Fataler Fehler in Sicherheitsrichtlinien für Domänencontroller
 

In einem Anfall von totaler geistiger Verlassenheit wurde in den Sicherheitsrichtlinien für Domänencontroller unter "Computer/.../Benutzerberechtigungen/Zugriff vom Netzwerk verweigern" die Gruppen "Administratoren" und "Domänen-Admins" eingetragen.

Somit ist der Zugriff aufs AD scheinbar unmöglich.

Es gibt keine separaten User welche Organisations-, Schema-Admins oder ähnliches sind.

Alle sachdienlichen Hinweise auf Hintertüren oder ähnliches werden mit einem erleichterten herzerweichenden Schluchzen belohnt :heul: :rolleyes:

TIA

dann greif halt nicht vom netzwerk sondern lokal zu und mach die änderungen rückgängig.

Gut gemeint, aber es gibt kein "lokal"... Was verstehst du denn darunter?

~

du setzt dich vor die tastatur welche am server angeschlossen ist und machst die änderungen rückgängig.

Du hast den zugriff vom netzwerk aus verboten, nicht den lokalen zugriff, zumindest hast du das geschrieben.

hehe... ja wenns so einfach wär...

Ich würd' ja sagen probier's selber mal aus, aber ich will deine Domäne nicht auf dem Gewissen haben...

Ich habe durch die Sicherheitsrichtlinie keinen Zugriff mehr aufs AD, da LDAP immer netzwerkgebunden zu sein scheint.

boote mal in die active directory wiederherstellung, vielleicht kannst dort was machen.

:( Schon versucht...

Anscheinend kann man mit ntdsutil die Sicherheitsrichtlinien nicht bearbeiten und secedit kann nur die lokalen verändern...

Wenn du willst kannst du dir das ganze mal live ansehen, dann schick ich dir TS-Zugangsdaten per PM...

Gibt aber nicht viel zu sehen, ausser n Haufen Snap-Ins die nicht funktionieren... Das einzige das ich machen kann, is mir die Sicherheitsrichtlinien im Lokalen-Sicherheitsrichtlinien-SnapIn anshene und beim Anblick wie sie durch die Domanen-Richtlinien effektiv überschrieben werden weinen...

Fürs Archiv:
 

KB-Artikel 226243, wobei man seDenyNetworklogon auf "nichts" setzen muss.

... :rolleyes:

~

Das KB hat schon was :D

Ja schon, nur verursacht wurde das ganze durch den letzen Absatz dieses Artikels (und mir, der "verweigern" in der SecPol überlas, denn das was die da schreiben gibt's gar nicht)...

EDIT
--erm, doch, gibt's schon 20 Zeilen drüber... :rolleyes:
~