• GFN Sysadmin Kurs
  • Microsoft Windows Server Kurs
    • Woche 1 - Microsoft Windows Server Kurs
    • Woche 2 - Microsoft Windows Server Kurs
    • Woche 3 - Microsoft Windows Server Kurs
    • Woche 4 - Microsoft Windows Server Kurs
    • Woche 5 - Microsoft Windows Server Kurs
    • Woche 6 - Microsoft Windows Server Kurs
    • Woche 7 - Microsoft Windows Server Kurs
    • Woche 8 - Microsoft Windows Server Kurs

• Moegliche Pruefungsfragen - Microsoft Windows Server Kurs

• Wiederholung
  • 5 Betriebsmaster
    • Schemamaster
      • 1 x pro Gesamtstruktur
      • Aufgaben
        • Schemata der Active Directory Datenbank verwalten
    • Domänennamensmaster
      • 1 x pro Gesamtstruktur
      • Aufgaben
        • Domänen verwalten
          • Namen etc..
    • RID
      • 1 x pro Domäne
      • Aufgaben
        • Objekt IDs verwalten
    • PDC
      • 1 x pro Domäne
      • Aufgaben
        • Passwordforwarding
        • Zeitserver
    • Infrastruktur
      • 1 x pro Domäne
      • Aufgaben
        • Verweise zwischen Objekten in verschiedenen Domänen verwalten
  • Gutes Bild zum Thema Betriebsmaster: Abb. 12.8 “Zusammenfassung der Betriebsmaster” im Kapitel 12.x

• Fragen aus dem Fragenkatalog (siehe Z:\x\ossconsulting\_courses\gfn\module\1\Schulungsmaterial\Fragen\Fragen_20250303):
  • Frage 1
    • a, e
  • Frage 2
    • c
  • Frage 3
    • c → MoveADDirectoryServerOperationMasterRole
  • Frage 4
    • a → Wahr
  • Frage 5
    • c → netdom query fsmo

• Arbeiten mit OUs (Kapitel 13.4)
• Um Tab “Sicherheit” zu sehen, muss man es zuerst aktivieren:
  • Tool “Active Directory Benutzer- und -Computer”
    • Ansicht / Erweiterte Features…

• RSAT (=Remote Server … )
  • Tools um die Domänensontroller von anderen Rechnern (nicht DCs) zu verwalten
  • Installieren:
    • Auf dem Windows 11 Client
      • Remote Server Verwaltungstools
        • System / Optionale Features …
    • Auf dem Server
      • Server Manager
        • Features auswählen
          • Remote Server Verwaltungstools

• Benutzer “Trainer” erstellen

• Delegieren der administrativen Tätigkeiten (=der Admin delegiert manche administrative Aufgaben an andere Benutzer)
  • Tool “Active Directory Benutzer- und Computer”
    • Objekt auswählen (z.B. eine OU)
      • Objektverwaltung zuweisen…
        • ⇒ danach öffnet sich der Assistent, mit dem es gemacht werden kann
          • N.B. Bei der Auswahl der Rechte: “Wenn Ihnen diese Abstufung nicht fein genug ist, wählen Sie „Benutzerdefinierte Tasks zum Zuweisen erstellen”

• Active Directory Gruppen

• Gruppe anlegen (im Tool “Active Directory Benutzer- und Computer”)
  • Gruppentyp
    • immer “Sicherheit”
      • da “Verteilung” nichts mit Berechtigungen etc zu tun hat, sondern so was wie Zugehörigkeit zum “E-Mailverteiler” ist
  • Gruppenbereich (s. auch “IGDLA-Prinzip”)
    • Global
      • ⇒ Benutzerseite
    • Lokal (Domänenlokal)
      • ⇒ Resourcenseite
  • IGDLA
    • I = Identity
    • G = Global
    • DL = Domain Lokal
    • A = Access

• G-Gruppen (Benutzer zusammenfassen)

• DL-Gruppen (“Rechte zusammenfassen”)
  • DL_Seminar-Lesen
    • nur Lesen
  • DL_Seminar-VZ
    • Vollzugriff

• whoami /all
  • Zeigt auch Gruppenzugehörigkeit an
  • N.B. Nach der Änderung der Gruppenzugehörigkeit am besten neu anmelden

• Wiederholung
  • RSAT = Remote Server Administration Tools
    • Motivation:
      • Nicht-Admins dürfen sich nicht direkt auf den DCs anmelden
        • ⇒ RSAT notwendig
    • Zu installieren (auf dem Client)
      • …(see notes)
    • Zu installieren (auf dem Server)
      • …(see notes)
    • Zu finden unter
      • Systemsteuerung / System und Sicherheit / Windows-Tools
  • Delegieren der administrativen Verwaltung
    • über:
      • rechte Maustaste auf OU
        • Objektverwaltung zuweisen
  • IGDLA

• Fragen (siehe Z:\x\ossconsulting\_courses\gfn\module\1\Schulungsmaterial\Fragen\Fragen_20250304)
  • Frage 1
    • b
  • Frage 2
    • b
  • Frage 3
    • c,d
  • Frage 4
    • b,c

• Der Globale Katalog (GC)
  • wird verwendet um Infos aus der Gesamtstruktur zu speichern (indizieren?)
    • also “Forest-weit”
  • die “normale” Suche funktioniert nur auf der Domänen-Ebene
    • wenn man “global” suchen will, im Suchfenster in “Gesamtes Verzeichnis” gehen

• ab jetzt sind wir im Band 2
  • Tag 17
  • Tag 18
  • Tag 19

• Tool “Active Directory Benutzer- und Computer”
  • Container
    • Symbol “ohne Buch”
    • werden normalerweise(?) vom System angelegt
  • OUs
    • Symbol “mit Buch”

• Gruppenrichtlinien

• Gruppenrichtlinien
  • Computer-bezogen
  • Benutzer-bezogen

• Tool “Gruppenrichtlinienverwaltung”
  • Gruppenrichtlinienobjekt anlegen:
    • rechte Maustaste auf OU

• Gruppenrichtlinienverwaltungs-Editor
  • wenn das Objekt angelegt ist, kann es im “Gruppenrichtlinienverwaltungs-Editor” editieren

• Zustände einer Gruppenrichtlinie
  • Nicht konfiguriert
  • Aktiviert
  • Deaktiviert

• Beispiel für Gruppenrichtlinien
  • Bilder in C:\Windows\Web\Wallpaper\Blumen
  • kopieren nach C:\Info
    • dann diesen Ordner freigeben
      • Freigabe → Jeder → Lesen
    • dann soll ein Bild über diese Freigabe erreichbar sein: z.B. als \\w22dc01\Info\img12.jpg

• CMD-Befehle um mit Gruppenrichtlinien zu arbeiten:

# Refresh der Gruppenrichtlinien nach einer Änderung erzwingen
gpupdate /forse
 
# Aktuelle Gruppenrichtlinien anzeigen
gpresult /r

• Gruppenrichtlinien
  • werden vererbt
  • können überschrieben werden

• Gruppenrichtlinie deaktivieren
  • am besten im Gruppenrichtlinienverwaltungs-Editor
    • Rechtsklick auf der Gruppenrichtlinie
      • “Verknüpfung aktiviert” → Häckchen rausnehmen

• Feststellen ob eine Einstellung über Gruppenrichtlinien gemacht wurde und wenn ja, über welche (auch welcher Benutzer auf welchem Computer)
  • Stichwort: “Gruppenrichtlinienergebnisse”
    • Gruppenrichtlinienergebnisassistent
  • Im Tool “Gruppenrichtlinienverwaltung”
    • im Baum links den Knoten “Gruppenrichtlinienergebnisse”
      • rechte Maustaste → “Gruppenrichtlinienergebnis-Assistent…”
  • Richtlinienergebnissatz mit rechter Maustaste anklicken → “Erweiterte Ansicht”
    • dann sieht man alle Gruppenrichtlinien, die für diesen Satz gelten

• Man kann auch von dem “betroffenen” Rechner aus die Gruppenrichtlinien anschauen.
  • mit dem “betroffenen” Benutzer anmelden und dann in der Konsole ausführen:
    • gpresult /h Reportdatei.html
  • damit wird ein Report in die Datei geschrieben

• NB: Status der Windows-Lizenz kann man mit folgendem Commando anzeigen:
  • slmgr /dlv
  • wenn dort “Lizenzstatus: Benachrichtigung” steht, dann ist die Lizenz abgelaufen

• Die Richtlinien können auch “erzwungen” werden
  • damit kann der “höhergestellte” Admin, die Richtlinien an die “untergestellten” Admins durchdrücken

• Vererbung kann auch blockiert werden
  • Tool “Gruppenrichtlinienverwaltung”
    • Gruppe mit rechter Maustaste anklicken
      • “Vererbung deaktivieren”

• Wiederholung
  • Firewallregel über Gruppenrichtlinien setzen
    • Computer bezogen
      • Windows…
        • Sicherheits…
          • Windows Defender …
            • Windows Defender …
              • Eigenschaften
                • ICMP
                • Verbindung zulassen
  • Gruppenrichtlinien erzwingen
  • Vererbung deaktivieren

• Gruppenrichtlinienvorlagen
  • ADMX - Files (eigentliche Gruppenrichtlinien)
    • Zu finden unter C:\Windows\PolicyDefinitions\*.admx
  • ADML - Files (Sprachfiles, L=Language)
    • Zu finden unter C:\Windows\PolicyDefinitions\de-DE\*.adml

• (N.B.) Gruppenrichtlinien kann man anwenden auf:
  • Benutzer
  • ODER
  • Computer
  • aber KEINE GRUPPEN etc
  • also noch ein Mal: NUR Computer ODER Benutzer

• Verknüpfungen
  • man kann eine Verknüpfung deaktivieren
    • ⇒ dann gilt die Richtlinie nicht
  • eigentliche Richtlinie liegt unter “Gruppenrichtlinienobjekte”

• Gruppenrichtlinien sichern
  • rechtsklicken auf “Gruppenrichtlinienobjekte”
    • Alle sichern…

• Default Domain Policy
  • sollte am besten nicht verändert werden
    • ⇒ immer eigene Gruppenrichtlinien anlegen

• Computer/Benutzer Reihenfolge:
  • 1. Computer startet
    • es werden alle Computer-Gruppenrichtlinien angewendet
  • 2. Benutzer meldet sich an
    • Gruppenrichtlinien für diesen Benutzer werden angewendet

• CSE = Client Side Extensions
  • DLLs, die geladen werden um irgendwelche Einstellungen im AD ändern zu können

• Standardmäßig werden Gruppenrichtlinien alle 90 Minuten erneut geladen
  • aber nicht immer angewendet!

• Abarbeitungsreihenfolge:
  • 1. Lokale Gruppenrichtlinien (=lokal auf dem PC, haben nichts mit AD zu tun)
  • 2. Standort
  • 3. Domäne
  • 4. OU
  • 5. Unter-OU

• Sicherheitsfilterung
  • abhängig vom Benutzer oder vom Computer kann man Gruppenrichtlinien anwenden

• WMI-Filterung (=Windows Management Instrumentation)
  • SQL-ähnliche Statements, wo man etwas festlegen kann (z.B. Windows Version etc)

• Starterrichtlinienobjekt
  • so was wie ein Template für die Gruppenrichtlinie

• Gruppenrichtlinienergebnisse
  • Bericht etc
  • rechte Maustaste auf einem Gruppenrichtlinienergebnis
    • Erweiterte Ansicht…
      • dort sieht man alles schöner als im generierten HTML-Bericht (baumartige Ansicht etc)

• gpupdate
• gpresult
• dcdiag

• Software verteilen
  • kann man auch mit Gruppenrichtlinien machen
  • ABER besser nicht
    • die Funktionalität sehr mager
    • kompliziert
    • nur MSI erlaubt (angeblich)
    • es gibt bessere Tools dafür
      • z.B. MECM

• Ordnerumleitung
  • Ein fregegebener Ordner kann so eingerichtet werden, dass es als “Profil-Ordner” erscheint
    • z.B. “Dokumente”
  • ein Benutzer hat dann auf jedem Rechner in der Domäne die Ordner mit dem gleichen Inhalt
    • P.S. normalerweise wird es auch synchronisiert, wenn der Rechner offline ist
  • siehe Band 2, Kapitel 19.1 Ordnerumleitungen

• Wiederholung
  • Ordner “Gruppenrichtlinienobjekte”
  • an den OUs → nur Verknüpfungen
  • In C:\Windows\PolicyDefinitions
    • ADMX → Vorlagendateien (*.admx)
    • ADML → Sprachdateien (*.adml in Ordnern de-DE, en-US…)
  • Abarbeitungsreihenfolge
    • Lokale Richtlinie
    • Standort
    • Domäne
    • OU
    • Unter-OU
  • Reihenfolge kann man ändern
    • Rechtsklick auf OU
      • Tab “Gruppenrichtlinienvererbung”
  • Gruppenrichtlinien filtern
    • Richtlinie anklicken und im Tab “Bereich”
      • “Sicherheitsfilterung”
        • hier kann man filtern bzgl. Benutzer/Gruppen
      • “WMI-Filterung”
        • hier kann man filtern bzgl. Hardware- / Software-Eigenschaften bzw. -Einstellungen
  • Ordnerumleitung
    • Ordner aus der Benutzerprofilen können auf den Server umgeleitet werden (z.B. “Dokumente”)
    • → Benutzerkonfiguration / Windows-Einstellungen / Ordnerumleitung

• Skriptzuweisung
  • in AD kann man Skriptausführung festlegen
    • Computerbezogen
      • Beim Start / Herunterfahren
      • → Computerkonfiguration / Richtlinien / Windows-Einstellungen / Skripts
    • Benutzerbezogen
      • Beim Anmelden / Abmelden
      • → Benutzerkonfiguration / Richtlinien / Windows-Einstellungen / Skripts

• Übung 19.2
  • Datei “Hello.vbs” mit
    • MsgBox “Guten Morgen!”
  • OU “Seminar”
    • Gruppenrichtlinie (z.B. “Skripte”) erstellen
    • Datei entweder “Hinzufügen” oder “Anzeigen”
      • besser zuerst anzeigen, dann in dem Ordner eine neue erstellen

• Beispiel “Explorer-Optionen”
  • Optionen des Explorers (z.B. “Dateinamenserweiterungen einblenden”) über eine Gruppenrichtlinie setzen
    • s. Notizen auf Papier

• Beispiel “Laufwerkszuordnung”
  • Beim Hochfahren sollen Laufwerke gesetzt werden (Freigaben vom Fileserver)
    • s. Notizen auf Papier

• 19.3.1 Sicherheitsvorlagen
  • Susanne: NICHT RELEVANT, da veraltet

• 19.3.2 Lokale Richtlinien: Überwachungsrichtlinien
  • Spezielles Thema
    • Susanne: für die Prüfung nicht relevant
  • Überwachung führt zu sehr großen Logs
  • Ergebnis der Überwachung kann man in Systemeinstellungen “Computerverwaltung” sehen:
    • System / Ereignisanzeige / Windows-Protokolle …

• Dateien transferieren
  • mit AD kann man auch Dateien transferieren (z.B. vom Fileserver zu dem Client)
  • Benutzerkonfiguration / Windows-Einstellungen / Dateien …
    • Taste F3 → Pfad “vervollständigen”

• Misc
  • DCDiag
    • Utility zur DC Diagnose
  • GPResult
    • zeigt / reported Richtlinien an
  • Repadmin /syncall /force
    • Utility für DCs Replikation

• Fragen_20250307
  • Frage 1
    • c
  • Frage 2
    • b
  • Frage 3
    • c
  • Frage 4
    • b
  • Frage 5
    • c, e
  • Frage 6
    • b, c
  • Frage 7
    • c
  • Frage 8
    • b
  • Frage 9
    • b
  • Frage 10
    • c