====== Woche 5 - Microsoft Windows Server Kurs ====== * [[GFN Sysadmin Kurs]] * [[Microsoft Windows Server Kurs]] * [[Woche 1 - Microsoft Windows Server Kurs]] * [[Woche 2 - Microsoft Windows Server Kurs]] * [[Woche 3 - Microsoft Windows Server Kurs]] * [[Woche 4 - Microsoft Windows Server Kurs]] * [[Woche 5 - Microsoft Windows Server Kurs]] * [[Woche 6 - Microsoft Windows Server Kurs]] * [[Woche 7 - Microsoft Windows Server Kurs]] * [[Woche 8 - Microsoft Windows Server Kurs]] * [[Moegliche Pruefungsfragen - Microsoft Windows Server Kurs]] ===== Tag 1: 10.03.2025 Montag ===== * Agenda * für heute: * 19.3 bis einschließlich Tag 20 * für KW11 * Band 2 fertig zu bekommen * Benutzerrichtlinien auf File Server als Benutzer "OrgAdmin" kann man mit dem folgenden Befehl anschauen (Win+R): * ''gpedit.msc'' * Benutzerrechte unter: * Computerkonfiguration * Windows-Enstellungen * Sicherheitsrichtlinien * Lokale Richtlinien * Zuweisen von Benutzerrechten * Beispiele für Rechte, die bei uns auf Client und Server (z.B. W22FS01 und 211CL01) verschieden konfiguriert sind: * Anmelden über Remotedesktop * Auf diesen Computer von Netz aus zugreifen (positiv) * Zugriff vom Netz verweigern (negativ) * Herunterfahren des Systems * Lokal Anmelden zulassen * => Auf dem Server darf nicht jeder Active Directory-Benutzer sich anmelden * ... * Benutzerkontensteuerung (aka UAC = User Account Control) -> Kapitel 19.3.4 * es geht darum, ob wenn man eine Änderung an wichtigen Einstellungen macht eine Rückfrage vom System kommen soll * Eingeschränkte Gruppen -> Kapitel 19.3.5 * NICHT wichtig * Anwendungssteuerungsrichtlinien -> Kapitel 19.4 * AppLocker * verhindert, dass bestimmte Programme/Dienste/etc. ausgeführt werden * Verwaltete Dienstkonten -> Kapitel 20.1 * => WICHTIG * Ein Dienst muss sich mit einem Konto anmelden und damit es sich mit den Benutzern nicht überschneidet, gibt es spezielle Konten dafür * Verwaltete Dienstkonten sind Konten, die nur für Dienste verwendet werden und automatisch vom System verwaltet werden * Beispiel zum Dienstkonto erstellen (im Buch, oder auch unter folgendem Link sogar besser beschrieben : https://rdr-it.com/en/active-directory-restore-default-gpos-default-domain-policy-default-domain-controller-policy/) * 1. Root key erstellen und um Timeout zu verhindern so datieren, dass Erstellungszeitpunkt 10 Stunden in Vergangenheit liegt * ''Add-KDSRootkey -EffectiveTime ( (Get-Date).AddHours(-10))'' * 2. Dienstkonto "_Service1" für den File Server "W22FS01" erstellen * ''New-ADServiceAccount -Name _Service1 -DNSHostName _Service1.gfnkurs.test -PrincipalsAllowedToRetrieveManagedPassword W22FS01$'' * 3. Konto an den Rechner binden * ''Add-ADComputerServiceAccount -Identity W22FS01$ -ServiceAccount _Service1'' * 4. Alle auflisten, um anzuschauen, ob das Konto erstellt wurde: * ''Get-ADServiceAccount -Filter *'' * 5. Auf dem File Server Computer WS22FS01 als OrgAdmin: * ''Install-ADServiceAccount -Identity _Service1'' * Gruppenrichtlinieneditor für LOKALE Gruppenrichtlinien kann man mit folgendem Kommando starten: * ''gpedit.msc'' * Active Directory verwalten -> Kapitel 20.2 * Sicherungsprogramm auf DC01 installieren * Rollen und Features * ... * Feature "Windows Server-Sicherung" * Nach der Installation haben wir dann unter "Tools" ein neues Tool "Windows Server-Sicherung" * Wiederherstellen * Problem: man kann nicht im laufenden Betrieb Active Directory wiederherstellen * Lösung: Verzeichnisdienstwiederherstelluhngsmodus * Systemsteuerung / Update & Sicherheit * Wiederherstellung * Erweiterter Start * ... * Beim Hochfahren "Reparaturmodus für Verzeichnisdienste" wählen * Active Directory DB liegt physikalisch unter ''C:\Windows\NTDS'' * ''ntds.dit'' * (nicht prüfungsrelevant) * Gruppenrichtlinienverwaltung starten (Active Directory bezogen, NICHT lokal) * ''gpmc.msc'' * Beispiel "Gruppenrichtlinien erstellen" * Seminar / Applocker * dann "Bearbeiten" * ... * Windows-Einstellungen * ... * Anwendungs...richtlinien * WICHTIG * Standardregeln IMMER erstellen, da: * Alles ist verboten, außer es ist erlaubt * AppLocker Regeln scharfschalten: * Rechtklick auf der Regel * Eigenschaften * dort dann entsprechende Häckchen setzen * Dienst "Anwendungsidentitätsdienst" muss gestartet sein ===== Tag 2: 11.03.2025 Dienstag ===== * Wiederholung * AppLocker * alles verweigert, außer das was explizit erlaubt ist * => deshalb Standard-Regeln generieren notwendig * Managed Service Accounts * = Anwendungssteuerungsdienstkonten * Zertifikatsdienste (Kapitel 23) * mit Active Directory * ohne Active Directory auch möglich (ist aber nicht unser Thema) * Installationsassistent * Im "Server Manager" * Verwalten / Rollen * Zertifikatsdienste * ... * Rollendienste * Zertifizierungsstelle * Online-Responder * Web-Registrierung * Nach der Installation "Active Directory Zertifizierungsdienste konfigurieren" * wie: s. Notizen (auf Papier) * Tool "Zertifizierungsstelle" im Server Manager * gfnkurs... * Rechtsklick, dann auf "Eigenschaften" * Um Zertifikate zu managen: * MMC mit folgenden Snap-Ins: * Zertifikate -> Eigenes ... * Zertifikate -> Computer .... -> Lokaler Computer * Zertifikate - Aktueller Benutzer * Eigene Zertifikate * Zertifikate -> Rechtsklick * Alle Aufgaben -> Neues Zertifikat anfordern * "Zertifikate registrierung" startet * dort "Administrator..." markieren * -> Registrieren * Zertifikate (Lokaler Computer) * ... * "Domänencontroller" markieren * ... * Übung 23.3.1.a * Zertifikat exportieren (auf dem W22DC01) * danach Zertifikat importieren (auf dem W11CL01) * Übung 23.3.2 (Web-Registrierung...) * Übung 23.4 (Zertifikate sperren) * Sperrzertifikate * -> Sperrliste veröffentlichen * Zertifizierungsstellen verwalten (Kapitel 24) * ... * Zertifikatsvorlagen aktivieren / deaktivieren * ... * Zertifikatsvorlage aktivieren ===== Tag 3: 12.03.2025 Mittwoch ===== * Wiederholung * Kapitel 23 * Kapitel 24 (Teilweise) * Zertifikatsvorlagen * Unternehmenszertifizierungsstelle * da sie in Active Directory integriert ist * Root Zertifikat * Zertifizierungspfad * Import / Export von Zertifikaten * Unsere Zertifizierungstelle muss unter "vertrauenswürdigen" gelistet sein * Zertifikate - Aktueller Benutzer * Eigene Zertifikate * Zertifikate (Lokaler Computer) * Zertifikatsvorlagenkonsole * enhält alle (aktivierten und deaktivierten) Zertifikatsvorlagen * Gülitgkeisdauer * max. 2 Jahre * Zertifikate müssen periodisch erneuert werden * Erneuerungszeitraum * manuell (kann, muss aber nicht) * Agenda * Tag 21 * Tag 22 * Testfragen * Eigenschaften von Zertifikatsvorlage (in der "Zertifikatsvorlagenkonsole") * Tab "Sicherheit" * Berechtigungen * Lesen * Schreiben * Registrieren * Automatisch registrieren * Übung 24.1.1 * ... * Übung 24.1.2 * ... * Autoenrollment (Automatische Zertikatsanforderung) * Buch: In Windows Server 2022 gibt es 2 Möglichkeiten dazu * 1 -> alt * 2 -> neu * => Einzelheiten siehe Buch * Übung 24.2 (=> Automatische Registriereung) * ... s. Notizen und Lösungen * Schlüsselarchivierung * (nicht prüfungsrelevant) * "Active Directory - Verwaltungscenter" Tool * aka ADAC :) * Alternative zum "AD-Benutzer und -Computer" Tool * "ADAC" kann sogar mehr, wird aber seltener verwendet * Tolle Features: * Globale Suche * mit "Kriterien hinzufügen" * Suchen können gespeichert werden * PowerShell Verlauf (Fensterleiste unten) * Cmdlets kann man dann z.B. für eigene Skripte verwenden * Password Setting Objects = PSO * Sicherheit für die Kennwörter (Kapitel 21.3) * Im Tool "AD Benutzer und Computer" * Unter "Default Domain Policy" / Comp.../ Windows... * Kennwortrichtlinien * Kennwortsperrichtlinien * Die Kennwortrichtlinien gelten standarmäßig für alle Unterstufen von "Default Domain Policy" * es gibt zwar Möglichkeit sie bei den OUs anzuschauen, aber das sie die Richtlinien von Default Domain Policy * => also für alle OUs gleich * ABER: später ist auch eine Möglichkeit Ausnahmen bei den Kennwortrichtlinien zu definieren hinzugekommen => siehe PSO (Password Settings Objects) * im "AD Verwaltungcenter" ("ADAC") * Wiederherstellung von gelöschten Objekten (Kapitel 21.2) * Objekte werden nicht sofort gelöscht (wg. Replikation etc) * => Papierkorb notwendig * Im Tool "AD-Verwaltungscenter" gibt es Möglichkeit Papierkorb zu verwenden * ABER: man muss zuerst "Papierkorb aktivieren" werden * Domäne (?) anklicken und dann auf der rechten Seite des Fensters ===== Tag 4: 13.03.2025 Donnerstag ===== * Wiederholung * Zertifikate automatisch registrieren / ausrollen (Autoenrollment) * Im Tool "Gruppenrichtlinienverwaltung" * Computerkonfiguration bzw. Benutzerkonfiguration * Windows-Einstellungen * Sicherheitseinstellungen * Richtlinien für öffentliche Schlüssel * Automatisches Ausrollen ist (bei dem Benutzer?) mit dem Anmeldevorgang verknüpft * => auf dem entsprechenden Computer (bzw. mit dem entsprechenden Benutzer) noch ein Mal anmelden * N.B. ''gpupdate /force'' ist u.U. auch notwendig * Kapitel 23 * Tool "Active Directory Verwaltungscenter" ("ADAC-Tool") * Vorteile * Globale Suche * Kriterien * kombinierbar * Operationen an Suchergebnissen möglich * Suchen speicherbar * PowerShell Cmdlets - History * Kontorichtlinien (zu finden unter "Default Domain Policy") * Kennwortrichtlinien * Kontosperrungsrichtlinien * Kerberos-Richtlinien * Ausnahmen zu den Kontorichtlinien kann man über PSOs machen * Im "ADAC-Tool" kann man bei den Benutzern "Resultierende Kennworteinstellungen" anschauen * Papierkorb für Active Directory * muss zuerst im "ADAC-Tool" aktiviert werden (auf der Domänen-Ebene?) * man muss auch Organisations-Admin sein * Agenda für heute * Tag 22 * Vertrauensstellungen * Replikation und Standortverwaltung * Vertrauensstellungen * Domänen/Subdomänen vertrauen bei der Authentifizierung eine der anderen * bidirektional (aber nur wenn Vertrauennstellungen automatisch erstellt wurden) * transitiv (wenn A vetraut B und B vertraut C, dann A vertraut auch C) * Automatische Vertrauensstellungen * Tool "Active Directory-Domänen und -Vertrauensstellungen" * Gesamtstrukturvertrauensstellungen [22.1.2] * werden manuell gemacht * "Neue Vertrauensstellung..." Assistent * Hier kommt wieder der Unterschied zwischen "Authentifizierung" und "Autorisierung" zum Vorschein * Verknüpfte Vertrauensstellungen [22.1.3] * "Shortcut-Trust" * kann man machen, weil manchmal "direktes" Vertrauen zwischen (Sub-)Domänen aus verschiedenen Strukturen effektiver ist * Beispiel: * 2 Strukturen * 1. Rootdomäne in New York * Subdomäne in Frankfurt * 2. Rootdomäne in Tokio * Subdomäne in Stuttgart * => es ist effektiver nicht über New Yourk und Tokio zu gehen, sondern direkte "verknüpfte Vertrauesstellungen" zwischen Stuttgat und Frankfurt einzurichten * Misc: * ADSI-Editor * Tool zum Editieren von Attributen in Active Directory * ist aber nur für manche Aufgaben gut. Meistens sind die "Original-Tools" von Active Directory besser/einfacher zu bedienen. * ... ===== Tag 5: 14.03.2025 Donnerstag ===== * Wiederholung * ... * Zwei Wege um eine Berechtigung an einer Ressource zu vergeben * über MMC (bzw. Tool "AD-Benutzer und Computer") * über Explorer -> Eigenschaften -> Sicherheit * Replikation innerhalb eines Standorts [22.2.1] * Tool "AD Standorte und -Dienste" * jeder DC spricht alle anderen DCs alle X Minuten an und schaut ob die "Zähler" gleich sind * USN = Update Sequence Number * Spätestens nach 3 Hops soll Replikation geschehen * "3 x 5 Minuten" * Replikationsdatenarten -> Partitionen * Verzeichnispartition * Domänenpartition * wird nur an DCs in der gleichen Domäne repliziert * Konfigurationspartition * Schemapartition * wird an alle DC in der Gesamtstruktur repliziert * Anwendungspartition (z.B. DNS-Konfiguration) * Replikation möglich (je nach Anwendung und Konfigration): * innerhalb der Domäne * innerhalb der Gesamtstruktur * Replikationstopologie * max. 3 Hops * Replikationskonflikte * Replikation zwischen den Standorten [22.2.2] * standardmäßig komprimiert (=zipped) * Standort kann ein oder mehrere Subnetze haben * Beispiel: * ... (s.Notizen) * Replikation kann stattfinden * über IP * zu 99% * über SMTP * Notlösung * Daten werden über Mail verschickt(?)