Hi,
Am 24.08.2015 um 21:34 schrieb Tobias_FFB:
> wobei sich Forest und Domäne immer
> noch auf Funktionslevel 2003 befinden.
Warum? Hast du noch 2003 DCs(!) im Einsatz? Ansonsten gibt es keinen
Grund dafür.
Raufstufen und DFS-R anstelle von NTFRS konfigurieren, Papierkorb
aktivieren.
> Der File-Server (ehemals Windows2000-DC [...]
> Auf dem alten 2000er Server werden in der Liste der NTFS-Zugriffs nur
> noch SIDs angezeigt.
Als der 2000 Server "DC" wurde, der erste DC für das AD, hat er seine
LOKALE SID zur Domänen SID angehoben und diese für alle Domänenkonten
genutzt.
Wenn er runtergesstuft wird braucht er wieder eine lokale SID, da er
keine andere kennt als "seine alte" nutzt er diese.
Bean Wells hat da mal ein paar Stolpersteine zusammengefasst:
Impact of Cloning and Virtualization on Active Directory Domain Services
Er ist also praktisch die Verwaltungsinstanz aller RIDs beginnend mit
dieser SID. Der "fehler" ist jetzt: in seiner lokalen SAM gibt es keine
Benutzer mit dieser SID. Denn die werden ja im AD verwaltet.
Da er aber das AD nicht fragt, er ist schliesslich der Chef für den
Nummerkreis, er muss nicht fragen, kann er sie nicht auflösen.
Doof gelaufen. Das kannst du praktisch auf dem 2000 nicht korrigieren,
ausser durch DCpromo.
Der Fehler sollte auf einem anderen Member nicht passieren, es sei denn,
er wurde als Clone vom 2000 erstellt und dann per Update auf eine
neueres System gebracht, dann hätte er nämlch immer noch dieselbe lokale
SID. Aber das geht ja bei 2000->2012 nicht.
Prüf noch mal ob die SIDs, tatsächlich die der Domäne sind, oder ob es
"andere" sind zB lokale Gruppen/User eines Memberservers.
Nimm einfach einen Domänenbenutzer melde dich an und schau in der
Registry unter HKey_Users. Die SID sollte identische sein, bis auf die RID.
Statt robocopy, wäre auch Backup/Restore auf Dateieben eine lösung, oder
FSMT, das nimmt auch Sharepermissions mit.
Du kannst auch mit setacl.exe von Helgeklein, die ACL in eine Textdatei
sichern, dann per Notepad korrigieren (SID tauschen, wenn notwendig) und
wieder anwenden.
Aber auf dem 2012 sollte es "ordentlich" aussehen, wenn es DomänenSIDs sind.
Tschö
Mark
--
Mark Heitbrink - MVP Windows Server - Group Policy
