Kategorie: Server

In manchen Fällen mach es Sinn Berechtigungen an weitere Kollegen zu delegieren, allerdings ohne sofort direkte Rechte auf alle administrativen Berechtigungen zu geben.

Dieses galt in meinem Fall für die Einrichtung von DFS-Verknüpfungen. Leider bekam der betroffene Kollege, nach dem er die erforderlichen Daten für eine DFS-Verknüpfung eingegeben hatte, die Meldung Zugriff verweigert.

Im Bereich des DFS kann man keine Einstellungen vornehmen und auch bei den auf dem Domänencontroller angelegten Ordern waren einfach nur die erforderlichen Rechte angelegt. Somit musste es noch eine weitere Stelle zur Administration der Berechtigungen geben.

Nach etwas Suche fand ich die Lösung, da man die “Erweiterten Funktionen” im MMC-Snap-In “Active Directory Benutzer und Computer” aktivieren muss. Dort ist dann in der erweiterten Domänen-Ansicht unter dem Ordner “System” auch ein Ordner “DFS-Configuration” zu finden.

Nun gibt es zwei Möglichkeiten.
Entweder man vergibt dem entsprechenden Kollegen die Rechte auf diesen Ordner oder man berechtigt ihn auf den entsprechend darunter angebundenen DFS-Stamm. 

Sollte man den Kollegen auf den Ordner “DFS-Configuration” administrieren, erhält dieser auch automatisch Zugriff auf in Zukunft neu angelegte DFS-Stämme.

Bei der zweiten Variante kann zum Beispiel im Falle einer Migration eine neue Struktur bereits angelegt werden ohne das ein delegierter Nicht-Administrator Anpassungen im DFS-Stamm durchführen kann. Ein weiteres Beispiel wäre, wenn es lokale Administratoren gibt zum Beispiel für unterschiedliche Standorte gibt, die jeweils einen eigenen DFS-Stamm haben, kann der entsprechende Delegierte zwar auf seinen Stamm zugreifen und Anpassungen durchführen, allerdings nicht auf allen weiteren.

Link

Um eine Fehleranalyse einer nicht funktionierenden Gruppenrichtlinie durchführen zu können, wollte ich gerne erst einmal eine Übersicht haben, welche Richtlinien überhaupt angewendet werden.

Im Windows-Ressource-Kit fand ich die Datei GPInventory.exe mit der man einige Daten von Gruppenrichtlinien sowie einige WMI-Werte remote auslesen kann, so dass man sich erst einmal einen Überblick über den aktuellen Zustand erstellen kann.

Was ich sehr hilfreich fand, war den Import der Computerkonten aus einer Active Directory. Als weitere Möglichkeit ist ein Import aus einer Textdatei angeboten.

Bei meinen Ermittlungen habe ich mir die folgenden Werte ausgeben lassen:
– Welche Computer-Policy wird angewandt ?
– Welche User-Policy wird in diesem Moment angewandt?
– Welcher User ist angemeldet?
– Welches Betriebssystem ist installiert?
– Welches Service Pack ist installiert?

Aufgrund dieser Ermittlungen konnte ich in meinem Fall feststellen, dass ein WMI-Filter leider nicht so gearbeitet hat, wie ich es mir vorstellte und eine Richtlinie auch auf Systeme mit dem falschen Betriebssystem zur Verfügung stellte.

Vor längerer Zeit fragte mich ein bekannter Administrator einer größeren Umgebung, ob ich eine Möglichkeit kennen würde, wie man anhand einer SID den Benutzer ermitteln kann, da einem System, an dem sich ca. 30 Anwender anmelden eine Änderung an 11 Benutzer-Registry durchgeführt werden müsste.

Über das Tool SidToName ist dieses möglich. Es muss einfach an einem Rechner per CMD das Tool ausgeführt werden, der ebenfalls der Domäne hinzugefügt ist. Dieses Tool ist eine Kommandozeilen-Programm. Der Befehl lautet dann:

c:\sidtoname.exe <SID>

Link

Mit dem Tool “Memberof” kann bei einem angemeldeten Benutzer alle Gruppen in eine Text-Datei zu exportieren. Mit alle Gruppen sind auch die Verschachtelten Gruppen gemeint, die eventuell hinter einer Hauptgruppe liegen. Das Tool zeigt ebenfalls an, ob die Gruppe eine Domänenlokale oder eine Globale Gruppe ist.

Ich nutze immer den folgenden Aufruf:
c:\memberof.exe > c:\%username%.txt

Link

In den letzten Tagen bin ich im Bereich der Datensicherung und Datenrücksicherung des Active Directory Domain Services an 2 Begriffe geraten, die mich im Lernen ein wenig zum Stolpern gebracht haben:

nicht-autorisierte Wiederherstellung
autorisierte Wiederherstellung

Nach dem ich meine Bücher gewälzt habe, möchte ich hier meine Eselsbrücke mitteilen, die vielleicht auch anderen hilft:

Gibt es nur einen Domänencontroller, ist die Art der Wiederherstellung egal.

Gibt es mehrere Domänencontroller und der Stand der weiteren Domänenkontroller soll übernommen werden, muss die nicht-autorisierte Wiederherstellung gewählt werden.

Gibt es mehrere Domänencontroller und der Stand des wiederhergestellten Domänencontroller soll übernommen werden, muss die autorisierte Wiederherstellung gewählt werden. Durch die Autorisierung werden die Objekte als neuer definiert und an die anderen DCs repliziert.