User kann sich nicht auf Server Remote einloggen

[interface31]

Hi,

habe hier einen Windows 2022 Server Standard and diesem versuche ich mich über Remote anzumelden, erhalte aber:

Der User ist in der Remotedesktopgruppe aber nicht in der Admin Gruppe.
Wie kann er trotzdem Zugriff erlangen, er soll nicht in die Admin Gruppe da er nicht alle Ordner sehen soll oder Zugriff haben soll.
Er soll eigentlich nur eine Applikation öffnen und darin arbeiten.

cu

 

[BFF]

die Admin Gruppe da er nicht alle Ordner sehen soll oder Zugriff haben soll.

Was konkret hast Du da vor?

Freigaben wo Dateien/Ordner für die Leute sind?
Oder doch so etwas wie ein Terminalserver wo Leute sich anmelden und Anwendungen ausführen?

Für Zugriff auf Freigaben braucht sich niemand am Server Remote anmelden.

 

[SaCre]

Eigentlich würde ich dir zu einem Terminalserver mit Seamless Applikation raten, aber wenn es sich nur um einen Anwender handelt, ist dies eventuell ein wenig overkill.

 

[winterblut]

geht es nur um einen user? kannst die Software nicht lokal installieren? Terminal Server für einen ist irgendwie quatsch.

Ergänzung (17. April 2024)

sonst mal hier lesen, habs nur überflogen.... warum der das auf einem domain controler macht ist mir nicht verständlich, aber darum gehts ja grad nicht
https://www.escde.net/blog/remoteapp-bereitstellung-windows-server-2019-2022-schritt-fr-schritt

 

[interface31]

Hi,

danke schonmal für die Infos.
Es sind mehrere User welche sich einwählen soll.
Problem ist das die Verbindung über VPN wenn das Programm gestartet wird von zuhause ewig dauert.
Jetzt war der Gedanke Remote sich drauf zuschalten, geht auch bei der Admingruppe sehr gut und läuft.
Nur ein User welcher nicht der Admingruppe angehört bekommt diesen Screen.
Hersteller von der App sagt halt auch Remote draufschalten am einfachsten.
Lokal geht nicht da DB dahinter ist.
Auf dem Server sind halt Ordner welche nur für die Amingruppe ist und der User diese nicht sehen soll.
Wenn ich ihm ja zur Admingruppe hinzufüge kommt er darauf.
So nun stehe ich da :-)

 

[SaCre]

Was passiert den, wenn dieser Benutzer zusätzlich in die Standard Benutzergruppe aufgenommen wird und diese keine Berechtigung auf diesen Ordner bekommen? Man benötigt keine administrativen Berechtigungen um sich per RDP auf einen Server zu verbinden.

Eventuell liegt hier aber auch ein Designfehler vor und man sollte das Konstrukt noch einmal überdenken. Die Tatsache, dass hier mehrere Personen mit Adminrechten auf einen Server arbeiten, ist für mich schon das erste Problem.

 

[interface31]

Ja die Personen sollen es ja auch, als Standardbenutzer geht es nicht gerade getestet.
Kein Plan warum er sich nicht einloggen kann obwohl überall drin damn

cu

 

[SaCre]

Eventuell hilft ja folgender Link
https://learn.microsoft.com/de-de/t...e/cannot-authenticate-must-authenticate-twice

 

[interface31]

Danke ja das habe ich auch deaktiviert

Benutzern wird der Zugriff auf eine Bereitstellung verweigert, die Remote Credential Guard mit mehreren RD-Verbindungsbrokern verwendet.

brachte aber nix.
Der zweite Server ist zwar gelistet aber ist nur für eine andere Applikation zuständig

 

[Ranayna]

Habt ihr RDS lizensiert auf dem Server?
Falls nicht, scheint es fuer non-Admins auch technisch nicht zu funktionieren:
https://serverfault.com/a/1152122

Von der Lizenz ist es auch nicht erlaubt, der non RDS Remote Zugang ist ausschliesslich fuer administrative Zwecke vorgesehen.

 

[interface31]

Ja ist mit einer 50 Lizenz ausgestattet und aktiviert, wie gesagt alle gehen bis auf den einen User.

 

[nubi80]

Dann gelten für diesen einen User eventuell Einschränkungen die ihm die Anmeldung verweigern.
zB. das "Anmelden an" Attribut im User Objekt des AD
oder lokale Richtlinien auf dem Terminalserver.
Prüfe mal die Einstellungen unter Computerkonfiguration - Windows Einstellungen - Sicherheitseinstellungen - Zuweisen von Benutzerrechten.

 

[Ranayna]

Ich glaube bei "Anmelden an..." gaebe es eine andere Fehlermeldung.
Ich muss gestehen das ich diese Konstellation so nicht kenne, und ich kanns auch nicht nachschauen, weil wir keinen echten Terminalserver mehr in der Firma haben. Kanns sein, das der User, neben der Remote Desktop User, auch noch in der normalen User Gruppe sein muss, damit er sich anmelden kann?

 

[SaCre]

Möglicherweise existiert hier aber auch ein grundsätzlicher Fehler, welcher beim Aufbau des WTS gemacht wurde. Nach den aktuellen Informationen können sich alle anderen Benutzer, Anzahl unbekannt, nur wegen der Adminrechten anmelden. Bei diesem Szenario gibt es so viele Unbekannte. Man kann auch nicht nachvollziehen, was eventuell die ganzen Admins, möglicherweise ungewollt, eingestellt haben, weil diese denken, dass man das ja auf einem Client genauso machen kann. Mir ist immer noch nicht ganz klar, wieso man soetwas überhaupt zulässt. Wurden z.B. Applikationen auch im Installationsmodus installiert oder einfach nur Enter und weiter, auch wenn das jetzt nichts mit den Anmeldeproblemen zutun haben sollte.

 

[nubi80]

wenn es sich wirklich um einen server mit installierter RDS Rolle handelt kann die berechtigte Gruppe auch eine ganz andere als die default Remotedesktop-Benutzer sein. Das muss in den RDS Einstellungen im ServerManager geprüft werden. Standardmäßig sind das die Domain-Users.
Das ganze kann in den Sammlungseigenschaften geprüft werden

 

[interface31]

Hi,

Zusammengefasst sind es drei Admin User auf dem Server und diese gehen nur auf dem Server weil sie sich über VPN in das Netzwerk einwählen und dann über Remote auf dem Server gehen um in einer Verwaltungs/Buchungssoftware arbeiten.
Die APP nur mit der VPN Einwahl ist einfach zu lahm oder die Software zu alt lädt halt ewig.
Deshalb wird auf dem Server mit der Software gearbeitet.
Diese 3User sind alle in mehreren Gruppen (Chefs der Firma)
Der andere User ist halt normaler MA und ist nicht in den Gleichen Gruppen.
Alle sind in der Remotedesktopgruppe.
Das ganze läuft auf den Hauptserver mit der zentralen Anwendung.
Zweiter Server ist für andere App aber alle sind in der gleichen Domain.
Werde mal die Einstellungen nochmal anschauen, normal sollte doch der User in der Domaine mit RDS Rolle sich einloggen können auf dem Server wenn er als Standard User angelegt ist so kenne ich es auch.

cu