none
User Login verhindern RRS feed

 > 

  • Allgemeine Diskussion

  • Discussion
    Anmelden
    0
    Anmelden

    Hallo zusammen

    Wir haben einige Extranet User in unserer AD welche nur Zugriff auf SharePoint Daten haben und sich über Internet darauf einloggen. Nun möchte ich verhindern dass sich diese User intern anmelden können.

    Kann ich die User einfach auf einen Computer Beschränken der nicht existiert oder vergesse ich da was?

    set-aduser Extranet_user -LogonWorkstations dummycomputer123

    Kann/sollte man die Gruppe "Domain Users" allenfalls noch entfernen da diese wohl teilweise standardmässig irgendwelche Rechte haben?

    Gruss
    Florian

    Mittwoch, 13. April 2016 11:55
    |

Alle Antworten

  • Discussion
    Anmelden
    0
    Anmelden

    Hi

    Ich kenne mich nicht wirklich mit SharePoint aus aber so wie Du beschreibst, verwendet ein SharePoint User der über das Internet zugreift ein interner AD User, stimmt? Über ADFS oder direkt über AD?

    Wenn Du "Domain Users" entfernst, bin ich der Meinung, dass Deine Anmeldung nicht mehr geht, in der Annahme das direkt über AD authentifiziert wird.

    Gruss Dani

    Mittwoch, 13. April 2016 12:29
    |
  • Discussion
    Anmelden
    0
    Anmelden

    Gemäss unserem Sharepoint Profi werden auf seiner Seite die Rechte mit AD Berechtigungsgruppen gesetzt welche natürlich der Extranet_User noch haben muss. Ich teste das mal...

    Mittwoch, 13. April 2016 14:45
    |
  • Discussion
    Anmelden
    0
    Anmelden

    Habe es mittlerweile getestet. Ohne "Domain Users" Gruppe kann sich der User nirgends einloggen. Der Zugriff von Extern ins Sharepoint funktioniert es.  Leider habe ich aber bei Microsoft keinerlei Info bezüglich dieser Gruppe gefunden. Vor allem welche sicherheitstechnischen Merkmale diese hat.

    Gruss
    florian

    Mittwoch, 8. Juni 2016 12:17
    |
  • Discussion
    Anmelden
    0
    Anmelden
    Hi,
     
    Am 08.06.2016 um 14:17 schrieb florian Winkelried:
    > Leider habe ich aber bei Microsoft keinerlei Info bezüglich dieser
    > Gruppe gefunden.
     
    Welche hättest du erwartet? Aber vor allem: Wie und was hast du gesucht?
    Google -> domain users site:microsoft.com
     
    Default groups: Active Directory
     
    Using Default Group Accounts
     
    und viele weitere ...
     
    > Vor allem welche sicherheitstechnischen Merkmale diese hat.
     
    Keine. Es ist eine Domänen spezifische Globale Sicherheitsgruppe, in der
    per Default jeder Mitglied ist, wenn er erstellt wird.
     
    Tschö
    Mark
    --
    Mark Heitbrink - MVP Group Policy - Cloud and Datacenter Management
     
    Homepage:  http://www.gruppenrichtlinien.de - deutsch
     
    Mittwoch, 8. Juni 2016 16:23
    |
  • Discussion
    Anmelden
    0
    Anmelden

    Hi Mark

    danke für die Links. Diese habe ich auch schon gesehen.

    Folgendes noch als Nachtrag. Das anmelden an SharePoint funktioniert ohne 'Domain Users'. Bei OWA geht es nicht. Die Funktion mit den logonworkstation führt nicht zum Ziel.

    Gruss

    Florian

    Donnerstag, 9. Juni 2016 08:15
    |
  • Discussion
    Anmelden
    1
    Anmelden

    Am 09.06.2016 schrieb florian Winkelried:
    Hi,
     > Folgendes noch als Nachtrag. Das anmelden an SharePoint funktioniert ohne 'Domain Users'. Bei OWA geht es nicht.

    Wenn die nur Zugriff auf Sharepoint haben sollen, wieso melden sie sich dann am OWA an?
    Im Großen und ganzen dürfte so ein Ansatz hier am sinnvollsten sein:
    http://serverfault.com/questions/475784/allow-user-to-log-into-owa-but-not-into-any-domain-pc

    HTH
    Norbert

    Frank, I never thought I'd say this again. I'm getting the pig!
    nntp-bridge Zugriff auf die MS Foren wieder möglich: https://communitybridge.codeplex.com/

    Freitag, 10. Juni 2016 06:03
    |
  • Discussion
    Anmelden
    0
    Anmelden

    man kann per GPO unter den Computer Sicherheits Einstellungen festlegen das Benutzer aus Gruppe XY sich A) nicht lokal anmelden dürfen und B) nicht über das Netzwerk anmelden dürfen.

    Denke das ist was du suchst ;)

    Freitag, 12. August 2016 20:50
    |
  • Discussion
    Anmelden
    0
    Anmelden

    Am 12.08.2016 schrieb tcr82:
    Nabend,

    man kann per GPO unter den Computer Sicherheits Einstellungen festlegen das Benutzer aus Gruppe XY sich A) nicht lokal anmelden dürfen und B) nicht über das Netzwerk anmelden dürfen.

    Ich würde spontan sagen, dass ich das bereits schrieb.

    Denke das ist was du suchst ;)

    Nö, ich such das nicht.

    Bye
    Norbert

    Dilbert's words of wisdom #19:
    Am I getting smart with you? How would you know?
    nntp-bridge Zugriff auf die MS Foren wieder möglich: https://communitybridge.codeplex.com/

    Freitag, 12. August 2016 22:30
    |
  • Discussion
    Anmelden
    0
    Anmelden

    > Nö, ich such das nicht.

    Dein Zitat: "Nun möchte ich verhindern dass sich diese User intern anmelden können."

    Und genau das Bewirkt die Richtlinie ;) Und das kann ich nirgends oben raus lesen, dass du das schon geschrieben hast... du hast einen anderen Weg gewählt, nämlich den Logon über das Benutzer-Atrribut zu beschränken (sowieso etwas ineffektiv..., man Regelt sowas immer am besten über eine Gruppe und nicht pro Benutzer), das gilt aber nur für lokale Anmeldungen soweit ich weiß. Die Netzwerkanmeldungen sind da nicht Inbegriffen.

    Vom Sicherheitsaspekt her, würde ich die Konfiguration über die Richtlinie bevorzugen.


    • Bearbeitet tcr82 Samstag, 13. August 2016 06:15
    Samstag, 13. August 2016 06:11
    |
  • Discussion
    Anmelden
    0
    Anmelden

    Am 13.08.2016 schrieb tcr82:
    Nabend,

    > Nö, ich such das nicht.

    Dein Zitat: "Nun möchte ich verhindern dass sich diese User intern anmelden können."

    Ist aber nicht mein Zitat.

    Und genau das Bewirkt die Richtlinie ;) Und das kann ich nirgends oben raus lesen, dass du das schon geschrieben hast... du hast einen anderen Weg gewählt

    Nö, ich hab genau das als Antwort gepostet, was du hier grad vorschlägst.
    Und zwar genau hier:
    http://social.technet.microsoft.com/Forums/de-DE/active_directoryde/thread/ab371f0f-fa89-4edb-80cc-58fb10fde1e3#39445122-1400-4144-b95e-0914adb4bb78

    Ich denk du verwechselst mich grad mit dem TO. ;)

    Bye
    Norbert

    Dilbert's words of wisdom #10:
    I don't have an attitude problem. You have a perception problem.
    nntp-bridge Zugriff auf die MS Foren wieder möglich: https://communitybridge.codeplex.com/

    Samstag, 13. August 2016 22:50
    |