none
"Sicherheitsdatenbank auf dem Server enthält kein Computerkonto für diese Arbeitsstationsvertauensstellung" RRS feed

 > 

  • Frage

  • Question
    Anmelden
    0
    Anmelden

    mit 0 bis wenig Vorwissen im Administrieren eines Windows Servers sitze ich hier an der Aufgaben einen neue Maschine (Server 2016 Essentials) in ein existierendes Büro zu integrieren.

    Bisher läuft hier ein Windows Small Business Server 2018, der 

    1. per DHCP Server IP Adressen and 10 Win7 Klienten (10 Stück), ein paar Drucker und IP Telefone vergibt
    2. per AD (nehme ich an) Benutzerverwaltung betreibt
    3. Files (Spreadsheets, Textverarbeitung, Photos) and die Klienten serviert

    Ich habe einen neuen User (der im alten Server nicht existiert hat) der sich am neuen System anmelden kann

    Benutzer die im alten System existiert haben fangen sich die oben genannte Fehlermeldung. Der neue Server hat eine andere Domain als der Alte. Ausserdem läuft er noch in einem getrennten Testnetzwerk mit 1-2 Clients. 

    Einen Vielversprechenden Thread habe ich hier https://virtualcurtis.wordpress.com/2011/03/02/fix-the-security-database-on-the-server-does-not-have-a-computer-account-for-this-workstation-trust-relationship/ gefunden. Als Lösung wird vorgeschlagen in "Active Directory-Benutzer und Computer" in die Eigenschaften des Domaincontrollers zu gehen und Einträge im "Attribute Manager" nach folgendem Muster anzupassen:

    dNSHostName: 
srv1.mydomainname.com

servicePrincipalName: 
HOST/SRV1
HOST/srv1.mydomainname.com
RestrictedKrbHost/SRV1
RestrictedKrbHost/srv1.mydomainname.com
TERMSRV/SRV1
TERMSRV/srv1.mydomainname.com

    Allerdings existieren alle genannten Einträge nach diesem Muster, darüber hinaus gibt es zudem noch eine Masse anderer Einträge.

    Was kann ich sonst noch versuchen? Der Fix gibt leider keinen Rat, ob man ausschließlich die genannten Einträge braucht (also die anderen weg sollen). Im ersten Moment Schrecke ich davor zurück hier mal so eben 48 Attribute zu Enfernen


    P.S. meine Hochachtung gilt übrigens dem Übersetzer. "Arbeitsstationsvertrauensstellung"? - Respekt !
    • Bearbeitet gwagn Montag, 4. Juni 2018 12:29
    Montag, 4. Juni 2018 12:28
    |

Alle Antworten

  • Question
    Anmelden
    0
    Anmelden

    Hallo gwagn,

    ich glaube, bevor wir hier eine genaue Hilfestellung geben können, brauchen wir nochmal eine eindeutige Beschreibung was eigentlich das Ziel ist.

    Aktuell lese ich folgendes:

    Vorhanden: SBS 2018 (Wo gibt's den?) - ich nehme mal an SBS 2011 war gemeint

    Dieser übernimmt aktuell "alle" Aufgaben in diesem Netzwerk (AD, Fileserver, DHCP, DNS, ggf. Exchange etc..)

    Neu: WS 2016 Essentials

    Dieser soll "integriert?" werden? D.h. er wird in die bestehende Domäne aufgenommen. Warum also eine andere Domäne? Oder soll dieser die alte Landschaft abschaffen?

    So wie ich das aktuell sehe, versucht du einen Account der in der alten Domäne ist, an einem Computer, welcher in der alten Domäne hängt, am AD der neuen Domäne anzumelden.

    Das wird nicht gehen und ich verstehe den Sinn nicht. Daher bitte um Klärung dann kann zumindest ich weiterhelfen. (Vielleicht verstehen es ja die anderen anders und nur ich stehe aufm Schlauch)

    Montag, 4. Juni 2018 13:29
    |
  • Question
    Anmelden
    0
    Anmelden

    hallo Patrick,

    >> Neu: WS 2016 Essentials

    >> Dieser soll "integriert?" werden? D.h. er wird in die bestehende Domäne aufgenommen. Warum also eine andere Domäne? Oder soll dieser die alte Landschaft abschaffen?

    neuer Win 2016 Essentials soll die alte SBS 2008 (so steht es auf dem Anmeldebildschirm) Landschaft ersetzen.

    Habe in der Zwischenzeit hier https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/ee849847(v=ws.10)#Symptoms eine Spur gefunden, die darauf hinweist, dass evtl. "The firewall rules don't allow the Kerberos protocol to pass the firewall, and also not the domain controller locator to find a domain controller (UDP/389)." eine mögliche Ursache sein könnten.

    Tatsächlich finde ich in den Eingehenden Regeln des 2016er's (genau gesagt "Kerberos-Schlüsselverteiungscenter (UDP eingehend)) das hier port 88 gewählt ist. Allerdings ist der Zugriff auf den Port nicht möglich (ausgegraut). Kann es sein dass ich die Regel 'kopieren' und eine Kopie 'einfügen' muss um den Port ändern zu können?)

    besten Dank … Gunnar




    • Bearbeitet gwagn Montag, 4. Juni 2018 14:04
    Montag, 4. Juni 2018 13:59
    |
  • Question
    Anmelden
    0
    Anmelden

    Also wenn der neue WS 2016 die alte Landschaft abschaffen soll, dann frage ich mich immer noch was dein eigentliches Ziel ist, bei dem dieser Fehler auftritt:

    "Benutzer die im alten System existiert haben fangen sich die oben genannte Fehlermeldung. Der neue Server hat eine andere Domain als der Alte. Ausserdem läuft er noch in einem getrennten Testnetzwerk mit 1-2 Clients. "

    Was möchtest du mit den alten Benutzern in der neuen Domäne anfangen? Bzw. warum versuchst du dich mit ihnen anzumelden?

    Soll die Domäne behalten werden?

    Jetzt mal so ad hoc gesagt, bei 10 Clients und einem Server, leg ich die Domäne, User etc. neu an, kopiere die Daten, entferne die Clients aus der alten Domäne und füge sie der neuen hinzu. Dann hab ich auch keine Nachwehen aus einem "Migrationsprozess".

    Montag, 4. Juni 2018 14:20
    |
  • Question
    Anmelden
    0
    Anmelden

    >> Was möchtest du mit den alten Benutzern in der neuen Domäne anfangen? Bzw. warum versuchst du dich mit ihnen anzumelden?

    streng genommen haben diese user auf dem neuen System bereits existiert (von einem ins Stocken geratenen Migrationsprozess von vor ein paar Monaten). Also vielleicht ist es das Naheliegendste diese alle von der neuen Maschine zu entfernen und bei Null anzufangen. Vielleicht wurden dies User irgendwie importiert oder migriert (falls es sowas gibt) und schleppen also irgendwelchen Ballast mit sich der sie an die 'alte' Domain bindet.

    >> … bei 10 Clients und einem Server, leg ich die Domäne, User etc. neu an, kopiere die Daten, entferne die Clients aus der alten Domäne und füge sie der neuen hinzu. Dann hab ich auch keine Nachwehen aus einem "Migrationsprozess".

    das scheint mir auch am meisten Sinn zu machen. allerdings

    >> entferne die Clients aus der alten Domäne und füge sie der neuen hinzu.

    wozu ist das nötig? ich meine das Entfernen aus der alten Domain? Würde denken die Neue sieht einfach einen user xyz, und kann, sofern dieser frisch erstell wurden schwer erkennen, das xyz schonmal wo gelebt hat und deswegen Probleme machen, oder? Ich meine, die alte Domain, wir nie mit der Neuen Gleichzeitig in einem Netzwerk laufen, also, sollten sie sich doch eigentlich ignorieren?

    Montag, 4. Juni 2018 14:37
    |
  • Question
    Anmelden
    0
    Anmelden

    User und Computer sind zwei getrennte Objekte. Es geht mir um die Clients (Windows 7 Computer). Man könnte zwar das ganze in einem Schritt machen, bin da aber eher alte Schule und entferne erst (vorher schauen ob man ein lokales Adminkonto besitzt) und betrete anschließend die neue Domäne.

    Montag, 4. Juni 2018 15:01
    |
  • Question
    Anmelden
    0
    Anmelden

    verstehe ich leider immer noch nicht ganz. Vielleicht kapiere ich die ganze Domainsache nicht komplett.

    Also du meinst man solle erst einen Client (den physischen W7 Rechner) an der alten Domain abmelden (wie das geht, müsste man dann gesondert herausfinden) bevor du dich an der neuen anmeldest. Ist "abmelden" in diesem Zusammenhang mehr als beispielsweise den Rechner runterzufahren, oder den Benutzer abzumelden (dabei sollte er sich ja von der Domain abmelden)? 

    Ich verstehe es bisher so: um eine Win Domain benutzen zu können muss man den Client erst mit dem Server bekannt machen (im 2016er Server geht das über http://[servername]/connect, dann lädt man ein script o.ä. auf den Client, der sich nun damit irgendwie mit dem Server verheiratet). Also muss ich diese Verbindung erst entfernen (Im Gegensatz zum simplen Ausloggen/Neustarten des Clients)? Das käme mir allerdings komisch vor, denn ich würde denken man sollte sich innerhalb eines Netzwerkes and verschiedenen Domains anmelden können (natürlich nicht unbedingt gleichzeitig)

    Dienstag, 5. Juni 2018 09:34
    |
  • Question
    Anmelden
    0
    Anmelden

    Hallo gwagn,

    ich nehme an, die 1-2 Testclients, welche funktionieren sind neue Clients (Windows 7 oder Windows 10 oder ähnliches). Diese sind vermutlich in der neuen Domäne enthalten.

    Deine alten Clients sind vermutlich noch in der alten Domäne. Du kannst ein Gerät nicht über "http://[servername]/connect" mit einem Essentials verbinden, wenn dieses bereits Mitglied einer anderen Domäne ist.

    Die Fehlermeldung sagt ja auch genau das aus. Das Computerkonto (Name des PCs) ist in der Domäne an der du dich versuchst zu autorisieren nicht bekannt.

    Geh mal an einem alten PC und einem neuen PC auf "System" (Shortcut: Windows Taste + Pause)

    Dort gibt es die wichtigen Informationen bzgl. Domäne, Name des Systems etc. Hier findest du bestimmt den Unterschied. Hier lässt sich dann auch übrigens das Computerkonto aus der Domäne entfernen.

    Dienstag, 5. Juni 2018 10:34
    |
  • Question
    Anmelden
    0
    Anmelden

    Deine alten Clients sind vermutlich noch in der alten Domäne. Du kannst ein Gerät nicht über "http://[servername]/connect" mit einem Essentials verbinden, wenn dieses bereits Mitglied einer anderen Domäne ist.

    Die Fehlermeldung sagt ja auch genau das aus. Das Computerkonto (Name des PCs) ist in der Domäne an der du dich versuchst zu autorisieren nicht bekannt.

    Geh mal an einem alten PC und einem neuen PC auf "System" (Shortcut: Windows Taste + Pause)

    Dort gibt es die wichtigen Informationen bzgl. Domäne, Name des Systems etc. Hier findest du bestimmt den Unterschied. Hier lässt sich dann auch übrigens das Computerkonto aus der Domäne entfernen.

    ok, danke. Werde ich mal untersuchen.

    Rein zum Verständnis …. ein Rechner kann also ausschließlich Mitglied (ist das der richtig Terminus?) einer einzigen Domain sein?

    Dienstag, 5. Juni 2018 11:22
    |
  • Question
    Anmelden
    0
    Anmelden

    Rein zum Verständnis …. ein Rechner kann also ausschließlich Mitglied (ist das der richtig Terminus?) einer einzigen Domain sein?

    Kurz: Ja.

    Dienstag, 5. Juni 2018 11:52
    |
  • Question
    Anmelden
    0
    Anmelden

    ok, danke. Allerdings weist dies zwei Merkwürdigkeiten auf:

    1. wozu dient der "So melden sie sich bei einer anderen Domäne an" Hinweis im Anmeldedialog von Win7/10?
    2. ich bin gerade de facto mit diesem Rechner im Netzwerk der 'alten' Domain unterwegs (die mir auch eine IP gegeben hat und deren fileshares ich sehen kann) obwohl diese Maschine in der 'neuen' Domain registriert ist (Shortcut: Windows Taste + Pause).

    sind das schlichtweg Schrulligkeiten des Systems, die man hinnimmt und umschifft wenn nötig, oder verbirgt sich eine tiefere Logik dahinter?

    Dienstag, 5. Juni 2018 12:23
    |
  • Question
    Anmelden
    0
    Anmelden

    Zu 1.: Das bezieht sich auf das Benutzerkonto. Du kannst z.B.: ein Benutzerkonto in Domäne A und Domäne B haben und daher gibt es die Möglichkeit für bestimmte Konstellationen sich an einer anderen Domäne zu autorisieren.

    Um das Ganze aber jetzt einfach zu halten und nicht noch Begriffe wie "Vertrauensstellung zwischen Domänen" ins Spiel zu bringen, du kannst dich an diesem Gerät (wie in Punkt 2 von dir geschrieben) nur mit Benutzern die es in der neuen Domäne gibt anmelden. (Ausgenommen natürlich immer lokale Benutzer)

    Dienstag, 5. Juni 2018 12:57
    |
  • Question
    Anmelden
    0
    Anmelden

    Am 05.06.2018 schrieb Patrick.Müller:

    Um das Ganze aber jetzt einfach zu halten und nicht noch Begriffe wie "Vertrauensstellung zwischen Domänen" ins Spiel zu bringen, du kannst dich an diesem Gerät (wie in Punkt 2 von dir geschrieben) nur mit Benutzern die es in der neuen Domäne gibt anmelden. (Ausgenommen natürlich immer lokale Benutzer)

    Ein SBS kann keine Vertrauensstellung zu einer anderen Domain
    aufbauen.

    Servus
    Winfried

    WSUS Package Publisher: http://wsuspackagepublisher.codeplex.com/
    HowTos für WSUS/WPP: http://www.wsus.de/wpp
    GPO's: http://www.gruppenrichtlinien.de
    NNTP-Bridge für MS-Foren: http://communitybridge.codeplex.com/

    Donnerstag, 7. Juni 2018 04:35
    |