تنظیمات مربوط به گروه Domain Admin

[hadi_PN]

سلام دوستان
یه موردی جهت راهنمایی مطرح میکنم اگر دوستان مطلبی دارن ممنون میشم کمک کنن

یه Domain داریم و یه سرور SQL جهت برنامه حسابداری
یه یوزر ویندوزی دارم عضو گروه Domain Admin
و این یوزر بین 20 نفر مشترکه و همه دارن باهاش کار میکنن یعنی به ویندوز لاگین میکنن ( در داخل خود برنامه حسابداری کدکاربری جداس )
این یوزر باید عضو Domain Admin باشه و گرنه برنامه حسابدری کار نمیکنه

حالا از لحاظ امنیتی دچار مشکل هستیم مورد اینه که چطوری میشه جلو این یوزر رو گرفت که کسی با این یوزر از طریق Run و اجرای دستورات مربوطه SQL را stop کنه ؟ تونستم مطلب رو برسونم
در پالسی ها چطوری میشه جلو اینکار رو گرفت چیا رو براش غیرفعال کنیم که در عین حالی که عضو اون گروه هستش ولی توانایی اجرای برنامه رو هم داشته باشه

---

موضوعات مشابه:

• اشکال در تعریف quota برای کاربران عضو دامین و عضو گروه domain admin
• ساختن يوز Admin Domain Limited
• اجازه ندادن به Admin Domain جهت مونیتور Admin دیگر ...
• تفاوت domain admin با administrator
• Changing the Domain Admin Password

---

[behnoud]

با سلام

به نظرم اول بهتره یه یوزر در دومین تعریف کنید بعد این یوزر رو در اون سیستم لوکال ادمین کنید بعداً پالیسی رو اعمال کنید.

[Leon]

اگه درست حدس زده باشم برنامه حسابداریتون همکاران سیستمه

من هم دنبال راه حل این باگ فاجعه آمیز همکاران سیستم هستم !

مشکل هم مربوط به فایل PDOXUSRS هست که توی روت درایو C قرار داره و کاربران غیر از Admin دسترسی کافی به این فایل رو ندارن. با هیچ نوع permission هم مشکل برطرف نمیشه

[hadi_PN]

با سلام

به نظرم اول بهتره یه یوزر در دومین تعریف کنید بعد این یوزر رو در اون سیستم لوکال ادمین کنید بعداً پالیسی رو اعمال کنید.

نمیشه اون یوزر حتما باید از طریق دامین عضو Domain Admin باشه وگرنه کار نمیکنه
البته من اومدم با پالسی run رو disable کردم ولی حتما راههای دور زدنش هست

[th95]

این یوزر باید عضو Domain Admin باشه و گرنه برنامه حسابدری کار نمیکنه

میشه بپرسم چطور به این نتیجه رسیدید که یوزر باید عضو گروه Domain Admins باشه ؟؟
اصلا اومدیم و یکجا دامین نداشتند این برنامه کار نمیکنه ؟
مطمئنم یک جای کار رو اشتباه میکنید.
شاید Local Admin لازم باشه اون هم شاید ! (که احتمالا با چهار تا دسترسی ساده فایلی و دیتابیسی مشکل حل میشه) ولی Domain Admin ???
No Way !

مشکل هم مربوط به فایل PDOXUSRS هست که توی روت درایو C قرار داره و کاربران غیر از Admin دسترسی کافی به این فایل رو ندارن. با هیچ نوع permission هم مشکل برطرف نمیشه

وا.. من تا جایی که میدونم حداقل 5 ساله که با این فایل هیچ مشکلی نداره
کاربران ما هم همه یوزر عادی هستند.
به نظر شما دسترسی ساده به یک فایل میشه باگ فاجعه آمیز ... !! ؟

[hadi_PN]

اگه درست حدس زده باشم برنامه حسابداریتون همکاران سیستمه

من هم دنبال راه حل این باگ فاجعه آمیز همکاران سیستم هستم !

مشکل هم مربوط به فایل PDOXUSRS هست که توی روت درایو C قرار داره و کاربران غیر از Admin دسترسی کافی به این فایل رو ندارن. با هیچ نوع permission هم مشکل برطرف نمیشه

عرض کنم با یه ادمین به اون سیستم کلاینت لاگین کنید بعد در prop. در قسمت security یک every one رو اد کنید بعد در پایین همه چیز رو تیک بذار به اصطلاح full کنید مشکلش حل میشه این که بقول دستمون که باگ نیست

میشه بپرسم چطور به این نتیجه رسیدید که یوزر باید عضو گروه Domain Admins باشه ؟؟
اصلا اومدیم و یکجا دامین نداشتند این برنامه کار نمیکنه ؟
مطمئنم یک جای کار رو اشتباه میکنید.
شاید Local Admin لازم باشه اون هم شاید ! (که احتمالا با چهار تا دسترسی ساده فایلی و دیتابیسی مشکل حل میشه) ولی Domain Admin ???
No Way !


......

خب دلیلتون بجاست منم همیشه به فکر این بودم اما دلیلش رو نتونستم پیدا کنم اما بصورت لوکال که به سیستمی لاگین میکنم پیغام زیر رو برام میده :

Sqlserver does not exist or access denied

[Leon]

میشه بپرسم چطور به این نتیجه رسیدید که یوزر باید عضو گروه Domain Admins باشه ؟؟
اصلا اومدیم و یکجا دامین نداشتند این برنامه کار نمیکنه ؟ اگه دامین نباشه که یوزرها هم به عنوان Domain Users محدودیتی ندارند توی شبکه
مطمئنم یک جای کار رو اشتباه میکنید.
شاید Local Admin لازم باشه اون هم شاید ! این رو هم تست کردم فایده نداره عزیز (که احتمالا با چهار تا دسترسی ساده فایلی و دیتابیسی مشکل حل میشه) ولی Domain Admin ???
No Way !


وا.. من تا جایی که میدونم حداقل 5 ساله که با این فایل هیچ مشکلی نداره (البته من اعتراف میکنم نسخه ای که ما داریم استفاده میکنیم قدیمی هست)
کاربران ما هم همه یوزر عادی هستند.
به نظر شما دسترسی ساده به یک فایل میشه باگ فاجعه آمیز ... !! ؟

دقیقا وقتی فاجعه میشه که شما مجبور شید دسترسی domain Admin به کاربر بدید. من انواع permission ها رو تست کردم. یه روش های عجیب غریبی داره، مثلا باید فایل رو پاک کنید، بعد با یه اکانت Domain Admin لاگین کنید و برنامه رو اجرا کنید تا فایل دوباره ساخته شه، بعد خارج شید و با یوزر لاگین شید، بعضی مواقع جواب میده !

عرض کنم با یه ادمین به اون سیستم کلاینت لاگین کنید بعد در prop. در قسمت security یک every one رو اد کنید بعد در پایین همه چیز رو تیک بذار به اصطلاح full کنید مشکلش حل میشه این که بقول دستمون که باگ نیست (... با هیچ نوع permission هم مشکل برطرف نمیشه)


خب دلیلتون بجاست منم همیشه به فکر این بودم اما دلیلش رو نتونستم پیدا کنم اما بصورت لوکال که به سیستمی لاگین میکنم پیغام زیر رو برام میده :

Sqlserver does not exist or access denied

البته مشکلی که من گفتم با این خطا فرق میکنه، اون مربوط به یه فایل برنامه بود.

[hadi_PN]

فک کنم مورد بحث یه چیز دیگه ای بود که تبدیل شد به مشکل همکاران سیستم

همانطور که گفتم باید با یه ادمین به اون سیستم کلاینت لاگین کنید بعد در prop. در قسمت security یک every one رو اد کنید بعد در پایین همه چیز رو تیک بذار به اصطلاح full کنید مشکلش حل میشه

[hellion_m]

يك پيشنهاد كه خودم استفاده كردم و هيچ مشكلي ندارم
1- اصلا لازم نيست كه كاربر admin باشه
2- امدم در اكتيو تعريف كردم كه همون فايل براي تمام كاربران full باشه
Computer Configuration -> Policies -> Windows Settings -> Security Setting ->File System-> %SystemDrive%\PDOXUSRS.NET
Allow BUILTIN\Users Full Control

[th95]

دقیقا وقتی فاجعه میشه که شما مجبور شید دسترسی domain Admin به کاربر بدید. من انواع permission ها رو تست کردم. یه روش های عجیب غریبی داره، مثلا باید فایل رو پاک کنید، بعد با یه اکانت Domain Admin لاگین کنید و برنامه رو اجرا کنید تا فایل دوباره ساخته شه، بعد خارج شید و با یوزر لاگین شید، بعضی مواقع جواب میده !

دوست عزیز من طرفدار همکاران سیستم نیستم
کاری هم باهاش ندارم
همه کارهاش رو App Admin شرکت انجام میده
ولی این چیزی که میفرمایید رو تو نسخه های مختلف این چند سالشون من که ندیدم
بهر حال بگذریم

من هنوز منتظرم که اون دوستمون بفرمایند چرا Domain Admin برای اون برنامه حسابداری نیازه ؟ و اگه دامین نداشته باشیم چی میشه ؟

[hadi_PN]

خب خوشبختانه تونستم یه تستی بزنم و در حالت workgroup اون حالت رو تست کنم

خوب برروی یک سیستم ( سیستم A ) یه sql نصب کردم و دیتا بیس براش اتچ کردم

در سیستم جداگانه ای ( سیستم B ) اومدم اون برنامه رو نصب کردم

اجرا نشد همان پیغامSqlserver does not exist or access denied برام داد.

برروی سیستم A یک یوزری ایجاد کردم در حد Users

در سیستم B در Run اومدم IP سیستم A رو دادم پنجره ای باز کرد و ازم یوزر و پسورد دخواست همان یوزر معمولی رو بهش دادم
تست کردم دیدم باز هم همان پیغام رو داد.

حال ان یوزر روی سیستم A را عضو گروه Administrators کردم

دوباره در سیستم B اومدم IP سیستم A رو دادم موقعی که یوزر پسورد خواست همان یوزری که عضو گروه Admin شده بود رو دادم دیدم برنامه اجرا شد

به این نتیجه رسیدم که برنامه هنگامی کار میکنه یوزری در حد Admin باید اونو با SQL بتونه Auth. کنه وگرنه کار نمیکنه

خب الان رسیدم به نقطه اول اگر قرار باشه یوزری در حد Admin لاگین کنه یا اینکه یوزر پسورد را برروی سیستمش ذخیره کنیم بازم دچار مشکل خواهم شد چون بدون قید و شرط همه چیز sql در اختیارش قرار خواهد داد .

[hadi_PN]

خب دوستان بازم خواستم بطور خلاصه مطرح کنم موضوع رو که دیگه به این نتیجه رسیدم

دو حالت ممکنه اتفاق بیفته
1- حالت workGroup
2- Domain
در هرحالت باید یوزری که میخواد از سمت کلاینت به ویندوز لاگین کنه باید عضو ادمین باشه
اونجا در حالت دامین عضو Domain Admin و در حالت WorkGroup هم باید یوزر و پسورد ادمین لوکال طرف در UNC Path رو باید بده تا بتونه برنامه رو اجرا کنه

حتما باید سیستمی که میخواد با SQL ارتباط برقرار کنه یوزرش یه جورایی باید در حد گروه Admin خودشو Authکنه

[behnoud]

اونجا در حالت دامین عضو Domain Admin

شما یه بار امتحان کن. یوزر دومین رو در اون سیستم لوکال ادمین کن. فکر کنم کار بکنه

[kamran_fa]

دوستان فكر كنم مشكل شما با security اسكيو ال ،
تنظيمات SQL رو چك كنيد .

[ebiaratex]

سلام بر اساتید عزیز
بنده 5 -6 سالی هست با همکاران کار میکنم و همچین مشکلی ندیدم نه تو domain و نه در workgroup
بعد از راه اندازی سرور ،برنامه های مورد نیاز بر روی یوزر ها نصب میشه و یه bde ست میشه و کاربرها میتونن کار کنن