Архив форумов ЦИТФорума

[PolAR]

Нахожусь в процессе развертки АД (уже неделю) -
< контроллер на Windows 2000 Server, все клиенты Windows 2000 Pro, в Naitive режим не перевел, не понимаю нафига >-
и столкнулся со следующей проблеммой:
1) Хотелось бы уточнить ( кто знает ответьте ОБЯЗАТЕЛЬНО!!!):
Есть 3 вида политик на контроллере:
1. Локальная политика безопасности - (как я понимаю осталаась от тех времен када комп не являлся контроллером)
2. Политика безопасности домена - при входе в домен она накладывается на клиентов ( а может и на контроллер) и в случае чего (конфликта) перекрывает локальные политики клиентов (? и контроллера ?)
3. Политика безопасности контроллера - применяется
тока к контроллеру

2) Теперь к конкретной проблемме: Када тока поставил завел 2 группы пользователей ( пусть Г1 и Г2).
в Г1 нах. пользователь П11, в Г2 - П21,П22,П23
в итоге все могли заходить на клиентские машины
Возникла необходимость чтобы юзеры Г2 имели право входа на контроллер домена. Я слегка поторопился ( вроде читал что политики применяются не сразу) и во всех вышеописанных политиках разрешил локальнй вход Г2, всем Админам.
После этого юзер группы Г1 не может зайти на клиентов - сообщение: "Интерактивный вход на данном компьютере запрещен локальной политикой", при етом Г2 и админы прекрасно на клиентов заходят
ПРИЧЕМ есть такой забавный момент - если войти админом на клиента и выставить разрешения локального входа для Г1 то он начинает на конкретном компе входить, но если зайти админом еше раз - ВСЕ - не входит

БУДУ ОЧЕНЬ БЛАГОДАРЕН ЗА ВСЯЧЕСКИЕ ИСПРАВЛЕНИЯ И СОВЕТЫ[/b]
_________________
Come Together!! Right Now....

[and3008]

Локальная политика - применяется к компу. Это типа свой личный забор.

Политика домена - распространяется на членов домена (рабочие станции и серверы, которые не контроллеры)

Политика для контроллеров - распространяется на все контроллеры домена.

Приоритет всегда имеет локальная политика. Свой забор - всегда лучше.

А с политиками ты явно поторопился. Надо открывать/закрывать ту калитку, которую надо, а не все подряд.

[Arkov]

[Andy_user]

[and3008]

Ага.
Перепутал я.
Извиняйте.

[PolAR]

Спасибо!
Я сделал! НО!! Мне кажется and3008 не зря "перепутал":
Работать стало после того как я прописал разрешение на локальный вход в локальной политике безопасности, до этого разрешение стояло в доменной, но войти было нельзя.
Правда я не пробовал (но обязательно попробую, если вы мене раньше не просвятите) что будет если в доменной запретить а в локальной разрешить!
_________________
Come Together!! Right Now....

[and3008]

Я, конечно, могу ошибаться, давно в АД не ходил.
Там где-то в доменной политике была галочка я-ля "перекрывать другие политики". Видимо ты ее не поставил, политика и не применилась.

Еще возможно у тебя комп просто не применяет доменные политики. Глянь в журнал событий на предмет красных и желтых значков.

[DeLirius]

напомните плизз как применить быстро политики?? чета там ....forse....
_________________
тяжела и неказиста жизнь IT-специалиста

[watcher]

смотря где...
В Win2k: secedit /refreshpolicy machine_policy /enforce
В WinXP: gpupdate /force
_________________
читаем мануалы и делаем бэкапы!