Zugriff auf Windows Server über QNTC

[Fuerchau]

Nur noch mal ne blöde Frage:
Ist der User auch tatsächlich ein loaler User auf dem Server und kein Domain-User?
Die AS/400 schafft da nämlich keine Domain-Anmeldung. Das war allerdings schon immer so.

Die Aussage "bisher klappte das, seit dann und dann nicht, aber wir haben nichst geändert" ist immer schwer zu verstehen, zumal ja Windows mit seinen updates manchmal ganz schön dazwischen haut.
Prüfe mal ob nicht doch ein Autoupdate (Sicherheitslücke behoben) stattgefunden hat.
Ich meine irgendwo mal gelesen zu haben, dass die alte NT-Authentifizierung entfallen soll. Dann klappt das so gar nicht mehr.

Sicherere wäre sowieso der umgedrehte Weg. Ihr stellt die Daten in einer AS/400-Freigabe zur Verfügung und die wird dann aktiv abgeholt (Stichwort: Information ist Holschuld).

[mahones]

Ne, keine blöde Frage - zumindest hat das funktioniert.
Wir haben einen Benutzer direkt auf dem Windows-Server angelegt und berechtigt, und es hat mit WRKLNK funktioniert!
...ja, das wurde vorher schon (sogar in FETT) angemerkt, aber wir haben das tatsächlich vernachlässigt, weil es ja eben bisher auch ohne lokale Benutzer funktionierte.

Nun überlegen wir, die benötigten Benutzer nochmal lokal auf dem Server einzurichten.
Anscheinend gilt hier nicht "never change a running system" - sondern hier muss man mal was ändern...ok, es läuft ja auch aktuell nicht so richtig.

Danke dir für die Hartnäckigkeit, was die Benutzer anging!

[Fuerchau]

Ich kann mir auch nicht vorstellen, dass es mit Domain-Usern jemals funktioniert hat.
Welche Restriktionen da nicht aktiviert waren, dass es mit Domain-Usern klappte weiß ich auch nicht.
Aber z.B. seit Windows Server 2008 kann man mit der Aufgabenplanung (Task-Scheduler) auch Domain-User unbeaufsichtigt (mit Kennwort) einrichten.
Dies funktioniert sogar, allerdings unter folgenden Einschränkungen:
- Das Logon-Script des Users wird nicht ausgeführt
- Es ist nur Zugriff auf lokale Ressorcen (Pfade, Dateien, ...) erlaubt sofern man berechtigt ist
- Auf Netzwerkressourcen ist kein Zugriff möglich, ein "net use" für Laufwerkszuordnungen schlägt fehl
- Somit sind auch keine UNC-Pfade möglich, da im Batch ja keiner zum Anmelden da ist
Die volle Funktionalität erhält man aber, wenn der User im angemeldeten Zustand auf dem Server verbleibt (also nur Sitzung getrennt), was aber einer beaufsichtigen Ausführung entspricht.

Da sucht man sich manchmal dumm und dämlich, nur weil Windows an einer Stelle was unsinniges erlaubt. Aber das ist ja wie mit der Einbahnstrasse in die Sackgasse...

[andreas.lundschien]

Moin aus dem hohen Norden,
wir haben das gleiche Problem, von einem Tag auf den anderen hat es nicht mehr funktioniert. Nur noch 2 Benutzer können mit QNTC arbeiten. Andere Benutzer die auch auf der Iseries allobj und auf der Windowsseite Administrationsrechte haben können nicht mehr damit arbeiten. Die 2 Benutzer, bei denen es noch funktioniert haben schon sehr lange ihr Kennwort nicht geändert und meine Vermutung ist, dass mit einem Windowsupdate da etwas verändert wurde, dass der automatische Passwortaustausch bei jüngeren Passwörtern nicht mehr funktioniert. Kann das jemand bestätigen? Hat jemand einen Unterstützungsvertrag mit der IBM und kann da mal nachfragen ob die eine Idee haben? Wir haben V6R1 und auf der Windowsseite 2012 R2 im Einsatz.

[andreas.lundschien]

Sorry, hatte die 2. Seite nicht gelesen,
nur zur Info, die 2 User mit denen es noch funktioniert sind Domänenuser und nicht Lokal angelegt.

[Fuerchau]

Also *ALLOBJ auf der AS/400 bringt für QNTC überhaupt nichts, da Berechtigungen nicht gerouted werden.
Wenn Microsoft da was ändert muss das kein Feature sondern kann auch eine Fehlerkorrektur sein.
Meine ganz persönliche Erfahrung bzgl. QNTC ist eben, dass es mit lokalen Usern noch nie Probleme gab (eben seit NT), da bei Domaine-Usern doch sehr viele Prüfungen und Richtlinien in der Domäne eine Rolle spielen. Wenn es bisher geklappt hat, heißt das leider nichts.

Klappen denn lokale User?

[andreas.lundschien]

Haben wir nicht versucht, noch klappt es ja mit den Domänenusern. Melde mich sobald das aktuell wird.

[Fuerchau]

Achso, ich dachte, du hast dich dem Problem angeschlossen.

[andreas.lundschien]

Ja, ist einfach nervig, immer einen Umweg über einen der beiden User gehen zu müssen, wäre schön, wenn das wieder jeder könnte, habe aber keine Lust alle in Frage kommenden User Lokal anzulegen, mache ich nur wenn es keinen anderen Weg gibt.

[Fuerchau]

Da zeigt sich mal wieder, dass der umgekehrte Weg eigentlich mehr Sinn macht.
An Stelle alles an einen QNTC-Server zu senden sollte man seine Dokumente in die Freigabe/n des IFS setzen und jeder User holt sich seine Dokumente aus dem IFS statt von einem NT-Server.

statt AS/400 => NT-Server <= User
eben AS/400 <= User

eine Ebene weniger.