! :)

Все ясно...поставлю типа "icq.local" ;)

Спасибо за совет...=) ...а то я бы так и начал бы все настроивать :)

Да уж…Очень не хотелось чтобы эта проблема опять возникала …НО КАЖЕТСЯ она не хочет меня оставлять в покое!! =((
Опять возникла эта проблема…( 1 страница темы..7 пост).

Значит после того как я поменял имя домена с одной меткой - и поставил my.local - Все отлично работало некоторое время.
С того времени сделано только одно изменение...Я установил на сервере Terminal services и всё ..( и то..после этого ДОМЕН ..2 дня работал нормально).
Сегодня сел за компы... включил сервер...потом включил ноутбук....И НОУТБУК НЕ КОННЕКТИТЬСЯ...что вдруг стало ( 1 страница темы..7 пост)??? Может ли на это как то повлиять Терминал..(хотя наврядли)..??
Вот ошибка...которая выходит на ноутбуке....!


Event Type: Error
Event Source: NETLOGON
Event Category: None
Event ID: 5719
Date: 20.12.2006
Time: 16:33:41
User: N/A
Computer: NOTEBOOK
Description:
No Domain Controller is available for domain MY due to the following:
The RPC server is too busy to complete this operation. .
Make sure that the computer is connected to the network and try again. If the problem persists, please contact your domain administrator.

For more information, see Help and Support Center at http://go.microsoft.com/fwlink/events.asp.

Заранее благодарен!

RuLe
Первоисточник. :)

З.Ы. А что говорит Dcdiag.exe? Пинг до DC идет?

На ноутбуке захожу под локальным юсером (доменный юсер не коннектиться…)…Пинг идет.

Вот кое что сам накопал…

http://support.microsoft.com/kb/310339/ru - там всего одно изменение надо сделать в реестре…НО это не помогло.


Я чуток знаю английский (базовое)…но вообще в этих майкрософтских статьях мне всегда не бывает понятно…в какой системе делать изменение в реестре.
Вот например в этой статье…
Там какое относится ко мне (например раздел WINDOWS NT - теперь мне где делать изменение...в server 2003 или в windows xp ?? (на сервере или на клиэнте)…???

RuLe
Ышшо раз:

Не знаю , правильно ли я понел…но вроде да =)
Изменил эти два параметра в реестре на сервере…а клиэнт не трогал.
Но это не помогло…! (а может чтобы заработало мне надо …после того как внес новые параметры в реестр на сервер….ноутбук поставить в WORKGROUP и потом опять сделать идентификацию в домен..??)


Прикрепил файл..чтобы не вставлять сюда всё это :)

Народ...если никто не знает ...как эту проблему решить...ТОГДА я удалю терминальный сервис ... и снова включю ноутбук в домен? (как было раньше )

Здравствуйте.
Не стал создавать новую тему, в принципе и здесь подходит.
Есть Win2003 Ent ENG SP1. Поднят AD (контроллер домена), DNS, WINS, WSUS SP1 (+ есессно, IIS), SQL2005 Ent eng SP1.
Всё прекрасно работает. Кроме групповых политик. Они ссылаются на домен (папку SYSVOL), а не на котроллер домена (т.е. в пути не хватает имени компа контроллера домена).
Сетевой путь до SYSVOL контроллера домена есть и доступен.
Соотвественно в журнале - ошибки - недоступность INI файла из SYSVOL (неправильный путь, не включающий в себя имя компа контроллера домена) для групповых политик.
Можно ли как-то поменять (исправить) путь для групповых политик (на INI файл) с домена на контроллер домена, т.е. добавить к пути имя компа?
Контроллер домена переносился на допконтроллер, потом после переустановки ОС обратно.
По всем проверкам - всё ок... Кроме групповых политик.
Нет совпадающих и некорректных имён пользователей, все имена на английском.
Проблема, как я понимаю, в AD. До переноса групповые политики работали.
В gpedit.msc - домена нет (not connected).
Допконтроллеров сейчас нет, сервер один.
От коллег я получил ответ "бесполезно".

Кто может - помогите.
Спасибо.

На eventid.net были с номерами ошибок?

Угу - две.
Недоступен сетевой путь до ini файла в SYSVOL и таймаут запуска групповых политик.
Номеров не помню (сорри, понимаю, что не телепаты, но смысл ошибок я указал), завтра гляну.

Event ID: 1058
Source Userenv
Type Error
Description Windows cannot access the file gpt.ini for GPO CN={31B2F340-016D-11D2-945F-00C04FB984F9},CN=Policies,CN=System,DC=<domain name>,DC=com. The file must be present at the location <\\<domain name>\sysvol\<domain name>\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}\gpt.ini>. (<error description>.). Group Policy processing aborted.
English please! This information is only available to subscribers. An example of "English please" is available here.
...не являюсь подписчиком. :-(

Event ID: 1030
Source Userenv
Type Error
Description Windows cannot query for the list of Group Policy objects. A message that describes the reason for this was previously logged by the policy engine.
English please! This information is only available to subscribers. An example of "English please" is available here.
Аналогично. :-(
Просто супер!
Помогите, плиз, кто является подписчиком!

WildNP
Первоисточник пойдёт? Или http://eventid.net/display.asp?event...serenv&phase=1

Народ оч прошу помочь : Загляните в самый первый пост этой темы.

Я удалил терминальный сервис...после почему то в ACtive Directory не смог добавлять нового юсера...(при вводе для юсера пароля..выходит ошибка...которая ...на первом посте..на фотке. )
Но я знаю , что это из-за политики..(это траблку уже решали..)...
Создаю новою политику...там задаю длину пароля...его age.
Default Policy - делаю Disabled.!! И все тогда исправилось.

ТЕПЕРЬ делаю тоже самое - НЕ ПОлучается ??

2 monkkey
:-)
Гляну, спасиб.
Вопрос закрываю.

Привет всем, не хотел флудить и создавать новую тему, подумал написать сюда.

Сеть:
1. 20 машин Windows XP, на данный момент сеть равноправная - вот и головняк.
2. 1-на машина используется как файловый сервер на Windpws 2003 Server SP2 Rus
3. 1-на машина админа, Windpws 2003 Server SP2 Rus (на данный момент на ней поднята маршрутизация, и через VPN юзеры ходят в инет - ADSL модем).

Нужна помощь, поставлена задача настроить сеть с параметрами безопасности как самой сети так и локальных юзеров на своих машина, задача:

1. На машине Server поднять DNCP, файл сервер, Домен и раздача прав пользователям локальной сети.
2. На машине Администратора поднять маршрутизацию в инет, а так же возможность юзеров заходить под своим логином и паролем но с ограниченными правами на все (использование программ, изменений ситемы и т.д.), т.е. с возможностью использования только то что дано.
3. Юзерам в сети на локальных машинах также ограниченные права как и на машине Администратора.

Что я вроде как могу:
1. DCNP, маршрутизация, DNS - вроде могу.

Проблемы с Доменом и политикой безопасности, (может еще что-то забыл).

Подскажите поэтапно, что и как мне нужно делать?

P.S. На этом форуме информации очень много, но канретно с чего начать, и каков план действий - незнаю.
Направте на путь истенный.

Вот пока никто не помог, нашел вот это: http://oszone.net/3979_2/Software_Restriction_Policies
Вроде как все хорошо и понятно написано, но почему-то команда dsa.msc запускается и выдает ошибку.
При открытии окна, в свойства AD нельзя зайти (она красным цветом).

Может кто написать поэтапно, шаг за шагом что я должен сделать?
А что и как я сам почитаю и найду.

Vitalius_ua,
Прежде, чем запускать dsa.msc, надо запустить dcpromo.exe и создать домен. Советую потренироваться на виртуальной машине, а не на живой сетке.

Сделал так как и предложил, спасибо.

Есть вопросы: когда я создал домен (например www.luzer.com, Server) - домен матюкнул меня по 2-м вопросам, на счет DNS и на счет имя в локальной сети Server.

С именем понятно, оно должно быть оригинальным и не совпадать с именем любой машины в сети.
На счет DNS, в данный момент в сети есть машина на Линухе которая выступает в роли Сервера, DNS и все такое, через нее я через VPN хожу в инет.
Как в этом случае DNS понять? Надо чтобы новый сервак был единственным с DNS, или просто прописать в нем ДНС другой машины, через которую я сижу в инете?

Поднять DNS на контроллере домена, и у него в качестве форвардера пописать ваш DNS линуксовый
У клиентов везде в качестве DNS сервера указать ТОЛЬКО DNS, который на контроллере

Спасибо, вроде начинаю разбираться.

На счет ДНС, в свойствах локального подключения прописать ДНС машины маршрутизатора для инета на Линуксе?
Или где-то в другом месте?

В настройках ДНС - на закладке "Forwarders"

на сервере - тоже.

Еще вопрос...

Вот к примеру "Пользователь" User1 зашел в систему, сделал свою работу и разлогинился, после него зашел "Пользователь" User2, что он видит? или сможет видеть?

Мне нужно чтобы юзеры на одной и той же машине видели один и тот же рабочий стол, одинаковые программы, и имели возможность работать с ними.., но чтобы разные юзеры не могли видеть созданные документы других юзеров.

В таком случае АД реализует такой механизм?
Сдесь прийдеться задавать права не целым группам, а каждому пользователю в отдельности?
Или можно создать одну основную общую политику например для группы "пользователи", и добавить к каждому юзеру в этой группе дополнительные права?

Еще забыл...

Например, планирую по возможности сделать так: пользователи работают, и сохраняют свои документы на центральном сервере АД, ну а сервер в свою очередь занимаеться теневым копированием, и его в свою очередь в зеркальном режиме коппирует другая машина - реально?
Т.е. юзеры по правам в АД смогут в определенные папки сохранять свои документы на сервере АД?

Что может посоветуете в таком решении?

Папка "All Users" поможет, либо перемещаемые профили и профиль по умолчанию.

А есть ли правила применения групповых политик?

Взоимодействует ли групповая политика с DNS?
В часности мне нужно чтобы юзер подключенный к интернету мог использовать только те сайты, которые нужны.
Знаю что в DNS зоны прописать можно, а для конкретоного юзера реально?

блеклист/вайтлист в браузере.

т.е. настройки политики безопасности для IE для каждого юзера на Сервере?

юзера, группы, домена, ..

Вы хоть представляете, что такое DNS?

Не могу изменить политику паролей в gpedit.msc. Что нужно сделать чтоб windows позволил ее редактировать? Делаю все под "администратором" (win2k3, AD, TS).

Где редактировать, вроде, нашел - Администрирование - Политика безопасности домена (контроллера домена).

RuLe, сделай gpupdate /force попробуй создать юзера и
посмотри ошибки на сервере.