vwiki

Edit the page and hit Save. See syntax for Wiki syntax. Please edit the page only if you can improve it. If you want to test some things, learn to make your first steps on the playground.

====== Woche 4 - Microsoft Windows Server Kurs ======

* [[GFN Sysadmin Kurs]]
    * [[Microsoft Windows Server Kurs]]
      * [[Woche 1 - Microsoft Windows Server Kurs]]
      * [[Woche 2 - Microsoft Windows Server Kurs]]
      * [[Woche 3 - Microsoft Windows Server Kurs]]
      * [[Woche 4 - Microsoft Windows Server Kurs]]
      * [[Woche 5 - Microsoft Windows Server Kurs]]
      * [[Woche 6 - Microsoft Windows Server Kurs]]
      * [[Woche 7 - Microsoft Windows Server Kurs]]
      * [[Woche 8 - Microsoft Windows Server Kurs]]

* [[Moegliche Pruefungsfragen - Microsoft Windows Server Kurs]]

===== Tag 1: 03.03.2025 Montag =====

* Wiederholung
    * 5 Betriebsmaster
      * Schemamaster
        * 1 x pro Gesamtstruktur
        * Aufgaben
          * Schemata der Active Directory Datenbank verwalten
      * Domänennamensmaster
        * 1 x pro Gesamtstruktur
        * Aufgaben
          * Domänen verwalten
            * Namen etc..
      * RID
        * 1 x pro Domäne
        * Aufgaben
          * Objekt IDs verwalten
      * PDC
        * 1 x pro Domäne
        * Aufgaben
          * Passwordforwarding
          * Zeitserver
      * Infrastruktur
        * 1 x pro Domäne
        * Aufgaben
          * Verweise zwischen Objekten in verschiedenen Domänen verwalten
    * Gutes Bild zum Thema Betriebsmaster: Abb. 12.8 "Zusammenfassung der Betriebsmaster" im Kapitel 12.x

* Fragen aus dem Fragenkatalog (siehe ''Z:\x\ossconsulting\_courses\gfn\module\1\Schulungsmaterial\Fragen\Fragen_20250303''):
    * Frage 1
      * a, e
    * Frage 2
      * c
    * Frage 3
      * c -> MoveADDirectoryServerOperationMasterRole
    * Frage 4
      * a -> Wahr
    * Frage 5
      * c -> ''netdom query fsmo''
  
  * Arbeiten mit OUs (Kapitel 13.4)
    * Um Tab "Sicherheit" zu sehen, muss man es zuerst aktivieren:
      * Tool "Active Directory Benutzer- und -Computer"
        * Ansicht / Erweiterte Features...

* RSAT (=Remote Server ... )
    * Tools um die Domänensontroller von anderen Rechnern (nicht DCs) zu verwalten
    * Installieren:
      * Auf dem Windows 11 Client
        * Remote Server Verwaltungstools
          * System / Optionale Features ...
      * Auf dem Server
        * Server Manager
          * Features auswählen
            * Remote Server Verwaltungstools

* Benutzer "Trainer" erstellen

* Delegieren der administrativen Tätigkeiten (=der Admin delegiert manche administrative Aufgaben an andere Benutzer)
    * Tool "Active Directory Benutzer- und Computer"
      * Objekt auswählen (z.B. eine OU)
        * Objektverwaltung zuweisen...
          * => danach öffnet sich der Assistent, mit dem es gemacht werden kann
            * N.B. Bei der Auswahl der Rechte: "Wenn Ihnen diese Abstufung nicht fein genug ist, wählen Sie „Benutzerdefinierte Tasks zum Zuweisen erstellen"

* Active Directory Gruppen

* Gruppe anlegen (im Tool "Active Directory Benutzer- und Computer")
    * Gruppentyp
      * immer "Sicherheit"
        * da "Verteilung" nichts mit Berechtigungen etc zu tun hat, sondern so was wie Zugehörigkeit zum "E-Mailverteiler" ist
    * Gruppenbereich (s. auch "IGDLA-Prinzip")
      * Global
        * => Benutzerseite
      * Lokal (Domänenlokal)
        * => Resourcenseite
    * IGDLA
      * I = Identity
      * G = Global
      * DL = Domain Lokal
      * A = Access

* G-Gruppen (Benutzer zusammenfassen)

* DL-Gruppen ("Rechte zusammenfassen")
    * DL_Seminar-Lesen
      * nur Lesen
    * DL_Seminar-VZ
      * Vollzugriff

* ''whoami /all''
    * Zeigt auch Gruppenzugehörigkeit an
    * N.B. Nach der Änderung der Gruppenzugehörigkeit am besten neu anmelden

===== Tag 2: 04.03.2025 Dienstag =====

* Wiederholung
    * RSAT = Remote Server Administration Tools
      * Motivation: 
        * Nicht-Admins dürfen sich nicht direkt auf den DCs anmelden
          * => RSAT notwendig
      * Zu installieren (auf dem Client)
        * ...(see notes)
      * Zu installieren (auf dem Server)
        * ...(see notes)
      * Zu finden unter
        * Systemsteuerung / System und Sicherheit / Windows-Tools
    * Delegieren der administrativen Verwaltung
      * über:
        * rechte Maustaste auf OU
          * Objektverwaltung zuweisen
    * IGDLA

* Fragen (siehe ''Z:\x\ossconsulting\_courses\gfn\module\1\Schulungsmaterial\Fragen\Fragen_20250304'')
    * Frage 1
      * b
    * Frage 2
      * b
    * Frage 3
      * c,d
    * Frage 4
      * b,c

* Der Globale Katalog (GC)
    * wird verwendet um Infos aus der Gesamtstruktur zu speichern (indizieren?)
      * also "Forest-weit"
    * die "normale" Suche funktioniert nur auf der Domänen-Ebene
      * wenn man "global" suchen will, im Suchfenster in "Gesamtes Verzeichnis" gehen

* ab jetzt sind wir im Band 2
    * Tag 17
    * Tag 18
    * Tag 19

* Tool "Active Directory Benutzer- und Computer"
    * Container
      * Symbol "ohne Buch"
      * werden normalerweise(?) vom System angelegt
    * OUs
      * Symbol "mit Buch"

* Gruppenrichtlinien

* Gruppenrichtlinien
    * Computer-bezogen
    * Benutzer-bezogen

* Tool "Gruppenrichtlinienverwaltung"
    * Gruppenrichtlinienobjekt anlegen:
      * rechte Maustaste auf OU

* Gruppenrichtlinienverwaltungs-Editor
    * wenn das Objekt angelegt ist, kann es im "Gruppenrichtlinienverwaltungs-Editor" editieren

* Zustände einer Gruppenrichtlinie
    * Nicht konfiguriert
    * Aktiviert
    * Deaktiviert

* Beispiel für Gruppenrichtlinien
    * Bilder in ''C:\Windows\Web\Wallpaper\Blumen''
    * kopieren nach ''C:\Info''
      * dann diesen Ordner freigeben
        * Freigabe -> Jeder -> Lesen
      * dann soll ein Bild über diese Freigabe erreichbar sein: z.B. als ''\\w22dc01\Info\img12.jpg''

* CMD-Befehle um mit Gruppenrichtlinien zu arbeiten:

<code PowerShell>
# Refresh der Gruppenrichtlinien nach einer Änderung erzwingen
gpupdate /forse

# Aktuelle Gruppenrichtlinien anzeigen
gpresult /r
</code>

* Gruppenrichtlinien
    * werden vererbt
    * können überschrieben werden

* Gruppenrichtlinie deaktivieren
    * am besten im Gruppenrichtlinienverwaltungs-Editor 
      * Rechtsklick auf der Gruppenrichtlinie
        * "Verknüpfung aktiviert" -> Häckchen rausnehmen

===== Tag 3: 05.03.2025 Mittwoch =====

* Feststellen ob eine Einstellung über Gruppenrichtlinien gemacht wurde und wenn ja, über welche (auch welcher Benutzer auf welchem Computer)
    * Stichwort: "Gruppenrichtlinienergebnisse"
      * Gruppenrichtlinienergebnisassistent
    * Im Tool "Gruppenrichtlinienverwaltung"
      * im Baum links den Knoten "Gruppenrichtlinienergebnisse"
        * rechte Maustaste -> "Gruppenrichtlinienergebnis-Assistent..."
    * Richtlinienergebnissatz mit rechter Maustaste anklicken -> "Erweiterte Ansicht"
      * dann sieht man alle Gruppenrichtlinien, die für diesen Satz gelten

* Man kann auch von dem "betroffenen" Rechner aus die Gruppenrichtlinien anschauen.
    * mit dem "betroffenen" Benutzer anmelden und dann in der Konsole ausführen:
      * ''gpresult /h Reportdatei.html'' 
    * damit wird ein Report in die Datei geschrieben

* NB: Status der Windows-Lizenz kann man mit folgendem Commando anzeigen:
    * ''slmgr /dlv''
    * wenn dort "Lizenzstatus: Benachrichtigung" steht, dann ist die Lizenz abgelaufen

* Die Richtlinien können auch "erzwungen" werden
    * damit kann der "höhergestellte" Admin, die Richtlinien an die "untergestellten" Admins durchdrücken

* Vererbung kann auch blockiert werden
    * Tool "Gruppenrichtlinienverwaltung"
      * Gruppe mit rechter Maustaste anklicken
        * "Vererbung deaktivieren"

===== Tag 4: 06.03.2025 Donnerstag =====

* Wiederholung
    * Firewallregel über Gruppenrichtlinien setzen
      * Computer bezogen
        * Windows...
          * Sicherheits...
            * Windows Defender ...
              * Windows Defender ...
                * Eigenschaften
                  * ICMP 
                  * Verbindung zulassen
    * Gruppenrichtlinien erzwingen
    * Vererbung deaktivieren

* Gruppenrichtlinienvorlagen
    * ADMX - Files (eigentliche Gruppenrichtlinien)
      * Zu finden unter ''C:\Windows\PolicyDefinitions\*.admx''
    * ADML - Files (Sprachfiles, L=Language)
      * Zu finden unter ''C:\Windows\PolicyDefinitions\de-DE\*.adml''

* (N.B.) Gruppenrichtlinien kann man anwenden auf:
    * Benutzer
    * ODER
    * Computer
    * aber KEINE GRUPPEN etc
    * also noch ein Mal: NUR Computer ODER Benutzer

* Verknüpfungen
    * man kann eine Verknüpfung deaktivieren
      * => dann gilt die Richtlinie nicht
    * eigentliche Richtlinie liegt unter "Gruppenrichtlinienobjekte"

* Gruppenrichtlinien sichern
    * rechtsklicken auf "Gruppenrichtlinienobjekte" 
      * Alle sichern...

* Default Domain Policy
    * sollte am besten nicht verändert werden
      * => immer eigene Gruppenrichtlinien anlegen

* Computer/Benutzer Reihenfolge:
    * 1. Computer startet
      * es werden alle Computer-Gruppenrichtlinien angewendet
    * 2. Benutzer meldet sich an
      * Gruppenrichtlinien für diesen Benutzer werden angewendet

* CSE = Client Side Extensions
    * DLLs, die geladen werden um irgendwelche Einstellungen im AD ändern zu können

* Standardmäßig werden Gruppenrichtlinien alle 90 Minuten erneut geladen
    * aber nicht immer angewendet!

* Abarbeitungsreihenfolge:
    * 1. Lokale Gruppenrichtlinien (=lokal auf dem PC, haben nichts mit AD zu tun)
    * 2. Standort
    * 3. Domäne
    * 4. OU
    * 5. Unter-OU

* Sicherheitsfilterung
    * abhängig vom Benutzer oder vom Computer kann man Gruppenrichtlinien anwenden

* WMI-Filterung (=Windows Management Instrumentation)
    * SQL-ähnliche Statements, wo man etwas festlegen kann (z.B. Windows Version etc)

* Starterrichtlinienobjekt
    * so was wie ein Template für die Gruppenrichtlinie

* Gruppenrichtlinienergebnisse
    * Bericht etc
    * rechte Maustaste auf einem Gruppenrichtlinienergebnis 
      * Erweiterte Ansicht...
        * dort sieht man alles schöner als im generierten HTML-Bericht (baumartige Ansicht etc)

* ''gpupdate''
  * ''gpresult''
  * ''dcdiag''

* Software verteilen
    * kann man auch mit Gruppenrichtlinien machen
    * ABER besser nicht
      * die Funktionalität sehr mager
      * kompliziert
      * nur MSI erlaubt (angeblich)
      * es gibt bessere Tools dafür
        * z.B. MECM

* Ordnerumleitung
    * Ein fregegebener Ordner kann so eingerichtet werden, dass es als "Profil-Ordner" erscheint
      * z.B. "Dokumente"
    * ein Benutzer hat dann auf jedem Rechner in der Domäne die Ordner mit dem gleichen Inhalt
      * P.S. normalerweise wird es auch synchronisiert, wenn der Rechner offline ist
    * siehe Band 2, Kapitel 19.1 Ordnerumleitungen

===== Tag 5: 07.03.2025 Freitag =====

* Wiederholung
    * Ordner "Gruppenrichtlinienobjekte"
    * an den OUs -> nur Verknüpfungen
    * In ''C:\Windows\PolicyDefinitions''
      * ADMX -> Vorlagendateien (''*.admx'')
      * ADML -> Sprachdateien (''*.adml'' in Ordnern ''de-DE'', ''en-US''...)
    * Abarbeitungsreihenfolge
      * Lokale Richtlinie
      * Standort
      * Domäne
      * OU
      * Unter-OU
    * Reihenfolge kann man ändern
      * Rechtsklick auf OU
        * Tab "Gruppenrichtlinienvererbung"
    * Gruppenrichtlinien filtern
      * Richtlinie anklicken und im Tab "Bereich"
        * "Sicherheitsfilterung"
          * hier kann man filtern bzgl. Benutzer/Gruppen 
        * "WMI-Filterung"
          * hier kann man filtern bzgl. Hardware- / Software-Eigenschaften bzw. -Einstellungen
    * Ordnerumleitung
      * Ordner aus der Benutzerprofilen können auf den Server umgeleitet werden (z.B. "Dokumente")
      * -> Benutzerkonfiguration / Windows-Einstellungen / Ordnerumleitung

* Skriptzuweisung
    * in AD kann man Skriptausführung festlegen
      * Computerbezogen
        * Beim Start / Herunterfahren
        * -> Computerkonfiguration / Richtlinien / Windows-Einstellungen / Skripts 
      * Benutzerbezogen
        * Beim Anmelden / Abmelden
        * -> Benutzerkonfiguration / Richtlinien / Windows-Einstellungen / Skripts

* Übung 19.2
    * Datei "Hello.vbs" mit
      * ''MsgBox "Guten Morgen!"''
    * OU "Seminar"
      * Gruppenrichtlinie (z.B. "Skripte") erstellen
      * Datei entweder "Hinzufügen" oder "Anzeigen"
        * besser zuerst anzeigen, dann in dem Ordner eine neue erstellen

* Beispiel "Explorer-Optionen"
    * Optionen des Explorers (z.B. "Dateinamenserweiterungen einblenden") über eine Gruppenrichtlinie setzen
      * s. Notizen auf Papier

* Beispiel "Laufwerkszuordnung"
    * Beim Hochfahren sollen Laufwerke gesetzt werden (Freigaben vom Fileserver)
      * s. Notizen auf Papier

* 19.3.1 Sicherheitsvorlagen
    * Susanne: NICHT RELEVANT, da veraltet

* 19.3.2 Lokale Richtlinien: Überwachungsrichtlinien
    * Spezielles Thema
      * Susanne: für die Prüfung nicht relevant
    * Überwachung führt zu sehr großen Logs
    * Ergebnis der Überwachung kann man in Systemeinstellungen "Computerverwaltung" sehen:
      * System / Ereignisanzeige / Windows-Protokolle ...

* Dateien transferieren
    * mit AD kann  man auch Dateien transferieren (z.B. vom Fileserver zu dem Client)
    * Benutzerkonfiguration / Windows-Einstellungen / Dateien ...
      * Taste F3 -> Pfad "vervollständigen"

* Misc
    * ''DCDiag'' 
      * Utility zur DC Diagnose
    * ''GPResult''
      * zeigt / reported Richtlinien an
    * ''Repadmin /syncall /force''
      * Utility für DCs Replikation

* Fragen_20250307
    * Frage 1
      * c
    * Frage 2
      * b
    * Frage 3
      * c
    * Frage 4
      * b
    * Frage 5
      * c, e
    * Frage 6
      * b, c
    * Frage 7
      * c
    * Frage 8
      * b
    * Frage 9
      * b
    * Frage 10
      * c

Edit summary

Note: By editing this page you agree to license your content under the following license: CC Attribution-Share Alike 4.0 International