====== Woche 4 - Microsoft Windows Server Kurs ====== * [[GFN Sysadmin Kurs]] * [[Microsoft Windows Server Kurs]] * [[Woche 1 - Microsoft Windows Server Kurs]] * [[Woche 2 - Microsoft Windows Server Kurs]] * [[Woche 3 - Microsoft Windows Server Kurs]] * [[Woche 4 - Microsoft Windows Server Kurs]] * [[Woche 5 - Microsoft Windows Server Kurs]] * [[Woche 6 - Microsoft Windows Server Kurs]] * [[Woche 7 - Microsoft Windows Server Kurs]] * [[Woche 8 - Microsoft Windows Server Kurs]] * [[Moegliche Pruefungsfragen - Microsoft Windows Server Kurs]] ===== Tag 1: 03.03.2025 Montag ===== * Wiederholung * 5 Betriebsmaster * Schemamaster * 1 x pro Gesamtstruktur * Aufgaben * Schemata der Active Directory Datenbank verwalten * Domänennamensmaster * 1 x pro Gesamtstruktur * Aufgaben * Domänen verwalten * Namen etc.. * RID * 1 x pro Domäne * Aufgaben * Objekt IDs verwalten * PDC * 1 x pro Domäne * Aufgaben * Passwordforwarding * Zeitserver * Infrastruktur * 1 x pro Domäne * Aufgaben * Verweise zwischen Objekten in verschiedenen Domänen verwalten * Gutes Bild zum Thema Betriebsmaster: Abb. 12.8 "Zusammenfassung der Betriebsmaster" im Kapitel 12.x * Fragen aus dem Fragenkatalog (siehe ''Z:\x\ossconsulting\_courses\gfn\module\1\Schulungsmaterial\Fragen\Fragen_20250303''): * Frage 1 * a, e * Frage 2 * c * Frage 3 * c -> MoveADDirectoryServerOperationMasterRole * Frage 4 * a -> Wahr * Frage 5 * c -> ''netdom query fsmo'' * Arbeiten mit OUs (Kapitel 13.4) * Um Tab "Sicherheit" zu sehen, muss man es zuerst aktivieren: * Tool "Active Directory Benutzer- und -Computer" * Ansicht / Erweiterte Features... * RSAT (=Remote Server ... ) * Tools um die Domänensontroller von anderen Rechnern (nicht DCs) zu verwalten * Installieren: * Auf dem Windows 11 Client * Remote Server Verwaltungstools * System / Optionale Features ... * Auf dem Server * Server Manager * Features auswählen * Remote Server Verwaltungstools * Benutzer "Trainer" erstellen * Delegieren der administrativen Tätigkeiten (=der Admin delegiert manche administrative Aufgaben an andere Benutzer) * Tool "Active Directory Benutzer- und Computer" * Objekt auswählen (z.B. eine OU) * Objektverwaltung zuweisen... * => danach öffnet sich der Assistent, mit dem es gemacht werden kann * N.B. Bei der Auswahl der Rechte: "Wenn Ihnen diese Abstufung nicht fein genug ist, wählen Sie „Benutzerdefinierte Tasks zum Zuweisen erstellen" * Active Directory Gruppen * Gruppe anlegen (im Tool "Active Directory Benutzer- und Computer") * Gruppentyp * immer "Sicherheit" * da "Verteilung" nichts mit Berechtigungen etc zu tun hat, sondern so was wie Zugehörigkeit zum "E-Mailverteiler" ist * Gruppenbereich (s. auch "IGDLA-Prinzip") * Global * => Benutzerseite * Lokal (Domänenlokal) * => Resourcenseite * IGDLA * I = Identity * G = Global * DL = Domain Lokal * A = Access * G-Gruppen (Benutzer zusammenfassen) * DL-Gruppen ("Rechte zusammenfassen") * DL_Seminar-Lesen * nur Lesen * DL_Seminar-VZ * Vollzugriff * ''whoami /all'' * Zeigt auch Gruppenzugehörigkeit an * N.B. Nach der Änderung der Gruppenzugehörigkeit am besten neu anmelden ===== Tag 2: 04.03.2025 Dienstag ===== * Wiederholung * RSAT = Remote Server Administration Tools * Motivation: * Nicht-Admins dürfen sich nicht direkt auf den DCs anmelden * => RSAT notwendig * Zu installieren (auf dem Client) * ...(see notes) * Zu installieren (auf dem Server) * ...(see notes) * Zu finden unter * Systemsteuerung / System und Sicherheit / Windows-Tools * Delegieren der administrativen Verwaltung * über: * rechte Maustaste auf OU * Objektverwaltung zuweisen * IGDLA * Fragen (siehe ''Z:\x\ossconsulting\_courses\gfn\module\1\Schulungsmaterial\Fragen\Fragen_20250304'') * Frage 1 * b * Frage 2 * b * Frage 3 * c,d * Frage 4 * b,c * Der Globale Katalog (GC) * wird verwendet um Infos aus der Gesamtstruktur zu speichern (indizieren?) * also "Forest-weit" * die "normale" Suche funktioniert nur auf der Domänen-Ebene * wenn man "global" suchen will, im Suchfenster in "Gesamtes Verzeichnis" gehen * ab jetzt sind wir im Band 2 * Tag 17 * Tag 18 * Tag 19 * Tool "Active Directory Benutzer- und Computer" * Container * Symbol "ohne Buch" * werden normalerweise(?) vom System angelegt * OUs * Symbol "mit Buch" * Gruppenrichtlinien * Gruppenrichtlinien * Computer-bezogen * Benutzer-bezogen * Tool "Gruppenrichtlinienverwaltung" * Gruppenrichtlinienobjekt anlegen: * rechte Maustaste auf OU * Gruppenrichtlinienverwaltungs-Editor * wenn das Objekt angelegt ist, kann es im "Gruppenrichtlinienverwaltungs-Editor" editieren * Zustände einer Gruppenrichtlinie * Nicht konfiguriert * Aktiviert * Deaktiviert * Beispiel für Gruppenrichtlinien * Bilder in ''C:\Windows\Web\Wallpaper\Blumen'' * kopieren nach ''C:\Info'' * dann diesen Ordner freigeben * Freigabe -> Jeder -> Lesen * dann soll ein Bild über diese Freigabe erreichbar sein: z.B. als ''\\w22dc01\Info\img12.jpg'' * CMD-Befehle um mit Gruppenrichtlinien zu arbeiten: # Refresh der Gruppenrichtlinien nach einer Änderung erzwingen gpupdate /forse # Aktuelle Gruppenrichtlinien anzeigen gpresult /r * Gruppenrichtlinien * werden vererbt * können überschrieben werden * Gruppenrichtlinie deaktivieren * am besten im Gruppenrichtlinienverwaltungs-Editor * Rechtsklick auf der Gruppenrichtlinie * "Verknüpfung aktiviert" -> Häckchen rausnehmen ===== Tag 3: 05.03.2025 Mittwoch ===== * Feststellen ob eine Einstellung über Gruppenrichtlinien gemacht wurde und wenn ja, über welche (auch welcher Benutzer auf welchem Computer) * Stichwort: "Gruppenrichtlinienergebnisse" * Gruppenrichtlinienergebnisassistent * Im Tool "Gruppenrichtlinienverwaltung" * im Baum links den Knoten "Gruppenrichtlinienergebnisse" * rechte Maustaste -> "Gruppenrichtlinienergebnis-Assistent..." * Richtlinienergebnissatz mit rechter Maustaste anklicken -> "Erweiterte Ansicht" * dann sieht man alle Gruppenrichtlinien, die für diesen Satz gelten * Man kann auch von dem "betroffenen" Rechner aus die Gruppenrichtlinien anschauen. * mit dem "betroffenen" Benutzer anmelden und dann in der Konsole ausführen: * ''gpresult /h Reportdatei.html'' * damit wird ein Report in die Datei geschrieben * NB: Status der Windows-Lizenz kann man mit folgendem Commando anzeigen: * ''slmgr /dlv'' * wenn dort "Lizenzstatus: Benachrichtigung" steht, dann ist die Lizenz abgelaufen * Die Richtlinien können auch "erzwungen" werden * damit kann der "höhergestellte" Admin, die Richtlinien an die "untergestellten" Admins durchdrücken * Vererbung kann auch blockiert werden * Tool "Gruppenrichtlinienverwaltung" * Gruppe mit rechter Maustaste anklicken * "Vererbung deaktivieren" ===== Tag 4: 06.03.2025 Donnerstag ===== * Wiederholung * Firewallregel über Gruppenrichtlinien setzen * Computer bezogen * Windows... * Sicherheits... * Windows Defender ... * Windows Defender ... * Eigenschaften * ICMP * Verbindung zulassen * Gruppenrichtlinien erzwingen * Vererbung deaktivieren * Gruppenrichtlinienvorlagen * ADMX - Files (eigentliche Gruppenrichtlinien) * Zu finden unter ''C:\Windows\PolicyDefinitions\*.admx'' * ADML - Files (Sprachfiles, L=Language) * Zu finden unter ''C:\Windows\PolicyDefinitions\de-DE\*.adml'' * (N.B.) Gruppenrichtlinien kann man anwenden auf: * Benutzer * ODER * Computer * aber KEINE GRUPPEN etc * also noch ein Mal: NUR Computer ODER Benutzer * Verknüpfungen * man kann eine Verknüpfung deaktivieren * => dann gilt die Richtlinie nicht * eigentliche Richtlinie liegt unter "Gruppenrichtlinienobjekte" * Gruppenrichtlinien sichern * rechtsklicken auf "Gruppenrichtlinienobjekte" * Alle sichern... * Default Domain Policy * sollte am besten nicht verändert werden * => immer eigene Gruppenrichtlinien anlegen * Computer/Benutzer Reihenfolge: * 1. Computer startet * es werden alle Computer-Gruppenrichtlinien angewendet * 2. Benutzer meldet sich an * Gruppenrichtlinien für diesen Benutzer werden angewendet * CSE = Client Side Extensions * DLLs, die geladen werden um irgendwelche Einstellungen im AD ändern zu können * Standardmäßig werden Gruppenrichtlinien alle 90 Minuten erneut geladen * aber nicht immer angewendet! * Abarbeitungsreihenfolge: * 1. Lokale Gruppenrichtlinien (=lokal auf dem PC, haben nichts mit AD zu tun) * 2. Standort * 3. Domäne * 4. OU * 5. Unter-OU * Sicherheitsfilterung * abhängig vom Benutzer oder vom Computer kann man Gruppenrichtlinien anwenden * WMI-Filterung (=Windows Management Instrumentation) * SQL-ähnliche Statements, wo man etwas festlegen kann (z.B. Windows Version etc) * Starterrichtlinienobjekt * so was wie ein Template für die Gruppenrichtlinie * Gruppenrichtlinienergebnisse * Bericht etc * rechte Maustaste auf einem Gruppenrichtlinienergebnis * Erweiterte Ansicht... * dort sieht man alles schöner als im generierten HTML-Bericht (baumartige Ansicht etc) * ''gpupdate'' * ''gpresult'' * ''dcdiag'' * Software verteilen * kann man auch mit Gruppenrichtlinien machen * ABER besser nicht * die Funktionalität sehr mager * kompliziert * nur MSI erlaubt (angeblich) * es gibt bessere Tools dafür * z.B. MECM * Ordnerumleitung * Ein fregegebener Ordner kann so eingerichtet werden, dass es als "Profil-Ordner" erscheint * z.B. "Dokumente" * ein Benutzer hat dann auf jedem Rechner in der Domäne die Ordner mit dem gleichen Inhalt * P.S. normalerweise wird es auch synchronisiert, wenn der Rechner offline ist * siehe Band 2, Kapitel 19.1 Ordnerumleitungen ===== Tag 5: 07.03.2025 Freitag ===== * Wiederholung * Ordner "Gruppenrichtlinienobjekte" * an den OUs -> nur Verknüpfungen * In ''C:\Windows\PolicyDefinitions'' * ADMX -> Vorlagendateien (''*.admx'') * ADML -> Sprachdateien (''*.adml'' in Ordnern ''de-DE'', ''en-US''...) * Abarbeitungsreihenfolge * Lokale Richtlinie * Standort * Domäne * OU * Unter-OU * Reihenfolge kann man ändern * Rechtsklick auf OU * Tab "Gruppenrichtlinienvererbung" * Gruppenrichtlinien filtern * Richtlinie anklicken und im Tab "Bereich" * "Sicherheitsfilterung" * hier kann man filtern bzgl. Benutzer/Gruppen * "WMI-Filterung" * hier kann man filtern bzgl. Hardware- / Software-Eigenschaften bzw. -Einstellungen * Ordnerumleitung * Ordner aus der Benutzerprofilen können auf den Server umgeleitet werden (z.B. "Dokumente") * -> Benutzerkonfiguration / Windows-Einstellungen / Ordnerumleitung * Skriptzuweisung * in AD kann man Skriptausführung festlegen * Computerbezogen * Beim Start / Herunterfahren * -> Computerkonfiguration / Richtlinien / Windows-Einstellungen / Skripts * Benutzerbezogen * Beim Anmelden / Abmelden * -> Benutzerkonfiguration / Richtlinien / Windows-Einstellungen / Skripts * Übung 19.2 * Datei "Hello.vbs" mit * ''MsgBox "Guten Morgen!"'' * OU "Seminar" * Gruppenrichtlinie (z.B. "Skripte") erstellen * Datei entweder "Hinzufügen" oder "Anzeigen" * besser zuerst anzeigen, dann in dem Ordner eine neue erstellen * Beispiel "Explorer-Optionen" * Optionen des Explorers (z.B. "Dateinamenserweiterungen einblenden") über eine Gruppenrichtlinie setzen * s. Notizen auf Papier * Beispiel "Laufwerkszuordnung" * Beim Hochfahren sollen Laufwerke gesetzt werden (Freigaben vom Fileserver) * s. Notizen auf Papier * 19.3.1 Sicherheitsvorlagen * Susanne: NICHT RELEVANT, da veraltet * 19.3.2 Lokale Richtlinien: Überwachungsrichtlinien * Spezielles Thema * Susanne: für die Prüfung nicht relevant * Überwachung führt zu sehr großen Logs * Ergebnis der Überwachung kann man in Systemeinstellungen "Computerverwaltung" sehen: * System / Ereignisanzeige / Windows-Protokolle ... * Dateien transferieren * mit AD kann man auch Dateien transferieren (z.B. vom Fileserver zu dem Client) * Benutzerkonfiguration / Windows-Einstellungen / Dateien ... * Taste F3 -> Pfad "vervollständigen" * Misc * ''DCDiag'' * Utility zur DC Diagnose * ''GPResult'' * zeigt / reported Richtlinien an * ''Repadmin /syncall /force'' * Utility für DCs Replikation * Fragen_20250307 * Frage 1 * c * Frage 2 * b * Frage 3 * c * Frage 4 * b * Frage 5 * c, e * Frage 6 * b, c * Frage 7 * c * Frage 8 * b * Frage 9 * b * Frage 10 * c