Netwerk van buitenaf gebruiken via terminal server

[PieterMS]

In de onderhavige configuratie heb ik een domeinserver (DS), die tevens dienst doet als DHCP-server, DNS-server, fileserver en applicatieserver. Daarnaast heb ik een aparte machine die fungeert als Terminal Server (TS) en in het domein is opgenomen. Beide draaien op Windows server 2003. Op de DS is een aantal lokale gebruikers aangemaakt en een aantal remote desktop gebruikers. Op de TS zijn de applicaties geïnstalleerd die de TS-gebruikers mogen draaien en waarbij ze gegevens benaderen op de DS. We gebruiken geen roaming profiles.
Probleem: om de TS-gebruikers te laten werken moeten ze admin-rechten hebben. Dit is natuurlijk een ongewenste en onveilige situatie maar het lukt me anders niet om de rechten voor elkaar te krijgen. Ze zijn lid van de Remote Desktop users en van de Domainusers. Maar dus ook van de Administrators. Wat zie ik over het hoofd???

Bij voorbaat dank,
Pieter

 

[dnties]

Je moet in de grouppolicies (of evt. in de policy van de TS zelf) ervoor zorgen dat Remote Desktop Users op de TS het recht hebben om interactief in te loggen.

Tijs.

 

[PieterMS]

Hallo Tijs,

Op de TS staat dit recht goed, in de groepspolicy op de DS kan ik het niet vinden. De DS is een SBServer. Maakt dat verschil?

Pieter

 

[dnties]

Nee, dat maakt geen verschil: In SBS2003 domeinen gelden dezelfde group policies als in een domein met W2003 servers.

Denk eraan dat grouppolicies gaan bóven de lokaal ingestelde policies. Je zult dus wel degelijk moeten gaan kijken in de grouppolicies die op de TS van toepassing zijn.
In de grouppolicies (die op de TS van toepassing zijn) staat het onder Computer Configuration -> Windows settings -> Security settings -> Local policies -> User Rights management
Daar dan de instelling "Allow log on locally"
Check in de grouppolicies die op de TS van toepassing zijn ook meteen of de groep Remote Desktop Users staat vermeld als "Allow logon through Terminal services" in dezelfde sectie.

Kijk ook op de TS na in het tabblad Remote access in Start -> Run -> sysdm.cpl dat daar de DOMEINgroep Remote Desktop Users staat vermeld als rechthebbend om via Remote Desktop aan te loggen (danwel de Domain Users groep van je domein), of (indien daar de LOKALE groep Remote Desktop Users staat vermeld) de DOMEINgroep Remote Desktop Users (danwel de Domain Users groep van je domein) member is van de LOKALE groep Remote Desktop Users op de TS.

Tijs.