====== Woche 3 - Microsoft Windows Server Kurs ====== * [[GFN Sysadmin Kurs]] * [[Microsoft Windows Server Kurs]] * [[Woche 1 - Microsoft Windows Server Kurs]] * [[Woche 2 - Microsoft Windows Server Kurs]] * [[Woche 3 - Microsoft Windows Server Kurs]] * [[Woche 4 - Microsoft Windows Server Kurs]] * [[Woche 5 - Microsoft Windows Server Kurs]] * [[Woche 6 - Microsoft Windows Server Kurs]] * [[Woche 7 - Microsoft Windows Server Kurs]] * [[Woche 8 - Microsoft Windows Server Kurs]] * [[Moegliche Pruefungsfragen - Microsoft Windows Server Kurs]] ===== Tag 1: 24.02.2025 Montag ===== * Susanne Schneider * Tübingen (Büro in Reutlingen) * 3 Wochen, dann wieder Michael Förch * Active Directory * Buch 1, Kapitel 11 * Lernportal * Übungen * Active Directory * Active Directory * eine zentrale Datenbank für Authentifikation * Domänenkontroller (DC01) * Active Directory Domain Dienste installieren * über "Server Manager" * Dann "Konfigurationsassistent für Active Directory-Domänendienste" * WICHTIG: dort den Namen "gfnkurs.test" eintragen * (alle sonstige Einstellungen -> siehe meine Notizen auf Papier) * Server Manager / Tools * Active Directory-Benutzer und -Computer * User "Administrator" in den "OrgAdmin" umbenennen * auch * Anzeigenamen * Benutzeranmeldenamen (@gfnkurs.test) * UPN * = User Principal Name * OrgAdmin@gfnkurs.test * Ermitteln als welcher Benutzer ist man angemeldet: whoami /all * Man kann Benutzer (und auch sonstige Objekte) umbenennen, da Active Directory intern mit SID arbeitet * Domänencontroller kann auch von einem "Medium" installiert werden. * Das reduziert den "Replikationsaufwand" * Im Hyper-V Manager kann man bei jedem System einen "Prüfpunkt" erstellen. * = Sicherung ===== Tag 2: 25.02.2025 Dienstag ===== * Prüfpunkte am besten gleich für alle Computer anlegen, da die Differenzen zu "Nebeneffekten" führen können. * Command line Utility zum Verwaltern von Active Directory Domänen Diensten : ''ntdsutil'' * Fehlermeldung "Die verwendete Anmeldemethode ist nicht zulässig" kommt beim Anmelden wenn der User nicht in der Gruppe "Domänen-Benutzer" ist. * DNS Cache kann man löschen mit dem Aufruf: * ''ipconfig /flushdns'' * Übung: Jetzt alle Rechner zu der Domäne ''gfnkurs.test'' hinzufügen (außer den Router W22RT01) * W22DC02 -> über "Server Manager" (die "Workgroup" anklicken) * W22FS01 -> über "Server Manager" * W11CL01 -> über "Systemsteuerung / System / Info" * Beim Fileserver WS22FS01 Freigabe einrichten * Ordner ''C:\Seminar'' anlegen * Erweiterte Freigabe * Vollzugriff erlauben * Dann die Freigabe vom anderen Rechner testen (z.B. von W22DC02) * Im Explorer in die Adressleiste ''\\W22FS01\Seminar'' eintippen * => Inhalt sollte sichtbar sein * "Lokale" Anmeldung auf dem W11CL01: * Benutzername eintippen: ''.\W11CL01'' * Aber lokale Konten in einer Domäne lieber nicht verwenden * nur für Notfälle * Authentifizierung / Autorisierung * 1. Authentifizierung * Wer bist du? * 2. Autorisierung * Was darfst du? * LDAP = Lightweight Directory Access Protocol * Übung 11.3.2 -> "W22DC02 zum Domänencontroller machen" * Im "Server Manager" -> "Rollen und Features installieren" * Active Directory * ... * nache der Installation "Server zu einem Domänencontroller hochstufen" * Tools / DNS-Manager * kontrollieren, ob der neue Domänenkontroller dort aufgelistet ist * "Forward..." * _msdcs.gfnkurs.test * dc * _tcp * => hier sollen 2 Domänencontroller sein * Tools / Active Directory-Benutzer und -Computer * Replikation bei den Domänencontrollern ist standardmäßig eingeschaltet * Tools / Active Directory-Standorte und -Dienste * Default First-Site-Name * Servers * W22DC01 * NTDS Settings * -> dort steht wer wen repliziert * für manuelle Replikation kann man dort auf dem Eintrag rechts klicken und auf "Jetzt replizieren" * Für Replikation gilt "Master-Master" Prinzip (aka "Multi-Master"?) * (NICHT Master-Slave) * jeder repliziert jeden * CLI Utility ''dcdiag'' * ''dcdiag'' -> Diagnose des aktuellen DC * ''dcdiag /s:servername'' -> Diagnose des DCs mit dem Namen ''servername'' * Die Replikation erfolgt auf Attribut-Ebene * heißt es wird nicht Objekt komplett repliziert, sondern Attribut nach Attribut * NTDS-Util * Autoritative Restore * kann verwendet werden um gelöschte Konten wiederherzustellen * es geht aber auch über GUI mit Hilfe von Papierkorb in dem Tool "Active Directory Verwaltungscenter" * Papierkorb muss dort aber zuerst aktiviert werden * Computer "pre-stagen" * Computer in Active Directory anlegen bevor er noch "physikalisch" angeschlossen ist. * Wenn der Computer später angeschlossen wird, hat man alles für ihn bereits konfiguriert ===== Tag 3: 26.02.2025 Mittwoch ===== * Wiederholung von gestern * Service Records (bei DNS) * ldap * kerberos * Zitat aus Buch zu SRV-Einträgen: * Bei jedem Anmeldevorgang eines Domänenmitglieds wird der DNS-Server nach einer Liste der Domänencontroller gefragt, die dort hinterlegt ist. Dies geschieht durch das Anlegen sogenannter „SRV-Einträge (Service Resource Records)“. * SRV-Einträge sind Dienstidentifizierungen, mit denen bestimmte Dienste im DNS-Server eingetragen werden können * (sie gibt aber auch für andere Dienste, nicht nur um Liste von Domänen Controller zu bekommen) * Tool "Active Directory-Standorte und -Dienste" * dort kann man z.B. nachschauen wer wen repliziert * Replikation * Multi-Master * auf Attribut-Ebene * darf max. 15 Minuten dauern * kann auch manuell gestartet werden (aber normalerweise nur zum Testen) * lokale Anmeldung vs. Anmelduzng in der Domäne * 1. Authentifizierung * wer bist du? * 2. Autorisierung * was darfst du? * Kerberos (nicht prüfungsrelevant) * Kerberos Tickets * = "Ausweise" für Active Directory * können mit ''klist tickets'' aufgelistet werden * KDC * = Kerberos Distribution Center * jeder Domänen Controller ist gleichzeitig auch ein KDC * Konfiguration über "Gruppenrichtlinienverwaltung-Editor" * - Richtlinien / ... * Jede Domäne hat ihre eigenen Konten * auch Subdomänen(!) * => nicht hierarchischer Aufbau * Struktur * (= Tree) * Beispiel: Subdomänen für Abteilungen/Standorte etc * ... * Gesamtstruktur * (= Forest) * Beispiel: eine neue Firma wurde dazugekauft * ... * Verbindungen zwischen Domänen * Vertrauensstellungen * "wir vertrauen einem anderen DC" * bidirektional * transitiv * (= weiterleitend) * wenn ein DC nicht weiß, dann fragt er einen anderen * Domänenkontroller promoten / demoten * promoten: Computer zum DC machen * demoten: DC zu einem "normalen" Server herunter stufen * Demoten wir W22DC02 * Im "Server Manager" -> Rollen / Featuren entfernen * Beim Fehlerdialog * "DC tiefer stufen" anklicken * dann kommt Dialog für "Konfig Assistent" * WICHTIG: Kästchen "Entfernen diesen Domänencontroller erzwingen" NICHT anklicken (!) * Misc * DHCP anstossen um eine neue IP zu bekommen: ''ipconfig /renew'' ===== Tag 4: 27.02.2025 Donnerstag ===== * Troubleshooting Active Directory Replication Problems * https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/troubleshoot/troubleshooting-active-directory-replication-problems * In Deutsch: https://learn.microsoft.com/de-de/windows-server/identity/ad-ds/manage/troubleshoot/troubleshooting-active-directory-replication-problems * ... * Test-Fragen (siehe auch ''Z:\x\ossconsulting\_courses\gfn\module\1\Schulungsmaterial\Fragen'') * Frage 1 * Sie öffnen das Tool "Active Directory-Benutzer und -Computer". Welche Konfigurationsaufgaben können Sie damit NICHT vornehmen? * a. Benutzerkonten und Computerkonten anlegen * b. Domänenfunktionenebenen heraufstufen * c. Vertrauensstellungen konfigurieren * d. Standorte und Subnetze konfigurieren * Richtige Antworten: * c, d markieren * Frage 2 * Um die Verfügbarkeit Ihrer Unternehmensverwaltung im Netzwerk zu erhöhen, stellen Sie zwei gleichwertige Domänencontroller bereit. Dies bedeutet: * a. Alle Domänencontroller besitzen eine beschreibbare Kopie der AD-Datenbank * b. Jede Änderung in einem DC wird automatisch an den anderen DC repliziert und umgekehrt * c. Fällt ein DC aus, hat dies keinen Informationsverlust zur Folge und der andere DC übernimmt deren Funktion * d. Jede Änderung in einem DC muss manuell via PowerShell Cmdlet an den anderen DC übertragen werden und umgekehrt * Richtige Antworten: * a, b, c markieren * Frage 3 * Welche der Aussagen stimmt NICHT in Hinsicht auf Active Directory * a. Jede Domäne befindet sich automatisch in einem Forest. * b. Gibt es zwei Strukturen, werden Sie automatisch innerhalb der Gesamtstruktur nebeneinander dargestellt * c. Eine untergeordnete Domäne wird auch als Child Domain bezeichnet * d. Vertrauensstellungen zwischen Domänen müssen in einer Struktur erst konfiguriert werden * Richtige Antworten: * d markieren * Frage 4 * Welche der Aussagen stimmt in Hinsicht auf Active Directory * a. Ein DC kann niemals für mehrere Domänen eingesetzt werden * b. Pro Domäne können Sie maximal 200.000 Objekte verwalten * c. Man spricht von einer "Struktur", wenn es NUR eine Domäne und keine Vertrauensstellungen zu Dritten gibt * d. Eine Struktur wird oft als "Forest" bezeichnet * Richtige Antworten: * a markieren * Frage 5 * Welche Aussagen treffen für Active Directory zu? * a. Mithilfe von Active Directory lässt sich die Struktur des Netzwerks mit seinen angeschlossenen Geräten und Benutzern der Struktur eines Unternehmens nachbilden * b. Dem Administrator ermöglicht Active Directory die zentrale Verwaltung der Benutzerrechte für einzelne Geräte oder Objekte * c. Domänen in einer Gesamtstruktur können hierarchisch gegliedert sein. * d. Active Directory ist ausschließlich auf Linux Servern verfügbar * Richtige Antworten: * a, b, c markieren ===== Tag 5: 28.02.2025 Freitag ===== * ''Netsh'' - NetShell Befehl * "Old School" Befehl um mit Netzwerk zu arbeiten * sehr mächtig * Die 5 Betriebsmaster * Kapitel 12.1 im Buch * FSMO = Flexible Single Master Operator * 5 Betriebsmaster : * RID * PDC * Infrastruktur * Schemamaster * Domänennamenmaster * Im "Active Directory-Benutzer und -Computer" Tool * Domäne mit rechts anklicken * Betriebsmaster * 3 Tabs * RID * PDC * Infrastruktur * RID (Relative ID) Master * verwaltet IDs bei Objekten in Active Directory * PDC (Primary DC) * Funktionen von PDC: * Kennwortänderung * Zeitserver * Infrastrukturmaster * gewährleistet Konsistenz zwischen Domänen * Bsp: ein Benutzer aus einer Domäne wird zur Gruppe einer anderen Domäne hinzugefügt * Schemamaster * verwaltet Schemata der Active Directory (=Datenbank) * welche Objekte es dort gibt, welche Attribute sie haben etc. * Schemata der Active Directory Domäte kann man mit Microsoft Management Console angucken und manipulieren (lieber nicht) * zuerst ein Snap-In registrieren, das es macht (s.Buch) * ''regsvr32 schmmgmt.dll'' * dann MMC starten * ''mmc'' * dann im MMC Snap-In "Active Directory Schema..." hinzufügen (Datei / Snap-Ins hinzufügen) * Domänencontroller mit einer Betriebsmaster-Rolle NICHT löschen, da es zu späteren Problemen führen kann * zuerst Betriebsmaster-Rolle zu einem anderen DC "transferieren" * Domänennamenmaster * darf es nur EIN mal in der Gesamtstruktur geben * (FSMO) Masterrollen mit PowerShell übertragen: ''Move-ADDirectoryServerOperationMasterRole'' * siehe * https://www.windowspro.de/wolfgang-sommergut/fsmo-rollen-uebertragen-powershell * https://www.tech-faq.net/fsmo-rollen-per-powershell-uebertragen/