Не дает добавить права пользователям на каталог

Добрый день!

Суть следующая.

1) Два домена.
2) На одном КД - ОС Win Serv St 2016; на втором ОС Win Serv St 2012 R2.
3) Оба работают в режиме Win Serv St 2012 R2.
- Между ними создано двустороннее транзитивное доверие.
- Проверки проходят успешно.
- Пользователи успешно авторизуются на рабочих станциях.
4) На всех остальных серверах - ОС Win Serv St 2012 R2

Дальше вопрос раздачи прав на каталоги для пользователей из доверенного домена.
И тут какая-то фигня происходит.

На части сервером вполне можно добавить права на каталог для пользователя доверенного домена, а другая часть (включая, собственно, непосредственно файловый сервер) - не получается.
На первый взгляд сервера (не КД) сконфигурированы одинаково (кроме ФС) - и те, где работает и те, где не работает.

А происходит вот что:
Для каталога - вкладка "Безопасность" >
Изменить (или Дополнительно) >
Добавить >
Интерфейс выбора типа объекта и размещения объекта >
В размещении выбираешь доверенный домен (выбирается без ошибок) >
Вводишь имя пользователя, нажимаешь "Проверить имена" - находит, проверяет без ошибок >
Нажимаешь OK чтобы подтвердить выбор и перейти к назначению прав и на этом этапе ошибка:
Недоступны контроллеры домена AD, требуемые для нахождения выбранных объектов в указанных доменах:
<имя доверенного домена>.

Если бы это было на всех серверах, то можно было бы предположить, что проблема на доверенном домене или в настройках отношений доверия, а так - логика проявления проблемы - не понятна.

Буду благодарен за помощь.

Спасибо.

0

salder, попробуйте не добавлять пользователей из доверенного домена напрямую, а создать доменную группу на текущем сервере, куда включите пользователей из доверенного домена, а уже эта группа выбирается в свойствах каталога для предоставления доступа.

1

с группами мысль конечно правильная, но то что пишет такую ошибку на части серверов это неправильно
надо определить почему это происходить и устранить
что с сетевыми настройками? днс? nslookup второй домен находит?

1

Сообщение от qwertehok с группами мысль конечно правильная, но то что пишет такую ошибку на части серверов это неправильно

Тут к сожалению не подскажу, ибо всегда делаю через отдельные группы пользователей и еще ни разу подобных ошибок не возникало.

0

Привет. Какой тип аутентификации?(Картинка) Так же в Active Directory Domains and Trusts проверьте доверие. Там кнопка теста есть.

Миниатюры

 

1

Сообщение от Maks salder, попробуйте не добавлять пользователей из доверенного домена напрямую, а создать доменную группу на текущем сервере, куда включите пользователей из доверенного домена, а уже эта группа выбирается в свойствах каталога для предоставления доступа.

Идея, конечно, интересная, только во втором домене пользователей раз-два и обчелся и каждый как целая группа, то есть для каждого разрешения на отдельные каталоги.

В тестовом режиме я проверил процедуру добавления - она сработала. правда не проверял назначились права или нет (но, думаю, что назначились).

qwertehok,
Все настроено нормально. все проверки проходит.

Добавлено через 44 секунды
pEntity,
Доверие работает во все стороны.
Тип - который на картинке выбран.

0

Сообщение от salder только во втором домене пользователей раз-два и обчелся

Для чего тогда вообще нужен этот домен? При малом количестве пользователей можно обойтись правами NTFS.

0

Такая же проблема.
Два леса, двухстороннее доверие. Как бы все работает, ошибок явных нет. Пользователи могут авторизоваться в разных доменах.
А как пытаешься добавить пользователя из другого леса или посмотреть действующие права, появляется ошибка на рандомных машинах:

Контроллеры домен Active Directory, необходимые для поиска выбранных объектов в следующих доменах, недоступны: <Доверенный лес> Убедитесь, что контроллеры Active Directory доступны и повторите попытку выбрать объекты.

Проверял на нескольких Вин10- 100% успех
На WinSrv2019 почти всегда ошибка, только на одном сработало.

Во всех случаях сетевые настройки идентичны, брандмауэр отключен.

0

Сообщение от Maks не добавлять пользователей из доверенного домена напрямую, а создать доменную группу на текущем сервере, куда включите пользователей из доверенного домена, а уже эта группа выбирается в свойствах каталога для предоставления доступа.

ЕМНИП мне память не изменяет, читал книгу лет 17 назад по еще винде сервер 2003, так и нужно делать в АД, ну как минимум, чтобы групповые политики работали...

0

Проверьте серверы условной пересылки, что там указан прааильный домен и его адреса. Оснастка DNS.

0