Newsgroup: it.comp.os.win.win2000
Titolo: Policies, queste sconosciute

Tutto quel che ho fatto e' stato di provar a cambiare UNA delle
Domain security policies in
"Do not allow enumeration of SAM accounts and shares"
(che e' la prima dell'elenco delle security domain policies).
I server son 2 pc con Win 2000 server, entrambi domain
controller.
Da quando ho cambiato quella policy, ho l'event viewer
impestato di questi messaggi ogni 5 minuti:
Event Type: Warning
Event Source: SceCli
Event Category: None
Event ID: 1202
User: N/A
Computer: ComputerName
Description:
Security policies are propagated with warning. 0x534 : No mapping between
account names and security IDs was done. Please look for more details in
TroubleShooting section in Security Help.
e
Event Type: Error
Event Source: Userenv
Event Category: None
Time: 17:31
User: NT AUTHORITY\SYSTEM
Computer: SLDN220IN
Description:
The Group Policy client-side extension Security was passed flags (17) and
returned a failure status code of (1332).
Ho gia' seguito le istruzioni presenti in questo articolo:
http://support.microsoft.com/default.aspx?scid=KB;en-us;279432&
e non cambia nulla.
Ho rimesso quella policy cosi' com'era prima, ed i messaggi continuano
a presentarsi.
Ma cosa deve fare uno, per far funzionare sto Windows 2000 ?

CAZZO, proprio stamattina ho avuto lo stexo problema..
sti errori che si ripetono ogni 5 minuti...
Ho seguito tutte le istruzioni della kb, ma niente da fare... la vicenda
continua, e per di più non mi crea nemmeno il file WINLOGON.LOG..
Help us.
Francesco.


Niente da fare anche per me.
Posso anche riformattare tutto, tanto questa e' una configurazione
che sto testando, ma di sicuro se poi mi capitasse da qualcuno
che si vede l'Event Viewer riempirsi in due giorni, che faccio ?

Support: Help Us


Mi sa tanto che non c'e' aiuto per sta cosa... this is a *BUG* :-)

NOOOO
Ho capito che cazzo č successo:
Noi abbiamo disinstallato dal server il servizio IIS, ma ovviamente sono
rimasti 2 user che andavano a puttane con le policy di dominio:
essi sono:
IUSR_computername
TsInternetUser
Levi quelle da tutte le voci delle policy e vedrai scomparire con loro i
problemi... alla fine il ciocco č tutto li: togliere gli utenti ormai morti
dall'applicazione delle policy
Se hai bisogno chiedi ancora.
Ciao
Francesco.
PS: Ora da me va tutto alla grande.


A parte che ho solo l'Administrator, il guest e il tsuser o quel che e'...
e che, al contrario di te, non ho assolutamente disinstallato nulla,
dov'e' esattamente che si vedon gli utenti delle policy... ?
Se puoi darmi una dritta, dimmi il percorso esatto da fare, che faccio
na verifica :-)

 na verifica :-)
Vedi sopra :)
Fai un po' di verifiche così, anche richiamando il
GPEDIT.MSC (da esegui) e andare a vedere tra le policy locali...
inoltre verifica che su
Strumenti di amministrazione -> Local Policy (sempre la solita solfa) sia
tutto a posto.
Ciao
Francesco.

 Settings -> Security Settings -> Local Policies -> user Rights Assignment.
ecco. qui c'e' un elenco di policies, la prima delle quali e' "Access this
computer
from the network" (tanto per intenderci se son andato nel posto giusto).
Ad esempio, nella riga "Debug programs" c'e' Administrators e poi un utente
con numeri e lettere, inizia per *S-1-5 (segue sfilza di numeri, trattini e
lettere)
Ma che roba e' ? Io ho solo fatto un'installazione *di default* del primo
server,
poi l'ho promosso a dominio e poi ho aggiunto il secondo server !
Tutto qui, il mio test. E dunque ? Che sono quelli, account fantasma... ?
:-)
Pensi che sia colpa di quegli account ? Che sono? Li secco ?
Danny che altro che le pale dell'elicottero che gli stan girando :-D


Fatto anche questo.
Ora perlomeno mi da i messaggi in cui mi dice che le security policies
son state applicate :-)
In compenso, ecco apparire magicamente questo errore (rosso) :
Event Type: Error
Event Source: NETLOGON
Event Category: None
Event ID: 5774
Date:  12/10/2002
Time:  6:44:27 PM
User:  N/A
Computer: SERVER2
Description:
Registration of the DNS record
'df9583c5-f9eb-479c-8d97-ea40b24350ab._
msdcs.DOMINIOTEST.COM
. 600 IN CNAME
server2.DOMINIOTEST.COM
.' failed with the following error:
DNS name does not exist.
Data:
0000: 2b 43 00 00               +#..
Ma il record del DNS ESISTE ! E chi l'ha piu' toccato, il DNS :-)
Sigh... ora dimmi te che posso fare... ?

 Pensi che sia colpa di quegli account ? Che sono? Li secco ?
Certo che č per quello, leva tutte le "utenze" inutili o che non ci sono
piů... controlla bene i servizi attivi, le applicazioni installate e leva
tutte le utenze inutili dalle policy... fidati: ci ho sclerato da stamattina
su sta cagata....
Ciao
Francesco.


...cagata alla quale pero' nessuno dei vari SupportX ivi presenti ha
saputo porre rimedio, piuttosto e anzicheno'... c'ho gli occhi in ficco,
a furia di legger documentazione varia... grazie mille in ogni caso,
ho riavviato un po' di volte e mi pare che il problema relativo alle
policies sia risolto, mo' passo a quello del DNS che ho postato sotto,
anche qui PARE CHE vi sia un articolo della famigerata KB che
ho seguito scrupolosamente, ma non c'e' verso, eh...

Uhmmm, ma sto sfigato server è quello che vi autentifica?
Hai provato ad agire sul registro di sistema ed aggiungere artificialmente
la voce DNS come dipendenza al servizio NETLOGON?
Fammi sapere.


questo non ho provato a farlo perche' (purtroppo) non ne son capace,
ed ho paura di combinar casini. Se mi spieghi come fare, magari il
controllo lo faccio.
Grazie ancora, eh !

 Grazie ancora, eh !
Prova qui
Esegui->regedt32.exe->hkey_local_machine->System -> Current Control Set ->
Services -> NetLogon -> DependOnService -> Li ci clicchi 2 volte sopra e al
fondo dopo:
LanmanWorkstation
LanmanServer
ci aggiungi DNS
verrà tipo così
LanmanWorkstation
LanmanServer
DNS
Poi riavvii il servizio Netlogon ed il giuoco è fatto.


[cut]
provo... ti ho scritto in mail, e' quella giusta ?

 fondo dopo:
ti sembrera' strano, ma ne' sul primo, ne' sul secondo server esiste
"DependOnService".
Sotto NetLogon c'e' Enum , Parameters, Private e Security.
Mi sento perso :-)

Si giusta, solo che qui a lavoro non ce la faccio materialmente ad aprire il
browser di libero... :)

 Mi sento perso :-)
Uhmmmm controlla benissimo
Cmq puoi sempre agigungerlo te.
Francesco.


Sah, allora la riscrivo qui:
Sto facendo dei test su questi due "server" su cui
c'e' Windows 2000 installato ed aggiornato a tutte
le Service Pack, patches e contropatches :-)
Ora, fra le altre cose, volevo togliere uno dei due
server usando dcpromo, poi lo formatto e ci
installo Win 2000 professional, dopodiche' vorrei
testar la possibilita' di far ste tre cose almeno:
1) Agire sulle policies del server in modo da inibire sul client
Win 2000 professional alcune funzionalita' (es, impedirgli chesso'
di aprire il pannello di controllo).
Per far questo, agisco sul Default Domain Security Policies o
FORSE E' MEGLIO CHE ne crei uno nuovo appositamente, di Group ? :-)
(in modo da non inquinare la configurazione di default)
E se si, come lo creo, sto gruppo... ? E come faccio ad abilitar gli utenti
(nel mio caso , l'utente del client) a far riferimento a QUEL
Gruppo di Policies che andro' a creare ?
2) Poi vorrei capire come fare per "Distribuire" le applicazioni
(es. vorrei Installar Office 2000 sul server e poi concedere al client
l'utilizzo
di Word, ad esempio).
Ho sentito dire che si puo' fare, il problema e' *come* ?
Ed infine...
3) Vorrei poter creare un utente che abbia la possibilita' di loggarsi sul
server (ovvero, mi piazzo davanti al pc, premo Ctrl Alt Canc e mi loggo)
cosi' come faccio come Administrator, solo che vorrei che i privilegi
di questo utente fossero limitati, cioe' mi piacerebbe che potesse usare
esplora risorse, controllar la posta in outlook express, ma che NON
potesse, ad esempio, aprire la consolle del DNS manager, o anche le
policies, che non potesse editare il registry... insomma, che gli fosse
negato tutto TRANNE l'uso di esplora risorse (ad esempio) ed
Outlook Express.
Spero che il messaggio arrivi e spero anche di essermi spiegato
sufficientemente bene :-)
Danny