[Çözüldü] Uzak Kullanıcıların Gpo ları alamaması

Merhaba,

Öncelikle şifre değiştirme istemci ile ilgili değildir, bunu force eden DC dir ve DC sürekli çalışıyor, bu nedenle burada başka bir sorun var. Yani istemciye GPO ile siz şifre değiştirin demiyorsunuz, şifre policy domain de tektir o da dc ye uygulanır dc de hesapların şifresinin değişmesi gerektiğinde kullanıcı zaten login dahi olmaz, login olurken şifre değiştirmelisiniz diye uyarı çıkar.

Burada sanırım örnek verdiğiniz GPO ile ilgili başka bir sorun var.

VPN üzerinde uzaktaki makineler dc makinelere file share yani dosya paylaşımı seviyesinde eriştiğini kontrol eder misiniz?

GPO update işlemi temelde dc makinelerin üzerindeki sysvol paylaşımlarından geçer.

Sadece RDP vb benzeri portlar açık ise GPO nun çalışmaması normal bir durum.

Merhaba,

Firewall dan kaynaklanan problemden dolayı sorun oluyormuş. Sorun çözüldü.

Clientlar hem policy leri alabiliyor hemde istedikleri zaman şifrelerini degiştirebiliyorlar. 

Bizim şu şekilde bir senaryomuz bulunuyor.

Her kullaunıcı boş bulduğu notebook'u kullanıyor.

Kulanıcı bilgisayarlarında local userlar kapalı.

Kullanıcılar hangi bilgisayarları kullanacaklarsa  bilgisayarlar local networkde olduğu sürece  AD userları ile  açabiliyorlar.  

Son 30 günde bu bilgisayarlarla daha önceden giriş yapmış tüm kullanıcılar. Bu bilgisayarları evlerine götürdüklerinde, AD ile herhangi bir bağlantısı olmasa bile kendi kullanıcı adı ve şifreleri ile giriş yapabiliyorlar.  Fakat 30 günü geçtiyse Enson login olan kullanıcı hariç diğer hiçbir kullancı bu bilgisayarları kullanıcı adı ve şifresini girerek giriş yapamıyor.

Sadece bu bilgisayarlar AD ile aynı networke bağlanırsa yada en son giren kullanıcının hesabı ile giriş yapılıp ssl vpn kurulup bilgisayarın AD ile konuşması sağlanınca yeni kullanıcı giriş yapabiliyor.

Bu bilgisayarların AD ile konuştuğunda tüm kullanıcı hesap bilgilerini önbellekleme yapması mümkünmüdür.

AD de user1 , user2, user3 kullanıcım olsun, user1 ile bilgisayarı açalım. daha sonra  AD ile bağlantısı olmasa bile user2 kullanıcı bilgisayarı açabilirmi ?

Bunun bir çözümü varmıdır.

Teşekkür ederim

Merhaba,

Geçmiş olsun, geri dönüş için teşekkürler.

Sorunuz ise hayır, bu mümkün değil, cache credentials sadece adı üstünde daha önce o makinede login olan kullanıcıları kapsar. Zaten PC = Personel Computer kullanım amacına aykırı bir senaryo sizinkisi, yani çalışma modelinizi değiştirin derim.

Yoktur bu süreç AD erişimini mecbur kılar kısayoldan Hakan hocam anlattı kullanıcı bilgileri client da tutulmaz AD'e sorulmak zorunda. Daha iyi anlamak için AD mimarisini makalelerinden okumanız lazım. Böylece oluşmadan önce sorularınızdan kurtulmuş, daha doğru bir çözüm yöntemi geliştirmiş olursunuz.

"

Enson login olan kullanıcı hariç diğer hiçbir kullancı bu bilgisayarları kullanıcı adı ve şifresini girerek giriş yapamıyor.

Sadece bu bilgisayarlar AD ile aynı networke bağlanırsa yada en son giren kullanıcının hesabı ile giriş yapılıp ssl vpn kurulup bilgisayarın AD ile konuşması sağlanınca yeni kullanıcı giriş yapabiliyor"

Yani bu süreç yaşadığınız gibi oldukça normal. Bunu çözebilmeniz için oturum açmadan önce cihazın vpn ile bağlanması gerekir o da pek kolay değil ve kullanıcının bağlantısına göre zaman gerektirir yakın zamanda benzer bir şey soruldu aramayı kullanınız benzer başka konularda var.
https://www.cozumpark.com/community/windows_server-4/lokalde-olmayan-bilgisayarlari-domaine-dahil-etme/

"Her kullaunıcı boş bulduğu notebook'u kullanıyor.
Alternatif senaryoda sizin yönetimle konuşarak bunu çözmeniz gerekir. Bu durum her zaman desteğin bağlanmasına, soruna, User tarafta zaman kaybına yol açar. Kısaca herkes cihazını bilmeli artık dünyanın evden çalışmaya geçtiği sistemde. Çünkü bence konu sadece AD oturumu açmak değil Win10 da bir çok ayar, profil gerekli müdahaleleri var. Kişi o cihazda daha önce hiç oturum açmadıysa sıfır bir profil oluşuyor hiç mi ayar değişikliklerine ihtiyaç duymuyorlar. Bunu bir standard uygulama şekilde çözmeniz için çok fazla gpo policy yazmanız yada 3rd uygulama ile client'ları manage etmeniz gerekir. Bunların da vpn sonrası cihaza transferi gerekir. Zaman ve gerektiğinde logoff-logon/restart.

Bu arada şunları da ekleyeyim.
Benzer bir durum bir müşteride uygulamıştık kısıtlı sayıda havuz laptop'u kullanımda şöyle bir kural getirmiştik. Kişi ev veya toplantıya cihazı dışarı almadan önce mutlaka ofiste oturumu açıyordu. Geri kalan vpn profilinin oluşması, ayarlar, uygulamalar vs iç networkteyken hızlı bir şekilde cihaza aktarılmış oluyordu. Yalnız o dönem win7 vardı. Win10 da policy'ler geliştirmek çok daha yorucu onu belirteyim.:)
Ve helpdesk'in işini azaltmıyor örneğin sade bir konu olarak personel sayısına göre bir cihazda onlarca, yüzlerce profil oluşuyor bu devasa alan kaybı demek o cihaz kendi içine veya dışarı yedekleniyorsa da... Malum desktop'lar gibi değil laptop'larda bu tip yollara başvuran firmalar hep daha kısıtlı donanımlı cihazları seçer. 🙂 

Merhaba,

Checkpoint FW ve vpn client'ı ile oluyor. Checkpoint client'ının windows login olmadan önce vpn kurma özelliği var  fakat kullandığımız FW başka bir marka olduğu için yapamıyoruz.

Hepinize  yardımlarınızdan dolayı ve zaman ayırdığınız için teşekkür ederim

Rica ederiz, biz zaten Microsoft için cevap verdik aksi halde söylediğiniz gibi kullandığınız network vpn teknolojilerine göre bu değişir. Zaten bu da söylediğiniz şeyi yapmıyor, sizi network e bağlıyor teknik olarak sorunuzun cevabı bu değil, bu sadece bir çözüm yöntemi.

Bu konuya benzer bir soru sormak istiyorum.

VPN kullanilmayan bir ortamda GPO lari uzaktan calisan personelin tasinabilir bilgisayarlarina nasil gondeririz ?

Azure bu durum icin cozum secenegi olabilir mi ?

https://www.cozumpark.com/community/windows_server-4/lokalde-olmayan-bilgisayarlari-domaine-dahil-etme/

Bu konuyla temel de aynıdır.
GPO policy için SMB iletişimi şart olduğu için VPN topolojisi şarttır.
Eski yöntem için DirectAccess, Azure için always on vpn araştırabilirsiniz.

Ne yazık ki VPN olmadan bunu yapamazsınız. Alternatif olarak intune MDM ile GPO benzeri bir yönetim sağlayabilirsiniz.

Azure çözümü ise biraz maliyetli ve karışık.

Enable domain-joined Windows 10 devices to be managed by Microsoft 365 for business - Microsoft 365 admin | Microsoft Docs

Cevaplar icin tesekkur ederim.

Rica ederiz.