Kleine IT-Episoden, der Diabetes & das wahre Leben
Ich betreibe derzeit privat einen Windows Small Business Server 2003. In den letzten Tagen habe ich ĂĽberlegt, wie ich es anstellen kann, daraus einen Small Business Server 2008 zu machen.
Leider ist ein Update nicht möglich, da der SBS 2003 ein 32-Bit-System ist und der SBS 2008 ein 64-Bit-System. SOmit muss der Server komplett neuinstalliert werden.
DafĂĽr hat Microsoft einen Migrationsdokument erstellt, mit dem man dieses durchfĂĽhren kann. Ich werde mir dieses nun mal zu GemĂĽte fĂĽhren.
Aufgrund von Migrationsarbeiten an einer Domäne wollte ich gerne eine Abfrage erstellen, bei der ich einen täglichen Report per Mail erhalte, welcher Benutzer eine spezielles Loginskript nutzt. Ich weiĂź, dass dieses per MMC und ĂĽber LDAP-Abfragen möglich ist, allerdings nicht per Befehl „dsquery user“.
Nachdem ich ein wenig gesucht habe, fand ich das Tool „ADFind“, mit dem man per LDAP-Abfragen in einer DOS-Box bzw. entsprechend auch per Skripting durchfĂĽhren kann.
P.S. Am Anfang der kommenden Woche werde ich eine Seite mit meinen wichtigsten LDAP-Abfragen zur VerfĂĽgung stellen.
Ich muss in naher Zukunft einen Windows Sharepoint Services-Server umziehen. Zu diesem Zweck stehen nicht mehr ganztägig, die Datenbanken zur Verfügung. Somit müssen die Sharepoint-Seiten deaktiviert werden.
Mit dieser in der Beta-Phase befindliche Software kann man zeit gesteuert eine Maintenance-Seite schalten, so dass man mit Skripten entsprechend einen automatisierten Umzug starten kann. Des weiteren werden alle Anfragen an den Sharepoint-Dienst an diese Seite umgeleitet, so dass keine Datenänderungen seitens der Anwender gibt, auch nicht per angebundene Schnittstellen.
Diese Applikation ist auch fĂĽr Sharepoint-Server geeignet und kann dort sogar getrennte Applikationen sperren.
Link
Gerade bin ich im Internet auf die neue Version des Webpart “Change Passwort” von ITaCS gestolpert. Es sind einige Verbesserungen eingebaut worden, wobei die wohl am ehesten auffallende, sieht der Anwender, wann sein Passwort abläuft und kann dieses entsprechend ändern.
Ich kann dieses Webpart nur empfehlen, wenn man einen Sharepoint-Server bzw den Windows Sharepoint Service betreibt, so dass man die Domänenbenutzer, die vielleicht nicht direkten Zugriff auf die Domäne haben, wie externe Kunden, auch an den Kennwortrichtlinien teilnehmen lassen und diese nicht mit der Richtlinie “password never expires” ausschalten zu müssen und somit einen höheren Sicherheitsaspekt gewährleisten.
Link
Aufgrund einer Informationen-E-Mail, die zu einer bestimmten Uhrzeit verteilt werden sollte, habe ich im Outlook die Option “Übermittlung verzögern bis” verwenden wollen.
Ich habe auch alle Einstellungen entsprechend meines Wunsches eingetragen und entsprechend vorbereitet. Nun schaute ich am folgenden Tag in mein Postfach und musste feststellen, dass meine Mail erst gerade nach dem Start von Outlook versandt wurde, was in meinem Fall zeitlich einigermaĂźen im Rahmen lag.
So musste ich leider feststellen, dass diese Funktion unter dem Exchange-Cache-Modus nicht zur Verfügung steht. Sie funktioniert nur, wenn man während der gewählten Uhrzeit aktiv mit dem Cache-Modus-aktivierten System am Exchange-Server angemeldet ist. Dieses kann direkt im Netzwerk oder außerhalb zum Beispiel mit VPN bzw. RPC-over-HTTPS realisiert werden.
Per Outlook Web Access des Exchange Servers 2007 steht die Funktion zur Verfügung, so dass die Option gewährleistet ist, da diese dann direkt auf dem Server ausgeführt wird und nicht am Client.
In manchen Fällen mach es Sinn Berechtigungen an weitere Kollegen zu delegieren, allerdings ohne sofort direkte Rechte auf alle administrativen Berechtigungen zu geben.
Dieses galt in meinem Fall fĂĽr die Einrichtung von DFS-VerknĂĽpfungen. Leider bekam der betroffene Kollege, nach dem er die erforderlichen Daten fĂĽr eine DFS-VerknĂĽpfung eingegeben hatte, die Meldung Zugriff verweigert.
Im Bereich des DFS kann man keine Einstellungen vornehmen und auch bei den auf dem Domänencontroller angelegten Ordern waren einfach nur die erforderlichen Rechte angelegt. Somit musste es noch eine weitere Stelle zur Administration der Berechtigungen geben.
Nach etwas Suche fand ich die Lösung, da man die “Erweiterten Funktionen” im MMC-Snap-In “Active Directory Benutzer und Computer” aktivieren muss. Dort ist dann in der erweiterten Domänen-Ansicht unter dem Ordner “System” auch ein Ordner “DFS-Configuration” zu finden.
Nun gibt es zwei Möglichkeiten.
Entweder man vergibt dem entsprechenden Kollegen die Rechte auf diesen Ordner oder man berechtigt ihn auf den entsprechend darunter angebundenen DFS-Stamm.
Sollte man den Kollegen auf den Ordner “DFS-Configuration” administrieren, erhält dieser auch automatisch Zugriff auf in Zukunft neu angelegte DFS-Stämme.
Bei der zweiten Variante kann zum Beispiel im Falle einer Migration eine neue Struktur bereits angelegt werden ohne das ein delegierter Nicht-Administrator Anpassungen im DFS-Stamm durchführen kann. Ein weiteres Beispiel wäre, wenn es lokale Administratoren gibt zum Beispiel für unterschiedliche Standorte gibt, die jeweils einen eigenen DFS-Stamm haben, kann der entsprechende Delegierte zwar auf seinen Stamm zugreifen und Anpassungen durchführen, allerdings nicht auf allen weiteren.
Link
Um eine Fehleranalyse einer nicht funktionierenden Gruppenrichtlinie durchführen zu können, wollte ich gerne erst einmal eine Übersicht haben, welche Richtlinien überhaupt angewendet werden.
Im Windows-Ressource-Kit fand ich die Datei GPInventory.exe mit der man einige Daten von Gruppenrichtlinien sowie einige WMI-Werte remote auslesen kann, so dass man sich erst einmal einen Ăśberblick ĂĽber den aktuellen Zustand erstellen kann.
Was ich sehr hilfreich fand, war den Import der Computerkonten aus einer Active Directory. Als weitere Möglichkeit ist ein Import aus einer Textdatei angeboten.
Bei meinen Ermittlungen habe ich mir die folgenden Werte ausgeben lassen:
– Welche Computer-Policy wird angewandt ?
– Welche User-Policy wird in diesem Moment angewandt?
– Welcher User ist angemeldet?
– Welches Betriebssystem ist installiert?
– Welches Service Pack ist installiert?
Aufgrund dieser Ermittlungen konnte ich in meinem Fall feststellen, dass ein WMI-Filter leider nicht so gearbeitet hat, wie ich es mir vorstellte und eine Richtlinie auch auf Systeme mit dem falschen Betriebssystem zur VerfĂĽgung stellte.