client-agent Install funktioniert "ausführen als" nicht mehr

[ITSupport]

Guten Tag zusammen,

ganz seltsames Problem: "Ausführen als anderer Benutzer" funktioniert plötzlich nicht mehr. Windows 7 x64, SP1, opsi-client-agent Version 4.11.3.11. Festgestellt haben wir das, als wir den client-agent bei einem PC neu installiert haben und ganz zu Anfang drei UAC-Meldungen kamen, die den Import einer .reg-Datei bestätigt haben wollten (was i.O. ist, die sollen bei jeder Anmeldung importiert werden, allerdings war vorher keine Bestätigung vonnöten). Dazu kommt, dass ausführbare Dateien aus dem Profil (z.B. vom Desktop oder aus Eigene Dokumente) nicht mehr per "als anderer Benutzer ausführen" gestartet werden können. Es kommt die Meldung, der Pfad sei nicht mehr verfügbar bzw. die Rechte fehlten. Falls der genaue Wortlaut wichtig ist, müssen wir das ganze nochmal nachstellen).

Hat hier jemand eine Idee, was hier passiert sein könnte? Änderungen am client-agent bzw. an opsi selber wurden nicht durchgeführt!

Vielen Dank für alle Ideen und Anregungen im Voraus.

[holgerv]

Die Neuinstallation des opsi-client-agent verstellt u. U. die UAC-Einstellungen. Dabei spielt auch die PROPERTY "uac_level" eine Rolle.
Such mal in der .log-Datei eines betroffenen Rechners nach "uac". Was findest Du?

Schönen Gruß


Holger

[ITSupport]

Hallo Holger,

das ist mir bekannt, allerdings gab es vorher nie Probleme dadurch.

Auf dem Client unter C:\opsi.org\log:

[5] [Jul 09 14:42:40:981] Set $INST_uac_level$ = "2"
[6] [Jul 09 14:42:40:981] The value of the variable "$INST_uac_level$" is now: "2"

[ITSupport]

Hallo nochmal,

kann es sein, dass opsi irgendwie eine lokale Richtlinie lädt? Ich habe das Gefühl, dass eine lokale Richtlinie geladen wird statt der Gruppenrichtlinie...

[holgerv]

opsi-client-agent Version 4.11.3.11.

Das ist vermutlich die Version des opsi-winst, nicht die Version des opsi-client-agent?

Hat hier jemand eine Idee, was hier passiert sein könnte? Änderungen am client-agent bzw. an opsi selber wurden nicht durchgeführt!

Wie war die UAC vorher eingestellt? Wie nach der opsi-client-agent-Neuinstallation?
Wie habt ihr die opsi-client-agent-Neuinstallation angestoßen? (Vom Client aus per service_setup.cmd? Vom Server aus per opsi-deploy-client-agent? Durch setzen des "opsi-client-agent" auf setup? Wenn letzteres: Installation während ein User angemeldet war (on demand) oder vor einer Anmeldung?)

Im Log-File müssten auch mehr Einträge mit "uac" sein als die beiden Zeilen, die Du genannt hast.

Ein paar mehr Informationen wären schon hilfreich ...

Schönen Gruß


Holger

[ITSupport]

Hallo Holger,

ja, das ist die Version des opsi-winst, entschuldige. Die Version vom client-agent ist 4.0.4.4. Die UAC ist in allen Fällen auf dem niedrigsten Niveau, sowohl bei Rechnern, bei denen es noch funktioniert, als auch bei zwei Restrechnern, auf denen wir den Agent neu installiert hatten. Gestartet wurde die Installation mittels service_setup.cmd über den UNC-Pfad.

[holgerv]

Die UAC ist in allen Fällen auf dem niedrigsten Niveau, sowohl bei Rechnern, bei denen es noch funktioniert, als auch bei zwei Restrechnern, auf denen wir den Agent neu installiert hatten. Gestartet wurde die Installation mittels service_setup.cmd über den UNC-Pfad.

Warum habt ihr den Agenten überhaupt neu installiert, und warum nicht mit opsi-Mitteln, sondern per service_setup.cmd?
Läuft der opsiclientd mit SYSTEM-Rechten?
In wessen Userkontext laufen die Programme, die per UAC um erhöhte Rechte fragen?
Ist der angemeldete Benutzer Administrator ("net.exe localgroup administratoren")?

[ITSupport]

Die UAC ist in allen Fällen auf dem niedrigsten Niveau, sowohl bei Rechnern, bei denen es noch funktioniert, als auch bei zwei Restrechnern, auf denen wir den Agent neu installiert hatten. Gestartet wurde die Installation mittels service_setup.cmd über den UNC-Pfad.

Warum habt ihr den Agenten überhaupt neu installiert, und warum nicht mit opsi-Mitteln, sondern per service_setup.cmd?
Läuft der opsiclientd mit SYSTEM-Rechten?
In wessen Userkontext laufen die Programme, die per UAC um erhöhte Rechte fragen?
Ist der angemeldete Benutzer Administrator ("net.exe localgroup administratoren")?

Weil wir den opsi-server neu installiert haben (neue Opsi-Version, neue Ubuntu-Version sowie anderer Name) und wir mittels opsi-mitteln den client-agent noch nie richtig verteilt bekommen hatten. Bis auf zwei Clients jetzt funktionierte es auch bei allen anderen Clients. Wegen des opsiclientd muss ich nochmal nachschauen, allerdings ist der angemeldete Benutzer lokaler Admin, der Benutzer, mit dem das Programm gestartet werden soll, ist Domänenadmin.

[ITSupport]

Kurzer Zwischenstand: nach 2 Neustarts, verteilt auf ca. 24h, funktioniert es bei einem der Clients wieder normal. Beim anderen testen wir es gleich nochmal. Seht seltsame Sache...

[holgerv]

Kurzer Zwischenstand: nach 2 Neustarts, verteilt auf ca. 24h, funktioniert es bei einem der Clients wieder normal.

Bist Du sicher, dass ihr die UAC-Einstellungen nicht irgendwie per Gruppenrichtlinie beeinflusst???
Mach mal "gpupdate /force" auf einem betroffenen Rechner, anschließend Reboot.