Woche 5 - Microsoft Windows Server Kurs

Woche 5 - Microsoft Windows Server Kurs

GFN Sysadmin Kurs
- Microsoft Windows Server Kurs

Moegliche Pruefungsfragen - Microsoft Windows Server Kurs

Tag 1: 10.03.2025 Montag

Agenda
- für heute:
  - 19.3 bis einschließlich Tag 20
- für KW11
  - Band 2 fertig zu bekommen

Benutzerrichtlinien auf File Server als Benutzer “OrgAdmin” kann man mit dem folgenden Befehl anschauen (Win+R):
- gpedit.msc

Benutzerrechte unter:
- Computerkonfiguration
  - Windows-Enstellungen
    - Sicherheitsrichtlinien
      - Lokale Richtlinien
        
        Zuweisen von Benutzerrechten

Beispiele für Rechte, die bei uns auf Client und Server (z.B. W22FS01 und 211CL01) verschieden konfiguriert sind:
- Anmelden über Remotedesktop
- Auf diesen Computer von Netz aus zugreifen (positiv)
- Zugriff vom Netz verweigern (negativ)
- Herunterfahren des Systems
- Lokal Anmelden zulassen
  - ⇒ Auf dem Server darf nicht jeder Active Directory-Benutzer sich anmelden
- …

Benutzerkontensteuerung (aka UAC = User Account Control) → Kapitel 19.3.4
- es geht darum, ob wenn man eine Änderung an wichtigen Einstellungen macht eine Rückfrage vom System kommen soll

Eingeschränkte Gruppen → Kapitel 19.3.5
- NICHT wichtig

Anwendungssteuerungsrichtlinien → Kapitel 19.4
- AppLocker
  - verhindert, dass bestimmte Programme/Dienste/etc. ausgeführt werden

Verwaltete Dienstkonten → Kapitel 20.1
- ⇒ WICHTIG
- Ein Dienst muss sich mit einem Konto anmelden und damit es sich mit den Benutzern nicht überschneidet, gibt es spezielle Konten dafür
- Verwaltete Dienstkonten sind Konten, die nur für Dienste verwendet werden und automatisch vom System verwaltet werden

Beispiel zum Dienstkonto erstellen (im Buch, oder auch unter folgendem Link sogar besser beschrieben : https://rdr-it.com/en/active-directory-restore-default-gpos-default-domain-policy-default-domain-controller-policy/)
- 1. Root key erstellen und um Timeout zu verhindern so datieren, dass Erstellungszeitpunkt 10 Stunden in Vergangenheit liegt
  - Add-KDSRootkey -EffectiveTime ( (Get-Date).AddHours(-10))
- 2. Dienstkonto “_Service1” für den File Server “W22FS01” erstellen
  - New-ADServiceAccount -Name _Service1 -DNSHostName _Service1.gfnkurs.test -PrincipalsAllowedToRetrieveManagedPassword W22FS01$
- 3. Konto an den Rechner binden
  - Add-ADComputerServiceAccount -Identity W22FS01$ -ServiceAccount _Service1
- 4. Alle auflisten, um anzuschauen, ob das Konto erstellt wurde:
  - Get-ADServiceAccount -Filter *
- 5. Auf dem File Server Computer WS22FS01 als OrgAdmin:
  - Install-ADServiceAccount -Identity _Service1

Gruppenrichtlinieneditor für LOKALE Gruppenrichtlinien kann man mit folgendem Kommando starten:
- gpedit.msc

Active Directory verwalten → Kapitel 20.2
- Sicherungsprogramm auf DC01 installieren
  - Rollen und Features
    - …
    - Feature “Windows Server-Sicherung”
  - Nach der Installation haben wir dann unter “Tools” ein neues Tool “Windows Server-Sicherung”
- Wiederherstellen
  - Problem: man kann nicht im laufenden Betrieb Active Directory wiederherstellen
  - Lösung: Verzeichnisdienstwiederherstelluhngsmodus
  - Systemsteuerung / Update & Sicherheit
    - Wiederherstellung
      - Erweiterter Start
        
        …
        
        Beim Hochfahren “Reparaturmodus für Verzeichnisdienste” wählen

Active Directory DB liegt physikalisch unter C:\Windows\NTDS
ntds.dit
(nicht prüfungsrelevant)

Gruppenrichtlinienverwaltung starten (Active Directory bezogen, NICHT lokal)
- gpmc.msc

Beispiel “Gruppenrichtlinien erstellen”
- Seminar / Applocker
  - dann “Bearbeiten”
    - …
      - Windows-Einstellungen
        
        …
        
        Anwendungs…richtlinien
- WICHTIG
  - Standardregeln IMMER erstellen, da:
    - Alles ist verboten, außer es ist erlaubt
- AppLocker Regeln scharfschalten:
  - Rechtklick auf der Regel
    - Eigenschaften
      - dort dann entsprechende Häckchen setzen
- Dienst “Anwendungsidentitätsdienst” muss gestartet sein

Tag 2: 11.03.2025 Dienstag

Wiederholung
- AppLocker
  - alles verweigert, außer das was explizit erlaubt ist
    - ⇒ deshalb Standard-Regeln generieren notwendig
- Managed Service Accounts
  - = Anwendungssteuerungsdienstkonten

Zertifikatsdienste (Kapitel 23)
- mit Active Directory
- ohne Active Directory auch möglich (ist aber nicht unser Thema)

Installationsassistent
- Im “Server Manager”
  - Verwalten / Rollen
    - Zertifikatsdienste
    - …
    - Rollendienste
      - Zertifizierungsstelle
      - Online-Responder
      - Web-Registrierung

Nach der Installation “Active Directory Zertifizierungsdienste konfigurieren”
- wie: s. Notizen (auf Papier)

Tool “Zertifizierungsstelle” im Server Manager
- gfnkurs…
  - Rechtsklick, dann auf “Eigenschaften”

Um Zertifikate zu managen:
- MMC mit folgenden Snap-Ins:
  - Zertifikate → Eigenes …
  - Zertifikate → Computer …. → Lokaler Computer

Zertifikate - Aktueller Benutzer
- Eigene Zertifikate
  - Zertifikate → Rechtsklick
    - Alle Aufgaben → Neues Zertifikat anfordern
      - “Zertifikate registrierung” startet
        
        dort “Administrator…” markieren
        
        → Registrieren

Zertifikate (Lokaler Computer)
- …
- “Domänencontroller” markieren
- …

Übung 23.3.1.a
- Zertifikat exportieren (auf dem W22DC01)
- danach Zertifikat importieren (auf dem W11CL01)

Übung 23.3.2 (Web-Registrierung…)

Übung 23.4 (Zertifikate sperren)
- Sperrzertifikate
  - → Sperrliste veröffentlichen

Zertifizierungsstellen verwalten (Kapitel 24)
- …

Zertifikatsvorlagen aktivieren / deaktivieren
- …

Zertifikatsvorlage aktivieren

Tag 3: 12.03.2025 Mittwoch

Wiederholung
- Kapitel 23
- Kapitel 24 (Teilweise)
- Zertifikatsvorlagen
- Unternehmenszertifizierungsstelle
  - da sie in Active Directory integriert ist
- Root Zertifikat
- Zertifizierungspfad
- Import / Export von Zertifikaten
- Unsere Zertifizierungstelle muss unter “vertrauenswürdigen” gelistet sein
- Zertifikate - Aktueller Benutzer
  - Eigene Zertifikate
- Zertifikate (Lokaler Computer)
- Zertifikatsvorlagenkonsole
  - enhält alle (aktivierten und deaktivierten) Zertifikatsvorlagen

Gülitgkeisdauer
- max. 2 Jahre

Zertifikate müssen periodisch erneuert werden
- Erneuerungszeitraum
- manuell (kann, muss aber nicht)

Agenda
- Tag 21
- Tag 22
- Testfragen

Eigenschaften von Zertifikatsvorlage (in der “Zertifikatsvorlagenkonsole”)
- Tab “Sicherheit”
  - Berechtigungen
    - Lesen
    - Schreiben
    - Registrieren
    - Automatisch registrieren

Übung 24.1.1
- …
Übung 24.1.2
- …

Autoenrollment (Automatische Zertikatsanforderung)
- Buch: In Windows Server 2022 gibt es 2 Möglichkeiten dazu
  - 1 → alt
  - 2 → neu
  - ⇒ Einzelheiten siehe Buch

Übung 24.2 (⇒ Automatische Registriereung)
- … s. Notizen und Lösungen

Schlüsselarchivierung
- (nicht prüfungsrelevant)

“Active Directory - Verwaltungscenter” Tool
- aka ADAC :)
- Alternative zum “AD-Benutzer und -Computer” Tool
- “ADAC” kann sogar mehr, wird aber seltener verwendet
- Tolle Features:
  - Globale Suche
    - mit “Kriterien hinzufügen”
    - Suchen können gespeichert werden
  - PowerShell Verlauf (Fensterleiste unten)
    - Cmdlets kann man dann z.B. für eigene Skripte verwenden
  - Password Setting Objects = PSO

Sicherheit für die Kennwörter (Kapitel 21.3)
- Im Tool “AD Benutzer und Computer”
  - Unter “Default Domain Policy” / Comp…/ Windows…
    - Kennwortrichtlinien
    - Kennwortsperrichtlinien
- Die Kennwortrichtlinien gelten standarmäßig für alle Unterstufen von “Default Domain Policy”
  - es gibt zwar Möglichkeit sie bei den OUs anzuschauen, aber das sie die Richtlinien von Default Domain Policy
  - ⇒ also für alle OUs gleich
  - ABER: später ist auch eine Möglichkeit Ausnahmen bei den Kennwortrichtlinien zu definieren hinzugekommen ⇒ siehe PSO (Password Settings Objects)
    - im “AD Verwaltungcenter” (“ADAC”)

Wiederherstellung von gelöschten Objekten (Kapitel 21.2)
- Objekte werden nicht sofort gelöscht (wg. Replikation etc)
  - ⇒ Papierkorb notwendig
- Im Tool “AD-Verwaltungscenter” gibt es Möglichkeit Papierkorb zu verwenden
  - ABER: man muss zuerst “Papierkorb aktivieren” werden
    - Domäne (?) anklicken und dann auf der rechten Seite des Fensters

Tag 4: 13.03.2025 Donnerstag

Wiederholung
- Zertifikate automatisch registrieren / ausrollen (Autoenrollment)
- Im Tool “Gruppenrichtlinienverwaltung”
  - Computerkonfiguration bzw. Benutzerkonfiguration
    - Windows-Einstellungen
      - Sicherheitseinstellungen
        
        Richtlinien für öffentliche Schlüssel
- Automatisches Ausrollen ist (bei dem Benutzer?) mit dem Anmeldevorgang verknüpft
  - ⇒ auf dem entsprechenden Computer (bzw. mit dem entsprechenden Benutzer) noch ein Mal anmelden
    - N.B. gpupdate /force ist u.U. auch notwendig
- Kapitel 23
- Tool “Active Directory Verwaltungscenter” (“ADAC-Tool”)
  - Vorteile
    - Globale Suche
      - Kriterien
        
        kombinierbar
      - Operationen an Suchergebnissen möglich
      - Suchen speicherbar
    - PowerShell Cmdlets - History
- Kontorichtlinien (zu finden unter “Default Domain Policy”)
  - Kennwortrichtlinien
  - Kontosperrungsrichtlinien
  - Kerberos-Richtlinien
- Ausnahmen zu den Kontorichtlinien kann man über PSOs machen
- Im “ADAC-Tool” kann man bei den Benutzern “Resultierende Kennworteinstellungen” anschauen
- Papierkorb für Active Directory
  - muss zuerst im “ADAC-Tool” aktiviert werden (auf der Domänen-Ebene?)
    - man muss auch Organisations-Admin sein

Agenda für heute
- Tag 22
  - Vertrauensstellungen
  - Replikation und Standortverwaltung

Vertrauensstellungen
- Domänen/Subdomänen vertrauen bei der Authentifizierung eine der anderen
- bidirektional (aber nur wenn Vertrauennstellungen automatisch erstellt wurden)
- transitiv (wenn A vetraut B und B vertraut C, dann A vertraut auch C)

Automatische Vertrauensstellungen

Tool “Active Directory-Domänen und -Vertrauensstellungen”

Gesamtstrukturvertrauensstellungen [22.1.2]
- werden manuell gemacht
- “Neue Vertrauensstellung…” Assistent
- Hier kommt wieder der Unterschied zwischen “Authentifizierung” und “Autorisierung” zum Vorschein

Verknüpfte Vertrauensstellungen [22.1.3]
- “Shortcut-Trust”
- kann man machen, weil manchmal “direktes” Vertrauen zwischen (Sub-)Domänen aus verschiedenen Strukturen effektiver ist
  - Beispiel:
    - 2 Strukturen
      - 1. Rootdomäne in New York
        
        Subdomäne in Frankfurt
      - 2. Rootdomäne in Tokio
        
        Subdomäne in Stuttgart
      - ⇒ es ist effektiver nicht über New Yourk und Tokio zu gehen, sondern direkte “verknüpfte Vertrauesstellungen” zwischen Stuttgat und Frankfurt einzurichten

Misc:
- ADSI-Editor
  - Tool zum Editieren von Attributen in Active Directory
    - ist aber nur für manche Aufgaben gut. Meistens sind die “Original-Tools” von Active Directory besser/einfacher zu bedienen.

Tag 5: 14.03.2025 Donnerstag

Wiederholung
- …

Zwei Wege um eine Berechtigung an einer Ressource zu vergeben
- über MMC (bzw. Tool “AD-Benutzer und Computer”)
- über Explorer → Eigenschaften → Sicherheit

Replikation innerhalb eines Standorts [22.2.1]
- Tool “AD Standorte und -Dienste”
- jeder DC spricht alle anderen DCs alle X Minuten an und schaut ob die “Zähler” gleich sind
  - USN = Update Sequence Number
- Spätestens nach 3 Hops soll Replikation geschehen
  - “3 x 5 Minuten”
Replikationsdatenarten → Partitionen
- Verzeichnispartition
- Domänenpartition
  - wird nur an DCs in der gleichen Domäne repliziert
- Konfigurationspartition
- Schemapartition
  - wird an alle DC in der Gesamtstruktur repliziert
- Anwendungspartition (z.B. DNS-Konfiguration)
  - Replikation möglich (je nach Anwendung und Konfigration):
    - innerhalb der Domäne
    - innerhalb der Gesamtstruktur
- Replikationstopologie
  - max. 3 Hops
- Replikationskonflikte

Replikation zwischen den Standorten [22.2.2]
- standardmäßig komprimiert (=zipped)
- Standort kann ein oder mehrere Subnetze haben
- Beispiel:
  - … (s.Notizen)

Replikation kann stattfinden
- über IP
  - zu 99%
- über SMTP
  - Notlösung
  - Daten werden über Mail verschickt(?)

Table of Contents

Woche 5 - Microsoft Windows Server Kurs

Tag 1: 10.03.2025 Montag

Tag 2: 11.03.2025 Dienstag

Tag 3: 12.03.2025 Mittwoch

Tag 4: 13.03.2025 Donnerstag

Tag 5: 14.03.2025 Donnerstag