Woche 3 - Microsoft Windows Server Kurs

Woche 3 - Microsoft Windows Server Kurs

GFN Sysadmin Kurs
- Microsoft Windows Server Kurs

Moegliche Pruefungsfragen - Microsoft Windows Server Kurs

Tag 1: 24.02.2025 Montag

Susanne Schneider
- Tübingen (Büro in Reutlingen)
- 3 Wochen, dann wieder Michael Förch

Active Directory
- Buch 1, Kapitel 11

Lernportal
- Übungen
  - Active Directory

Active Directory
- eine zentrale Datenbank für Authentifikation

Domänenkontroller (DC01)
- Active Directory Domain Dienste installieren
  - über “Server Manager”
- Dann “Konfigurationsassistent für Active Directory-Domänendienste”
  - WICHTIG: dort den Namen “gfnkurs.test” eintragen
  - (alle sonstige Einstellungen → siehe meine Notizen auf Papier)

Server Manager / Tools
- Active Directory-Benutzer und -Computer
- User “Administrator” in den “OrgAdmin” umbenennen
  - auch
    - Anzeigenamen
    - Benutzeranmeldenamen (@gfnkurs.test)

UPN
- = User Principal Name
- OrgAdmin@gfnkurs.test

Ermitteln als welcher Benutzer ist man angemeldet:

whoami /all

Man kann Benutzer (und auch sonstige Objekte) umbenennen, da Active Directory intern mit SID arbeitet

Domänencontroller kann auch von einem “Medium” installiert werden.
- Das reduziert den “Replikationsaufwand”

Im Hyper-V Manager kann man bei jedem System einen “Prüfpunkt” erstellen.
- = Sicherung

Tag 2: 25.02.2025 Dienstag

Prüfpunkte am besten gleich für alle Computer anlegen, da die Differenzen zu “Nebeneffekten” führen können.

Command line Utility zum Verwaltern von Active Directory Domänen Diensten : ntdsutil

Fehlermeldung “Die verwendete Anmeldemethode ist nicht zulässig” kommt beim Anmelden wenn der User nicht in der Gruppe “Domänen-Benutzer” ist.

DNS Cache kann man löschen mit dem Aufruf:
- ipconfig /flushdns

Übung: Jetzt alle Rechner zu der Domäne gfnkurs.test hinzufügen (außer den Router W22RT01)
- W22DC02 → über “Server Manager” (die “Workgroup” anklicken)
- W22FS01 → über “Server Manager”
- W11CL01 → über “Systemsteuerung / System / Info”

Beim Fileserver WS22FS01 Freigabe einrichten
- Ordner C:\Seminar anlegen
  - Erweiterte Freigabe
    - Vollzugriff erlauben

Dann die Freigabe vom anderen Rechner testen (z.B. von W22DC02)
- Im Explorer in die Adressleiste \\W22FS01\Seminar eintippen
  - ⇒ Inhalt sollte sichtbar sein

“Lokale” Anmeldung auf dem W11CL01:
- Benutzername eintippen: .\W11CL01

Aber lokale Konten in einer Domäne lieber nicht verwenden
- nur für Notfälle

Authentifizierung / Autorisierung
- 1. Authentifizierung
  - Wer bist du?
- 2. Autorisierung
  - Was darfst du?

LDAP = Lightweight Directory Access Protocol

Übung 11.3.2 → “W22DC02 zum Domänencontroller machen”
- Im “Server Manager” → “Rollen und Features installieren”
  - Active Directory
  - …
  - nache der Installation “Server zu einem Domänencontroller hochstufen”

Tools / DNS-Manager
- kontrollieren, ob der neue Domänenkontroller dort aufgelistet ist
  - “Forward…”
    - _msdcs.gfnkurs.test
      - dc
        
        _tcp
        
        ⇒ hier sollen 2 Domänencontroller sein

Tools / Active Directory-Benutzer und -Computer

Replikation bei den Domänencontrollern ist standardmäßig eingeschaltet

Tools / Active Directory-Standorte und -Dienste
- Default First-Site-Name
  - Servers
    - W22DC01
      - NTDS Settings
        
        → dort steht wer wen repliziert
      - für manuelle Replikation kann man dort auf dem Eintrag rechts klicken und auf “Jetzt replizieren”

Für Replikation gilt “Master-Master” Prinzip (aka “Multi-Master”?)
- (NICHT Master-Slave)
- jeder repliziert jeden

CLI Utility dcdiag
- dcdiag → Diagnose des aktuellen DC
- dcdiag /s:servername → Diagnose des DCs mit dem Namen servername

Die Replikation erfolgt auf Attribut-Ebene
- heißt es wird nicht Objekt komplett repliziert, sondern Attribut nach Attribut

NTDS-Util
- Autoritative Restore
  - kann verwendet werden um gelöschte Konten wiederherzustellen
- es geht aber auch über GUI mit Hilfe von Papierkorb in dem Tool “Active Directory Verwaltungscenter”
  - Papierkorb muss dort aber zuerst aktiviert werden

Computer “pre-stagen”
- Computer in Active Directory anlegen bevor er noch “physikalisch” angeschlossen ist.
- Wenn der Computer später angeschlossen wird, hat man alles für ihn bereits konfiguriert

Tag 3: 26.02.2025 Mittwoch

Wiederholung von gestern
- Service Records (bei DNS)
  - ldap
  - kerberos
- Zitat aus Buch zu SRV-Einträgen:
  - Bei jedem Anmeldevorgang eines Domänenmitglieds wird der DNS-Server nach einer Liste der Domänencontroller gefragt, die dort hinterlegt ist. Dies geschieht durch das Anlegen sogenannter „SRV-Einträge (Service Resource Records)“.
  - SRV-Einträge sind Dienstidentifizierungen, mit denen bestimmte Dienste im DNS-Server eingetragen werden können
    - (sie gibt aber auch für andere Dienste, nicht nur um Liste von Domänen Controller zu bekommen)

Tool “Active Directory-Standorte und -Dienste”
- dort kann man z.B. nachschauen wer wen repliziert
Replikation
- Multi-Master
- auf Attribut-Ebene
- darf max. 15 Minuten dauern
- kann auch manuell gestartet werden (aber normalerweise nur zum Testen)
lokale Anmeldung vs. Anmelduzng in der Domäne
- 1. Authentifizierung
  - wer bist du?
- 2. Autorisierung
  - was darfst du?

Kerberos (nicht prüfungsrelevant)
- Kerberos Tickets
  - = “Ausweise” für Active Directory
  - können mit klist tickets aufgelistet werden
- KDC
  - = Kerberos Distribution Center
  - jeder Domänen Controller ist gleichzeitig auch ein KDC
- Konfiguration über “Gruppenrichtlinienverwaltung-Editor”
  - - Richtlinien / …

Jede Domäne hat ihre eigenen Konten
- auch Subdomänen(!)
  - ⇒ nicht hierarchischer Aufbau

Struktur
- (= Tree)
- Beispiel: Subdomänen für Abteilungen/Standorte etc
- …
Gesamtstruktur
- (= Forest)
- Beispiel: eine neue Firma wurde dazugekauft
- …

Verbindungen zwischen Domänen
- Vertrauensstellungen
  - “wir vertrauen einem anderen DC”
- bidirektional
- transitiv
  - (= weiterleitend)
  - wenn ein DC nicht weiß, dann fragt er einen anderen

Domänenkontroller promoten / demoten
- promoten: Computer zum DC machen
- demoten: DC zu einem “normalen” Server herunter stufen

Demoten wir W22DC02
- Im “Server Manager” → Rollen / Featuren entfernen
- Beim Fehlerdialog
  - “DC tiefer stufen” anklicken
  - dann kommt Dialog für “Konfig Assistent”
    - WICHTIG: Kästchen “Entfernen diesen Domänencontroller erzwingen” NICHT anklicken (!)

Misc
- DHCP anstossen um eine neue IP zu bekommen: ipconfig /renew

Tag 4: 27.02.2025 Donnerstag

Troubleshooting Active Directory Replication Problems
- https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/troubleshoot/troubleshooting-active-directory-replication-problems
- In Deutsch: https://learn.microsoft.com/de-de/windows-server/identity/ad-ds/manage/troubleshoot/troubleshooting-active-directory-replication-problems

Test-Fragen (siehe auch Z:\x\ossconsulting\_courses\gfn\module\1\Schulungsmaterial\Fragen)
- Frage 1
  - Sie öffnen das Tool “Active Directory-Benutzer und -Computer”. Welche Konfigurationsaufgaben können Sie damit NICHT vornehmen?
    - a. Benutzerkonten und Computerkonten anlegen
    - b. Domänenfunktionenebenen heraufstufen
    - c. Vertrauensstellungen konfigurieren
    - d. Standorte und Subnetze konfigurieren
  - Richtige Antworten:
    - c, d markieren
- Frage 2
  - Um die Verfügbarkeit Ihrer Unternehmensverwaltung im Netzwerk zu erhöhen, stellen Sie zwei gleichwertige Domänencontroller bereit. Dies bedeutet:
    - a. Alle Domänencontroller besitzen eine beschreibbare Kopie der AD-Datenbank
    - b. Jede Änderung in einem DC wird automatisch an den anderen DC repliziert und umgekehrt
    - c. Fällt ein DC aus, hat dies keinen Informationsverlust zur Folge und der andere DC übernimmt deren Funktion
    - d. Jede Änderung in einem DC muss manuell via PowerShell Cmdlet an den anderen DC übertragen werden und umgekehrt
  - Richtige Antworten:
    - a, b, c markieren
- Frage 3
  - Welche der Aussagen stimmt NICHT in Hinsicht auf Active Directory
    - a. Jede Domäne befindet sich automatisch in einem Forest.
    - b. Gibt es zwei Strukturen, werden Sie automatisch innerhalb der Gesamtstruktur nebeneinander dargestellt
    - c. Eine untergeordnete Domäne wird auch als Child Domain bezeichnet
    - d. Vertrauensstellungen zwischen Domänen müssen in einer Struktur erst konfiguriert werden
  - Richtige Antworten:
    - d markieren
- Frage 4
  - Welche der Aussagen stimmt in Hinsicht auf Active Directory
    - a. Ein DC kann niemals für mehrere Domänen eingesetzt werden
    - b. Pro Domäne können Sie maximal 200.000 Objekte verwalten
    - c. Man spricht von einer “Struktur”, wenn es NUR eine Domäne und keine Vertrauensstellungen zu Dritten gibt
    - d. Eine Struktur wird oft als “Forest” bezeichnet
  - Richtige Antworten:
    - a markieren
- Frage 5
  - Welche Aussagen treffen für Active Directory zu?
    - a. Mithilfe von Active Directory lässt sich die Struktur des Netzwerks mit seinen angeschlossenen Geräten und Benutzern der Struktur eines Unternehmens nachbilden
    - b. Dem Administrator ermöglicht Active Directory die zentrale Verwaltung der Benutzerrechte für einzelne Geräte oder Objekte
    - c. Domänen in einer Gesamtstruktur können hierarchisch gegliedert sein.
    - d. Active Directory ist ausschließlich auf Linux Servern verfügbar
  - Richtige Antworten:
    - a, b, c markieren

Tag 5: 28.02.2025 Freitag

Netsh - NetShell Befehl
- “Old School” Befehl um mit Netzwerk zu arbeiten
- sehr mächtig

Die 5 Betriebsmaster
- Kapitel 12.1 im Buch
- FSMO = Flexible Single Master Operator

5 Betriebsmaster :
- RID
- PDC
- Infrastruktur
- Schemamaster
- Domänennamenmaster

Im “Active Directory-Benutzer und -Computer” Tool
- Domäne mit rechts anklicken
  - Betriebsmaster
  - 3 Tabs
    - RID
    - PDC
    - Infrastruktur

RID (Relative ID) Master
- verwaltet IDs bei Objekten in Active Directory

PDC (Primary DC)
- Funktionen von PDC:
  - Kennwortänderung
  - Zeitserver

Infrastrukturmaster
- gewährleistet Konsistenz zwischen Domänen
  - Bsp: ein Benutzer aus einer Domäne wird zur Gruppe einer anderen Domäne hinzugefügt

Schemamaster
- verwaltet Schemata der Active Directory (=Datenbank)
  - welche Objekte es dort gibt, welche Attribute sie haben etc.

Schemata der Active Directory Domäte kann man mit Microsoft Management Console angucken und manipulieren (lieber nicht)
- zuerst ein Snap-In registrieren, das es macht (s.Buch)
  - regsvr32 schmmgmt.dll
- dann MMC starten
  - mmc
- dann im MMC Snap-In “Active Directory Schema…” hinzufügen (Datei / Snap-Ins hinzufügen)

Domänencontroller mit einer Betriebsmaster-Rolle NICHT löschen, da es zu späteren Problemen führen kann
- zuerst Betriebsmaster-Rolle zu einem anderen DC “transferieren”

Domänennamenmaster
- darf es nur EIN mal in der Gesamtstruktur geben

(FSMO) Masterrollen mit PowerShell übertragen: Move-ADDirectoryServerOperationMasterRole
- siehe
  - https://www.windowspro.de/wolfgang-sommergut/fsmo-rollen-uebertragen-powershell
  - https://www.tech-faq.net/fsmo-rollen-per-powershell-uebertragen/

Table of Contents

Woche 3 - Microsoft Windows Server Kurs

Tag 1: 24.02.2025 Montag

Tag 2: 25.02.2025 Dienstag

Tag 3: 26.02.2025 Mittwoch

Tag 4: 27.02.2025 Donnerstag

Tag 5: 28.02.2025 Freitag