vwiki

User Tools

Site Tools

Trace: • woche_4_-_microsoft_windows_server_kurs • krakl.app_usage_scenario_description • tracker_fuer_rehse • woche_5_-_microsoft_windows_server_kurs
woche_5_-_microsoft_windows_server_kurs

Table of Contents

Woche 5 - Microsoft Windows Server Kurs

Tag 1: 10.03.2025 Montag

  • Agenda
    • für heute:
      • 19.3 bis einschließlich Tag 20
    • für KW11
      • Band 2 fertig zu bekommen
  • Benutzerrichtlinien auf File Server als Benutzer “OrgAdmin” kann man mit dem folgenden Befehl anschauen (Win+R):
    • gpedit.msc
  • Benutzerrechte unter:
    • Computerkonfiguration
      • Windows-Enstellungen
        • Sicherheitsrichtlinien
          • Lokale Richtlinien
            • Zuweisen von Benutzerrechten
  • Beispiele für Rechte, die bei uns auf Client und Server (z.B. W22FS01 und 211CL01) verschieden konfiguriert sind:
    • Anmelden über Remotedesktop
    • Auf diesen Computer von Netz aus zugreifen (positiv)
    • Zugriff vom Netz verweigern (negativ)
    • Herunterfahren des Systems
    • Lokal Anmelden zulassen
      • ⇒ Auf dem Server darf nicht jeder Active Directory-Benutzer sich anmelden
    • …
  • Benutzerkontensteuerung (aka UAC = User Account Control) → Kapitel 19.3.4
    • es geht darum, ob wenn man eine Änderung an wichtigen Einstellungen macht eine Rückfrage vom System kommen soll
  • Eingeschränkte Gruppen → Kapitel 19.3.5
    • NICHT wichtig
  • Anwendungssteuerungsrichtlinien → Kapitel 19.4
    • AppLocker
      • verhindert, dass bestimmte Programme/Dienste/etc. ausgeführt werden
  • Verwaltete Dienstkonten → Kapitel 20.1
    • ⇒ WICHTIG
    • Ein Dienst muss sich mit einem Konto anmelden und damit es sich mit den Benutzern nicht überschneidet, gibt es spezielle Konten dafür
    • Verwaltete Dienstkonten sind Konten, die nur für Dienste verwendet werden und automatisch vom System verwaltet werden
  • Beispiel zum Dienstkonto erstellen (im Buch, oder auch unter folgendem Link sogar besser beschrieben : https://rdr-it.com/en/active-directory-restore-default-gpos-default-domain-policy-default-domain-controller-policy/)
    • 1. Root key erstellen und um Timeout zu verhindern so datieren, dass Erstellungszeitpunkt 10 Stunden in Vergangenheit liegt
      • Add-KDSRootkey -EffectiveTime ( (Get-Date).AddHours(-10))
    • 2. Dienstkonto “_Service1” für den File Server “W22FS01” erstellen
      • New-ADServiceAccount -Name _Service1 -DNSHostName _Service1.gfnkurs.test -PrincipalsAllowedToRetrieveManagedPassword W22FS01$
    • 3. Konto an den Rechner binden
      • Add-ADComputerServiceAccount -Identity W22FS01$ -ServiceAccount _Service1
    • 4. Alle auflisten, um anzuschauen, ob das Konto erstellt wurde:
      • Get-ADServiceAccount -Filter *
    • 5. Auf dem File Server Computer WS22FS01 als OrgAdmin:
      • Install-ADServiceAccount -Identity _Service1
  • Gruppenrichtlinieneditor für LOKALE Gruppenrichtlinien kann man mit folgendem Kommando starten:
    • gpedit.msc
  • Active Directory verwalten → Kapitel 20.2
    • Sicherungsprogramm auf DC01 installieren
      • Rollen und Features
        • …
        • Feature “Windows Server-Sicherung”
      • Nach der Installation haben wir dann unter “Tools” ein neues Tool “Windows Server-Sicherung”
    • Wiederherstellen
      • Problem: man kann nicht im laufenden Betrieb Active Directory wiederherstellen
      • Lösung: Verzeichnisdienstwiederherstelluhngsmodus
      • Systemsteuerung / Update & Sicherheit
        • Wiederherstellung
          • Erweiterter Start
            • …
            • Beim Hochfahren “Reparaturmodus für Verzeichnisdienste” wählen
  • Active Directory DB liegt physikalisch unter C:\Windows\NTDS
  • ntds.dit
  • (nicht prüfungsrelevant)
  • Gruppenrichtlinienverwaltung starten (Active Directory bezogen, NICHT lokal)
    • gpmc.msc
  • Beispiel “Gruppenrichtlinien erstellen”
    • Seminar / Applocker
      • dann “Bearbeiten”
        • …
          • Windows-Einstellungen
            • …
              • Anwendungs…richtlinien
    • WICHTIG
      • Standardregeln IMMER erstellen, da:
        • Alles ist verboten, außer es ist erlaubt
    • AppLocker Regeln scharfschalten:
      • Rechtklick auf der Regel
        • Eigenschaften
          • dort dann entsprechende Häckchen setzen
    • Dienst “Anwendungsidentitätsdienst” muss gestartet sein

Tag 2: 11.03.2025 Dienstag

  • Wiederholung
    • AppLocker
      • alles verweigert, außer das was explizit erlaubt ist
        • ⇒ deshalb Standard-Regeln generieren notwendig
    • Managed Service Accounts
      • = Anwendungssteuerungsdienstkonten
  • Zertifikatsdienste (Kapitel 23)
    • mit Active Directory
    • ohne Active Directory auch möglich (ist aber nicht unser Thema)
  • Installationsassistent
    • Im “Server Manager”
      • Verwalten / Rollen
        • Zertifikatsdienste
        • …
        • Rollendienste
          • Zertifizierungsstelle
          • Online-Responder
          • Web-Registrierung
  • Nach der Installation “Active Directory Zertifizierungsdienste konfigurieren”
    • wie: s. Notizen (auf Papier)
  • Tool “Zertifizierungsstelle” im Server Manager
    • gfnkurs…
      • Rechtsklick, dann auf “Eigenschaften”
  • Um Zertifikate zu managen:
    • MMC mit folgenden Snap-Ins:
      • Zertifikate → Eigenes …
      • Zertifikate → Computer …. → Lokaler Computer
  • Zertifikate - Aktueller Benutzer
    • Eigene Zertifikate
      • Zertifikate → Rechtsklick
        • Alle Aufgaben → Neues Zertifikat anfordern
          • “Zertifikate registrierung” startet
            • dort “Administrator…” markieren
              • → Registrieren
  • Zertifikate (Lokaler Computer)
    • …
    • “Domänencontroller” markieren
    • …
  • Übung 23.3.1.a
    • Zertifikat exportieren (auf dem W22DC01)
    • danach Zertifikat importieren (auf dem W11CL01)
  • Übung 23.3.2 (Web-Registrierung…)
  • Übung 23.4 (Zertifikate sperren)
    • Sperrzertifikate
      • → Sperrliste veröffentlichen
  • Zertifizierungsstellen verwalten (Kapitel 24)
    • …
  • Zertifikatsvorlagen aktivieren / deaktivieren
    • …
  • Zertifikatsvorlage aktivieren

Tag 3: 12.03.2025 Mittwoch

  • Wiederholung
    • Kapitel 23
    • Kapitel 24 (Teilweise)
    • Zertifikatsvorlagen
    • Unternehmenszertifizierungsstelle
      • da sie in Active Directory integriert ist
    • Root Zertifikat
    • Zertifizierungspfad
    • Import / Export von Zertifikaten
    • Unsere Zertifizierungstelle muss unter “vertrauenswürdigen” gelistet sein
    • Zertifikate - Aktueller Benutzer
      • Eigene Zertifikate
    • Zertifikate (Lokaler Computer)
    • Zertifikatsvorlagenkonsole
      • enhält alle (aktivierten und deaktivierten) Zertifikatsvorlagen
  • Gülitgkeisdauer
    • max. 2 Jahre
  • Zertifikate müssen periodisch erneuert werden
    • Erneuerungszeitraum
    • manuell (kann, muss aber nicht)
  • Agenda
    • Tag 21
    • Tag 22
    • Testfragen
  • Eigenschaften von Zertifikatsvorlage (in der “Zertifikatsvorlagenkonsole”)
    • Tab “Sicherheit”
      • Berechtigungen
        • Lesen
        • Schreiben
        • Registrieren
        • Automatisch registrieren
  • Übung 24.1.1
    • …
  • Übung 24.1.2
    • …
  • Autoenrollment (Automatische Zertikatsanforderung)
    • Buch: In Windows Server 2022 gibt es 2 Möglichkeiten dazu
      • 1 → alt
      • 2 → neu
      • ⇒ Einzelheiten siehe Buch
  • Übung 24.2 (⇒ Automatische Registriereung)
    • … s. Notizen und Lösungen
  • Schlüsselarchivierung
    • (nicht prüfungsrelevant)
  • “Active Directory - Verwaltungscenter” Tool
    • aka ADAC :)
    • Alternative zum “AD-Benutzer und -Computer” Tool
    • “ADAC” kann sogar mehr, wird aber seltener verwendet
    • Tolle Features:
      • Globale Suche
        • mit “Kriterien hinzufügen”
        • Suchen können gespeichert werden
      • PowerShell Verlauf (Fensterleiste unten)
        • Cmdlets kann man dann z.B. für eigene Skripte verwenden
      • Password Setting Objects = PSO
  • Sicherheit für die Kennwörter (Kapitel 21.3)
    • Im Tool “AD Benutzer und Computer”
      • Unter “Default Domain Policy” / Comp…/ Windows…
        • Kennwortrichtlinien
        • Kennwortsperrichtlinien
    • Die Kennwortrichtlinien gelten standarmäßig für alle Unterstufen von “Default Domain Policy”
      • es gibt zwar Möglichkeit sie bei den OUs anzuschauen, aber das sie die Richtlinien von Default Domain Policy
      • ⇒ also für alle OUs gleich
      • ABER: später ist auch eine Möglichkeit Ausnahmen bei den Kennwortrichtlinien zu definieren hinzugekommen ⇒ siehe PSO (Password Settings Objects)
        • im “AD Verwaltungcenter” (“ADAC”)
  • Wiederherstellung von gelöschten Objekten (Kapitel 21.2)
    • Objekte werden nicht sofort gelöscht (wg. Replikation etc)
      • ⇒ Papierkorb notwendig
    • Im Tool “AD-Verwaltungscenter” gibt es Möglichkeit Papierkorb zu verwenden
      • ABER: man muss zuerst “Papierkorb aktivieren” werden
        • Domäne (?) anklicken und dann auf der rechten Seite des Fensters

Tag 4: 13.03.2025 Donnerstag

  • Wiederholung
    • Zertifikate automatisch registrieren / ausrollen (Autoenrollment)
    • Im Tool “Gruppenrichtlinienverwaltung”
      • Computerkonfiguration bzw. Benutzerkonfiguration
        • Windows-Einstellungen
          • Sicherheitseinstellungen
            • Richtlinien für öffentliche Schlüssel
    • Automatisches Ausrollen ist (bei dem Benutzer?) mit dem Anmeldevorgang verknüpft
      • ⇒ auf dem entsprechenden Computer (bzw. mit dem entsprechenden Benutzer) noch ein Mal anmelden
        • N.B. gpupdate /force ist u.U. auch notwendig
    • Kapitel 23
    • Tool “Active Directory Verwaltungscenter” (“ADAC-Tool”)
      • Vorteile
        • Globale Suche
          • Kriterien
            • kombinierbar
          • Operationen an Suchergebnissen möglich
          • Suchen speicherbar
        • PowerShell Cmdlets - History
    • Kontorichtlinien (zu finden unter “Default Domain Policy”)
      • Kennwortrichtlinien
      • Kontosperrungsrichtlinien
      • Kerberos-Richtlinien
    • Ausnahmen zu den Kontorichtlinien kann man über PSOs machen
    • Im “ADAC-Tool” kann man bei den Benutzern “Resultierende Kennworteinstellungen” anschauen
    • Papierkorb für Active Directory
      • muss zuerst im “ADAC-Tool” aktiviert werden (auf der Domänen-Ebene?)
        • man muss auch Organisations-Admin sein
  • Agenda für heute
    • Tag 22
      • Vertrauensstellungen
      • Replikation und Standortverwaltung
  • Vertrauensstellungen
    • Domänen/Subdomänen vertrauen bei der Authentifizierung eine der anderen
    • bidirektional (aber nur wenn Vertrauennstellungen automatisch erstellt wurden)
    • transitiv (wenn A vetraut B und B vertraut C, dann A vertraut auch C)
  • Automatische Vertrauensstellungen
  • Tool “Active Directory-Domänen und -Vertrauensstellungen”
  • Gesamtstrukturvertrauensstellungen [22.1.2]
    • werden manuell gemacht
    • “Neue Vertrauensstellung…” Assistent
    • Hier kommt wieder der Unterschied zwischen “Authentifizierung” und “Autorisierung” zum Vorschein
  • Verknüpfte Vertrauensstellungen [22.1.3]
    • “Shortcut-Trust”
    • kann man machen, weil manchmal “direktes” Vertrauen zwischen (Sub-)Domänen aus verschiedenen Strukturen effektiver ist
      • Beispiel:
        • 2 Strukturen
          • 1. Rootdomäne in New York
            • Subdomäne in Frankfurt
          • 2. Rootdomäne in Tokio
            • Subdomäne in Stuttgart
          • ⇒ es ist effektiver nicht über New Yourk und Tokio zu gehen, sondern direkte “verknüpfte Vertrauesstellungen” zwischen Stuttgat und Frankfurt einzurichten
  • Misc:
    • ADSI-Editor
      • Tool zum Editieren von Attributen in Active Directory
        • ist aber nur für manche Aufgaben gut. Meistens sind die “Original-Tools” von Active Directory besser/einfacher zu bedienen.
  • …

Tag 5: 14.03.2025 Donnerstag

  • Wiederholung
    • …
  • Zwei Wege um eine Berechtigung an einer Ressource zu vergeben
    • über MMC (bzw. Tool “AD-Benutzer und Computer”)
    • über Explorer → Eigenschaften → Sicherheit
  • Replikation innerhalb eines Standorts [22.2.1]
    • Tool “AD Standorte und -Dienste”
    • jeder DC spricht alle anderen DCs alle X Minuten an und schaut ob die “Zähler” gleich sind
      • USN = Update Sequence Number
    • Spätestens nach 3 Hops soll Replikation geschehen
      • “3 x 5 Minuten”
  • Replikationsdatenarten → Partitionen
    • Verzeichnispartition
    • Domänenpartition
      • wird nur an DCs in der gleichen Domäne repliziert
    • Konfigurationspartition
    • Schemapartition
      • wird an alle DC in der Gesamtstruktur repliziert
    • Anwendungspartition (z.B. DNS-Konfiguration)
      • Replikation möglich (je nach Anwendung und Konfigration):
        • innerhalb der Domäne
        • innerhalb der Gesamtstruktur
    • Replikationstopologie
      • max. 3 Hops
    • Replikationskonflikte
  • Replikation zwischen den Standorten [22.2.2]
    • standardmäßig komprimiert (=zipped)
    • Standort kann ein oder mehrere Subnetze haben
    • Beispiel:
      • … (s.Notizen)
  • Replikation kann stattfinden
    • über IP
      • zu 99%
    • über SMTP
      • Notlösung
      • Daten werden über Mail verschickt(?)
woche_5_-_microsoft_windows_server_kurs.txt · Last modified: by kalaschnikow