installationsmanager "als Administrator" .... (nach Umstellung auf "Anmeldung an Domäne")

[#1]

Hatte bis vor Kurzem:

Anmeldung am Arbeitsplatz-PC (Server - über Freigaben …)

Wegen REST habe ich das jetzt geändert, also

Anmeldung an Domäne ….

Wenn ich jetzt den Installationsmanager aufrufe heißt es:

… KEINE ADMINISTRATOR-Rechte !

muss mich also zusätzlich am "Arbeitsplatz" anmelden ?!

hinterher natürlich auch wieder abmelden damit ich den PC herunterfahren kann !

Bei  "Netzweite Aktualisierung" haben meine Mitarbeiter dann (wahrscheinlich) ein Problem ...

Was muss ich (wo) umstellen ? Wie mache ich das Netzweite Update als Domänen-Nutzer (-Administrator) ?

Grüße

kn

[#2]

Was für Rechte hat denn der Domänen- User?
Soll jeder Mitarbeiter Installationen ausführen können, oder nur der Admin?

Problem: Wenn der Admin Installationen frei gibt, dann bekommen die Anwender die Möglichkeit: "jetzt installieren". Wenn dann die rechte fehlen, dann ist Chaos vorprogrammiert, wenn ein klitzekleines zeitkritisches Hotfix für Lohn _sofort_ eingespielt werden  muß, wie in der jüngsten Vergangenheit üblich. 

[#3]

der Domänen-User bin ich - Administrator-Rechte.

Habe auch Administrator-Rechte an allen Arbeitsplätzen !

Die "Netzweite Aktualisierung" mache ich - mit "automatischer Anmeldung"

(diese erfolgt dann "an den Arbeitsplätzen" - NICHT an der Domäne)

…. ist das so "richtig" ? - sollte die Anmeldung (der Arbeitsplätze) nicht an der Domäne erfolgen ?

aber bei Anmeldung an der Domäne -> Aufruf "Installationsmanager" (am Arbeitsplatz) => KEINE ADMINISTRATORRECHTE  !!!

…. muss mich dann "zusätzlich" am Arbeitsplatz anmelden (?)

[#4]

Es gibt beim Einloggen an dem PC einen Unterscheid zwischen Admin- Rechten im Netz und den Admin Rechten des lokalen Administrators.

Wenn der DATEV- Benutzer (also die Gruppe "DATEV- User") in der Domäne am Server nach DATEV- Vorgaben angelegt wurde, sollte alles klappen.

Sind alle Mitarbeiter (und auch Ihr Account) Mitgleid der Gruppe "DATEV" ?

Üblicherweise funktioniert der Installationsmanager mit den normalen DATEV- Rechten der Domäne und ein "lokales" Einloggen ist nicht vorgesehen. Hier gibt es ausschließlich den "\\PC-xx\Administrator" für den Notfall.

[#5 · Accepted solution]

Wenn es sich um einen Windows 10 PC handelt, dann könnte es ein Problem der Policies sein.

Dann sollte das Abhilfe schaffen LINK

Die Anmeldung für die Netzweite Aktualisierung sollte mit dem Domänen Benutzer erfolgen.

Der lokale Admin hat evtl. nicht alle Rechte für den Zugriff auf die Netzwerk Freigaben.

[#6]

… sind Windows10 - Rechner … der Link hat aber nicht geholfen ...

Installationsmanager sagt immer noch: "keine Administratorrechte" ...

[#7]

Hi, versuchen Sie mal die "Brechstange".

1. Nutzungskontrollen-Notstart-Tool erstellen (wenn nicht sowieso vorhanden)

2. Anmeldung als Domänen-Admin oder Benutzer mit Admin-Rechten

3. Nutzungskontrollen-Notstart-Tool ausführen. 

Im Anschluss sollte der aktuell angemeldete Windows-Benutzer auch Admin-Rechte in der DATEV-Welt haben. Somit dann auch Zugriff auf den Installationsmanager.

Grüße

Chr.Ockenfels

[#8]

Wenn diese Meldung beim Start des Installations-Managers kommt, dann fehlen die (lokalen) Administrator-Rechte oder eine Richtlinie behindert die Erhöhung der Benutzerebene. Domänen-Admins sind im Standard Mitglied lokaler Administratoren. Aber Mitglieder lokaler Administratoren sind nicht unbedingt Domänen-Admins (und sollten es auch eher nicht sein),

Man kann mit Rechtsklick auf den Installations-Mgr -> mehr -> als Administrator ausführen ... die Benutzerebene testweise erhöhen. Wenn dabei sowohl Benutzername als auch Kennwort abgefragt werden, dann ist das die Gegenprobe mit gleichem Ergebnis. Falls Du jetzt aber Administratorenrechte hättest, würde nur eine einfache Benutzerkontensteuerung (je nach Richtlinie mit, aber im Standard ohne Kennwortabfrage für den aktuellen Benutzer) aufpoppen.

Wenn die netzweite Installation startbereit ist und (nach n Minuten Timeout) los läuft, steuert der Update-Manager-Dienst die automatische Anmeldung mit dem in den Einstellungen des Installations-Managers hinterlegten Installations-Administrators. Eine normaler Benutzer sollte nicht zwingend irgendetwas einzeln installieren müssen noch können. 

[#9]

Nach derzeitigem Stand sind Insbesondere die DATEV-Einstellungen "RECHTE" also

DATEVUSER + Gruppen und Admin-Rechte alle o.k.

Die Domänen-Admin-RECHTE kommen aber scheinbar NICHT auf den "Arbeitsplätzen" an ...

bzw. werden dort nicht "angewendet" ...

weiß jemand wie / wo ich da den Hebel genau ansetzen muss - der weiter oben genannte LINK

hat bei mir nicht "gegriffen" ...

[#10]

Was sagt den die Computerverwaltung in den Logbüchern? 

Ist das Computerkonto in der Domäne aktiv?

Kann der Gerätemanger mit Adminrechten aufgerufen werden?

Ist in der DATEV Benutzerverwaltung der Adminbenutzer mit dem richtigen Domänen-Benutzer verknüpft?

Grüße

Chr.Ockenfels

[#11 · Accepted solution]

Domänen-Admin-Rechte haste nur, wenn das oder die Benutzerkonten Mitglieder der Domänen-Admins der entsprechenden Domain (siehe AD Benutzer-und-Computer-Managementkonsole auf dem Domaincontroller) sind.

Wenn die Computer Mitglied der Domäne und die Benutzer als Domänen-Benutzer angemeldet sind, ist die Gruppe der Domänen-Admins automatisch Mitglied der jeweils lokalen Administratorengruppe jedes PCs. Wenn Du mit exakt diesem Konto an einem Computer mit Mitgliedschaft in der Domain angemeldet bist, haste also automatisch lokale Administratorenrechte und Domänen-Admin-Berechtigungen. 

Das Konto Domain\Administrator oder ein anderes mit gleichen Berechtigungen sollte im Installations-Manager als Installations-Administrator hinterlegt sein, in der DATEV-Benutzer- und Rechteverwaltung existieren und verknüpft sein und DATEV-Hauptadministrator sein. Das genügt für (fast automatische) netzweite DATEV-Updates völlig.

Es macht aber aus u.a. Datenschutz- und organisatorischen Gründen, Schutz vor Schadsoftware etc. seit mindestens 25 Jahren keinen Sinn, dass jeder Domänen-Benutzer auch Domänen-Admin ist. Bei fünf oder 10 Admins vervielfacht sich das Betriebsrisiko eines Systemstillstands! Und Installationen oder Updates sollte man nach Möglichkeit immer zentral und quasi zeitgleich durch einen erfahrenen Benutzer mit Admin-Berechtigungen durchführen lassen, der/die stets weiß, was da zu tun ist, auch wenn mal etwas fehlschlägt. 

[#12]

…. DAS wars !!!

Der "Server"-Administrator (ich) war zwar als Administrator eingetragen - Nicht aber

als "Domänen"-Administrator !

JETZT funktioniert alles :-))

Grüße

Klaus Niemeier

[#13]

nachdem ich mich als DomainAdmin "aktiviert hatte brauchte es doch den LINK ...

Danach funktionierte es "wirklich"