Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Windows Windows Serveur Active Directory des noms en clairs dans SYSVOL\policies

des noms en clairs dans SYSVOLpolicies

8 réponses
Avatar
Scan le Gentil
Bonjour,

lors d'une intégration d'un serveur W2K US entant que serveur membre d'un
domaine W2K3 français, j'ai des problèmes de mappings de SID sur certains
builtin groups.
En déroulant la kb suivante (Troubleshooting SCECLI 1202 Events )
http://support.microsoft.com/kb/324383#XSLTH4123121122120121120120, j'ai
trouvé 2 fois la référence au groupe Administrateurs (une fois nommée, une
fois avec le SID) dans C:\WINDOWS\security\logs\winlogon.log
[...]
Error 1332: No mapping between account names and security IDs was done.
Cannot find Administrateurs.
[...]
Configure S-1-5-32-544
[...]

J'ai ensuite cherché d'où venait le nom, au lieu du SID, au sein des
policies.
J'ai donc effectué la recherche suivante: tout fichier contenant "teur" dans
\\domaine.fr\sysvol\domaine.fr\policies.
Je trouve "utilisateurs", "Administrateurs", et certains autres builtin
groups configurés au sein de mes gpo.
Selon-vous, est-ce normal que je trouve des noms en clair dans les fichiers
de SYSVOL au lieu de leur SID?
Comment les remplacer, sans éditer à la main les fichiers de
\\domaine.fr\sysvol\domaine.fr\policies. Je ne peux pas remplacer les
entrées des stratégies, ni même supprimer une stratégie sans conséquence.

Merci pour toute aide


SLG
Signaler un problème avec ce contenu

8 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
Avatar
Jonathan Bismuth
Bonjour Scan,

tu as trouvé la bonne erreur. Effectivement, interprétation du "Teur" par un
Windows 2003 US est plus qu'hazardeuse...
Pour ma part, ayant été confronté de nombreuses fois à des situations
équivalentes, j'ai développé mon script perso (Auto IT inside, très sympa
pour la gestion des fichiers ini et assimilés)

Je te le colle en "brut de fonderie", à toi de le modifier pour scanner ce
que tu cherche. Pour info chez moi il cherche -si non existant- le groupe
adminsitrator/teur dans le paramètre de droit de logon en interactif sur la
station et l'ajoute le cas échéant.

Bon courage à toi,

;## début script ###
#include <file.au3>
#include <array.au3>
Opt("ExpandEnvStrings", 1)

RunWait(@ComSpec & " /C " & "dir
mondomaine.lanSYSVOLmondomaine.lanPolicies > c:gpo.txt")
$err = @error

$i = 7
while 1
$i =$i +1
$Fgpo = FileOpen ( "c:gpo.txt", 0)
$GPOid = FileReadLine ($Fgpo, $i)
If @error = -1 Then Exitloop
$Tab = StringSplit ($GPOid, " ")
_ArraySort( $Tab)
$GPO = $Tab[16]
;msgbox (0, "Nom du fichier GPO", $GPO)
call ("ReadWrite")
FileClose ($Fgpo)
wend
msgbox (0,"Fin de procédure","analyse et modification terminée")

func ReadWrite()
$File = FileOpen ("mondomaine.lanSYSVOLmondomaine.lanPolicies"& $GPO
&"Machinemicrosoftwindows ntSecEditGptTmpl.inf", 0)
If $File <> -1 then
$var = IniRead ("mondomaine.lanSYSVOLmondomaine.lanPolicies"& $GPO
&"Machinemicrosoftwindows ntSecEditGptTmpl.inf", "Privilege Rights",
"SeInteractiveLogonRight", "non")
if $var <> "non" then
$SID = StringSplit ($var, ",")
;_arraydisplay ($SID,"Sid Admins du poste")
$stop = $SID[0]
$inc = 1
$start =$SID[$inc]
$compt = $start

while $inc < $SID[0]

if $compt = "*S-1-5-32-544" then ExitLoop

$compterB = $SID[0] +1
Dim $TabFin[1]

while $inc < $CompterB

;if $SID[$inc] = "*S-1-5-32-544" then ExitLoop

_Arrayadd ($TabFin, $SID[$inc])
$inc = $inc +1

wend
_ArrayDelete ($TabFin,0)
;_ArrayDisplay ($TabFin, "Tableau Final")

; classement et recherche
_ArraySort( $TabFin)
;_ArrayDisplay ($TabFin, "Tableau Classé")
$Search = _ArrayBinarySearch ( $TabFin, "*S-1-5-32-544" )
if @error = 2 Then
Dim $Final = _ArrayToString ($TabFin,",",-1,-1)

$VarWrite = IniWrite
("mondomaine.lanSYSVOLmondomaine.lanPolicies"& $GPO
&"Machinemicrosoftwindows ntSecEditGptTmpl.inf", "Privilege Rights",
"SeInteractiveLogonRight", "*S-1-5-32-544,"&$Final)
$audit = FileOpen ("c:log.txt", 1)
FileWriteLine ($audit, $GPO)
FileClose ($audit)
else
;msgbox (0,"recherche OK","rien n'est à modifier")
exitloop
endif
wend
endif

fileclose ($File)
EndIf
EndFunc

;## Fin script###

Ps : mail moi si tu veux une version qui ne gère que l'audit des fichiers à
modifier sans taper dedant directement

Cordialement,
--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Scan le Gentil" a écrit dans le message de news:
Oo%
Bonjour,

lors d'une intégration d'un serveur W2K US entant que serveur membre d'un
domaine W2K3 français, j'ai des problèmes de mappings de SID sur certains
builtin groups.
En déroulant la kb suivante (Troubleshooting SCECLI 1202 Events )
http://support.microsoft.com/kb/324383#XSLTH4123121122120121120120, j'ai
trouvé 2 fois la référence au groupe Administrateurs (une fois nommée, une
fois avec le SID) dans C:WINDOWSsecuritylogswinlogon.log
[...]
Error 1332: No mapping between account names and security IDs was done.
Cannot find Administrateurs.
[...]
Configure S-1-5-32-544
[...]

J'ai ensuite cherché d'où venait le nom, au lieu du SID, au sein des
policies.
J'ai donc effectué la recherche suivante: tout fichier contenant "teur"
dans domaine.frsysvoldomaine.frpolicies.
Je trouve "utilisateurs", "Administrateurs", et certains autres builtin
groups configurés au sein de mes gpo.
Selon-vous, est-ce normal que je trouve des noms en clair dans les
fichiers de SYSVOL au lieu de leur SID?
Comment les remplacer, sans éditer à la main les fichiers de
domaine.frsysvoldomaine.frpolicies. Je ne peux pas remplacer les
entrées des stratégies, ni même supprimer une stratégie sans conséquence.

Merci pour toute aide


SLG



Avatar
Scan le Gentil
Merci Johathan,

Maisje ne crois pas qu'un script résolve durablement mon problème.
Dis-moi si je me trompe, il ajoute "*S-1-5-32-544" si il ne le trouve pas
dans les fichiers de policy de l'arborescence de SYSVOL?

Je pourrai moi-même créer un script qui remplace toute entrée
"Administrateur" par son SID, mais seulement si la solution est pérenne. Et
encore, dans le cas de plusieurs contrôleur de domaines, ne faut-il pas que
j'applique en même temps cette KB:
http://support.microsoft.com/default.aspx?scid=kb;en-us;315457 ?

Attention, lors de la prochaine génération des fichiers de de gpo à
répliquer, les nouveaux fichiers à répliquer contiendront à nouveau des noms
de groupes en texte.

Je crois vraiment qu'il y a un problème sur les noms de groupes builtin
visualisables grâce à la mmc Utilisateurs et Ordinateurs A, car lorsque je
dois sélectionner depuis une autre mmc (par ex un gpedit US) un de ces
groupe ce sont les seuls qui apparaissent en français parmi les entités de
sécurité intégrées.

Merci beaucoup pour ton conseil. Mais j'ai besoin que les fichiers générés
pour la réplication ne contiennent aucun nom sans devoir passer un script de
remplacement de chaîne à chaque modifs de gpo. J'ignore quels vont être les
entités de sécurité intégrés vont être définis en gpo dans l'avenir.

Merci pour touteinfo supplémentaire.

SLG



"Jonathan Bismuth" a écrit
dans le message de news:
Bonjour Scan,

tu as trouvé la bonne erreur. Effectivement, interprétation du "Teur" par
un Windows 2003 US est plus qu'hazardeuse...
Pour ma part, ayant été confronté de nombreuses fois à des situations
équivalentes, j'ai développé mon script perso (Auto IT inside, très sympa
pour la gestion des fichiers ini et assimilés)

Je te le colle en "brut de fonderie", à toi de le modifier pour scanner ce
que tu cherche. Pour info chez moi il cherche -si non existant- le groupe
adminsitrator/teur dans le paramètre de droit de logon en interactif sur
la station et l'ajoute le cas échéant.

Bon courage à toi,

;## début script ###
#include <file.au3>
#include <array.au3>
Opt("ExpandEnvStrings", 1)

RunWait(@ComSpec & " /C " & "dir
mondomaine.lanSYSVOLmondomaine.lanPolicies > c:gpo.txt")
$err = @error

$i = 7
while 1
$i =$i +1
$Fgpo = FileOpen ( "c:gpo.txt", 0)
$GPOid = FileReadLine ($Fgpo, $i)
If @error = -1 Then Exitloop
$Tab = StringSplit ($GPOid, " ")
_ArraySort( $Tab)
$GPO = $Tab[16]
;msgbox (0, "Nom du fichier GPO", $GPO)
call ("ReadWrite")
FileClose ($Fgpo)
wend
msgbox (0,"Fin de procédure","analyse et modification terminée")

func ReadWrite()
$File = FileOpen ("mondomaine.lanSYSVOLmondomaine.lanPolicies"& $GPO
&"Machinemicrosoftwindows ntSecEditGptTmpl.inf", 0)
If $File <> -1 then
$var = IniRead ("mondomaine.lanSYSVOLmondomaine.lanPolicies"& $GPO
&"Machinemicrosoftwindows ntSecEditGptTmpl.inf", "Privilege Rights",
"SeInteractiveLogonRight", "non")
if $var <> "non" then
$SID = StringSplit ($var, ",")
;_arraydisplay ($SID,"Sid Admins du poste")
$stop = $SID[0]
$inc = 1
$start =$SID[$inc]
$compt = $start

while $inc < $SID[0]

if $compt = "*S-1-5-32-544" then ExitLoop

$compterB = $SID[0] +1
Dim $TabFin[1]

while $inc < $CompterB

;if $SID[$inc] = "*S-1-5-32-544" then ExitLoop

_Arrayadd ($TabFin, $SID[$inc])
$inc = $inc +1

wend
_ArrayDelete ($TabFin,0)
;_ArrayDisplay ($TabFin, "Tableau Final")

; classement et recherche
_ArraySort( $TabFin)
;_ArrayDisplay ($TabFin, "Tableau Classé")
$Search = _ArrayBinarySearch ( $TabFin, "*S-1-5-32-544" )
if @error = 2 Then
Dim $Final = _ArrayToString ($TabFin,",",-1,-1)

$VarWrite = IniWrite
("mondomaine.lanSYSVOLmondomaine.lanPolicies"& $GPO
&"Machinemicrosoftwindows ntSecEditGptTmpl.inf", "Privilege Rights",
"SeInteractiveLogonRight", "*S-1-5-32-544,"&$Final)
$audit = FileOpen ("c:log.txt", 1)
FileWriteLine ($audit, $GPO)
FileClose ($audit)
else
;msgbox (0,"recherche OK","rien n'est à modifier")
exitloop
endif
wend
endif

fileclose ($File)
EndIf
EndFunc

;## Fin script###

Ps : mail moi si tu veux une version qui ne gère que l'audit des fichiers
à modifier sans taper dedant directement

Cordialement,
--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Scan le Gentil" a écrit dans le message de
news: Oo%
Bonjour,

lors d'une intégration d'un serveur W2K US entant que serveur membre d'un
domaine W2K3 français, j'ai des problèmes de mappings de SID sur certains
builtin groups.
En déroulant la kb suivante (Troubleshooting SCECLI 1202 Events )
http://support.microsoft.com/kb/324383#XSLTH4123121122120121120120, j'ai
trouvé 2 fois la référence au groupe Administrateurs (une fois nommée,
une fois avec le SID) dans C:WINDOWSsecuritylogswinlogon.log
[...]
Error 1332: No mapping between account names and security IDs was done.
Cannot find Administrateurs.
[...]
Configure S-1-5-32-544
[...]

J'ai ensuite cherché d'où venait le nom, au lieu du SID, au sein des
policies.
J'ai donc effectué la recherche suivante: tout fichier contenant "teur"
dans domaine.frsysvoldomaine.frpolicies.
Je trouve "utilisateurs", "Administrateurs", et certains autres builtin
groups configurés au sein de mes gpo.
Selon-vous, est-ce normal que je trouve des noms en clair dans les
fichiers de SYSVOL au lieu de leur SID?
Comment les remplacer, sans éditer à la main les fichiers de
domaine.frsysvoldomaine.frpolicies. Je ne peux pas remplacer les
entrées des stratégies, ni même supprimer une stratégie sans conséquence.

Merci pour toute aide


SLG







Avatar
Jonathan Bismuth
re,

Je ne penses pas que remonter le sysvol corrigera quelque chose, puisqu'il
s'agit vraisemblablement de problèmes de résolution user vers Sid

Question, depuis un 2003 US, as tu créé des GPO contenant des noms de
groupes builtin? Si oui as tu donné comme nom "administrateurs" ou "tors"?

En théorie, quand tu fais une GPO dans laquelle un group builtin est appelé,
le fichier mappe automatiquement son Sid et non le groupe lui même. Sauf si
tu as fais une gpo depuis un DC dans une langue utilisant un groupe builtin
dans une autre d'où les erreurs possibles...

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Scan le Gentil" a écrit dans le message de news:

Merci Johathan,

Maisje ne crois pas qu'un script résolve durablement mon problème.
Dis-moi si je me trompe, il ajoute "*S-1-5-32-544" si il ne le trouve pas
dans les fichiers de policy de l'arborescence de SYSVOL?

Je pourrai moi-même créer un script qui remplace toute entrée
"Administrateur" par son SID, mais seulement si la solution est pérenne.
Et encore, dans le cas de plusieurs contrôleur de domaines, ne faut-il pas
que j'applique en même temps cette KB:
http://support.microsoft.com/default.aspx?scid=kb;en-us;315457 ?



Avatar
Scan le Gentil
Pour répondre à ta question, j'ai en effet tenté de rentrer à nouveau chaque
occurence de ces builtin groups sur chaque gpo depuis un serveur FR, puis
ensuite depuis un serveur US.
Je ne rentre rien à la main, je sélectionne "Administrateurs" en faisant une
recherche dans les 2 cas.
C'est là que je vois que seuls certains builtin sont en français et d'autres
pas.
Si je rentre "Administrators", le check names ne fonctionnement pas.

Je coyais auusi à l'écriture théorique des SIDs au lieu des noms de groupes,
jusqu'à ce que je vois ces 3 entrées dans les fichiers de réplication de
policies. Pourquoi ces exceptions?

Merci pour tes conseils.

SLG


"Jonathan Bismuth" a écrit
dans le message de news:
re,

Je ne penses pas que remonter le sysvol corrigera quelque chose, puisqu'il
s'agit vraisemblablement de problèmes de résolution user vers Sid

Question, depuis un 2003 US, as tu créé des GPO contenant des noms de
groupes builtin? Si oui as tu donné comme nom "administrateurs" ou "tors"?

En théorie, quand tu fais une GPO dans laquelle un group builtin est
appelé, le fichier mappe automatiquement son Sid et non le groupe lui
même. Sauf si tu as fais une gpo depuis un DC dans une langue utilisant un
groupe builtin dans une autre d'où les erreurs possibles...

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Scan le Gentil" a écrit dans le message de
news:
Merci Johathan,

Maisje ne crois pas qu'un script résolve durablement mon problème.
Dis-moi si je me trompe, il ajoute "*S-1-5-32-544" si il ne le trouve pas
dans les fichiers de policy de l'arborescence de SYSVOL?

Je pourrai moi-même créer un script qui remplace toute entrée
"Administrateur" par son SID, mais seulement si la solution est pérenne.
Et encore, dans le cas de plusieurs contrôleur de domaines, ne faut-il
pas que j'applique en même temps cette KB:
http://support.microsoft.com/default.aspx?scid=kb;en-us;315457 ?






Avatar
Jonathan Bismuth
tu peux me dire quelles gpo tu as modifié, afin que je tente de reproduire ?

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Scan le Gentil" a écrit dans le message de news:


Pour répondre à ta question, j'ai en effet tenté de rentrer à nouveau
chaque occurence de ces builtin groups sur chaque gpo depuis un serveur
FR, puis ensuite depuis un serveur US.
Je ne rentre rien à la main, je sélectionne "Administrateurs" en faisant
une recherche dans les 2 cas.
C'est là que je vois que seuls certains builtin sont en français et
d'autres pas.
Si je rentre "Administrators", le check names ne fonctionnement pas.

Je coyais auusi à l'écriture théorique des SIDs au lieu des noms de
groupes, jusqu'à ce que je vois ces 3 entrées dans les fichiers de
réplication de policies. Pourquoi ces exceptions?

Merci pour tes conseils.

SLG


Avatar
Scan le Gentil
default domain policy
default domain controler policy

Pour info: en tous cas, la modification des fichiers de policy dans le
sysvol est totalement déconseillé par Microsoft. Ca va sans dire.


"Jonathan Bismuth" a écrit
dans le message de news: e7%
tu peux me dire quelles gpo tu as modifié, afin que je tente de reproduire
?

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Scan le Gentil" a écrit dans le message de
news:

Pour répondre à ta question, j'ai en effet tenté de rentrer à nouveau
chaque occurence de ces builtin groups sur chaque gpo depuis un serveur
FR, puis ensuite depuis un serveur US.
Je ne rentre rien à la main, je sélectionne "Administrateurs" en faisant
une recherche dans les 2 cas.
C'est là que je vois que seuls certains builtin sont en français et
d'autres pas.
Si je rentre "Administrators", le check names ne fonctionnement pas.

Je coyais auusi à l'écriture théorique des SIDs au lieu des noms de
groupes, jusqu'à ce que je vois ces 3 entrées dans les fichiers de
réplication de policies. Pourquoi ces exceptions?

Merci pour tes conseils.

SLG






Avatar
Scan le Gentil
J'ai enfin trouvé la KB:
http://support.microsoft.com/default.aspx?scid=kb;en-us;890737

j'appelle mon support

Merci pour ton attention

SLG

"Scan le Gentil" a écrit dans le message de news:

default domain policy
default domain controler policy

Pour info: en tous cas, la modification des fichiers de policy dans le
sysvol est totalement déconseillé par Microsoft. Ca va sans dire.


"Jonathan Bismuth" a écrit
dans le message de news: e7%
tu peux me dire quelles gpo tu as modifié, afin que je tente de
reproduire ?

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Scan le Gentil" a écrit dans le message de
news:

Pour répondre à ta question, j'ai en effet tenté de rentrer à nouveau
chaque occurence de ces builtin groups sur chaque gpo depuis un serveur
FR, puis ensuite depuis un serveur US.
Je ne rentre rien à la main, je sélectionne "Administrateurs" en faisant
une recherche dans les 2 cas.
C'est là que je vois que seuls certains builtin sont en français et
d'autres pas.
Si je rentre "Administrators", le check names ne fonctionnement pas.

Je coyais auusi à l'écriture théorique des SIDs au lieu des noms de
groupes, jusqu'à ce que je vois ces 3 entrées dans les fichiers de
réplication de policies. Pourquoi ces exceptions?

Merci pour tes conseils.

SLG










Avatar
Jonathan Bismuth
et merci pour cette KB que j'avais oublié )

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Scan le Gentil" a écrit dans le message de news:

J'ai enfin trouvé la KB:
http://support.microsoft.com/default.aspx?scid=kb;en-us;890737

j'appelle mon support

Merci pour ton attention

SLG

"Scan le Gentil" a écrit dans le message de
news:
default domain policy
default domain controler policy

Pour info: en tous cas, la modification des fichiers de policy dans le
sysvol est totalement déconseillé par Microsoft. Ca va sans dire.


"Jonathan Bismuth" a écrit
dans le message de news: e7%
tu peux me dire quelles gpo tu as modifié, afin que je tente de
reproduire ?

--
Jonathan BISMUTH
MCSE 2000/ADSI-AutoIT Scripter
Transcript (ID: 691839, code: MCSE2000)
www.portail-mcse.net
pour me contacter http://cerbermail.com/?fCeVUi7Icd


"Scan le Gentil" a écrit dans le message de
news:

Pour répondre à ta question, j'ai en effet tenté de rentrer à nouveau
chaque occurence de ces builtin groups sur chaque gpo depuis un serveur
FR, puis ensuite depuis un serveur US.
Je ne rentre rien à la main, je sélectionne "Administrateurs" en
faisant une recherche dans les 2 cas.
C'est là que je vois que seuls certains builtin sont en français et
d'autres pas.
Si je rentre "Administrators", le check names ne fonctionnement pas.

Je coyais auusi à l'écriture théorique des SIDs au lieu des noms de
groupes, jusqu'à ce que je vois ces 3 entrées dans les fichiers de
réplication de policies. Pourquoi ces exceptions?

Merci pour tes conseils.

SLG