[kim-aa]

Это конечно танцы с бубном, но..
Предлагаю попробовать на 1й машине.
-Делаешь пользователя локальным админом (или Domain)
-Login в систему, проверка всех операций. Logout
- В случае положительного результата - понижение в правах.
-Снова попробовать Login и проверку операций

[ginnyboy]

Непонятно, к чему эти действия, но интересен результат.
Хотя, я думаю, это проблемы не решит..
Завтра попробую. Спасибо за участие

[ginnyboy]

Итак, вести с полей
Пришла вечером в голову идея поднять новый PDC. Пришёл на работу, сделали DCPROMO серверу RIS, передали все роли ему.
А теперь новости: что, мол, изменилось. Сначала хорошие, потом плохие, как в анекдотах.

+ Юзеры стали нормально ходить по шарам (без Everyone) и сидеть в терминале (без участия в локальной группе Power users терминального сервера).
+ Антивирус (работает с правами LOCAL SYSTEM) стал обновляться.

- Антивирусы, работающие на серваках и в соседнем домене ПЕРЕСТАЛИ обновляца с учёткой LOCAL SYSTEM.
- Всё так же не работает RIS. Переустановка службы не помогла. Кроме того был поднят старый RIS, но он опять же посылает с той же ошибкой аутентификации.

Куда дальше копать -- неясно вообще.

[kim-aa]

Может я ошибаюсь, но по моему проблемы со схемой AD.
В данном вопросе я не специалист, однако натыкался на информацию, что в сложных AD-структурах (с существующими суб и над-доменами) для избежания таких граблей разносят контроллеры домена и контроллеры схемы домена.

Антивирусы, работающие на серваках

На старых контролерах или просто серверах?
Если на старых, то боюсь придется их понижать и делать контроллерами заново.
Если на обыкновенных серверах - можно попробовать вывести их из домена, а затем снова ввести (но для гарантии я бы таки понизил старые DC)

[ginnyboy]

На старых контролерах или просто серверах?

На старых контроллерах.

Если на старых, то боюсь придется их понижать и делать контроллерами заново. Если на обыкновенных серверах - можно попробовать вывести их из домена, а затем снова ввести (но для гарантии я бы таки понизил старые DC)

Да, видимо, придётся.
Спасибо, что утвердили моё желание сделать это. Теперь уж точно после рабочего дня казним и помилуем остальные DC

[ginnyboy]

Действия:
- Понизили все контроллеры, отобрали роли, передали всё новой машине W2k3.
- В дочернем домене то же самое сотворили.
- Переустановили RIS, авторизировали заново сервер DHCP.

to do:
Вернуть всё назад и проверить доступность шар/установки ОС через RIS. Но это в понедельник.
Всем спасибо за участие в решении :D