Beim Erfassen von Inventardaten per WMI von Domänencomputern sollten in der Regel keine Schwierigkeiten auftreten. Leider kann es dennoch zu Problemen kommen – etwa durch geänderte Sicherheitseinstellungen oder andere Ursachen. Treten Fehler auf, während das Programm per WMI auf Domänencomputer zugreifen will, lässt sich das Problem remote anhand der folgenden Anleitung zu Group-Policy-Einstellungen lösen.
1. Richtlinien-Editor
Für Windows Server 2003 (Anleitung für Windows Server 2008 siehe unten)
Klicken Sie auf „Start“ – „Ausführen...“ (oder Win+R) – geben Sie „mmc“ ein. Klicken Sie auf „OK“.
Wählen Sie den Menüpunkt „Datei“ – „Snap-In hinzufügen/entfernen...“.
Wählen Sie „Editor für Group Policy-Verwaltung“ und klicken Sie auf „Hinzufügen >“. Klicken Sie auf „OK“.
Wählen Sie im Konsolenbaum den Knoten „Default Domain Policy“.
Für Windows Server 2008
1) Öffnen Sie die Konsole für Group Policy-Verwaltung
„Start“ – Verwaltung – Group Policy-Verwaltung (oder „Start“ – „Ausführen...“ (Win+R) – „gpmc.msc“ eingeben und „OK“ klicken).
2) Wählen Sie „Default Domain Policy“ und klicken Sie im Kontextmenü auf Bearbeiten.
2. UAC-Konfiguration (User Account Control)
Ab Vista verfügt Windows über die Komponente User Account Control (UAC). Wenn Programme standardmäßig gestartet werden, laufen sie unter einem normalen Benutzerzugriffstoken. Sind für eine Aktion Administratorrechte erforderlich, fordert das System den Benutzer auf, den Sicherheitskontext von einem Standardbenutzer auf einen Administrator zu „erhöhen“. Remote-Anfragen werden immer unter dem Benutzerzugriffstoken ausgeführt; ein Remote-Benutzer kann während lokaler Ausführung nicht von UAC gesteuert werden. Deshalb müssen Sie UAC so konfigurieren, dass der Remote-Zugriff auf DCOM möglich ist.
1) Wählen Sie den Knoten „Default Domain Controllers Policy\Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options“ und setzen Sie die Einstellung „User Account Control: Run all administrators in Admin Approval Mode“ auf „Disabled“.
2) Setzen Sie die Einstellung der Richtlinie „User Account Control: Behavior of the elevation prompt for administrators in Admin Approval Mode“ auf den Wert „Elevate without prompting“.
3) Setzen Sie die Einstellung der Richtlinie „User Account Control: Detect application installations and prompt for elevation“ auf den Wert „Disabled“.
3. Windows-Firewall konfigurieren
Die Windows-Firewall sollte das DCOM-Protokoll zulassen. Das ist für die Remote-Ausführung von WMI-Anfragen erforderlich (Ports 135 und 445).
Zur Firewall-Konfiguration wechseln Sie in der Konsole zu diesem Knoten: „Default Domain Controllers Policy\Computer Configuration\Windows Settings\Security Settings“.
Aktivieren Sie in den Einstellungen von Windows Server 2003 die Option „Ausnahmen für Remoteverwaltung zulassen“. Das ermöglicht die Ausführung von DCOM und WMI.
Für neuere Windows-Server-Versionen gibt es die vordefinierten Regeln „WMI“ und „Remote Administration“. Diese Regeln konfigurieren Sie im Untermenü „Inbound Rules“ über das Kontextmenü „New Rule“.
4. Auf klassisches Zugriffsmodell umstellen
Im Konsolenknoten „Default Domain Controllers Policy\Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options“ wählen Sie den Parameter „Network access: Sharing and security model for local accounts“ und setzen ihn auf „Classic – local users authenticate as themselves“.
Deaktivieren Sie die Einstellung „Accounts: Limit local account use of blank passwords to console logon only“.
5. Erforderliche Dienste
Wechseln Sie zum Knoten „Default Domain Controllers Policy\Computer Configuration\Windows Settings\Security Settings\System Services“.
Aktivieren Sie die folgenden Systemdienste:
1) RPCSs – Remote Procedure Call (RPC)
2) DCOMLaunch – DCOM Server Process Launcher
3) LanManServer – Server
6. DCOM-Konfiguration
Wechseln Sie zum Knoten „Default Domain Controllers Policy\Computer Configuration\Windows Settings\Security Settings\Local Policies\Security Options“.
Bearbeiten Sie die Einschränkungen für DCOM-Zugriff und -Ausführung. Doppelklicken Sie auf „DCOM: Machine Access Restrictions…“, klicken Sie auf „Edit Security“, fügen Sie das Benutzerkonto hinzu, das für die Inventardatenerfassung verwendet wird, und aktivieren Sie für den Zugriff die Optionen „Local Launch“, „Remote Launch“, „Local Activation“ und „Remote Activation“.
WARNUNG! Bevor Sie diese Richtlinien in einer produktiven Domäne anwenden, empfehlen wir, die möglichen Folgen der oben genannten Sicherheitseinstellungen sorgfältig zu prüfen.
Die neuen Einstellungen müssen mit der bereits installierten Systemsoftware (einschließlich Antivirenprogrammen und Treibern) kompatibel sein. Stellen Sie sicher, dass:
- kein Einstellungskonflikt besteht (andernfalls die alten Einstellungen belassen),
- die neuen Einstellungen korrekt verarbeitet werden und keine Abstürze verursachen.
Daher empfehlen wir dringend, die GPO-Einstellungen zuerst auf einer Testgruppe von PCs oder in einer Test-VM anzuwenden.
Wir empfehlen, zunächst die Schritte 1–3 zu verwenden; funktioniert der WMI-Zugriff danach nicht normal, kontaktieren Sie uns für Empfehlungen.
Folgen Sie den Punkten 4–6 gemäß unseren Empfehlungen.
Siehe auch:
Leitfaden zur Fehlerbehebung bei WMI-Zugriff
Vom Programm angezeigte WMI-Abfragefehler
Häufig gestellte Fragen (FAQ)