woche_5_-_microsoft_windows_server_kurs
Differences
This shows you the differences between two versions of the page.
| Both sides previous revisionPrevious revisionNext revision | Previous revision | ||
| woche_5_-_microsoft_windows_server_kurs [2025/03/17 14:06] – [Woche 5 - Microsoft Windows Server Kurs] kalaschnikow | woche_5_-_microsoft_windows_server_kurs [2025/03/31 15:10] (current) – [Woche 5 - Microsoft Windows Server Kurs] kalaschnikow | ||
|---|---|---|---|
| Line 1: | Line 1: | ||
| + | ====== Woche 5 - Microsoft Windows Server Kurs ====== | ||
| + | |||
| + | * [[GFN Sysadmin Kurs]] | ||
| + | * [[Microsoft Windows Server Kurs]] | ||
| + | * [[Woche 1 - Microsoft Windows Server Kurs]] | ||
| + | * [[Woche 2 - Microsoft Windows Server Kurs]] | ||
| + | * [[Woche 3 - Microsoft Windows Server Kurs]] | ||
| + | * [[Woche 4 - Microsoft Windows Server Kurs]] | ||
| + | * [[Woche 5 - Microsoft Windows Server Kurs]] | ||
| + | * [[Woche 6 - Microsoft Windows Server Kurs]] | ||
| + | * [[Woche 7 - Microsoft Windows Server Kurs]] | ||
| + | * [[Woche 8 - Microsoft Windows Server Kurs]] | ||
| + | |||
| + | |||
| + | * [[Moegliche Pruefungsfragen - Microsoft Windows Server Kurs]] | ||
| + | |||
| + | |||
| + | ===== Tag 1: 10.03.2025 Montag ===== | ||
| + | |||
| + | * Agenda | ||
| + | * für heute: | ||
| + | * 19.3 bis einschließlich Tag 20 | ||
| + | * für KW11 | ||
| + | * Band 2 fertig zu bekommen | ||
| + | |||
| + | * Benutzerrichtlinien auf File Server als Benutzer " | ||
| + | * '' | ||
| + | |||
| + | * Benutzerrechte unter: | ||
| + | * Computerkonfiguration | ||
| + | * Windows-Enstellungen | ||
| + | * Sicherheitsrichtlinien | ||
| + | * Lokale Richtlinien | ||
| + | * Zuweisen von Benutzerrechten | ||
| + | |||
| + | * Beispiele für Rechte, die bei uns auf Client und Server (z.B. W22FS01 und 211CL01) verschieden konfiguriert sind: | ||
| + | * Anmelden über Remotedesktop | ||
| + | * Auf diesen Computer von Netz aus zugreifen (positiv) | ||
| + | * Zugriff vom Netz verweigern (negativ) | ||
| + | * Herunterfahren des Systems | ||
| + | * Lokal Anmelden zulassen | ||
| + | * => Auf dem Server darf nicht jeder Active Directory-Benutzer sich anmelden | ||
| + | * ... | ||
| + | |||
| + | |||
| + | * Benutzerkontensteuerung (aka UAC = User Account Control) -> Kapitel 19.3.4 | ||
| + | * es geht darum, ob wenn man eine Änderung an wichtigen Einstellungen macht eine Rückfrage vom System kommen soll | ||
| + | |||
| + | * Eingeschränkte Gruppen -> Kapitel 19.3.5 | ||
| + | * NICHT wichtig | ||
| + | |||
| + | * Anwendungssteuerungsrichtlinien -> Kapitel 19.4 | ||
| + | * AppLocker | ||
| + | * verhindert, dass bestimmte Programme/ | ||
| + | |||
| + | * Verwaltete Dienstkonten -> Kapitel 20.1 | ||
| + | * => WICHTIG | ||
| + | * Ein Dienst muss sich mit einem Konto anmelden und damit es sich mit den Benutzern nicht überschneidet, | ||
| + | * Verwaltete Dienstkonten sind Konten, die nur für Dienste verwendet werden und automatisch vom System verwaltet werden | ||
| + | |||
| + | * Beispiel zum Dienstkonto erstellen (im Buch, oder auch unter folgendem Link sogar besser beschrieben : https:// | ||
| + | * 1. Root key erstellen und um Timeout zu verhindern so datieren, dass Erstellungszeitpunkt 10 Stunden in Vergangenheit liegt | ||
| + | * '' | ||
| + | * 2. Dienstkonto " | ||
| + | * '' | ||
| + | * 3. Konto an den Rechner binden | ||
| + | * '' | ||
| + | * 4. Alle auflisten, um anzuschauen, | ||
| + | * '' | ||
| + | * 5. Auf dem File Server Computer WS22FS01 als OrgAdmin: | ||
| + | * '' | ||
| + | |||
| + | |||
| + | * Gruppenrichtlinieneditor für LOKALE Gruppenrichtlinien kann man mit folgendem Kommando starten: | ||
| + | * '' | ||
| + | |||
| + | * Active Directory verwalten -> Kapitel 20.2 | ||
| + | * Sicherungsprogramm auf DC01 installieren | ||
| + | * Rollen und Features | ||
| + | * ... | ||
| + | * Feature " | ||
| + | * Nach der Installation haben wir dann unter " | ||
| + | * Wiederherstellen | ||
| + | * Problem: man kann nicht im laufenden Betrieb Active Directory wiederherstellen | ||
| + | * Lösung: Verzeichnisdienstwiederherstelluhngsmodus | ||
| + | * Systemsteuerung / Update & Sicherheit | ||
| + | * Wiederherstellung | ||
| + | * Erweiterter Start | ||
| + | * ... | ||
| + | * Beim Hochfahren " | ||
| + | | ||
| + | * Active Directory DB liegt physikalisch unter '' | ||
| + | * '' | ||
| + | * (nicht prüfungsrelevant) | ||
| + | |||
| + | * Gruppenrichtlinienverwaltung starten (Active Directory bezogen, NICHT lokal) | ||
| + | * '' | ||
| + | |||
| + | * Beispiel " | ||
| + | * Seminar / Applocker | ||
| + | * dann " | ||
| + | * ... | ||
| + | * Windows-Einstellungen | ||
| + | * ... | ||
| + | * Anwendungs...richtlinien | ||
| + | * WICHTIG | ||
| + | * Standardregeln IMMER erstellen, da: | ||
| + | * Alles ist verboten, außer es ist erlaubt | ||
| + | * AppLocker Regeln scharfschalten: | ||
| + | * Rechtklick auf der Regel | ||
| + | * Eigenschaften | ||
| + | * dort dann entsprechende Häckchen setzen | ||
| + | * Dienst " | ||
| + | |||
| + | ===== Tag 2: 11.03.2025 Dienstag ===== | ||
| + | |||
| + | * Wiederholung | ||
| + | * AppLocker | ||
| + | * alles verweigert, außer das was explizit erlaubt ist | ||
| + | * => deshalb Standard-Regeln generieren notwendig | ||
| + | * Managed Service Accounts | ||
| + | * = Anwendungssteuerungsdienstkonten | ||
| + | |||
| + | * Zertifikatsdienste (Kapitel 23) | ||
| + | * mit Active Directory | ||
| + | * ohne Active Directory auch möglich (ist aber nicht unser Thema) | ||
| + | |||
| + | * Installationsassistent | ||
| + | * Im " | ||
| + | * Verwalten / Rollen | ||
| + | * Zertifikatsdienste | ||
| + | * ... | ||
| + | * Rollendienste | ||
| + | * Zertifizierungsstelle | ||
| + | * Online-Responder | ||
| + | * Web-Registrierung | ||
| + | |||
| + | * Nach der Installation " | ||
| + | * wie: s. Notizen (auf Papier) | ||
| + | |||
| + | * Tool " | ||
| + | * gfnkurs... | ||
| + | * Rechtsklick, | ||
| + | |||
| + | * Um Zertifikate zu managen: | ||
| + | * MMC mit folgenden Snap-Ins: | ||
| + | * Zertifikate -> Eigenes ... | ||
| + | * Zertifikate -> Computer .... -> Lokaler Computer | ||
| + | |||
| + | * Zertifikate - Aktueller Benutzer | ||
| + | * Eigene Zertifikate | ||
| + | * Zertifikate -> Rechtsklick | ||
| + | * Alle Aufgaben -> Neues Zertifikat anfordern | ||
| + | * " | ||
| + | * dort " | ||
| + | * -> Registrieren | ||
| + | |||
| + | * Zertifikate (Lokaler Computer) | ||
| + | * ... | ||
| + | * " | ||
| + | * ... | ||
| + | |||
| + | * Übung 23.3.1.a | ||
| + | * Zertifikat exportieren (auf dem W22DC01) | ||
| + | * danach Zertifikat importieren (auf dem W11CL01) | ||
| + | |||
| + | * Übung 23.3.2 (Web-Registrierung...) | ||
| + | |||
| + | * Übung 23.4 (Zertifikate sperren) | ||
| + | * Sperrzertifikate | ||
| + | * -> Sperrliste veröffentlichen | ||
| + | |||
| + | |||
| + | * Zertifizierungsstellen verwalten (Kapitel 24) | ||
| + | * ... | ||
| + | |||
| + | * Zertifikatsvorlagen aktivieren / deaktivieren | ||
| + | * ... | ||
| + | |||
| + | |||
| + | * Zertifikatsvorlage aktivieren | ||
| + | |||
| + | ===== Tag 3: 12.03.2025 Mittwoch ===== | ||
| + | |||
| + | * Wiederholung | ||
| + | * Kapitel 23 | ||
| + | * Kapitel 24 (Teilweise) | ||
| + | * Zertifikatsvorlagen | ||
| + | * Unternehmenszertifizierungsstelle | ||
| + | * da sie in Active Directory integriert ist | ||
| + | * Root Zertifikat | ||
| + | * Zertifizierungspfad | ||
| + | * Import / Export von Zertifikaten | ||
| + | * Unsere Zertifizierungstelle muss unter " | ||
| + | * Zertifikate - Aktueller Benutzer | ||
| + | * Eigene Zertifikate | ||
| + | * Zertifikate (Lokaler Computer) | ||
| + | * Zertifikatsvorlagenkonsole | ||
| + | * enhält alle (aktivierten und deaktivierten) Zertifikatsvorlagen | ||
| + | |||
| + | * Gülitgkeisdauer | ||
| + | * max. 2 Jahre | ||
| + | |||
| + | * Zertifikate müssen periodisch erneuert werden | ||
| + | * Erneuerungszeitraum | ||
| + | * manuell (kann, muss aber nicht) | ||
| + | |||
| + | |||
| + | * Agenda | ||
| + | * Tag 21 | ||
| + | * Tag 22 | ||
| + | * Testfragen | ||
| + | |||
| + | * Eigenschaften von Zertifikatsvorlage (in der " | ||
| + | * Tab " | ||
| + | * Berechtigungen | ||
| + | * Lesen | ||
| + | * Schreiben | ||
| + | * Registrieren | ||
| + | * Automatisch registrieren | ||
| + | |||
| + | * Übung 24.1.1 | ||
| + | * ... | ||
| + | * Übung 24.1.2 | ||
| + | * ... | ||
| + | |||
| + | * Autoenrollment (Automatische Zertikatsanforderung) | ||
| + | * Buch: In Windows Server 2022 gibt es 2 Möglichkeiten dazu | ||
| + | * 1 -> alt | ||
| + | * 2 -> neu | ||
| + | * => Einzelheiten siehe Buch | ||
| + | |||
| + | * Übung 24.2 (=> Automatische Registriereung) | ||
| + | * ... s. Notizen und Lösungen | ||
| + | |||
| + | * Schlüsselarchivierung | ||
| + | * (nicht prüfungsrelevant) | ||
| + | |||
| + | * " | ||
| + | * aka ADAC :) | ||
| + | * Alternative zum " | ||
| + | * " | ||
| + | * Tolle Features: | ||
| + | * Globale Suche | ||
| + | * mit " | ||
| + | * Suchen können gespeichert werden | ||
| + | * PowerShell Verlauf (Fensterleiste unten) | ||
| + | * Cmdlets kann man dann z.B. für eigene Skripte verwenden | ||
| + | * Password Setting Objects = PSO | ||
| + | |||
| + | * Sicherheit für die Kennwörter | ||
| + | * Im Tool "AD Benutzer und Computer" | ||
| + | * Unter " | ||
| + | * Kennwortrichtlinien | ||
| + | * Kennwortsperrichtlinien | ||
| + | * Die Kennwortrichtlinien gelten standarmäßig für alle Unterstufen von " | ||
| + | * es gibt zwar Möglichkeit sie bei den OUs anzuschauen, | ||
| + | * => also für alle OUs gleich | ||
| + | * ABER: später ist auch eine Möglichkeit Ausnahmen bei den Kennwortrichtlinien zu definieren hinzugekommen => siehe PSO (Password Settings Objects) | ||
| + | * im "AD Verwaltungcenter" | ||
| + | |||
| + | * Wiederherstellung von gelöschten Objekten (Kapitel 21.2) | ||
| + | * Objekte werden nicht sofort gelöscht (wg. Replikation etc) | ||
| + | * => Papierkorb notwendig | ||
| + | * Im Tool " | ||
| + | * ABER: man muss zuerst " | ||
| + | * Domäne (?) anklicken und dann auf der rechten Seite des Fensters | ||
| + | |||
| + | ===== Tag 4: 13.03.2025 Donnerstag ===== | ||
| + | |||
| + | * Wiederholung | ||
| + | * Zertifikate automatisch registrieren / ausrollen (Autoenrollment) | ||
| + | * Im Tool " | ||
| + | * Computerkonfiguration bzw. Benutzerkonfiguration | ||
| + | * Windows-Einstellungen | ||
| + | * Sicherheitseinstellungen | ||
| + | * Richtlinien für öffentliche Schlüssel | ||
| + | * Automatisches Ausrollen ist (bei dem Benutzer?) mit dem Anmeldevorgang verknüpft | ||
| + | * => auf dem entsprechenden Computer (bzw. mit dem entsprechenden Benutzer) noch ein Mal anmelden | ||
| + | * N.B. '' | ||
| + | * Kapitel 23 | ||
| + | * Tool " | ||
| + | * Vorteile | ||
| + | * Globale Suche | ||
| + | * Kriterien | ||
| + | * kombinierbar | ||
| + | * Operationen an Suchergebnissen möglich | ||
| + | * Suchen speicherbar | ||
| + | * PowerShell Cmdlets - History | ||
| + | * Kontorichtlinien (zu finden unter " | ||
| + | * Kennwortrichtlinien | ||
| + | * Kontosperrungsrichtlinien | ||
| + | * Kerberos-Richtlinien | ||
| + | * Ausnahmen zu den Kontorichtlinien kann man über PSOs machen | ||
| + | * Im " | ||
| + | * Papierkorb für Active Directory | ||
| + | * muss zuerst im " | ||
| + | * man muss auch Organisations-Admin sein | ||
| + | |||
| + | * Agenda für heute | ||
| + | * Tag 22 | ||
| + | * Vertrauensstellungen | ||
| + | * Replikation und Standortverwaltung | ||
| + | |||
| + | * Vertrauensstellungen | ||
| + | * Domänen/ | ||
| + | * bidirektional (aber nur wenn Vertrauennstellungen automatisch erstellt wurden) | ||
| + | * transitiv (wenn A vetraut B und B vertraut C, dann A vertraut auch C) | ||
| + | |||
| + | * Automatische Vertrauensstellungen | ||
| + | |||
| + | * Tool " | ||
| + | |||
| + | * Gesamtstrukturvertrauensstellungen [22.1.2] | ||
| + | * werden manuell gemacht | ||
| + | * "Neue Vertrauensstellung..." | ||
| + | * Hier kommt wieder der Unterschied zwischen " | ||
| + | |||
| + | * Verknüpfte Vertrauensstellungen [22.1.3] | ||
| + | * " | ||
| + | * kann man machen, weil manchmal " | ||
| + | * Beispiel: | ||
| + | * 2 Strukturen | ||
| + | * 1. Rootdomäne in New York | ||
| + | * Subdomäne in Frankfurt | ||
| + | * 2. Rootdomäne in Tokio | ||
| + | * Subdomäne in Stuttgart | ||
| + | * => es ist effektiver nicht über New Yourk und Tokio zu gehen, sondern direkte " | ||
| + | |||
| + | * Misc: | ||
| + | * ADSI-Editor | ||
| + | * Tool zum Editieren von Attributen in Active Directory | ||
| + | * ist aber nur für manche Aufgaben gut. Meistens sind die " | ||
| + | |||
| + | |||
| + | * ... | ||
| + | |||
| + | ===== Tag 5: 14.03.2025 Donnerstag ===== | ||
| + | |||
| + | * Wiederholung | ||
| + | * ... | ||
| + | |||
| + | * Zwei Wege um eine Berechtigung an einer Ressource zu vergeben | ||
| + | * über MMC (bzw. Tool " | ||
| + | * über Explorer -> Eigenschaften -> Sicherheit | ||
| + | |||
| + | * Replikation innerhalb eines Standorts [22.2.1] | ||
| + | * Tool "AD Standorte und -Dienste" | ||
| + | * jeder DC spricht alle anderen DCs alle X Minuten an und schaut ob die " | ||
| + | * USN = Update Sequence Number | ||
| + | * Spätestens nach 3 Hops soll Replikation geschehen | ||
| + | * "3 x 5 Minuten" | ||
| + | * Replikationsdatenarten -> Partitionen | ||
| + | * Verzeichnispartition | ||
| + | * Domänenpartition | ||
| + | * wird nur an DCs in der gleichen Domäne repliziert | ||
| + | * Konfigurationspartition | ||
| + | * Schemapartition | ||
| + | * wird an alle DC in der Gesamtstruktur repliziert | ||
| + | * Anwendungspartition (z.B. DNS-Konfiguration) | ||
| + | * Replikation möglich (je nach Anwendung und Konfigration): | ||
| + | * innerhalb der Domäne | ||
| + | * innerhalb der Gesamtstruktur | ||
| + | * Replikationstopologie | ||
| + | * max. 3 Hops | ||
| + | * Replikationskonflikte | ||
| + | |||
| + | * Replikation zwischen den Standorten [22.2.2] | ||
| + | * standardmäßig komprimiert (=zipped) | ||
| + | * Standort kann ein oder mehrere Subnetze haben | ||
| + | * Beispiel: | ||
| + | * ... (s.Notizen) | ||
| + | |||
| + | * Replikation kann stattfinden | ||
| + | * über IP | ||
| + | * zu 99% | ||
| + | * über SMTP | ||
| + | * Notlösung | ||
| + | * Daten werden über Mail verschickt(? | ||