Woche 4 - Microsoft Windows Server Kurs

Woche 4 - Microsoft Windows Server Kurs

GFN Sysadmin Kurs
- Microsoft Windows Server Kurs

Moegliche Pruefungsfragen - Microsoft Windows Server Kurs

Tag 1: 03.03.2025 Montag

Wiederholung
- 5 Betriebsmaster
  - Schemamaster
    - 1 x pro Gesamtstruktur
    - Aufgaben
      - Schemata der Active Directory Datenbank verwalten
  - Domänennamensmaster
    - 1 x pro Gesamtstruktur
    - Aufgaben
      - Domänen verwalten
        
        Namen etc..
  - RID
    - 1 x pro Domäne
    - Aufgaben
      - Objekt IDs verwalten
  - PDC
    - 1 x pro Domäne
    - Aufgaben
      - Passwordforwarding
      - Zeitserver
  - Infrastruktur
    - 1 x pro Domäne
    - Aufgaben
      - Verweise zwischen Objekten in verschiedenen Domänen verwalten
- Gutes Bild zum Thema Betriebsmaster: Abb. 12.8 “Zusammenfassung der Betriebsmaster” im Kapitel 12.x

Fragen aus dem Fragenkatalog (siehe Z:\x\ossconsulting\_courses\gfn\module\1\Schulungsmaterial\Fragen\Fragen_20250303):
- Frage 1
  - a, e
- Frage 2
  - c
- Frage 3
  - c → MoveADDirectoryServerOperationMasterRole
- Frage 4
  - a → Wahr
- Frage 5
  - c → netdom query fsmo

Arbeiten mit OUs (Kapitel 13.4)
Um Tab “Sicherheit” zu sehen, muss man es zuerst aktivieren:
- Tool “Active Directory Benutzer- und -Computer”
  - Ansicht / Erweiterte Features…

RSAT (=Remote Server … )
- Tools um die Domänensontroller von anderen Rechnern (nicht DCs) zu verwalten
- Installieren:
  - Auf dem Windows 11 Client
    - Remote Server Verwaltungstools
      - System / Optionale Features …
  - Auf dem Server
    - Server Manager
      - Features auswählen
        
        Remote Server Verwaltungstools

Benutzer “Trainer” erstellen

Delegieren der administrativen Tätigkeiten (=der Admin delegiert manche administrative Aufgaben an andere Benutzer)
- Tool “Active Directory Benutzer- und Computer”
  - Objekt auswählen (z.B. eine OU)
    - Objektverwaltung zuweisen…
      - ⇒ danach öffnet sich der Assistent, mit dem es gemacht werden kann
        
        N.B. Bei der Auswahl der Rechte: “Wenn Ihnen diese Abstufung nicht fein genug ist, wählen Sie „Benutzerdefinierte Tasks zum Zuweisen erstellen”

Active Directory Gruppen

Gruppe anlegen (im Tool “Active Directory Benutzer- und Computer”)
- Gruppentyp
  - immer “Sicherheit”
    - da “Verteilung” nichts mit Berechtigungen etc zu tun hat, sondern so was wie Zugehörigkeit zum “E-Mailverteiler” ist
- Gruppenbereich (s. auch “IGDLA-Prinzip”)
  - Global
    - ⇒ Benutzerseite
  - Lokal (Domänenlokal)
    - ⇒ Resourcenseite
- IGDLA
  - I = Identity
  - G = Global
  - DL = Domain Lokal
  - A = Access

G-Gruppen (Benutzer zusammenfassen)

DL-Gruppen (“Rechte zusammenfassen”)
- DL_Seminar-Lesen
  - nur Lesen
- DL_Seminar-VZ
  - Vollzugriff

whoami /all
- Zeigt auch Gruppenzugehörigkeit an
- N.B. Nach der Änderung der Gruppenzugehörigkeit am besten neu anmelden

Tag 2: 04.03.2025 Dienstag

Wiederholung
- RSAT = Remote Server Administration Tools
  - Motivation:
    - Nicht-Admins dürfen sich nicht direkt auf den DCs anmelden
      - ⇒ RSAT notwendig
  - Zu installieren (auf dem Client)
    - …(see notes)
  - Zu installieren (auf dem Server)
    - …(see notes)
  - Zu finden unter
    - Systemsteuerung / System und Sicherheit / Windows-Tools
- Delegieren der administrativen Verwaltung
  - über:
    - rechte Maustaste auf OU
      - Objektverwaltung zuweisen
- IGDLA

Fragen (siehe Z:\x\ossconsulting\_courses\gfn\module\1\Schulungsmaterial\Fragen\Fragen_20250304)
- Frage 1
  - b
- Frage 2
  - b
- Frage 3
  - c,d
- Frage 4
  - b,c

Der Globale Katalog (GC)
- wird verwendet um Infos aus der Gesamtstruktur zu speichern (indizieren?)
  - also “Forest-weit”
- die “normale” Suche funktioniert nur auf der Domänen-Ebene
  - wenn man “global” suchen will, im Suchfenster in “Gesamtes Verzeichnis” gehen

ab jetzt sind wir im Band 2
- Tag 17
- Tag 18
- Tag 19

Tool “Active Directory Benutzer- und Computer”
- Container
  - Symbol “ohne Buch”
  - werden normalerweise(?) vom System angelegt
- OUs
  - Symbol “mit Buch”

Gruppenrichtlinien

Gruppenrichtlinien
- Computer-bezogen
- Benutzer-bezogen

Tool “Gruppenrichtlinienverwaltung”
- Gruppenrichtlinienobjekt anlegen:
  - rechte Maustaste auf OU

Gruppenrichtlinienverwaltungs-Editor
- wenn das Objekt angelegt ist, kann es im “Gruppenrichtlinienverwaltungs-Editor” editieren

Zustände einer Gruppenrichtlinie
- Nicht konfiguriert
- Aktiviert
- Deaktiviert

Beispiel für Gruppenrichtlinien
- Bilder in C:\Windows\Web\Wallpaper\Blumen
- kopieren nach C:\Info
  - dann diesen Ordner freigeben
    - Freigabe → Jeder → Lesen
  - dann soll ein Bild über diese Freigabe erreichbar sein: z.B. als \\w22dc01\Info\img12.jpg

CMD-Befehle um mit Gruppenrichtlinien zu arbeiten:

# Refresh der Gruppenrichtlinien nach einer Änderung erzwingen
gpupdate /forse
 
# Aktuelle Gruppenrichtlinien anzeigen
gpresult /r

Gruppenrichtlinien
- werden vererbt
- können überschrieben werden

Gruppenrichtlinie deaktivieren
- am besten im Gruppenrichtlinienverwaltungs-Editor
  - Rechtsklick auf der Gruppenrichtlinie
    - “Verknüpfung aktiviert” → Häckchen rausnehmen

Tag 3: 05.03.2025 Mittwoch

Feststellen ob eine Einstellung über Gruppenrichtlinien gemacht wurde und wenn ja, über welche (auch welcher Benutzer auf welchem Computer)
- Stichwort: “Gruppenrichtlinienergebnisse”
  - Gruppenrichtlinienergebnisassistent
- Im Tool “Gruppenrichtlinienverwaltung”
  - im Baum links den Knoten “Gruppenrichtlinienergebnisse”
    - rechte Maustaste → “Gruppenrichtlinienergebnis-Assistent…”
- Richtlinienergebnissatz mit rechter Maustaste anklicken → “Erweiterte Ansicht”
  - dann sieht man alle Gruppenrichtlinien, die für diesen Satz gelten

Man kann auch von dem “betroffenen” Rechner aus die Gruppenrichtlinien anschauen.
- mit dem “betroffenen” Benutzer anmelden und dann in der Konsole ausführen:
  - gpresult /h Reportdatei.html
- damit wird ein Report in die Datei geschrieben

NB: Status der Windows-Lizenz kann man mit folgendem Commando anzeigen:
- slmgr /dlv
- wenn dort “Lizenzstatus: Benachrichtigung” steht, dann ist die Lizenz abgelaufen

Die Richtlinien können auch “erzwungen” werden
- damit kann der “höhergestellte” Admin, die Richtlinien an die “untergestellten” Admins durchdrücken

Vererbung kann auch blockiert werden
- Tool “Gruppenrichtlinienverwaltung”
  - Gruppe mit rechter Maustaste anklicken
    - “Vererbung deaktivieren”

Tag 4: 06.03.2025 Donnerstag

Wiederholung
- Firewallregel über Gruppenrichtlinien setzen
  - Computer bezogen
    - Windows…
      - Sicherheits…
        
        Windows Defender …
        
        Windows Defender …
        
        Eigenschaften
        
        ICMP
        
        Verbindung zulassen
- Gruppenrichtlinien erzwingen
- Vererbung deaktivieren

Gruppenrichtlinienvorlagen
- ADMX - Files (eigentliche Gruppenrichtlinien)
  - Zu finden unter C:\Windows\PolicyDefinitions\*.admx
- ADML - Files (Sprachfiles, L=Language)
  - Zu finden unter C:\Windows\PolicyDefinitions\de-DE\*.adml

(N.B.) Gruppenrichtlinien kann man anwenden auf:
- Benutzer
- ODER
- Computer
- aber KEINE GRUPPEN etc
- also noch ein Mal: NUR Computer ODER Benutzer

Verknüpfungen
- man kann eine Verknüpfung deaktivieren
  - ⇒ dann gilt die Richtlinie nicht
- eigentliche Richtlinie liegt unter “Gruppenrichtlinienobjekte”

Gruppenrichtlinien sichern
- rechtsklicken auf “Gruppenrichtlinienobjekte”
  - Alle sichern…

Default Domain Policy
- sollte am besten nicht verändert werden
  - ⇒ immer eigene Gruppenrichtlinien anlegen

Computer/Benutzer Reihenfolge:
- 1. Computer startet
  - es werden alle Computer-Gruppenrichtlinien angewendet
- 2. Benutzer meldet sich an
  - Gruppenrichtlinien für diesen Benutzer werden angewendet

CSE = Client Side Extensions
- DLLs, die geladen werden um irgendwelche Einstellungen im AD ändern zu können

Standardmäßig werden Gruppenrichtlinien alle 90 Minuten erneut geladen
- aber nicht immer angewendet!

Abarbeitungsreihenfolge:
- 1. Lokale Gruppenrichtlinien (=lokal auf dem PC, haben nichts mit AD zu tun)
- 2. Standort
- 3. Domäne
- 4. OU
- 5. Unter-OU

Sicherheitsfilterung
- abhängig vom Benutzer oder vom Computer kann man Gruppenrichtlinien anwenden

WMI-Filterung (=Windows Management Instrumentation)
- SQL-ähnliche Statements, wo man etwas festlegen kann (z.B. Windows Version etc)

Starterrichtlinienobjekt
- so was wie ein Template für die Gruppenrichtlinie

Gruppenrichtlinienergebnisse
- Bericht etc
- rechte Maustaste auf einem Gruppenrichtlinienergebnis
  - Erweiterte Ansicht…
    - dort sieht man alles schöner als im generierten HTML-Bericht (baumartige Ansicht etc)

gpupdate
gpresult
dcdiag

Software verteilen
- kann man auch mit Gruppenrichtlinien machen
- ABER besser nicht
  - die Funktionalität sehr mager
  - kompliziert
  - nur MSI erlaubt (angeblich)
  - es gibt bessere Tools dafür
    - z.B. MECM

Ordnerumleitung
- Ein fregegebener Ordner kann so eingerichtet werden, dass es als “Profil-Ordner” erscheint
  - z.B. “Dokumente”
- ein Benutzer hat dann auf jedem Rechner in der Domäne die Ordner mit dem gleichen Inhalt
  - P.S. normalerweise wird es auch synchronisiert, wenn der Rechner offline ist
- siehe Band 2, Kapitel 19.1 Ordnerumleitungen

Tag 5: 07.03.2025 Freitag

Wiederholung
- Ordner “Gruppenrichtlinienobjekte”
- an den OUs → nur Verknüpfungen
- In C:\Windows\PolicyDefinitions
  - ADMX → Vorlagendateien (*.admx)
  - ADML → Sprachdateien (*.adml in Ordnern de-DE, en-US…)
- Abarbeitungsreihenfolge
  - Lokale Richtlinie
  - Standort
  - Domäne
  - OU
  - Unter-OU
- Reihenfolge kann man ändern
  - Rechtsklick auf OU
    - Tab “Gruppenrichtlinienvererbung”
- Gruppenrichtlinien filtern
  - Richtlinie anklicken und im Tab “Bereich”
    - “Sicherheitsfilterung”
      - hier kann man filtern bzgl. Benutzer/Gruppen
    - “WMI-Filterung”
      - hier kann man filtern bzgl. Hardware- / Software-Eigenschaften bzw. -Einstellungen
- Ordnerumleitung
  - Ordner aus der Benutzerprofilen können auf den Server umgeleitet werden (z.B. “Dokumente”)
  - → Benutzerkonfiguration / Windows-Einstellungen / Ordnerumleitung

Skriptzuweisung
- in AD kann man Skriptausführung festlegen
  - Computerbezogen
    - Beim Start / Herunterfahren
    - → Computerkonfiguration / Richtlinien / Windows-Einstellungen / Skripts
  - Benutzerbezogen
    - Beim Anmelden / Abmelden
    - → Benutzerkonfiguration / Richtlinien / Windows-Einstellungen / Skripts

Übung 19.2
- Datei “Hello.vbs” mit
  - MsgBox “Guten Morgen!”
- OU “Seminar”
  - Gruppenrichtlinie (z.B. “Skripte”) erstellen
  - Datei entweder “Hinzufügen” oder “Anzeigen”
    - besser zuerst anzeigen, dann in dem Ordner eine neue erstellen

Beispiel “Explorer-Optionen”
- Optionen des Explorers (z.B. “Dateinamenserweiterungen einblenden”) über eine Gruppenrichtlinie setzen
  - s. Notizen auf Papier

Beispiel “Laufwerkszuordnung”
- Beim Hochfahren sollen Laufwerke gesetzt werden (Freigaben vom Fileserver)
  - s. Notizen auf Papier

19.3.1 Sicherheitsvorlagen
- Susanne: NICHT RELEVANT, da veraltet

19.3.2 Lokale Richtlinien: Überwachungsrichtlinien
- Spezielles Thema
  - Susanne: für die Prüfung nicht relevant
- Überwachung führt zu sehr großen Logs
- Ergebnis der Überwachung kann man in Systemeinstellungen “Computerverwaltung” sehen:
  - System / Ereignisanzeige / Windows-Protokolle …

Dateien transferieren
- mit AD kann man auch Dateien transferieren (z.B. vom Fileserver zu dem Client)
- Benutzerkonfiguration / Windows-Einstellungen / Dateien …
  - Taste F3 → Pfad “vervollständigen”

Misc
- DCDiag
  - Utility zur DC Diagnose
- GPResult
  - zeigt / reported Richtlinien an
- Repadmin /syncall /force
  - Utility für DCs Replikation

Fragen_20250307
- Frage 1
  - c
- Frage 2
  - b
- Frage 3
  - c
- Frage 4
  - b
- Frage 5
  - c, e
- Frage 6
  - b, c
- Frage 7
  - c
- Frage 8
  - b
- Frage 9
  - b
- Frage 10
  - c

Table of Contents

Woche 4 - Microsoft Windows Server Kurs

Tag 1: 03.03.2025 Montag

Tag 2: 04.03.2025 Dienstag

Tag 3: 05.03.2025 Mittwoch

Tag 4: 06.03.2025 Donnerstag

Tag 5: 07.03.2025 Freitag