Bei Group DN Pattern habe ich nichts eingetragen, auch kein Passwort. Für was ist dieses nötig?
Damit wird abgefragt zu welchen LDAP-Gruppen ein Nutzer gehört. Ich habe das verwendet, weil ich die Leute differenziert den lokalen Gruppen "Benutzer" und "Administratoren" (oder keiner der beiden) zuordne. Da du aber alle LDAP-User undifferenziert als Benutzer eingruppierst brauchst du die LDAP-Gruppen auch nicht abfragen.
Authorization habe ich verstanden, da bei uns jeder auf jedem Rechner Zugriff haben sollte , brauche ich diesen Punkt nicht zu beachten, denke ich
Wenn du jeden authentifizierten User an jedem Rechner zulassen willst kannst du das übergehen.
Gateway, die Lokale Gruppenzuweisung für die Rechte habe ich nicht genutzt aber festgestellt, dass standard die User als Benutzer angemeldet werden.
Einfach so als "standard" werden die LDAP-User eigentlich nicht der Gruppe "Benutzer" zugeordnet soweit ich weiß, es sei denn sie sind vor der Anmeldung lokal in dieser Gruppe schon drin, dann wird das je nach Konfiguration beim Anmelden übernommen.
Für Admin nutze ich das lokale Profil. Ich denke das braucht man nur, wenn auch Nutzer als admin sich am PC anmelden sollten oder ??
Ja, wie gesagt: Wenn du keine LDAP-User als Admin zulassen willst kannst du dir die Unterscheidung das sparen.
Bei LM Konfig den Punkt "Always authenticate local users" verstehe ich nicht ganz. Hat dieser was mit dem Punkt weiter oben Gateway zu tun , sprich wenn man die Rechtsvergabe bei der Anmeldung nicht dem Standard überlassen will ?
Der Punkt bedeutet, dass lokale User von der LM auch dann noch authentifiziert werden, wenn sie vorher bereits durch LDAP authentifiziert sind (dazu muss LDAP in der Reihenfolge vor LM sein). Das ist deshalb von Bedeutung, weil bei einer Authentifizierung durch die LM die lokal zugeordneten Gruppen übernommen werden.
Wenn also zum Beispiel ein User in der lokalen Benutzerverwaltung bereits zur Gruppe "Benutzer" gehört, und er wird beim Anmelden durch die LM authentifiziert, dann wird er auch als Mitglied dieser Gruppe angemeldet.
Ist dieses Häkchen nicht gesetzt, und der User wird durch LDAP authentifiziert, dann entfällt die LM-Authentifizierung, und der User wird zum Gast, weil seine Gruppen nicht übernommen werden.
Mit dem Scramble Pw verstehe ich nicht was damit gemeint ist. Wenn ein User sich an einem PC abmeldet, kann sich wer mit diesem Pw nochmals anmelden ?? Welchen Vorteil hat dies von der Sicherheit.
Scramble Pw bedeutet, dass das Passwort des Users in der Windows-Benutzeranmeldung zerstört wird. Der User kann sich daher ausschließlich über LDAP wieder authentifizieren, nicht über die LM.
Das mit dem Gastzugang interessiert mich. Muss mal schauen ob ich das auch nur auf einem Pc zum laufen bekomme. Wir haben einen Gastrechner vielleicht wäre deine Idee dort einsetzbar.
Gast ist er dann wenn er nicht zur Gruppe Benutzer oder Administratoren gehört.
Ein Problem habe ich noch und da hängt es am Verständnis.
Wir haben für unsere Branche viele kleine zusätzliche Programme die ich nicht auf jeden Rechner installieren möchte da diese nur sporadisch genutzt werden. Dafür habe ich den o.g. Gastrechner ebenfalls mit eingerichtet. Dort gibt es ein Benutzerkonto "Tarifrechner" Dieses ist für Remotedesktopverbindung freigegeben.
Ziel dahinter: Möchte jemand z.B. eines dieser besagten Tools nutzen meldet er sich über Terminal mit dem Konto Tarifrechner am Gastrechner an. Dann erscheint die Anmeldemaske von Pgina. Er sollte er seine normalen Nutzerdaten benutzten. Mit dem lokalen Adminkonto geht das aber versuche ich mich mit einem LDAP KOnto anzumelden, erscheint die Meldung, "Dieser Benutzer hat für diese Anmeldung nicht die Rechte oder so ähnlich" Bin jetzt leider nicht im Büro. Jetzt verstehe ich nicht an was das liegt.
Hast du eine Idee?
Nein, kann ich so nicht nachvollziehen. Im Zweifel sollte man es immer am Logfile rausfinden können.
Hast du in diesem Bereich eine Schulung gemacht oder woher kommt das Fachwissen ?
Habe durchgewühlt, bin eben hartnäckig. Eine komplette konsistente Doku hätte mir dabei sicher geholfen, darum dachte ich, ich mache einen für den nächsten der es braucht.
