پیغام access is denied در ایجاد GPO جدید در ویندوز سرور 2008 r2
سلام
مدتی میشه که وقتی میخوام GPO جدیدی در گروپ پالیسی ویندوز سرور 2008 r2 ایجاد کنم پیغام access is denied می دهد
با یوزر ادمین دومین وارد میشم
کسی از دوستان و اساتید علتشو میدونه
متشکرم
16 پاسخ
آیا شما به تنهایی تو شرکت ادمین هسین؟ چون با توجه به چیزایی که گفتین حدس من اینه که شاید یکی دیگه سهوا یا عمدا اومده باشه و دسترسی ها رو محدود کرده باشه. یه نگاه به Permisssionهای روی ActiveDirectory بندازین ببینید دسترسی هاش به چه شکله!
بله وقتی دستور به درستی اجرا بشه میره خط بعدی. کار های زیر رو انجام بدید :
1. وارد کنسول Active Directory Users and Computers بشید و یک یوزر ایجاد کنید و اونو عضو گروه های زیر بکنید :
Domain Admins Enterprise Admins Group Policy Creator Owners
2. وارد کنسول GPMC بشید و در قسمت Group Policy Objects به تب Delegation برید .
3. روی دکمه Add کلیک کنید و یوزری که ایجاد کردید رو اضافه کنید.
4. همینجا در تب Delegation روی گروه Group Policy Creator Owners دابل کلیک کنید و اسم یوزری که ایجاد کردید رو بصورت صحیح وارد کنید (لطفا از Browse استفاده نکنید) روی OK کیلک کنید.
5. از سیستم Logout کنید و با یوزری که ایجاد کردید به دامین کنترلر لاگین کنید.
6. بعد از لاگین Server Manager براتون باز میشه که ازتون Credentials میخواد که باید Username و Password یوزری که ایجاد کردید و باهاش به دامین کنترلر لاگین کردید رو وارد کنید.
7. در RUN تایپ کنید GPMC.MSC و وارد کنسول GPMC بشید و مجددا برای ساختن GPO تلاش کنید.
نکته : بصورت پیش فرض یوزر هایی که عضو گروه های Domain Administrators ، Enterprise Administrators ، SYSTEM و Group Policy Creator Owners هستن میتونن GPO ایجاد کنن و مدیریتش کنن (منظور از گروه SYSTEM همون سیستم عامل هست). اگه یوزر عضو Domain Administrator بخواد که یوزر های عادی هم بتونن GPO ایجاد کنن اون یوزر ها باید عضو گروه Group Policy Creator Owners بشن ، این یوزر های عضو گروه Group Policy Creator Owners همچنین Creator Owner یا مالک GPO ها میشن و بنابراین میتونن GPO ها رو ویرایش کنن و مدیریتش کنن و بعبارتی دسترسی Full Control به GPO هایی پیدا می کنن که خودشون ساختن و اون GPO هایی که مدیریتشون به اون یوزر Delegate شده. به این معنی که این یوزر دسترسی Full Control به تمامی GPO ها توی دامین نداره و نمیتونه GPO ها رو به Site ها ، Domain ها و OU ها Link کنه.
هر دو وجود دارند
مشکلم شکر خدا حل شد
با استفاده از سرور ادیشنال ،permision فولدر sysvol برای یوزر خودم را full کردم و بعد از replicate شدن با سرور اصلی ، دسترسی یوزرم در sysvol فول شد
(نمیدونم چه مشکلی پیش اومده بود که تو سرور اصلی (2008) دسترسی یوزرم به پوشه sysvol را نمیذاشت فول بشه
اما مشکل اصلی که حسابی منو سر کار گذاشته بود انتی ویروس لعنتی مک کافی بود که با غیر فعال کردنش به صورت موقت اجاز ایجاد gpo را پیدا کردم
حالا باید راه حلی پیدا کنم که این پوشه را در آنتی ویروس تراست کنم
خیلی خیلی ممنون برای پیگیریتون
مشکلتون حل شد دوست عزیز ؟
سلام
ممنون از پیگیریتون
شرمنده میکنین
حقیقتش هنوز مشکل رفع نشده
کارشناس قبلی شبکه ، مسیر ذخیره پوشه های sysvol و ntds را درایو D انتخاب کرده
البته با این وجود تا یکماه پیش بدون مشکل این گروپ پالیسی کار می کرد
از طریق این دستور \\DomainName\SYSVOL\DomainName\Policies به فولدرهای پالیسی دسترسی دارم و حتی میتونم در root ، پوشه ای ایجاد یا حذف کنم
به صورت لوکال در درایو D هم به اون پالیسی ها دسترسی دارم
در تب Delegation قسمت Group Policy Objects یه عکس بزارید.
باز هم تشکر
اون Group هایی که در تب Member of یوزر admin با رنگ آبی مخفیش کردین چه گروه هایی هستن ؟ اگه گروه های محدودی هستن حذف کنید. یوزری که عضو گروه های مدیریتی هست مثل Domain Admins و Enterprise Admins نباید از یه جای دیگه محدودیتی داشته باشه. در تب Delegation قسمت Group Policy Objects یه عکس بزارید. پوشه SYSVOL رو میتونید باز کنید ؟ در RUN دستور زیر رو تایپ کنید و اینتر رو بزنید ببینید باز میشه :
\\DomainName\SYSVOL\DomainName\Policies
به جای DomainName اسم دامین تون رو وارد کنید. یا لوکالی تست کنید ببینید میتونید پوشه SYSVOL رو از مسیر باز کنید :
C:\Windows\SYSVOL\sysvol\test.local\Policies
یوزر من عضو گروه Group Policy Creator Owners هم می باشد
بله - دامین کنترلر هست
باز پیغام access in denied میده
شرمنده من اشتباه کردم
OU میشه ساخت
اما وقتی روی نام دامین راست کلیک میکنی و creat a GPO in this domain را میزنی پیغام access is Denied میده
وارد کنسول مدیریتی GPMC بشید و روی Group Policy Objects کلیک کنید و به تب Delegation برید ببینید گروه SYSTEM توی این قسمت هست ؟ گروه Domain Admins چی ؟
زیر یک OU میتونید یه OU دیگه ایجاد کنید ؟
اگه نمیتونید زیر Domain یک OU ایجاد کنید Advanced Features رو از منوی View فعال کنید و روی object راست کلیک کنید و به تب Security برید و تیک گزینه Explicit Deny رو بردارید.
Powershell رو با دسترسی ادمین باز کنید و دستور زیر رو اجرا کنید ببینید GPO ایجاد میشه :
New-GPO -Name "test"
یه یوزر اکانت دیگه هم ایجاد کنید و عضو گروه Domain Admins کنید و با اون هم تست کنید. همچنین مطمئن بشید که یوزری که باهاش به سرور لاگین کردید عضو گروه Group Policy Creator Owners هست. سرور 2008 تون دامین کنترلر هست ؟
شرمنده
وقتی دستور اول یا دوم را میزنم اتفاق خاصی باید بیفته ؟ چون میره خط بعدی بدون هیچ اقدامی
پس از انجام دستورات فوق باز هم عدم اجازه دسترسی را می زند
Advanced Features در اکتیو دایرکتوری فعاله
روی object : منظورتان کجاست پیداش نمیکنم
دستورات زیر رو به ترتیب اجرا کنید :
Import-module activedirectory import-module Grouppolicy New-GPO -Name TestGPO
با عرض سلام و خداقوت و تشکر بابت وقتی که گذاشتین
و شرمنده که اسباب زحمت شدم
تمام کارهای بالا را انجام دادم.
فقط در خصوص بند 6 بعد از باز شدن Server Manage ، اینی که گفتید ( Credentials) نیومد و یوزر و پس هم جایی نخواست
متاسفانه باز هم access is denid میده