Hallo zusammen,
das Problem ist etwas tricky, deshalb meine Frage recht ausführlich mit ein paar schon erledigten ToDo's. Falls die Frage jemandem bekannt vorkommt - sorry, das Problem ist etwas dringlich und daher habe ich auch an anderer Stelle um Hilfe gebeten
- bisher leider noch ohne Erfolg.
Es existiert eine Windows 2008-Domäne A mit einigen Windows XP-Clients. In einer weiteren Domäne B existiert ein DFS-Stamm, auf den User regelmäßig zugreifen sollen. Die User haben sowohl in Domäne A und in Domäne B je einen
Account, der den gleichen Anmeldenamen und das gleiche Kennwort hat. Die Domänen haben eine NT4-kompatible Vertrauensstellung, wobei Domäne A der Domäne B vertraut. Die Vertrauensstellung ist (leider) einseitig.
Bei den Windows XP-Anmeldeskripten ist ein Batch hinterlegt, dass den Nutzer der Domäne A beim Arbeiten auf einem Computer der Domäne A mit seinem Anmeldenamen der Domäne B in der Domäne B am DFS-Stamm voranmeldet. Da die Kennworte in beiden
Domänen identisch sind, braucht der Nutzer für den Zugriff in Domäne B kein Kennwort angeben.
Die Voranmeldung sieht so aus:
net use \\domainB.de\dfsbasis\dfsshare /user:domainB\Logonname
Nach dieser "Voranmeldung" ist es mit dem Explorer möglich, einfach das Share \\domainB.de\dfsbasis\dfsshare oder Unterverzeichnisse aufzurufen und zuzugreifen. Ein Kennwort wird vorsätzlich nicht übergeben, da dies bei der Voranmeldung
nicht bekannt ist.
Jetzt steht eine Migration nach Windows 7 an und dieser hier beschriebene Mechanismus funktioniert mit Windows 7 nicht. Nach dem Versuch des Öffnens des Shares dauert es einen kurzen Moment bis ein Fenster angezeigt wird, das mitteilt, dass der Benutzername
oder das Kennwort falsch sind.
Durch Hinweise im Internet habe ich bereits mit secpol.msc die Anmeldetypen so umgestellt, dass NTLM und LM wieder möglich sind - trotzdem funktioniert es nicht. Ein Sniff mit Whireshark zeigt, dass sich Windows 7 versucht an dem DFS anzumelden und dabei
quasi den falschen Domänennamen mitgibt. Statt DomainB\Logonname wird DomainA\Logonname an den Server übertragen, was dann natürlich schief geht, da ja die Vertrauensstellung in die falsche Richtung zeigt.
Es scheint fast so als wenn Windows 7 zwar über net use bestätigt, dass alles ok ist, aber keine Session aufgebaut wird, die beim Zugriff Verwendung findet. Das Problem tritt auch bei abgeschalteter UAC auf und mit dem Registry-Key der sagt,
dass administrativ eingerichtete Shares an den User durchgereicht werden dürfen.
Hülfe zusammen, das Problem ist wirklich vertrakt und alle Hinweise sind willkommen. Nicht nur Hinweise, wie das Problem zu lösen ist, auch Workarounds, die dem Nutzer das manuelle Anmelden an den DFS-Laufwerken ermöglichen, sind gern willkommen.
Ausgeschlossen ist, dass die Vertrauensstellung beidseitig wird oder eine Datenmigration stattfindet - aber sonst sind viele Wege offen.
Danke schön schon jetzt für eure Hilfe.
