Registrypatch mit Parameter AllNTUserDats problematisch

[IvicaE]

Hallo Leute,

ich habe da mal wieder ein kleines Problem:

ein OPSI-Paket soll diverse Registryeinträge setzen/ändern.
Da ich dies für alle User setzen möchte, verwende ich den Parameter "/AllNTUserDats" (und zusätzlich auch "/SysNative" so nebenbei bemerkt).
Dies wird für alle User auch problemlos umgesetzt, auch für den momentan angemeldeten User obwohl in der Protokolldatei folgendes steht:

Warning: NTUser.dat could not be loaded from path "C:\Users\Mitarbeiter\NTUser.dat". Code 32: Der Prozess kann nicht auf die Datei zugreifen, da sie von einem anderen Prozess verwendet wird.

Die NTUser.dat ist ja in dem Moment im Zugriff, die Änderung wird komischerweise aber dennoch sofort umgesetzt (ohne Neuanmeldung o.ä.).

So, jetzt ist aber der Domänen-Administrator angemeldet und ich mache das gleiche Spiel nochmal. Der gleiche Logbucheintrag ist auch wieder vorhanden, nur hat er dieses mal die Änderungen nicht umgesetzt. Auch ein neuerliches Anmelden (Ab- und dann Anmelden) oder ein Neustart hat die gewünschte Änderung nicht umgesetzt (ich habe irgendwo im Forum gelesen das bei NTUser.dat im Zugriff dies nach einem neuerlichen Anmelden umgesetzt würde).

Was mache ich falsch? Es ist nun kein Weltuntergang da diese Situation eher selten eintreten wird, aber dennoch würde ich gerne das Problem erkennen und Gewissheit haben daß dies nicht in anderen Konstellationen auch bei den betreffenden Userprofilen passieren könnte. Da wäre es dann durchaus wichtig da ich diese neue Registry-Änderung ja gerade für meine User setze die irgendwas haben wollen (Dateiendungen angezeigt bekommen, versteckte Verzeichnisse anzeigen, usw..).

Im konkreten Fall ist es folgende Sub die Aufgerufen wird:

Code: Alles auswählen

[Registry_ShowFileExt]
	openkey [Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
	set "HideFileExt" = REG_DWORD:00000001
	flushkey

bzw.

Code: Alles auswählen

[Registry_HideFileExt]
	openkey [Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
	set "HideFileExt" = REG_DWORD:00000000
	flushkey

Mit folgendem Aufruf:

Code: Alles auswählen

Registry_ShowFileExt /AllNtUserDats /SysNative

bzw.

Code: Alles auswählen

Registry_HideFileExt /AllNtUserDats /SysNative

Zweite "Nebenfrage" (da es mir gerade auffällt und ich das schon lange mal fragen wollte):
Kann man diesen Subs auch selbst definierte Parameter übergeben?
Damit müsste ich keine 2 Subs erstellen die das Gleiche machen (einmal deaktivieren und einmal aktivieren -> Parametergesteuert).
Ich könnte globale Variablen nutzen, was ich aber ungern machen würde wenn es auch mit Parametern gehen sollte.

[uncle_scrooge]

Die NTUser.dat ist ja in dem Moment im Zugriff, die Änderung wird komischerweise aber dennoch sofort umgesetzt (ohne Neuanmeldung o.ä.).

Siehe Handbuch https://download.uib.de/opsi_stable/doc ... anual.html (10.11.4).

Auch für Deinen domain admin muß das greifen.
Direkt in der Registry prüfen, ob die Werte nicht doch gesetzt sind.
Irgendwelche lustigen GPO im Einsatz?

[IvicaE]

@uncle_scrooge

Auch für Deinen domain admin muß das greifen.

Müsste sicherlich, tut es aber nicht. Auch die Registry-Werte sind unangetastet.

Was die GPO angeht:
wenn ich nicht als Domänen-Administrator angemeldet bin sondern als User, dann gibt es, wie bereits erwähnt, im Logbuch auch eine Eintragung das diese DAT-Datei im Zugriff ist, aber die Änderungen werden umgesetzt. Auch für den Administrator dann. Nur wenn er selber angemeldet ist, passiert dies für den Administrator nicht, für alle anderen aber trotzdem doch.


Angemeldet "User" -> AllNTUSerDats greift bei allen, auch bei "User"
Angemeldet "Domain/Administrator" -> AllNTUSerDats greift bei allen AUSSER bei "Domain/Administrator". Auch nach einem Neustart und neuerlichem Anmelden als "Domain/Administrator" bleiben die Registry-Werte unverändert. Beim User dagegen sind sie so gesetzt wie befohlen.

Habe es nun mindestens 4x getestet und immer hin und her an- und abgemeldet. Zweimal alles unter dem angemeldeten Administrator und zwei mal unter dem User per OPSI 'herunter drücken gelassen'.

[uncle_scrooge]

Ich habe das jetzt hier mal nachgebaut.
Auf meiner Zielmaschine gibt es zwei Benutzer (local und domain) plus einen angemeldeten domain admin.
Die Werte werden für alle Benutzer (inkl. des angemeldeten domain admin) plus des default user gesetzt.

Irgendwas ist bei Dir quer.
Reden wir über Lieschen Müller mit Zugehörigkeit zur global group 'domain admins'?
Oder über domain builtin\Administrator?

Das komplette Log wäre noch eine Idee.

Edith fragt noch nach
WINST-Version
Betriebssystem Zielrechner

[IvicaE]

@uncle_scrooge

Es handelt sich dabei um den Buil-In Domain-Administrator.
Betriebssystem des Zielrechners: Win 10 Pro 64 neuster Release (also das blöde 1709 o.ä.)
"Configed" zeigt unter "Version" des "opsi-winst an es wäre die Version "4.12.0.13-1".


Und nur wenn er selber angemeldet ist, greift die Registry-Änderung bei ihm selber nicht. Nochmals: bei allen anderen schon.
Und wen dieser Administrator nicht angemeldet ist, dann greift die Registry-Änderung bei ihm dann auch.

Was die Logdatei angeht:
Ich habe ein Paket welches alle Einstellungen einer Client-Installation unter sich vereint wie z.B. Windows-Defender-FW an/aus, Remoteregistrierungsdienst an/aus, RDP an/aus, Windows Script Host an/aus, Dateiendungen anzeigen an/aus, Versteckte Dateien und Ordner anzeigen an/aus, usw..

Wenn ich das Script ausführe, dann ist die Logdatei dementsprechend groß. Ich habe hier einmal den betreffenden Bereich ausgeschnitten und poste es mal:

Code: Alles auswählen

(382)     [5] [Mrz 27 11:15:29:934] [my_settings] comment:  ==========================================================
(383)     [5] [Mrz 27 11:15:29:934] [my_settings] comment:  set Windows-Explorer settings
(384)     [5] [Mrz 27 11:15:29:934] [my_settings] comment:  ==========================================================
(385)     [6] [Mrz 27 11:15:29:934] [my_settings] If
(386)     [6] [Mrz 27 11:15:29:934] [my_settings]   "true" = GetProductProperty("explorer_show_extentions","true")   <<< result false
(387)     [6] [Mrz 27 11:15:29:934] [my_settings] Then
(388)     [6] [Mrz 27 11:15:29:934] [my_settings] Else
(389)     [5] [Mrz 27 11:15:29:935] [my_settings]   Execution of: Registry_HideFileExt /AllNtUserDats /SysNative
(390)     [5] [Mrz 27 11:15:29:935] [my_settings]   
(391)     [7] [Mrz 27 11:15:29:935] [my_settings]     Registry started without redirection (64 Bit)
(392)     [6] [Mrz 27 11:15:29:935] [my_settings]     
(393)     [6] [Mrz 27 11:15:29:935] [my_settings]     Branch: Administrator
(394)     [6] [Mrz 27 11:15:30:008] [my_settings]     "C:\Users\Administrator\NTUser.dat" loaded.
(395)     [5] [Mrz 27 11:15:30:008] [my_settings]       
(396)     [7] [Mrz 27 11:15:30:008] [my_settings]         Registry started without redirection (64 Bit)
(397)     [7] [Mrz 27 11:15:30:008] [my_settings]         Key is: Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
(398)     [7] [Mrz 27 11:15:30:008] [my_settings]         key starting with software on 64 bit. Key is: \Microsoft\Windows\CurrentVersion\Explorer\Advanced
(399)     [7] [Mrz 27 11:15:30:008] [my_settings]         key starting with software on 64 bit. Redirection is disabled. So we work with: Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
(400)     [6] [Mrz 27 11:15:30:008] [my_settings]         Registry key [HKEY_USERS\PatchNTUserdatTempUser\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]  opened
(401)     [6] [Mrz 27 11:15:30:009] [my_settings]                     Variable "HideFileExt"  had value  "0"
(402)     [6] [Mrz 27 11:15:30:009] [my_settings]                     Info:    "HideFileExt"  changed to "1"
(403)     [6] [Mrz 27 11:15:30:068] [my_settings]                     Key flushed
(404)     [6] [Mrz 27 11:15:30:068] [my_settings]                     Key closed
(405)     [7] [Mrz 27 11:15:30:068] [my_settings]       
(406)     [7] [Mrz 27 11:15:30:068] [my_settings]     Flushed
(407)     [7] [Mrz 27 11:15:30:087] [my_settings]     Unloaded
(408)     [6] [Mrz 27 11:15:30:087] [my_settings]     
(409)     [6] [Mrz 27 11:15:30:087] [my_settings]     Branch: User
(410)     [6] [Mrz 27 11:15:30:184] [my_settings]     "C:\Users\User\NTUser.dat" loaded.
(411)     [5] [Mrz 27 11:15:30:184] [my_settings]       
(412)     [7] [Mrz 27 11:15:30:184] [my_settings]         Registry started without redirection (64 Bit)
(413)     [7] [Mrz 27 11:15:30:184] [my_settings]         Key is: Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
(414)     [7] [Mrz 27 11:15:30:184] [my_settings]         key starting with software on 64 bit. Key is: \Microsoft\Windows\CurrentVersion\Explorer\Advanced
(415)     [7] [Mrz 27 11:15:30:184] [my_settings]         key starting with software on 64 bit. Redirection is disabled. So we work with: Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
(416)     [6] [Mrz 27 11:15:30:184] [my_settings]         Registry key [HKEY_USERS\PatchNTUserdatTempUser\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]  opened
(417)     [6] [Mrz 27 11:15:30:184] [my_settings]                     Variable "HideFileExt"  had value  "0"
(418)     [6] [Mrz 27 11:15:30:184] [my_settings]                     Info:    "HideFileExt"  changed to "1"
(419)     [6] [Mrz 27 11:15:30:233] [my_settings]                     Key flushed
(420)     [6] [Mrz 27 11:15:30:233] [my_settings]                     Key closed
(421)     [7] [Mrz 27 11:15:30:238] [my_settings]       
(422)     [7] [Mrz 27 11:15:30:238] [my_settings]     Flushed
(423)     [7] [Mrz 27 11:15:30:250] [my_settings]     Unloaded
(424)     [6] [Mrz 27 11:15:30:250] [my_settings]     
(425)     [6] [Mrz 27 11:15:30:250] [my_settings]     Branch: Administrator.AMF
(426)     [4] [Mrz 27 11:15:30:250] [my_settings]     Warning: NTUser.dat could not be loaded from path "C:\Users\Administrator.AMF\NTUser.dat". Code 32: Der Prozess kann nicht auf die Datei zugreifen, da sie von einem anderen Prozess verwendet wird.<
(427)     [7] [Mrz 27 11:15:30:250] [my_settings]     Registry started with redirection (32 Bit)
(428)     [7] [Mrz 27 11:15:30:251] [my_settings]     Registry started with redirection (32 Bit)
(429)     [7] [Mrz 27 11:15:30:251] [my_settings]     Registry started with redirection (32 Bit)
(430)     [6] [Mrz 27 11:15:30:251] [my_settings]     
(431)     [6] [Mrz 27 11:15:30:251] [my_settings]     Branch: Default
(432)     [6] [Mrz 27 11:15:30:282] [my_settings]     "C:\Users\Default\NTUser.dat" loaded.
(433)     [5] [Mrz 27 11:15:30:282] [my_settings]       
(434)     [7] [Mrz 27 11:15:30:287] [my_settings]         Registry started without redirection (64 Bit)
(435)     [7] [Mrz 27 11:15:30:287] [my_settings]         Key is: Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
(436)     [7] [Mrz 27 11:15:30:287] [my_settings]         key starting with software on 64 bit. Key is: \Microsoft\Windows\CurrentVersion\Explorer\Advanced
(437)     [7] [Mrz 27 11:15:30:287] [my_settings]         key starting with software on 64 bit. Redirection is disabled. So we work with: Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
(438)     [6] [Mrz 27 11:15:30:287] [my_settings]         Registry key [HKEY_USERS\PatchNTUserdatTempUser\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]  opened
(439)     [6] [Mrz 27 11:15:30:288] [my_settings]                     Variable "HideFileExt"  had value  "0"
(440)     [6] [Mrz 27 11:15:30:288] [my_settings]                     Info:    "HideFileExt"  changed to "1"
(441)     [6] [Mrz 27 11:15:30:330] [my_settings]                     Key flushed
(442)     [6] [Mrz 27 11:15:30:330] [my_settings]                     Key closed
(443)     [7] [Mrz 27 11:15:30:330] [my_settings]       
(444)     [7] [Mrz 27 11:15:30:330] [my_settings]     Flushed
(445)     [7] [Mrz 27 11:15:30:356] [my_settings]     Unloaded
(446)     [6] [Mrz 27 11:15:30:356] [my_settings]     
(447)     [6] [Mrz 27 11:15:30:357] [my_settings]     Make it for user .DEFAULT
(448)     [5] [Mrz 27 11:15:30:357] [my_settings]       
(449)     [7] [Mrz 27 11:15:30:357] [my_settings]         Registry started without redirection (64 Bit)
(450)     [7] [Mrz 27 11:15:30:357] [my_settings]         Key is: Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
(451)     [7] [Mrz 27 11:15:30:357] [my_settings]         key starting with software on 64 bit. Key is: \Microsoft\Windows\CurrentVersion\Explorer\Advanced
(452)     [7] [Mrz 27 11:15:30:357] [my_settings]         key starting with software on 64 bit. Redirection is disabled. So we work with: Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
(453)     [6] [Mrz 27 11:15:30:357] [my_settings]         Registry key [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]  opened
(454)     [6] [Mrz 27 11:15:30:357] [my_settings]                     Variable "HideFileExt"  had value  "0"
(455)     [6] [Mrz 27 11:15:30:357] [my_settings]                     Info:    "HideFileExt"  changed to "1"
(456)     [6] [Mrz 27 11:15:30:396] [my_settings]                     Key flushed
(457)     [6] [Mrz 27 11:15:30:396] [my_settings]                     Key closed
(458)     [6] [Mrz 27 11:15:30:396] [my_settings] EndIf

Hier der Code aus dem Opsiscript aus der "Main":

Code: Alles auswählen

if "true" = GetProductProperty("explorer_show_extentions","true")
	Registry_ShowFileExt /AllNtUserDats /SysNative
else
	Registry_HideFileExt /AllNtUserDats /SysNative
endif

Und hier aus der entsprechenden Sub:

Code: Alles auswählen

[Registry_ShowFileExt]
	openkey [Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
	set "HideFileExt" = REG_DWORD:00000000
	flushkey
	
[Registry_HideFileExt]
	openkey [Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]
	set "HideFileExt" = REG_DWORD:00000001
	flushkey

Ich kann es nicht oft genug wiederholen, aber noch ein letztes mal sei mir gegönnt:

HideFileExt steht auf 0 in der Registry, das ist der Property-Stand "true" in meinem Paket und bedeutet "Dateiendungen werden angezeigt".
So, nun im Configed das Property auf "false" gesetzt (bedeutet die Dateiendungen werden versteckt" und somit in der Registry der Wert "HideFileExt" auf 1 gesetzt), das Paket auf Setup gesetzt, gespeichert und "on_demand" ausgeführt ergibt dann folgendes:
Als "User" angemeldet:
Der Registry-Wert ""HideFileExt" wird bei allen bekannten User gesetzt und laut Logbucheintrag auch für den Default-User. Das Administrator-Profil ist ebenfalls betroffen und somit ja alles gut. Der Eintrag ist auf 1 gesetzt, die Dateiendungen werden nicht mehr angezeigt.

Als "Domain\Administrator" angemeldet:
Der Registry-Wert "HideFileExt" wird bei allen User gesetzt (HideFileExt -> 1), jedoch NICHT beim angemeldeten Administrator. Auch ein Neustart ändert nichts dabei. Die Dateiendungen werden auch weiterhin angezeigt beim Domain/Administrator. Meldet sich der User aber an, ist es korrekt, d.h. wie gewünscht.

[uncle_scrooge]

Ein domain builtin administrator ist ein 'very special beast'. Die Nutzung desselben halte ich für äußerst fragwürdig.
(Das ist noch nett formuliert. Wenn ich jemanden aus meinem Team dabei erwischen würde, daß er den account nutzt, müßte er sich nach meinen Schimpftiraden längere Zeit in psychologische Betreuung begeben.)

Ich habe mir den Quellcode von WINST noch nicht angesehen. Gehe aber davon aus, daß hier bewußt die entsprechende SID S-1-5-21-<mydomainID>-500 ausgeklammert wurde.

Sieht man schön an den Unterschieden in der Bearbeitung.
Hier mit angemeldetem administrator:

Code: Alles auswählen

(79)      [6] [Mrz 27 12:13:16:654] [dummy]   Branch: administrator.<mydomain>
(80)      [4] [Mrz 27 12:13:16:657] [dummy]   Warning: NTUser.dat could not be loaded from path "C:\Users\administrator.<mydomain>\NTUser.dat". Code 32: The process cannot access the file because it is being used by another process.<
(81)      [7] [Mrz 27 12:13:16:657] [dummy]   Registry started with redirection (32 Bit)
(82)      [7] [Mrz 27 12:13:16:658] [dummy]   Registry started with redirection (32 Bit)
(83)      [7] [Mrz 27 12:13:16:660] [dummy]   Registry started with redirection (32 Bit)

Und hier mit angemeldetem domain admin:

Code: Alles auswählen

(95)      [6] [Mrz 27 12:17:44:610] [dummy]   Branch: <mydomainadmin>
(96)      [4] [Mrz 27 12:17:44:612] [dummy]   Warning: NTUser.dat could not be loaded from path "C:\Users\<mydomainadmin>\NTUser.dat". Code 32: The process cannot access the file because it is being used by another process.<
(97)      [7] [Mrz 27 12:17:44:612] [dummy]   Registry started with redirection (32 Bit)
(98)      [7] [Mrz 27 12:17:44:614] [dummy]   Registry started with redirection (32 Bit)
(99)      [7] [Mrz 27 12:17:44:614] [dummy]   The Branch for :<mydomainadmin> seems to be the logged in user,
(100)     [7] [Mrz 27 12:17:44:614] [dummy]   so let us try to patch it via HKUsers\SID
(101)     [7] [Mrz 27 12:17:44:615] [dummy]     sidStr :S-1-5-21-1645522239-790525478-839522115-7995
(102)     [5] [Mrz 27 12:17:44:615] [dummy]    
(103)     [7] [Mrz 27 12:17:44:615] [dummy]       Registry started without redirection (64 Bit)
(104)     [7] [Mrz 27 12:17:44:615] [dummy]       Key is: Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
(105)     [7] [Mrz 27 12:17:44:615] [dummy]       key starting with software on 64 bit. Key is: \Microsoft\Windows\CurrentVersion\Explorer\Advanced
(106)     [7] [Mrz 27 12:17:44:615] [dummy]       key starting with software on 64 bit. Redirection is disabled. So we work with: Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
(107)     [6] [Mrz 27 12:17:44:616] [dummy]       Registry key [HKEY_USERS\S-1-5-21-<mydomainID>-7995\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced]  opened
(108)     [6] [Mrz 27 12:17:44:616] [dummy]                   Variable "HideFileExt"  is keeping its value "1"
(109)     [6] [Mrz 27 12:17:44:616] [dummy]                   Key flushed
(110)     [6] [Mrz 27 12:17:44:616] [dummy]                   Key closed
(111)     [7] [Mrz 27 12:17:44:616] [dummy]    
(112)     [7] [Mrz 27 12:17:44:616] [dummy]   Flushed
(113)     [6] [Mrz 27 12:17:44:616] [dummy]   

Bei letzterem geht WINST den 'Umweg' über HKEY_USERS.

Ich sehe das als 'works as designed'. Und nicht als Problem.

[IvicaE]

Wie gesagt, passiert sehr selten das der Administrator angemeldet ist und das Script ausgeführt wird.
Dennoch: wir melden uns hier schon ab und an als Domain/Administrator an....


Nun denn, das Problem ist also nicht im Script sondern woanders wo ich es nicht beeinflussen kann. Somit ist das Thema erledigt.

Zur Nebenfrage: Subs aufrufen mit eigenen Parameter geht wohl immer noch nicht, richtig?
Will ich Parameter setzen muss ich das über die globalen Variablen machen, richtig?
Wenn es dazu noch ein geht/geht nicht gibt wäre super. Ansonsten: erledigt. Danke.

[uncle_scrooge]

Mal hier https://download.uib.de/opsi_stable/doc ... lfunctions das Konzept der lokalen Funktionen/local functions ansehen.
Ansonsten besser einen eigenen Faden für das Thema aufmachen. Hier geht es wahrscheinlich unter.

[larsg]

Also dein Skript funktioniert bei mir mit einigen Modifikationen ohne Probleme, auch für den lokalen Administrator.

/SysNative ist unnötig, da es im Benutzerteil der Registry keine Architekturzweige gibt.
FlushKey lasse ich weg, wird eh automatisch gemacht.
Im Registry-Pfad den Stamm HKCU mit aufgenommen. (Ich vermute das war auch der Fehler in deinem Skript.)

Falls es damit auch nicht geht, liegt das Problem an deiner Umgebung - jedenfalls nicht an OPSI.


Zum Thema Sub's und Argumente - ich habe bislang auch mit "globalen" Variablen gearbeitet, auch wenn der Begriff in dem Zusammenhang nicht korrekt ist. WInst-Sub's entsprechen vom Konzept her auch nicht den Sub's wie aus VB bekannt.

Ferner gibt es nun seit WInst 4.12 auch die Möglichkeit Funktionen zu definieren, hier kann dann auch mit Argumenten, sowie mit lokalen und globalen Variablen gearbeitet werden.

http://download.uib.de/opsi4.1/document ... anual.html

[uncle_scrooge]

auch für den lokalen Administrator.

Es geht nicht um den lokalen Administrator. Sondern um den 'domain administrator'. Das ist der Account, den Du spontan am Hals hast, wenn Du einen DC und damit eine domain baust.