RODC GPO изменить разрешения на папк

Имеем в инфраструктуре 3 контроллера только для чтения, после применения Групповых политик с разрешением на папки, Политика применяется частично. Странно Результирующая политика сообщает об ошибке, именно эта опция не применяется, однако мастер моделирования говорит что всё хокей и политика ДОЛЖНА корректно применяться.

Решение (кустарное правда) такое - найти политику в SysVol и ручками скопировать ее на нужный контроллер для чтения, почему-то только на них не распространилась данная политика, хотя на сам контроллер домена политика применилась.

С обычными контроллерами проблем не возникло.

Default User Groups

Interactive - Группа пользователей которые могут обращаться только к к-л локальному ресурсу
Network - пользователи могут обращаться к ресурсу по сети

Recovering deleted groups

How to restore deleted user accounts and their group memberships in Active Directory

http://support.microsoft.com/kb/840001/en-us

Microsoft Scripting Center

Here is a lot of scripts on Windows Server.

List members of Group in Active Directory

# For Auditing your Active Directory
# Produces a list of People within a particular security Group
# In this case, "Domain Admins"
# By changing name of domain, you can query other child domains as well
#
# Requires Quest Active Roles

# Connect to Particular Domain, this is "CONTOSO.LOCAL" an internal Domain Name, but it could just as easily be
# 'ACCOUNTING.CONTOSO.LOCAL' or 'ALASKA.FABRIKAM.COM'

connect-qadservice -service 'contoso.local'
' '
#
# 'Domain Admins' can be replaced with any other Group name, including 'Enterprise Admins' or 'Bean Counters'
# should even work on Distribution Lists.
#
get-qadgroup 'Domain Admins' | foreach { $_.member }

AD Win2008 добавить/удалить пользователей в группы

From TechNet

Обновил на 2008 PowerShell до 2.0 нет таких команд :(. Нашел другое решение (ниже).

Adding and Removing Members of a Group

Updated: February 28, 2009

Applies To: Windows Server 2008 R2

This topic explains how to use the Active Directory module for Windows PowerShell to add or remove members of a group.
Example 1

The following example demonstrates how to add the user SaraDavis to the group SvcAccPSOGroup:

Add-ADGroupMember -Identity SvcAccPSOGroup -Member SaraDavis
Example 2

The following example demonstrates how to remove the user SaraDavis from the group SvcAccPSOGroup:

Remove-ADGroupMember -Identity SvcAccPSOGroup -Member SaraDavis
Additional information

For a full explanation of the parameters that you can pass to Add-ADGroupMember or Remove-ADGroupMember, at the Active Directory module command prompt, type Get-Help Add-ADGroupMember –detailed or Get-Help Remove-ADGroupMember –detailed, and then press ENTER.


Ставим Quest Active Roles на сервак и делаем простенький скрипт, точнее два скрипта: один на *.ps1 второй *.bat
# запускаем PS с модулями Quest Active Roles и сам исполняемый скрипт
remove.bat
%SystemRoot%\system32\WindowsPowerShell\v1.0\powershell.exe -ImportSystemModules -command
%path%\remove_group_remote.ps1


remove.ps1
# For Auditing your Active Directory
# Produces a list of People within a particular security Group
# In this case, "Domain Admins"
# By changing name of domain, you can query other child domains as well
#
# Requires Quest Active Roles

# Connect to Particular Domain, this is "CONTOSO.LOCAL" an internal Domain Name, but it could just as easily be
# 'ACCOUNTING.CONTOSO.LOCAL' or 'ALASKA.FABRIKAM.COM'

connect-qadservice -service 'baitushum.kg'
' '
#
# 'Domain Admins' can be replaced with any other Group name, including 'Enterprise Admins' or 'Bean Counters'
# should even work on Distribution Lists.
#
remove-qadmemberof -Identity 'Пользователи домена' -group 'Пользователи удаленного рабочего стола'
#add-qadmemberof -Identity 'Пользователи домена' -group 'support_admins'


При необходимости вешаем батник на Планировщик заданий и все окейно работает.

Проблема с DHCP.

Случилось страшное: не работает DHCP, в панели управления пишет что не авторизован.

Что делать? Полдня искал причину, нашел:

ADSIEdit.msc - connect.. - configuration - Services - netservices

Здесь находится список авторизованных DHCP серверов - анализируем.

В моем случае было дублирование сервера, при удалении дублирующего сервера и пере-авторизации его всё заработало! Ура! Ура!

DHCP autorization

Если случилось "страшное" и авторизованный DHCP сервер ведет себя как неавторизованный поможет следующее:
1) удалить сервер из списка авторизованных DHCP
2) добавить сервер в список авторизованных DHCP снова.

netsh dhcp>list
list - Вывод списка доступных команд.
help - Вывод справки.
? - Вывод справки.

add server - Добавление сервера в список серверов, авторизованных в службе каталогов.
delete server - Удаляет DHCP-сервер из списка уполномоченных серверов в службе каталогов.
show server - Выводит список DHCP-серверов службы каталога текущего домена
server [\\имя_сервера/IP_адрес] - Переключение на контекст указанного сервера.
Отсутствие имени означает локальный сервер.

netsh dhcp>delete server

Удаление сервера с

Команда успешно завершена.
netsh dhcp>add server

Добавление сервера
Команда успешно завершена.
netsh dhcp>exit

Репликация AD

repadmin /replsummary
repadmin /showrepl
dcdiag
repadmin /syncall

net start ntfsr (служба "Репликация файлов")