CertBase Community

SSTP-Remotezugriff: Sperrlisten für externe VPN-Clients veröffentlichen

Maik — Tue, 03 Jan 2012 19:38:00 GMT

Wenn Sie Ihren Clientcomputern Secure Socket Tunneling Protokoll (SSTP) basierte VPN-Verbindungen ermöglichen möchten und ein Serverzertifikat einer internen Zertifizierungsstelle verwenden, müssen Sie in Bezug auf die CA folgende Punkte berücksichtigen:

Die Clientcomputer müssen der Zertifizierungsstelle vertrauen. Dazu muss das Zertifizierungsstellenzertifikat auf den Clientcomputern in den Speicher Vertrauenswürdige Stammzertifizierungsstellen importiert werden. Wird eine Unternehmenszertifizierungsstelle verwendet, wird dieser Schritt automatisch auf allen Domänenmitgliedern durchgeführt.
Der Name des Zertifikats muss mit dem DNS-Namen übereinstimmen, der für die Verbindungsherstellung verwendet wird. Verwenden die Clientcomputer beispielsweise den Namen vpn1.certbase.de muss das Zertifikat auf diesen Namen registriert werden.
Die Clientcomputer müssen Zertifikatsperrlisten der CA abrufen können, um zu überprüfen, ob das Serverzertifikat des VPN-Servers zwischenzeitlich gesperrt wurde.

Standardmäßig haben externe VPN-Clients keinen Zugriff auf Zertifikatsperrlisten interner Zertifizierungsstellen. Bei der Verbindungsherstellung wird die Fehlermeldung 0x8009213: Die Sperrfunktion konnte die Sperrung nicht überprüfen, da der Sperrserver offline war angezeigt und der Verbindungsaufbau wird abgebrochen.

Um externen Clients das Abrufen der Sperrlisten zu ermöglichen, muss dem Zertifikat ein Sperrlistenverteilungspunkt hinzugefügt werden, der für die Clients erreichbar ist. Ein HTTP-Pfad zur Website der ausstellenden Zertifizierungsstelle bietet sich dazu an.

In meinem Fall verwendet der VPN-Server ein Zertifikat einer eigenständigen Zertifizierungsstelle, die auf dem VPN-Server installiert ist. Die Clientcomputer verwenden den öffentlichen Namen vpn1.certbase.de, um VPN-Verbindungen mit dem Firmennetzwerk herzustellen.

Sperrlisteneinträge konfigurieren

Orte, an denen Sperrlisten veröffentlicht werden und Orte, die in den Zertifikaten für den Abruf der Sperrliste eingetragen werden, können über die Erweiterungen der Zertifizierungsstelle konfiguriert werden.

Über die Schaltfläche Hinzufügen müssen wir einen URL ergänzen, der von unseren externen VPN-Clients erreichbar ist. Zudem muss sichergestellt sein, dass die Sperrlisten in dem Verzeichnis enthalten sind.

Der Beispielpfad in der Beschreibung gibt Orientierung für den neuen Eintrag:

Nach dem Übernehmen müssen die Zertifikatdienste neu gestartet werden.

Wird eine einzelne Zertifizierungsstelle verwendet, genügt es, den URL für das Abrufen der Sperrlisten zu ergänzen. Wenn eine Zertifizierungsstellenhierarchie mit mehreren Zertifizierungsstelleninformationen verwendet wird, muss in den Zertifikaten auch der Zugriff auf Stelleninformationen veröffentlicht werden.

Eventuell kennt der überprüfende Zertifikats-Client zwar das Stammzertifikat, nicht aber die Zertifikate der Zwischenzertifizierungsstellen. Die Stelleninformationen verweisen auf einen Ort, von dem das jeweils ausstellende Zertifikat heruntergeladen werden kann.

Die Konfiguration funktioniert analog zu den Sperrlisten.

Beim Übernehmen der Einstellungen müssen die Zertifikatdienste erneut durchgestartet werden.

Nachdem ein neues Zertifikat für die Serverauthentifizierung beantragt und auf dem VPN-Server installiert wurde, bestätigt ein Blick in die Detailinformationen die hinzugefügten Informationen:

SSTP-Remotezugriff: Bindungen des SSL Zertifikates überprüfen

Maik — Thu, 29 Dec 2011 19:18:00 GMT

Bei der Installation bzw. beim Testen einer VPN-Lösung auf Basis des Secure Socket Transfer Protokolls (SSTP) hatte ich immer wieder die Fehlermeldung 0x800704C9: Der Remotecomputer hat die Netzwerkverbindung abgelehnt erhalten. Die Fehlermeldung weist darauf hin, dass entweder der SSTP-Dienst nicht aktiv ist oder kein Zertifikat für die Serverauthentifizierung installiert wurde.

Da mich die Beseitigung der Fehlermeldung recht lange beschäftigt hat und noch einige andere unerwartete Hürden auf mich zukamen, möchte ich Ursache und Lösung dieses Problems kurz beschreiben:

Obwohl das Zertifikat für SSTP Verbindungen mit den Routing und RAS-Diensten in den Servereigenschaften korrekt eingestellt ist, kann es vorkommen, dass die Bindung des Zertifikats an die Anwendung dennoch nicht vollzogen wurde und dem Routing und RAS Dienst das Zertifikat nicht zur Verfügung steht.

Sie können die Bindung prüfen, indem Sie den Befehl Netsh http Show SSL ausführen:

Es werden trotz der korrekten Anzeige in der GUI keine SSL-Zertifikatbindungen aufgelistet.

Um die Bindung manuell für die Protokolle IPv4 und IPv6 einzutragen können wir die folgenden Befehlszeilen verwenden:

netsh http add sslcert ipport=0.0.0.0:443 certhash=[Zertifikat Fingerabdruck] appid={ba195980-cd49-458b-9e23-c84ee0adcd75} certstorename=MY

netsh http add sslcert ipport=[::]:443 certhash=[ Zertifikat Fingerabdruck] appid={ba195980-cd49-458b-9e23-c84ee0adcd75} certstorename=MY

Die AppID ist eine Konstante und kennzeichnet den Routing und RAS Dienst. Den Fingerabdruck des Zertifikats können Sie aus den Detailinformationen des Zertifikats entnehmen:

Beispiel:

1c fe 31 e0 46 19 3d 7a 2b 28 19 8a fd 9f 8c 67 eb e2 6b bf

Die Leerzeichen müssen aus dem String entfernt werden. Sie können es sich einfach machen, indem Sie den String in Notepad kopieren und die Leerzeichen mit der Funktion Suchen und Ersetzen entfernen. Anschließend können die Befehlszeilen an der Eingabeaufforderung ausgeführt werden:

Nun sollten die Bindungen korrekt aufgelistet werden:

Weitere nützliche Informationen:

Entfernen der SSL-Zertifikatbindungen für IPv4

netsh http delete ssl 0.0.0.0:443

Entfernen der SSL-Zertifikatbindungen für IPV6

netsh http delete ssl [::]:443

Entfernen der konfigurierten Zertifikatinformationen für den SSTP-Dienst aus der Registrierung

reg delete HKLM\SYSTEM\CurrentControlSet\Services\SstpSvc\Parameters /v SHA256CertificateHash /f

Beenden des SSTP-Dienstes:

net stop sstpsvc /y

Starten des SSTP-Dienstes:

net start sstpsvc

Starten des Routing und RAS-Dienstes

net start remoteaccess

Aktivieren und verwenden des Active Directory-Papierkorbs

Maik — Wed, 22 Jun 2011 14:10:00 GMT

Mit Windows Server 2008 R2 wurde eine neue bzw. stark verbesserte Methode zur Wiederherstellung gelöschter Active Directory-Objekte eingeführt. Wenn der Active Directory-Papierkorb in einer Gesamtstruktur aktiviert ist, werden beim Löschen eines Objektes alle Attribute für einen definierten Zeitraum (Deleted Object Lifetime, DOL) beibehalten. Gelöschte Objekte können ohne Downtime des Domänencontrollers und unter Beibehaltung aller Gruppenmitgliedschaften und Zugriffsrechte per PowerShel Cmdlets wiederhergestellt werden. Der Active Directory-Papierkorb kann insofern als Weiterentwicklung der Tombstone Reanimierung betrachtet werden, bei der nur die SID eines Objektes wiederhergestellt wird und die fehlenden Attribute beispielsweise unter Zuhilfenahme eines Active Directory-Snapshots nachgepflegt werden (siehe auch: Directory Service Comparision Tool (DSCT)).

Der Active Directory-Papierkorb kann nicht nur in Active Directory-Domänendienste (AD DS) sondern auch in Active Directory Lightweight Directory Services (AD LDS)-Umgebungen verwendet werden.

Voraussetzungen:
Die Gesamtstrukturfunktionsebene muss auf Windows Server 2008 R2 angehoben werden. Dies setzt voraus, dass alle vorhandenen Domänencontroller der Gesamtstruktur zunächst auf Windows Server 2008 R2 aktualisiert werden.

Wissenswertes:

Der Active Directory-Papierkorb ist auch in neuen Windows Server 2008 R2 Gesamtstrukturen standardmäßig deaktiviert.
Ist der Active Directory-Papierkorb einmal aktiviert worden, kann dieser Schritt nicht rückgängig gemacht werden. Der AD-Papierkorb kann nicht deaktiviert werden.
Beim Aktivieren des AD-Papierkorbs wird der Container Deleted Objects einmal komplett geleert. Objekte die vor dem Aktivieren des AD-Papierkorbs gelöscht worden, können anschließend nicht mehr per Tombstone Reanimierung zurückgeholt werden.

Active Directory-Papierkorb aktivieren
Wenn die Gesamtstrukturfunktionsebene (und implizit auch die Funktionsebenen der enthaltenen Domänen) auf Windows Server 2008 R2 heraufgestuft wurde, können Sie als Mitglied der Gruppe Organisations-Admins das Active Directory-Modul für Windows PowerShell verwenden und das folgende beispielhaft Cmdlet ausführen, um den AD-Papierkorb zu aktivieren:

Enable-ADOptionalFeature -Identity "CN=Recycle Bin Feature,CN=Optional Features,CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration, DC=certbase,DC=de" -Scope ForestOrConfigurationSet -Target certbase.de

Wiederherstellen von Objekten aus dem Active Directory-Papierkorb
Gelöschte Objekte werden in den Container Deleted Objects verschoben. Der Container kann mit Active Directory-Benutzer und -Computer oder dem ADSI-Editor nicht angezeigt werden. Um den Container Deleted Objects einzusehen, können Sie entweder LDP.exe oder den Active Directory Explorer von Sysinternals (http://technet.microsoft.com/de-de/sysinternals/bb963907) verwenden. Mit LDP.exe können die Objekte auch gleich wiederhergestellt werden. In diesem Artikel sollen jedoch die PowerShel Cmdlets zum Einsatz kommen.

Für den Container Deleted Objects ist das Attribut isDeleted auf True gesetzt:

Für die Wiederherstellung von Active Directory-Objekten mit Hilfe der Windows PowerShell kommen die beiden Cmdlet Get-ADObject und Resore-ADObject zum Einsatz. Mit Get-ADObject werden die Objekte unter Einsatz von Filterkriterien ermittelt und über eine Pipe an das Cmdlet Restore-ADObject weitergeleitet. Das Cmdlet Restore-ADObject kann nur bei aktiviertem AD-Papierkorb verwendet werden und ist für die Tombstone Reanimierung nicht geeignet. Der Parameter -IncludeDeletedObjects stellt sicher, dass der Container Deleted Objects einbezogen wird. Standardmäßig ist das nicht der Fall.

Get-ADObject -Filter {String} -IncludeDeletedObjects | Restore-ADObject

Anzeigen eines gelöschten Benutzerkontos mit Get-ADObject

Um beispielsweise ein versehentlich gelöschtes Benutzerkonto mit dem Anmeldenamen SSchuster widerherzustellen, können Sie folgenden Befehl ausführen:

Get-ADObject -Filter {sAMAccountName -eq "SSchuster"} -IncludeDeletedObjects | Restore-ADObject

Alternativ können auch andere eindeutige Attribute verwendet werden. Beispielsweise der Benutzerprinzipalname:

Get-ADObject -Filter {userPrincipalName -eq "SSchuster@certbase.de"} -IncludeDeletedObjects | Restore-ADObject

Um mehrere gelöschte Objekte aus einer gemeinsamen OU wiederherzustellen, kann das Attribut LastKnownParent verwendet werden:

Get-ADObject -Filter {lastKnownParent -eq "OU=Benutzer,OU=Vertrieb,DC=certbase,DC=de"} -IncludeDeletedObjects | Restore-ADObject

Wiederherstellung per GUI
Das Programm ADRestore.Net von Guy Teverovsky ermöglicht einen Einblick in den Container Deleted Objects und die Tombstone Reanimation über eine grafische Benutzeroberfläche. Sofern der AD-Papierkorb aktiviert ist, werden alle Attribute eines Objektes wiederhergestellt.

ADRestore.Net kann unter dem folgenden Link heruntergeladen werden.

http://blogs.microsoft.co.il/blogs/guyt/archive/2007/12/15/adrestore-net-rewrite.aspx

Gesamtstrukturfunktionsebene und Domänenfunktionsebene per PowerShell-Cmdlet heraufstufen

Maik — Tue, 21 Jun 2011 20:05:00 GMT

Um die Funktionsebene einer Active Directory-Gesamtstruktur auf Windows Server 2008 R2 heraufzustufen kann das folgende Cmdlet verwendet werden:

Set-ADForestMode -Identity certbase.de -ForestMode Windows2008R2Forest

Gültige Werte für den Parameter -ForestMode sind:

Windows2003InterimForest
Windows2003Forest
Windows2008Forest
Windows2008R2Forest

Um die Domänenfunktionsebene heraufzustufen kann das Cmdlet Set-ADDomainMode verwendet werden:

Set-ADDomainMode -Identity certbase.de -DomainMode Windows2008R2Domain

Gültige Werte für den Parameter -DomainMode sind:

Windows2000Domain
Windows2003InterimDomain
Windows2003Domain
Windows2008Domain
Windows2008R2Domain

Eine Übersicht der Active Directory Cmdlets des Active Directory-Modul für Windows PowerShell finden Sie unter dem folgenden Link:

http://technet.microsoft.com/de-de/library/ee617195(en-us).aspx

Tombstone Lifetime (TL) identifizieren und ändern

Maik — Thu, 16 Jun 2011 18:31:00 GMT

Tombstone Lifetime (TL) identifizieren und ändern

Die Tombstone Lifetime bestimmt, wie lange ein gelöschtes Objekt im Container Deleted Objects einer Active Directory-Domäne aufbewahrt wird, bevor es durch den Garbage Collector endgültig und unwiederbringlich aus der Active Directory-Datenbank gelöscht wird. Das Attribut tombstoneLifetime wird bei der Installation des ersten Domänencontrollers einer Gesamtstruktur festgelegt und gilt für alle Domänen einer Gesamtstruktur. Separate Werte für einzelne Domänencontroller oder Domänen sind nicht möglich. Das Attribut tombstoneLifetime gehört zum Objekt CN=Directory Service, das Sie in folgendem beispielhaften Pfad finden:

CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=Certbase,DC=De

Je nachdem, welches Betriebssystem auf dem ersten Domänencontroller einer Gesamtstruktur installiert ist, wird die Tombstone Lifetime standardmäßig mit einem der folgenden Werte festgelegt.

Weist das Attribut tombstoneLifetime den Wert "not set" auf, beträgt die Grabstein Lebensdauer 60 Tage. Bei einer Aktualisierung des ersten Domänencontrollers auf ien neueres Betriebssystem, wird die Tombstone Lifetime nicht verändert.

Zum Einsehen und ändern kann beispielsweise der in Windows Server integrierte ADSI-Editor verwendet werden:

Alternativ kann zur Abfrage auch das Befehlszeilenprogramm DSQuery.exe genutzt werden:

Dsquery * "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=CertBase,DC=De" -attr tombstoneLifetime

Auch mit dem Active Directory-Modul für die PowerShell kann die Tombstone Lifetime gelesen und geschrieben werden:

Lesen:

Get-ADObject -Identity "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=CertBase,DC=De" -Properties tombstoneLifetime | Select tombstoneLifetime | FL

Schreiben:

Set-ADObject -Identity "CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration,DC=Domäne,DC=de" -Partition "CN=Configuration,DC=Certbase,DC=de" -Replace:@{"tombstoneLifetime" = Wert}

SYSVOL-Migration - von FRS nach DFS-R

Maik — Tue, 07 Jun 2011 20:52:00 GMT

Das Systemvolume (SYSVOL) ist der Standardspeicherort für Gruppenrichtlinienvorlagen (GPTs) und Skripte und wird auf jedem Domänencontroller einer Active Directory-Domäne gehostet. Änderungen können durch jeden Domänencontroller durchgeführt werden. Seit Windows 2000 Server wird das Verzeichnis durch den Dateireplikationsdienst (File Replication Service, FRS) zwischen den Domänencontrollern repliziert und synchron gehalten.

Sofern auf allen Domänencontrollern mindestens Windows Server 2008 ausgeführt und die Funktionsebene der Domäne auf Windows Server 2008 oder höher heraufaufgestuft wird, kann die neuere und effizientere DFS-Replikation den bewährten Dateireplikationsdienst ablösen.

Die DFS-Replikation verspricht verbesserte Skalierbarkeit und bietet ein robustes und verlässliches Instrument für die Replikation in Multimasterszenarien. Zur Effizienzsteigerung wird beispielsweise die differentielle Replikation von Dateiänderungen durch die Remotedifferentialkompression (RDC) unterstützt. Automatische Reparaturmechanismen für korrupte Konfigurationsdatenbanken und verbesserte Unterstützung für schreibgeschützte Domänencontroller (RODCs) sorgen für zusätzliche Motivation zum Wechsel.

Da das Systemvolume kritisch für den Betrieb der Domäne ist, sollte der Migrationsprozess gut vorbereitet und sorgfältig getestet werden.

Um die Migration einzuleiten und in Stufen zum Abschluss zu bringen, legt ein Administrator mit Hilfe des Befehlszeilenprogramms dfsrmig.exe globale Direktiven (Anweisungen) fest, die in Active Directory gespeichert und von allen Domänencontrollern als lokale Einstellung übernommen werden. Ist die erste Stufe von allen DCs lokal übernommen, schreitet der Administrator zur nächsten Stufe fort. Insgesamt sind vier Stufen zu durchlaufen. Man kann von Stufe1 direkt zu Stufe 4 wechseln, es ist jedoch empfehlenswert alle Schritte der Reihenfolge nach zu durchlaufen.

Bei unerwarteten Schwierigkeiten kann der Migrationsprozess abgebrochen und zum Ausgangspunkt zurückgekehrt werden. Dies ist möglich, solange noch nicht in den finalen Status (Eliminated) gewechselt wurde.

Die folgende Abbildung veranschaulicht den Prozess:

Beschreibung der vier Status:

Start - Der Status Start wird durch Aufruf von dfsrmig /setGlobalState 0 festgelegt und leitet den Migrationsprozess ein. Es werden noch keine Änderungen am Replikationsmechanismus für die SYSVOL-Freigabe vorgenommen.

Eine Domänenfunktionsebene ab Windows Server 2008 ist Voraussetzung für die DFS-Replikation des SYSVOL-Verzeichnisses:
Prepared (vorbereitet) - Der Status wird durch Aufruf von dfsrmig /setGlobalState 1 festgelegt. In diesem Status wird durch den Dienst DFS-Replikation eine Kopie des Sysvol Verzeichnisses mit dem Namen SYSVOL_DFSR erstellt und die Replikation der Kopie auf andere Domänencontroller, die den Status 1 bereits übernommen haben, eingeleitet. Das maßgebende Systemvolume ist in diesem Status nach wie vor das Verzeichnis SYSVOL, das weiterhin durch den Dateireplikationsdienst (FRS) repliziert wird.
Redirected (umgeleitet) - Die Verantwortung für den Replikationsprozess wird vom Dateireplikationsdienst (FRS) auf den Dienst DFS-Replikation übertragen. Die Freigabe des SYSVOL Verzeichnisses wird aufgehoben und der Anmeldedienst (Netlogon) erstellt die Netlogon-Freigabe für das durch DFS-R replizierte Verzeichnis. Das „alte" Sysvol Verzeichnis wird weiterhin durch FRS repliziert. Der maßgebende Replikationsmechanismus ist nun jedoch DFS-R. Dies ist der letzte Punkt, an dem noch eine Rückkehr zum Ausgangsstatus möglich ist.
Eliminated (abgeschlossen) - Die Replikation des Dateireplikationsdienstes (FRS) wird eingestellt und die DFS-Replikation übernimmt die alleinige Verantwortung für die Replikation der SYSVOL-Freigabe zwischen den Domänencontrollern der Domäne.

Dfsrmig.exe
Das Befehlszeilenprogramm zur Migration des Systemvolumes (Dfsrmig.exe) unterstützt mehrere Parameter, die in Verbindung mit dem Migrationsprozess verwendet werden können. Die wichtigsten werden nachstehend erläutert:

/SetGlobalState [status] - Setzt den globalen Migrationsstatus. Der Parameter sollte auf dem PDC-Emulator der Domäne ausgeführt werden, da Änderungen des Status zunächst auf den PDC übertragen werden, bevor sie an die übrigen Domänencontroller verteil werden können. Ist der Domänencontroller mit der PDC-Emulatorrolle nicht verfügbar, schlägt der Befehlsaufruf fehl. Der Status wird in Active Directory gespeichert und nach der Replikation von den Domänencontrollern als lokaler Migrationsstatus übernommen. Die gültigen Werte sind 0 (Start), 1 (Prepared), 2 (Redirected) und 3 (Eliminated).
/GetGlobalState - Ruft den aktuellen globalen Migrationsstatus der Domäne aus der lokalen Kopie der Active Directory Datenbank des Domänencontroller ab, der den PDC-Emulator ausführt.
/GetMigrationState - Ruft den aktuellen lokalen Migrationsstatus von allen Domänencontrollern der Domäne ab und vergleicht die lokalen Status mit dem globalen Migrationsstatus. Sie sollten diesen Befehl ausführen um zu prüfen, ob der globale Status von allen Domänencontrollern übernommen wurde, bevor Sie zum nächsten Status wechseln.

Vorbereitende Massnahmen:
Bevor der Migrationsprozess begonnen wird, sollte die Replikation des Active Directory und des SYSVOL-Verzeichnisses auf ihre Funktion überprüft werden. Die folgenden Punkte können als Stütze dienen:

Prüfen Sie, ob das Active Directory fehlerfrei zwischen allen Domänencontrollern repliziert wird (Repadmin.exe /ReplSsummary).
Prüfen Sie ob FRS-Replikation der SYSVOL-Freigabe fehlerfrei durchgeführt wird. Sie können hierzu beispielsweise das Befehlszeilenprogramm FRSDiag.exe oder Ultrasonic verwenden.
Erstellen Sie eine Kopie des gesamten SYSVOL-Verzeichnisses.
Testen Sie die Migration in einer Testumgebung, um sich mit den Schritten vertraut zu machen.
Sie können mit dem Befehl SC.exe \\[Computername] Query DFSR prüfen, ob der Dienst DFS-Replikation auf einem angegebenen Domänencontroller ausgeführt wird.

Wissenswertes:

Die SYSVOL-Freigabe wird innerhalb einer Domäne repliziert. In einer Gesamtstruktur mit mehreren Domäne ist es daher möglich, die DFS-R Migration in einer Domäne durchzuführen und in anderen Domänen weiterhin FSR als Replikationsmechanismus zu verwenden.
Mit der Rolle Active Directory-Domänendienste (AD DS) werden auch die Dienste Dateireplikation und DFS-Replikation installiert. Wird der Server zu einem Domänencontroller heraufgestuft werden beide Dienste mit dem Starttyp Automatisch konfiguriert:

Quellen:

Neue Preise für Microsoft-Zertifizierungsprüfungen

Maik — Fri, 20 May 2011 05:57:00 GMT

Microsoft kündigt eine weltweite Preiserhöhung für Zertifizieurngsprüfungen an.

Ab dem 1. Juli 2011 wird die Prüfungsgebühr in Deutschland von 140,- EUR auf 150,- EUR angehoben. Für Schüler und Studenten gibt es weiterhin Sonderpreise, die dann von 67,- EUR auf 83,- EUR angehoben werden.

Details und einen Bereich mit häufig gestellten Fragen zum Thema finden Sie unter New Prices for Microsoft Certifications Exams.

Microsoft bietet ab sofort ein Pricing-Tool, über das die neuen Preise für die einzelnen Länder abgefragt werden können.

TCP/IP Zurücksetzen

Maik — Tue, 22 Feb 2011 19:43:00 GMT

In seltenen Fällen habe ich unter Windows Server 2008 / R2 Probleme mit der Netzwerkverbindung erlebt, die sich nur duurch einen Reset des TCP/IP-Protokollstapels lösen ließen. So kam es nach der Systemvorbereitung mit Sysprep dazu, dass sich eine IPv4 Adresse nicht mehr dauerhaft von der LAN-Schnittstelle entfernen ließ. Wurde die IP-Adresse geändert, so war nach einem Neustart stets die vorherige Adresse als zusätzliche IP-Adresse wieder eingetragen.

Wenn man eine Netzwerkkarte entfernt ohne vorher die IP-Adresse von der Karte zu nehmen, kann man diese Adresse später eventuell nicht an eine neue Netzwerkkarte binden.

Bei einem virtuellen Knoten eines Clusters für den Netzwerklastenausgleich kam es nach einem Update der virtuellen Hardware zu Fehlern der Clusterkommunikation, die sich ebenfalls nicht mit den regulären Werkzeugen beheben ließen.

Da der TCP/IP-Stapel ein integraler Bestandteil des Betriebssystem ist, kann er nicht deinstalliert und durch eine Neuinstallation ersetzt werden. Es ist jedoch möglich TCP/IP mit dem Netshell-Dienstprogramm ist seinen Originalzustand zurückzusetzen.

Zum Zurücksetzen von TCP/IP können Sie den nachfolgenden Befehl an einer Eingabeaufforderung mit erhöhten Rechten ausführen:

Netsh Int IP Reset C:\ResetLog.txt

Der Befehl schriebt die beiden nachstehenden Registrierungsschlüssel neu, was einer Neusinstallation des Protokolls gleichkommt:

SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\
SYSTEM\CurrentControlSet\Services\DHCP\Parameters\

Die durchgeführten Aktionen werden in der Protokolldatei (ResetLog.txt) erfasst.

Neue Übungsaufgaben für Windows Server 2008 R2

Maik — Tue, 22 Feb 2011 18:38:00 GMT

Um Neuerungen des Windows Server 2008 R2 Release in die Übungsexamen für die drei Windows Server 2008 TS Examen einzubinden, wird es für die drei Prüfungen komplett überarbeitete Fragenkataloge geben.

Von der zeitlichen Abfolge werden die überarbeiten Aufgaben ungefähr wie folgt fertig sein:

70-640 bis zum 07.03.2011
70-642 bis zum 30.03.2011
70-643 bis zum 15.04.2011

Die neuen Aufgabenkataloge werden mit den Namen 70-640a, 70-642a und 70-643a in die Testauswahl aufgenommen. Die vorherigen Aufgabenkataloge werden in der Auswahl über den Testanbieter "Archiv" weiterhin zur Verfügung stehen.

Die Übungsexamen für die beiden Upgradeprüfungen 70-648 und 70-649 werden entsprechend der Verfügbarkeit der Aufgaben zur Vorbereitung auf die Einzelprüfungen ebenfalls neu zusammengestellt.

Offline-Domänenbeitritt

Maik — Sun, 20 Feb 2011 11:47:00 GMT

Windows 7 und Windows Server 2008 R2 können einer Domäne beitreten ohne, dass eine Verbindung mit einem Domänencontroller hergestellt werden muss. Dieser Vorgang wird als Offline-Domänenbeitritt (Offline Domain Join, ODJ) bezeichnet.

Interessant kann die neue Möglichkeit beispielsweise in Zweigstellenszenarien sein, wo Clientcomputer an einem neuen Standort aufgestellt werden, der noch nicht mit dem Firmennetz verbunden ist und über keinen eigenen Domänencontroller verfügt. Auch denkbar wäre das Übermitteln der erforderlichen Blob (Binary Large Objekt) Dateien an einen Händler, der im Rahmen der Auslieferung auch mit der Vorinstallation von Clientcomputern betraut ist. Der Händler kann die Clientcomputer offline zur Domäne hinzufügen und dem technischen Support so einen Arbeitsschritt sparen. Die Domänenbenutzer können sich nach Erhalt des neuen Gerätes sofort an der Domäne anmelden und müssen keine weitere Wartezeit in Kauf nehmen.

Der gesamte Prozess des Offline-Domänenbeitritts besteht aus zwei einfachen Schritten:

1. Bereitstellen eines Computerkontos in Active Directory durch Ausführen von Djoin.exe /Provision
2. Einfügen der Computerkonto-Metadateien in das Windows-Verzeichnis des Zielcomputers durch Ausführen des Befehls Djoin.exe /RequestODJ

Wissenswertes:

Odj.exe ist Bestandteil von Windows 7 und Windows Server 2008 R2 und kann nur unter diesen Betriebssystemen verwendet werden.
Wenn DJoin.exe verwendet werden soll, um ein Computerkonto auf einem Domänencontroller unter einem früheren Betriebssystem als Windows Server 2008 R2 zu erstellen, kann der Parameter /Downlevel angegeben werden.
Der Computername des Clientcomputers, der durch Einlesen der Blob Datei zur Domäne hinzugefügt wird. Wird automatisch in den Namen des vorbereiteten Computerkontos geändert.
Der Offline-Domänenbeitritt ist auch im Rahmen einer Antwortdatei für die unbeaufsichtigte Installation (Unattend.xml) möglich.

Bereitstellen eines Computerkontos in Active Directory

Der in der Abbildung gezeigte Befehlsaufruf erstellt ein Computerkonto mit dem Namen Desktop4 in der Organisationseinheit OU=CB_Desktops,OU=CB_Alle_Computer,DC=cblabs,DC=de. Wenn die Option /MachineOU nicht angegeben ist, wird das Computerkonto im Standardcontainer Computers erstellt.

Der Parameter /DCName übergibt einen Domänencontroller, der für die Erstellung des Computerkontos verwendet werden soll. Wenn ein Domänencontroller mit einem Betriebssystem vor Windows Server 2008 R2 verwendet werden soll, muss zusätzlich der Parameter /DownLevel angegeben werden.

Der Befehl kann direkt auf einem Windows Server 2008 R2 Domänencontroller oder auf einem Windows 7 Mitgliedscomputer ausgeführt werden.

Die Ausgabedatei (Desktop4.txt) enthält ein Base-64 codiertes Blob (Binary large Object), mit den Metadaten des erstellten Computerkontos.

Offline-Domänenbeitritt auf einem Windows 7 Clientcomputer durchführen

Wenn Sie die Datei mit den Metadaten auf den Clientcomputer kopiert haben können Sie den Befehlsaufruf Djoin.exe /RequestODJ starten, um den Clientcomputer zur Domäne hinzuzufügen ohne, dass eine Netzwerkverbindung mit einem Domänencontroller hergestellt werden muss.

Der Name des Clientcomputer muss nicht mit dem Namen des bereitgestellten Computerkontos übereinstimmen. Der Name des Clientcomputers wird automatisch angepasst.

Das Befehlszeilenprogramm Djoin.exe kann auch in Verbindung mit Offlineabbildern verwendet werden. In diesen Fällen gibt der Parameter /Windowspath den Pfad zum Windows-Verzeichnis des Offlineabbildes an. Wenn die lokale Betriebssysteminstallation (/LocalOS) als Ziel für den Domänenbeitritt festgelegt wird, kann die Variable %systemroot% oder alternativ auch %windir% verwendet werden.

Transparentes Zwischenspeichern unter Windows 7

Maik — Sun, 23 Jan 2011 09:54:00 GMT

Das transparente Zwischenspeichern (Transparent Caching) ist eine Neuerung in Windows 7, die den Dateizugriff bei instabilen oder langsamen Netzwerkverbindungen verbessern kann.

Standardmäßig muss beim Zugriff auf eine Datei im Netzwerk immer der gesamte Dateiinhalt erneut geladen werden, selbst wenn die Datei nur kurze Zeit zuvor eingelesen wurde und zwischenzeitlich nichts verändert wurde. Bei einer langsamen Verbindung zum Dateiserver sind Verzögerungen und Wartezeiten vorprogrammiert.

Das transparente Zwischenspeichern von Windows 7 reduziert diese Verzögerungen durch den Einsatz von Offlinedateien. Über das Netzwerk geöffnete Dateien werden beim ersten Öffnen in einem Zwischenspeicher abgelegt. Bei späteren Zugriffen kann ein Großteil der Informationen der Datei - wenn nicht sogar die gesamte Datei - aus dem lokalen Zwischenspeicher geladen werden. Damit erfolgt der Zugriff schneller und die geringe Bandbreite steht für andere Aktionen zur Verfügung.

Auf eine Netzwerkverbindung zum Dateiserver kann im Rahmen des transparenten Zwischenspeicherns jedoch nicht komplett verzichtet werden. Bei jedem Zugriff wird eine Verbidnung mit der Dateiquelle hergestellt, um eine Überprüfung auf eine neue Version und geänderte Zugriffsberechtigungen durchzuführen.

Die zwischengespeicherten Daten liegen nur als temporäre Kopien vor und stehen dem Benutzer nicht direkt zur Verfügung. Es erfolgt auch keine automatische oder gesteuerte Synchronisation mit dem Dateiserver. Erst bei einem erneuten Zugriff auf die Datei wird der Server auf eine neue Dateiversion überprüft. Zu diesem Zweck werden Hashwerte der Datei übermittelt. Das transparente Zwischenspeichern stellt insofern keine Alternative zu den mit Windows XP eingeführten Offlinedateien dar.

Das transparente Zwischenspeichern ist standardmäßig nicht aktiviert. Die Funktion kann über die Richtlinieneinstellung Transparentes Zwischenspeichern aktivieren im Abschnitt Computerkonfiguration\ Administrative Vorlagen\ Netzwerk\ Offlinedateien eingeschaltet werden.

SQL Server Transaktionsprotokolldateien kürzen

Maik — Thu, 06 Jan 2011 19:56:00 GMT

Ist eine SQL Server Datenbank für das Wiederherstellungsmodell Vollständig konfiguriert, werden die Protokolldateien erst nach einer expliziten Sicherung der Protokolle gekürzt. Wird die Sicherung nicht durch den SQL Server selber, sondern durch eine externe Software oder Appliance realisiert, kann es erforderlich sein, die Protokolle manuell zu kürzen.

Das nachstehende Skript ändert das Wiederherstellungsmodell temporär auf Einfach ab, wodurch die Protokolldateien automatisch gekürzt werden. Anschließend wird die Protkolldatei über den Befehl DBCC SHRINKFILE verkleinert und zum Abschluß wird das Wiederherstellungsmodell zurück auf Vollständig gesetzt.

-------------------------------------------------------------------------
USE Datenbankname;
GO

-- Wiederherstellungsmodell für das Kürzen temporär auf Einfach setzen
ALTER DATABASE Datenbankname
SET RECOVERY SIMPLE;
GO

-- Die gekürzte Protokolldatei auf 100 MB verkleinern
DBCC SHRINKFILE (Logischer_Name_der_Protokolldatei, 100);
GO

-- Wiederherstellungsmodell zurück auf Vollständig setzen
ALTER DATABASE Datenbankname
SET RECOVERY FULL;
GO
-------------------------------------------------------------------------

Der logische Name der Protokolldatei kann über die Seite Dateien in den Datenbankeigenschaften ermittelt werden.

Office 2010 KMS-Host

Maik — Thu, 28 Oct 2010 20:44:00 GMT

Für die Volumenaktivierung von Office 2010 in Unternehmensszenarien stehen ebenso wie für Windows 7 die Aktivierung über einen Mehrfachaktivierungsschlüssel (Multiple Activation Key, MAK) oder den Schlüsselverwaltungsdienst (Key Management Service, KMS) zur Auswahl. In diesem Artikel geht es um die Inbetriebnahme eines Office 2010 KMS-Host auf einem bestehenden KMS-Host für die Aktivierung von Windows.

Zur Installation eines KMS-Host für Office 2010 kann das Microsoft Office 2010 KMS Host License Pack (KeyManagementServiceHost.exe) aus dem Microsoft Downloadcenter (http://www.microsoft.com/downloads/details.aspx?FamilyID=97b7b710-6831-4ce5-9ff5-fdc21fe8d965&displayLang=de) heruntergeladen werden. Der Office 2010 KMS-Host kann unter den Betriebssystemen Windows Server 2003, Windows 7 (Volume-Editions, VL) und Windows Server 2008 R2 ausgeführt werden.

Die kurze Installationsroutine wird mit einer Einverständniserklärung der Lizenzbestimmungen gestartet:

Nach der Installation besteht die Möglichkeit den Office 2010 KMS-Host direkt über das Internet zu aktivieren:

Der KMS-Host Schlüssel kann über ein grafisches Dialogfeld eingegeben werden:

Hat man diesen Schritt verpasst, kann der Office 2010 KMS-Host auch manuell aktiviert werden. Dazu sind die folgenden beiden Aufrufe des Software License Manager-Skript (slmgr.vbs) erforderlich:

slmgr.vbs /ipk "Office 2010-KMS-Hostschlüssel"
slmgr.vbs /ato "Office 2010-Aktivierungs-ID"

Die Aktivierungs-ID für den Office 2010 KMS-Host lautet bfe7a195-4f8f-4f0b-a622-cf13c7d16864.

Die erfolgreiche Aktivierung wird bestätigt:

Um Informationen über den Status des Schlüsselverwaltungsdienstes abzurufen, können die folgenden Skriptaufrufe verwendet werden:

Informationen zum Windows KMS-Host: Slmgr.vbs -dlv
Informationen zum Windows KMS-Host und zum Office KMS-Host kombiniert: Slmgr.vbs -dlv all
Informationen zum Office 2010 KMS-Host: Slmgr.vbs /dlv bfe7a195-4f8f-4f0b-a622-cf13c7d16864

Der Schwellenwert für die Aktivierung über einen Office 2010 KMS-Host beträgt 5 Office 2010 Clients. Befinden sich weniger Office 2010 Installationen im Netzwerk müssen Mehrfachschlüssel (MAK) verwendet werden. Genau wie bei Windows 7 ist spätestens nach 180 Tagen eine Reaktivierung des Clients durch eine erneute Verbindung mit dem KMS-Host erforderlich.

Nach der Installation eines Office 2010 KMS-Clients beginnt ein Aktivierungszeitraum (Initial-Grace-Periode) von 25 Tagen, bevor Aktivierungsbenachrichtigungen angezeigt werden. Nach Ablauf der Initial-Grace-Periode werden die Office 2010 Anwendungsfenster mit einer roten Titelleiste dargestellt und der Benutzer wird durch Warnmeldungen auf die fehlende Aktivierung hingewiesen:

Die Funktionalität der Office Anwendungen wird jedoch nicht eingeschränkt.

Zurücksetzen der Office 2010-Installation
Falls Sie ein Abbild bereitstellen möchten, sollten Sie Ihre Office 2010-Installation vor dem Erfassen des Abbilds zurücksetzen. Dies ist aus zwei Gründen wichtig:

Der Aktivierungszeitraum wird auf 25Tage zurückgesetzt. Ohne Zurücksetzen erscheint bereits bei der Bereitstellung ein Benachrichtigungsdialogfeld, nicht erst 25 Tage danach. Der Aktivierungszeitraum von 25Tagen lässt ausreichend Zeit für die Suche nach einem KMS-Host und die erfolgreiche Aktivierung. Nach erfolgreicher Aktivierung werden keine Aktivierungsbenachrichtigungen mehr angezeigt.
Die Clientcomputer-ID (Client Machine ID, CMID) wird zurückgesetzt. Der KMS-Host zählt die eindeutigen Clients anhand der CMID. Sie können die CMID mit Hilfe des Befehls ospp.vbs /dcmid anzeigen.

So setzen Sie die Office 2010-Installation zurück

Stellen Sie sicher, dass alle Office 2010-Anwendungen geschlossen sind.
Öffnen Sie die Eingabeaufforderung mit erhöhten Rechten.
Navigieren Sie zu C:\Program Files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform. Falls Sie die 32-Bit-Edition von Office 2010 auf einem 64-Bit-Betriebssystem installiert haben, entspricht %Program Files% dem Ordner Programme (x86).
Führen Sie ospprearm.exe aus. Falls eine Erfolgsmeldung angezeigt wird, sind Sie bereit zur Erfassung des Abbilds.
Erfassen Sie das Abbild, oder speichern Sie den virtuellen Computer.

Office 2010 KMS-Client Keys
Office 2010 wird standardmäßig mit einem KMS-Client Key installiert. Sollten Sie zwischenzeitlich einen MAK Key installiert haben und die Installation später wieder auf einen KMS-Client Key zurücksetzen wollen, können Sie den Skriptaufruf ospp.vbs /inpkey:Value mit einem der folgenden Keys verwenden:

Suites

o Office Professional Plus 2010 - VYBBJ-TRJPB-QFQRF-QFT4D-H3GVB
o Office Standard 2010 - V7QKV-4XVVR-XYV4D-F7DFM-8R6BM
o Office Home and Business 2010 - D6QFG-VBYP2-XQHM7-J97RH-VVRCK

Stand-alone products
- o Access 2010 - V7Y44-9T38C-R2VJK-666HK-T7DDX
- o Excel 2010 - H62QG-HXVKF-PP4HP-66KMR-CW9BM
- o SharePoint Workspace 2010 - QYYW6-QP4CB-MBV6G-HYMCJ-4T3J4
- o InfoPath 2010 - K96W8-67RPQ-62T9Y-J8FQJ-BT37T
- o OneNote 2010 - Q4Y4M-RHWJM-PY37F-MTKWH-D3XHX
- o Outlook 2010 - 7YDC2-CWM8M-RRTJC-8MDVC-X3DWQ
- o PowerPoint 2010 - RC8FX-88JRY-3PF7C-X8P67-P4VTT
- o Project Professional 2010 - YGX6F-PGV49-PGW3J-9BTGG-VHKC6
- o Project Standard 2010 - 4HP3K-88W3F-W2K3D-6677X-F9PGB
- o Publisher 2010 - BFK7F-9MYHM-V68C7-DRQ66-83YTP
- o Word 2010 - HVHB3-C6FV7-KQX9W-YQG79-CRY7T
Visio
- o Visio Premium 2010 - D9DWC-HPYVV-JGF4P-BTWQB-WX8BJ
- o Visio Professional 2010 - 7MCW8-VRQVK-G677T-PDJCM-Q8TCP
- o Visio Standard 2010 - 767HD-QGMWX-8QTDB-9G3R2-KHFGJ

(Quelle: http://technet.microsoft.com/en-us/library/ee624355.aspx)

Weiterführende Informationen:
Konfigurieren und Bereitstellen der Volumenaktivierung von Office 2010

Lokale Gruppenrichtlinien auf einzelne Benutzer anwenden

Maik — Mon, 23 Aug 2010 12:25:00 GMT

Seit Windows 2000 Professional können auch auf einem alleinstehenden Windows Computer umfangreiche Gruppenrichtlinieneinstellungen konfiguriert werden. Zu diesem Zweck stellt Windows ein lokales Gruppenrichtlinienobjekt (GPO) bereit. Für das Bearbeiten der Richtlinien wird das Snap-In Gpedit.msc verwendet:

Ein Nachteil kann es sein, dass die Richtlinien der Benutzerkonfiguration zwangsweise auf alle lokalen Benutzer (einschließlich des integrierten Administratorkontos) angewendet werden. Ab Windows Vista ist es daher auch möglich gesonderte Benutzerrichtlinien für einzelne Benutzer zu erstellen. Das Verknüpfen von Einstellungen mit Gruppenkonten bleibt hingegen weiterhin außen vor.

Nachstehend wird beispielhaft beschrieben, wie Sie unter Windows 7 Ultimate benutzerbezogene Richtlinieneinstellungen für einen ausgewählen, lokalen Benutzer anzeigen und bearbeiten:

Öffnen Sie eine leere Microsoft Management Konsole (MMC.exe) und bestätigen Sie gegebenenfalls die Aufforderung der Benutzerkontensteuerung:

Die Konsole ist leer. Wählen Sie Snap-Ins hinzufügen bzw. entfernen, um den Gruppenrichtlinienobjekt-Editor zur Konsole hinzufügen:

Markieren Sie den Gruppenrichtlinienobjekt-Editor in der Liste der verfügbaren Snap-Ins und klicken Sie auf Hinzufügen:

Klicken Sie im Dialogfenster Gruppenrichtlinienobjekt auswählen auf die Schaltfläche Durchsuchen:

Auf dem Register Benutzer finden Sie eine Auflistung der lokalen Benutzerkonten. In einer zusätzlichen Spalte können Sie sehen, ob bereits ein Gruppenrichtlinienobjekt für dieses Konto besteht:

Das hinzugefühte Snap-In zeigt nur die Richtlinieneinstellungen, die sich auf das gewählte Benutzerkonto auswirken. In der Konsole wird daher nur der Abschnitt Benutzerkonfiguration gezeigt:

Während die Einstellungen im Snap-In Gpedit.msc auf alle Benutzer angewendet werden, können auf diese Weise, abweichend vom Standard, gezielt Einstellungen für einzelne Benutzer festgelegt werden.

Zertifizierung im Posterformat

Maik — Sun, 13 Jun 2010 07:12:00 GMT

Die zahlreichen Zertifizierungsmöglichkeiten von Microsoft im Überblick zu behalten ist nicht immer einfach. Microsoft Learning stellt Poster (420 x 594 mm) im PDF Format bereit, auf denen die Zertifizierungspfade grafisch veranschaulicht werden.

Ein IT-Professional Poster zeigt die gängigen MCTS und MCITP Examen zu den Produkten Exchange Server 2010, Windows Server 2008 und Windows 7. Download Hier.

Ein Developer Poster gibt Aufschluss über die Zertifizierungsmöglichkeiten für Entwickler. Download Hier.

Ein drittes Poster illustriert die Microsoft SQL Server 2008 Zertifizierungspfade. Download Hier.

Installation und Konfiguration des Schlüsselverwaltungsdienstes (Key Management Server, KMS)

Maik — Fri, 30 Apr 2010 14:03:00 GMT

KMS ermöglicht den Aufbau einer Client / Server Topologie für die Aktivierung von Windows Betriebssystemen im Rahmen der Volumenlizenzierung. Clientcomputer ermitteln den KMS-Host (Host der den Schlüsselverwaltungsdienst ausführt) über DNS. Die Aktivierung findet transparent und vollständig im lokalen Netzwerk statt. Für die Kommunikation mit dem KMS-Host werden RPCs (Remote Procedure Calls) verwendet.

KMS-Aktivierungsschwellenwerte
Der KMS-Host zählt die Computer im Netzwerk, die Ihre Aktivierung anfordern und führt die Aktivierung durch sobald vordefinierte Schwellenwerte erreicht sind. Für Windows Server (ab Windows Server 2008) beträgt die Schwelle 5 Computer. Für Windows Clientbetriebssysteme (ab Windows Vista) beträgt der Schwellenwert 25 Computer. Zwischen physikalischen und virtuellen Computern wird in der aktuellen Version von KMS nicht mehr unterschieden. Der Client nimmt alle 2 Stunden Kontakt zum KMS-Host auf, um die Möglichkeit der Aktivierung zu prüfen, sofern sie nicht bereits durchgeführt wurde.

Aktivierung mit Fristen
KMS-Aktivierungen gelten 180 Tage. KMS-Clients versuchen alle 7 Tage ihre Aktivierung zu erneuern. Gelingt dies, wird der Aktivierungszeitraum auf 180 Tage zurückgesetzt. KMS eignet sich aufgrund des eingeschränkten Aktivierungszeitraumes nicht für Clientcomputer, die nach der Installation dauerhaft außerhalb des Firmennetzwerks betrieben werden. Für diese Computer kann das Volume Activation Management Tool (VAMT) verwendet werden, welches eine zentrale Verwaltungskonsole für die Remote-Aktivierung der Computer mit einem Mehrfachschlüssel (Multiple Activation Key, MAK) darstellt.

Wissenswertes rund um KMS

Wird der KMS-Host unter Windows Server 2008 R2 betrieben, kann jedes geeignete Windows-Betriebssystem aktiviert werden. Wird der KMS-Host unter Windows 7 betrieben, können nur Windows-Clientbetriebssysteme aktiviert werden.
KMS Version 1.2 ist in den Betriebssystemen Windows Server 2008 R2 und Windows 7 bereits enthalten und kann durch die Installation eines KMS-Schlüssels aktiviert werden.
Die Veröffentlichung des Schlüsselverwaltungsdienstes in DNS erfolgt über Ressourceneinträge für Dienste (SRV). Die Einträge können dynamisch durch den KMS-Host registriert werden, sofern der KMS-Host über ausreichende Berechtigungen verfügt und der DNS Server dynamische Aktualisierungen für die Zone erlaubt.

KMS-Schlüssel
Ein KMS-Host wird durch die Installation eines KMS-Schlüssels aktiviert. KMS-Schlüssel werden nur auf KMS-Hosts und niemals auf einzelnen KMS-Clients installiert. Jeder KMS-Schlüssel kann auf bis zu sechs KMS-Hosts installiert werden. Nach der Aktivierung kann derselbe Schlüssel im Bedarfsfall bis zu neunmal für eine Reaktivierung des KMS-Host verwendet werden. Wenn Sie KMS auf einem Windows Server 2008 System installieren, müssen Sie dennoch den Windows Server 2008 R2 KMS-Schlüssel verwenden, um sicherzustellen, dass KMS Windows 7 Clients aktivieren kann.

Manuelle Aktivierung von KMS-Clients
Sollte ein Computer sich nicht automatisch mit dem KMS Server in Verbindung setzen, so können Sie einzelne PCs auch von Hand aktivieren. Starten sie dazu eine Eingabeaufforderung mit erhöhten Rechten und führen Sie folgende Befehle in dieser Kommandozeile aus:

cscript %systemroot%\system32\slmgr.vbs -skms kms1.certbase.de:1688
cscript %systemroot%\system32\slmgr.vbs -ato

Für den Zugriff auf den KMS-Host wird standardmäßig Port 1688 TCP verwendet.

Installation von KMS unter Windows Server 2008 R2

1. Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten und führen Sie das Windows-Software-Lizenzverwaltungstool wie folgt aus, um den KMS-Schlüssel zu installieren:

slmgr.vbs -ipk xxxx-xxxx-xxxx-xxxx
2. Im nächsten Schritt muss der installierte Schlüssel bei Microsoft registriert werden:

slmgr.vbs -ato
3. Der Befehlsaufruf slmgr.vbs -dli ruft Statusinformationen ab:

Sobald 5 bzw. 25 KMS-Clients den Kontakt hergestellt haben, nimmt der KMS-Host seinen Dienst auf und führt die Aktivierungen durch.

Dienstidentifizierungseintrag (SRV) manuell in DNS erstellen
Falls Ihre DNS Umgebung keine dynamischen Updates unzerstützt, können Sie den Dienstidentifizierungseintrag für den KMS-Host mit den folgenden Schritten manuelle rstellen:

Öffnen Sie den DNS Manager, wählen Sie Ihren DNS-Server und erweitern Sie den Knoten Forward-Lookupzonen.
Klicken Sie mit der rechten Maustaste auf Ihre Domäne und anschließend auf Weitere neue Einträge. Wählen Sie Dienstidentifizierung (SRV) aus. Klicken Sie auf Eintrag erstellen.
Folgende Werte müssen eingetragen werden:
- Dienst: _VLMCS
- Protokoll: _TCP
- Portnummer: 1688
- Host, der diesen Dienst anbietet: FQDN des KMS-Host
Klicken Sie auf OK, um den Eintrag zu erstellen.

Automatische Veröffentlichung in DNS deaktivieren
Die automatische Veröffentlichung durch den KMS-Host kann mit dem Befehl slmgr.vbs /cdns deaktiviert werden.

Windows 7 - VHD-Boot

Maik — Sun, 14 Mar 2010 12:38:00 GMT

Windows 7 ermöglicht das Starten von virtuellen Datenträgern (*.vhd), wie sie auch von Virtual Server und Hyper-V verwendet werden. Das Video zeigt, wie virtuelle Datenträger mit Hilfe der Datenträgerverwaltung und des Befehszeilenprogramms Diskpart erstellt werden können und demonstriert die notwendigen Schritte, um ein alternatives Betriebssystem von einem virtuellen Datenträger zu starten.

Video ansehen
Format: wmv
Dauer: 19:44

Sie können das Video über das Kontextmenü in den Vollbildmodus versetzen oder aber über den Link direkt im Windows Media Player abspielen.

Antwortdatei - Windows-Bereitstellungsdienste

Maik — Mon, 25 Jan 2010 10:41:00 GMT

Das nachfolgende Beispielskript kann mit dem Windows System Image Manager (Windows SIM) an eigene Bedürfnisse angepasst und als Antwortdatei für die Verteilung eines Abbildes über die Windows-Bereitsstellungsdienste (WDS) verwendet werden.

Die Antwortdatei erstellt auf dem WDS-Client eine Partition mit einer Größe von 65 GB und überträgt ein Abbild mit dem Namen W2k8SP2 aus der Abbildgruppe Server. Die Zugangsdaten im Abschnitt WindowsDeploymentServices werden für die Authentifizierung gegenüber dem Bereitstellungsdiensteserver benötigt.

--------------------------------------------------------------------------------------------------------------------------------------------------------
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
    <settings pass="windowsPE">
        <component name="Microsoft-Windows-Setup" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" processorArchitecture="x86">
            <WindowsDeploymentServices>
                <Login>
                    <WillShowUI>OnError</WillShowUI>
                    <Credentials>
                        <Username>WDS-Admin</Username>
                        <Domain>cblabs.de</Domain>
                        <Password>P@ssw0rt#1</Password>
                    </Credentials>
                </Login>
                <ImageSelection>
                    <WillShowUI>OnError</WillShowUI>
                    <InstallImage>
                        <ImageName>W2k8SP2</ImageName>
                        <ImageGroup>Server</ImageGroup>
                        <Filename>W2k8SP2.wim</Filename>
                    </InstallImage>
                    <InstallTo>
                        <DiskID>0</DiskID>
                        <PartitionID>1</PartitionID>
                    </InstallTo>
                </ImageSelection>
            </WindowsDeploymentServices>
            <DiskConfiguration>
                <WillShowUI>OnError</WillShowUI>
                <Disk>
                    <DiskID>0</DiskID>
                    <WillWipeDisk>true</WillWipeDisk>
                    <ModifyPartitions>
                        <ModifyPartition>
                            <Order>1</Order>
                            <PartitionID>1</PartitionID>
                            <Letter>C</Letter>
                            <Label>System</Label>
                            <Format>NTFS</Format>
                            <Active>true</Active>
                            <Extend>false</Extend>
                        </ModifyPartition>
                    </ModifyPartitions>
                    <CreatePartitions>
                        <CreatePartition wcm:action="add" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State">
                            <Order>1</Order>
                            <Size>65000</Size>
                            <Type>Primary</Type>
                        </CreatePartition>
                    </CreatePartitions>
                </Disk>
            </DiskConfiguration>
        </component>
        <component name="Microsoft-Windows-International-Core-WinPE" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" processorArchitecture="x86">
            <SetupUILanguage>
                <WillShowUI>OnError</WillShowUI>
                <UILanguage>de-DE</UILanguage>
            </SetupUILanguage>
            <UILanguage>de-DE</UILanguage>
        </component>
    </settings>
    <cpi:offlineImage cpi:source="wim:d:/workspace/install.wim#Windows Longhorn SERVERSTANDARD" xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>
--------------------------------------------------------------------------------------------------------------------------------------------------------

Antwortdatei - Sysprep.xml

Maik — Mon, 25 Jan 2010 10:13:00 GMT

die folgende Antwortdatei kann für ein benutzerdefniertes Windows 7 x86 Abbild verwendet werden, das mit dem Systemvorbereitungsprogramm für die Verteilung auf andere Hardware vorbereitet wurde. Der Code kann als Vorlage in eine Textdatei kopiert und unter dem Namen Sysprep.xml gespeichert werden. Änderungen können mit einem Editor oder dem Windows System Image Manager (Windows SIM) vorgenommen werden.

Um eine Masterinstallation für die Verteilung vorzubereiten, kopieren Sie die Datei Sysprep.xml nach C:\Windows\System32\sysprep und führen Sie den folgenden Befehl an einer Eingabeaufforderung mit erhöhten Rechten aus:

C:\Windows\System32\sysprep\Sysprep.exe /generalize /oobe /shutdown /unattend:C:\Windows\System32\sysprep\Sysprep.xml

-----------------------------------------------------------------------------------------------------------------------------------------------------------------------

<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
    <settings pass="generalize">
        <component name="Microsoft-Windows-Security-SPP" processorArchitecture="x86" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <SkipRearm>1</SkipRearm>
        </component>
        <component name="Microsoft-Windows-PnpSysprep" processorArchitecture="x86" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <PersistAllDeviceInstalls>true</PersistAllDeviceInstalls>
        </component>
    </settings>
    <settings pass="specialize">
        <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="x86" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <ShowWindowsLive>false</ShowWindowsLive>
            <TimeZone>W. Europe Standard Time</TimeZone>
            <ComputerName>*</ComputerName>
        </component>
        <component name="Microsoft-Windows-Security-Licensing-SLC-UX" processorArchitecture="x86" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <SkipAutoActivation>true</SkipAutoActivation>
        </component>
    </settings>
    <settings pass="oobeSystem">
        <component name="Microsoft-Windows-International-Core" processorArchitecture="x86" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <InputLocale>de-DE</InputLocale>
            <SystemLocale>de-DE</SystemLocale>
            <UILanguage>de-DE</UILanguage>
            <UILanguageFallback>en-US</UILanguageFallback>
            <UserLocale>de-DE</UserLocale>
        </component>
        <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="x86" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <OOBE>
                <HideEULAPage>true</HideEULAPage>
                <NetworkLocation>Work</NetworkLocation>
                <ProtectYourPC>1</ProtectYourPC>
                <SkipUserOOBE>true</SkipUserOOBE>
            </OOBE>
            <RegisteredOrganization>Firma</RegisteredOrganization>
            <RegisteredOwner>Firma</RegisteredOwner>
            <UserAccounts>
                <LocalAccounts>
                    <LocalAccount wcm:action="add">
                        <Password>
                            <Value>P@ssw0rd#1</Value>
                            <PlainText>true</PlainText>
                        </Password>
                        <Name>Admin</Name>
                        <Group>Administratoren</Group>
                        <DisplayName>DesktopAdmin</DisplayName>
                    </LocalAccount>
                </LocalAccounts>
                <AdministratorPassword>
                    <Value>P@ssw0rd#2</Value>
                    <PlainText>true</PlainText>
                </AdministratorPassword>
            </UserAccounts>
        </component>
    </settings>
    <cpi:offlineImage cpi:source="wim:d:/workspacewin7/install.wim#Windows 7 ENTERPRISE" xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>

-----------------------------------------------------------------------------------------------------------------------------------------------------------------------

<SkipRearm>1</SkipRearm>
sorgt dafür, dass der Aktivierungszeitraum durch den Aufruf von Sysprep.exe nicht zurückgesetzt wird. Der Aktivierungszeitraum kann maximal 3x zurückgesetzt werden (slmgr.vbs -rearm). Anschließend kann Sysprep nicht mehr ausgeführt werden. Die verbleibende Windows Rearm-Anzahl können Sie durch Aufruf von Slmgr.vbs -dlv überprüfen.

<PersistAllDeviceInstalls>true</PersistAllDeviceInstalls>
stellt sicher, dass installierte Gerätetreiber durch die Systemvorbereitung nicht entfernt werden.

Um die Kennwörter verschlüsselt in der Datei zu speichern, können Sie die Datei Sysprep.xml in den Windows SIM laden, unter Extras die Option Sensible Daten ausblenden aktivieren und die Datei anschließend erneut speichern.

Windows 7 - Problemaufzeichnung

Maik — Sun, 10 Jan 2010 12:39:00 GMT

Das Video zeigt ein neues Feature von Windows 7, das es Anwendern auf sehr einfache Weise ermöglicht ihre Probleme gegenüber dem Support für eine bessere Unterstützung zu dokumentieren.

Video ansehen
Format: wmv
Dauer: 3:44

Zertifizierungen und Prüfungen für Windows 7

Maik — Sun, 20 Dec 2009 16:36:00 GMT

Für das aktuelle Desktopbetriebssystem Windows 7 bietet Microsoft die folgenden Zertifizierungsmöglichkeiten und Prüfungen an:

MCTS: Windows 7, Configuring

70-680 TS: Windows 7, Configuring

MCITP: Windows 7, Enterprise Desktop Administrator

70-680 TS: Windows 7, Configuring
70-686 Pro: Windows 7, Enterprise Desktop Administrator

MCITP: Windows 7, Enterprise Desktop Support Technician

70-680 TS: Windows 7, Configuring
70-685 Pro: Windows 7, Enterprise Desktop Support Technician

MCTS: Windows 7, Configuring
MCITP: Windows 7, Enterprise Desktop Support Technician

70-682 Upgrading to Windows 7 MCITP Enterprise Desktop Support Technician

Windows 7, Wim und WAIK

Maik — Wed, 30 Sep 2009 18:07:00 GMT

Eine Einführung in die Erstellung von Antwortdateien für die unbeaufsichtigte Installation

In diesem Artikel geht es um die Bereitstellung von Windows 7 und Windows Server 2008 R2. Beschrieben werden die unbeaufsichtigte Installation von einem Installationsmedium (DVD) mit Hilfe einer Antwortdatei, das Erstellen eines benutzerdefinierten Abbildes sowie die abbildbasierte Installation unter Einsatz einer Antwortdatei für das Mini-Setup.

Bereits mit Windows Vista und Windows Server 2008 ist Microsoft von den gewohnten Techniken zur automatisierten Installation. Unter Windows XP befanden sich Sysprep.exe für die Systemvorbereitung und der vergleichsweise schlanke Setup Manager für die Erstellung der gängigen Antwortdateien (Winnt.sif und Sysprep.inf) in einem Archiv mit dem Namen Deploy.cab auf dem Installationsmedium.

Bei den neueren Windows Versionen (ab Windows Vista) wird das Programm Sysprep.exe standardmäßig im Verzeichnis C:\Windows\system32\sysprep installiert und zur Erstellung von Abbilddateien bestehender Installationen gibt es nun ein eigenes Befehlszeilenprogramm mit dem Namen ImageX.exe. Für die Erstellung von Antwortdateien kann der Windows System Image Manager (Windows SIM) verwendet werden, der Bestandteil des Microsoft Windows Administration Installation Kit (WAIK) ist.

Die im Folgenden beschriebenen Schritte sollen den Einstieg in die neuen Techniken erleichtern und bei der Erstellung hardwareunabhängiger, angepasster Installationsabbilder unterstützen.

Inhalt:

Erstellen einer Antwortdatei für die unbeaufsichtigte Installation von einem Installationsmedium
Installieren zusätzlicher Anwendungen und Treiber, um einen standardisierten Desktop für die Verteilung zu erstellen.
Erstellen einer Antwortdatei für das Mini-Setup. Die Datei kann einen beliebigen Namen erhalten, in Anlehnung an vorherige Windows Versionen wird sie in diesem Beispiel jedoch mit Sysprep.xml benannt.
Verallgemeinern des Systems und entfernen der SID durch Ausführen des Befehls Sysprep.exe /generalize /oobe /shutdown /unattend:C:\sysprep.xml.
Erstellen einer Windows PE CD-ROM inkl. ImageX.exe, um das vorbereitete System zu starten und ein Abbild aufzuzeichnen.
Booten eines Zielcomputers und anwenden des neu erstellten Windows 7 Abbildes.

1. Erstellen einer Antwortdatei für die unbeaufsichtigte Installation von einem Installationsmedium

Die jeweils aktuelle Version der Windows-AIK DVD können Sie als ISO-Datei unter der Adresse http://go.microsoft.com/fwlink/?LinkId=136976 herunterladen. Installieren Sie Windows-AIK nach dem Download auf Ihrem Arbeitscomputer.

Um nun eine Antwortdatei für die unbeaufsichtigte Installation von Windows 7 zu erstellen, müssen wir zunächst das Installationsabbild von Windows 7 in den Windows System Image Manager laden. Windows SIM ermittelt anschließend die verfügbaren Einstellungen aus dem Abbild.

Legen Sie die Windows7-Produkt-DVD in das Laufwerk Ihres Arbeitscomputers ein.
Navigieren Sie auf der DVD zum Verzeichnis \Sources, und kopieren Sie die Datei Install.wim in ein Verzeichnis auf Ihrem Computer.
Um WindowsSIM zu öffnen, klicken Sie auf Start, anschließend auf Alle Programme und dann auf MicrosoftWindowsAIK. Klicken Sie dann auf WindowsSystem Image Manager.
Klicken Sie im Menü Datei von WindowsSIM auf Windows-Abbild auswählen.
Navigieren Sie im Dialogfeld Windows-Abbild auswählen zu dem Speicherort, an dem Sie in Schritt1 die Datei Install.wim gespeichert haben, und klicken Sie dann auf Öffnen.

Sie werden aufgefordert, ein Abbild auszuwählen. Wählen Sie das Windows-Abbild aus, das Sie installieren möchten, und klicken Sie auf OK.

Sie werden aufgefordert, eine Katalogdatei zu erstellen. Klicken Sie auf Ja, um die Datei zu generieren.
Klicken Sie im Menü Datei auf Neue Antwortdatei. Die leere Antwortdatei wird im Bereich Antwortdatei angezeigt.

Hinzufügen und Konfigurieren von Windows-Einstellungen

In diesem Schritt definieren Sie die Basisfestplattenkonfiguration und die Einstellungen für die Windows-Willkommensseite.

Erweitern Sie in WindowsSIM im Bereich Windows-Abbild den Knoten Komponenten, um die verfügbaren Einstellungen anzuzeigen.
Fügen Sie der Antwortdatei in der erweiterten Komponentenliste die Komponenten in der folgenden Tabelle hinzu. Klicken Sie hierzu mit der rechten Maustaste auf die Komponente, und wählen Sie die gewünschte Konfigurationsphase aus. Dadurch wird die Komponente der Antwortdatei in der angegebenen Konfigurationsphase oder Phase der Windows-Installation hinzugefügt.

Komponente	Konfigurationsphase
Microsoft-Windows-Deployment\Reseal	oobeSystem
Microsoft-Windows-International-Core-WinPE\SetupUILanguage	windowsPE
Microsoft-Windows-Setup\DiskConfiguration\Disk\CreatePartitions\CreatePartition	windowsPE
Microsoft-Windows-Setup\DiskConfiguration\Disk\ModifyPartitions\ModifyPartition	windowsPE
Microsoft-Windows-Setup\DiskConfiguration\Disk\CreatePartitions\CreatePartition *	windowsPE
Microsoft-Windows-Setup\DiskConfiguration\Disk\ModifyPartitions\ModifyPartition *	windowsPE
Microsoft-Windows-Setup\ImageInstall\OSImage\InstallTo	windowsPE
Microsoft-Windows-Setup\UserData	windowsPE
Microsoft-Windows-Shell-Setup\OOBE	oobeSystem
Optional: Microsoft-Windows-IE-InternetExplorer	specialize

CreatePartition

ModifyPartition

Windows-Abbild

CreatePartition

ModifyPartition

Alle hinzugefügten Einstellungen müssen im Bereich Antwortdatei in WindowsSIM angezeigt werden. Wählen Sie unter Einstellungen die entsprechende Einstellung aus, und geben Sie in der rechten Spalte den entsprechenden Wert, wie in der folgenden Tabelle angegeben, ein.

Konfigurationsphase	Komponente	Wert
1 WindowsPE	Microsoft-Windows-International-Core-WinPE	InputLocale = de-DE SystemLocale = de-DE UILanguage = de-DE UserLocale = de-DE
1 WindowsPE	Microsoft-Windows-International-Core-WinPE\SetupUILanguage	UILanguage = de-DE
1 WindowsPE	Microsoft-Windows-Setup\DiskConfiguration	WillShowUI = OnError
1 WindowsPE	Microsoft-Windows-Setup\DiskConfiguration\Disk	DiskID = 0 WillWipeDisk = true
1 WindowsPE	Microsoft-Windows-Setup\DiskConfiguration\Disk\CreatePartitions\CreatePartition	Order = 1 Size = 200 Type = Primary
1 WindowsPE	Microsoft-Windows-Setup\DiskConfiguration\Disk\CreatePartitions\CreatePartition	Extend = true Order = 2 Type = Primary
1 WindowsPE	Microsoft Windows Setup\DiskConfiguration\Disk\ModifyPartitions\ModifyPartition	Active = true Format = NTFS Label = System Order = 1 PartitionID = 1
1 WindowsPE	Microsoft Windows Setup\DiskConfiguration\Disk\ModifyPartitions\ModifyPartition	Format = NTFS Label = Windows Order = 2 PartitionID = 2
1 WindowsPE	Microsoft Windows-Setup\ImageInstall\OSImage	InstallToAvailablePartition = false WillShowUI = OnError
1 WindowsPE	Microsoft-Windows-Setup\ImageInstall\OSImage\InstallTo	DiskID = 0 PartitionID = 2
1 WindowsPE	Microsoft-Windows-Setup\UserData	AcceptEula = true
1 WindowsPE	Microsoft-Windows-Setup\UserData\ProductKey	Key = <Product Key> WillShowUI = OnError
4 Specialize	Optional: Microsoft-Windows-IE-InternetExplorer	Home_Page = http://www.certbase.de
7 oobeSystem	Microsoft-Windows-Deployment\Reseal	ForceShutdownNow = false Mode = Audit oder OOBE
7 oobeSystem	Microsoft-Windows-Shell-Setup\OOBE	HideEULAPage = true ProtectYourPC = 3 SkipUserOOBE = true

---------------------------------------------------------------------------------------------------------------------
Beispieldatei: Autounattend.xml
---------------------------------------------------------------------------------------------------------------------
<?xml version="1.0" encoding="utf-8"?>

<unattend xmlns="urn:schemas-microsoft-com:unattend">
    <settings pass="oobeSystem">
        <component name="Microsoft-Windows-Deployment" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <Reseal>
                <Mode>OOBE</Mode>
            </Reseal>
        </component>
        <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <OOBE>
                <HideEULAPage>true</HideEULAPage>
                <ProtectYourPC>3</ProtectYourPC>
                <SkipUserOOBE>true</SkipUserOOBE>
            </OOBE>
        </component>
    </settings>
    <settings pass="windowsPE">
        <component name="Microsoft-Windows-International-Core-WinPE" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <SetupUILanguage>
                <UILanguage>de-DE</UILanguage>
            </SetupUILanguage>
            <InputLocale>de-DE</InputLocale>
            <SystemLocale>de-DE</SystemLocale>
            <UILanguage>de-DE</UILanguage>
            <UILanguageFallback>en-EN</UILanguageFallback>
            <UserLocale>de-DE</UserLocale>
        </component>
        <component name="Microsoft-Windows-Setup" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <DiskConfiguration>
                <Disk wcm:action="add">
                    <CreatePartitions>
                        <CreatePartition wcm:action="add">
                            <Order>2</Order>
                            <Type>Primary</Type>
                            <Extend>true</Extend>
                        </CreatePartition>
                        <CreatePartition wcm:action="add">
                            <Order>1</Order>
                            <Size>200</Size>
                            <Type>Primary</Type>
                        </CreatePartition>
                    </CreatePartitions>
                    <ModifyPartitions>
                        <ModifyPartition wcm:action="add">
                            <Active>false</Active>
                            <Format>NTFS</Format>
                            <Label>Wndows</Label>
                            <Order>2</Order>
                            <PartitionID>2</PartitionID>
                        </ModifyPartition>
                        <ModifyPartition wcm:action="add">
                            <Active>true</Active>
                            <Format>NTFS</Format>
                            <Label>System</Label>
                            <Order>1</Order>
                            <PartitionID>1</PartitionID>
                        </ModifyPartition>
                    </ModifyPartitions>
                    <DiskID>0</DiskID>
                    <WillWipeDisk>true</WillWipeDisk>
                </Disk>
                <WillShowUI>OnError</WillShowUI>
            </DiskConfiguration>
            <ImageInstall>
                <OSImage>
                    <InstallTo>
                        <DiskID>0</DiskID>
                        <PartitionID>2</PartitionID>
                    </InstallTo>
                    <InstallToAvailablePartition>false</InstallToAvailablePartition>
                    <WillShowUI>OnError</WillShowUI>
                </OSImage>
            </ImageInstall>
            <UserData>
                <ProductKey>
                    <WillShowUI>Never</WillShowUI>
                    <Key></Key>
                </ProductKey>
                <AcceptEula>true</AcceptEula>
                <FullName>MG</FullName>
            </UserData>
        </component>
    </settings>
    <settings pass="specialize">
        <component name="Microsoft-Windows-IE-InternetExplorer" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <BlockPopups>no</BlockPopups>
            <Home_Page>http://www.google.de</Home_Page>
        </component>
    </settings>
    <cpi:offlineImage cpi:source="wim:d:/win7/install.wim#Windows 7 ULTIMATE" xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>
---------------------------------------------------------------------------------------------------------------------

Mit diesen Einstellungen wird eine einfache unbeaufsichtigte Installation beschrieben, bei der während der Installation von Windows Setup keine Benutzereingabe erforderlich ist.

Wenn Sie den Parameter Microsoft-Windows-Deployment\Reseal Mode = Audit festlegen, wird der Computer nach Abschluss der Installation im Überwachungsmodus neu gestartet. Der Überwachungsmodus ist eine Phase von Windows Setup, mit der Sie schnell den Desktop starten, weitere Anwendungen und Gerätetreiber installieren und die Installation testen können. Im Überwachungsmodus wird die Windows-Willkommensseite nicht angezeigt. Bevor der Computer einem Benutzer übergeben wird, sollte der Befehl sysprep mit der Option /oobe ausgeführt wird. Nach dem anschließenden Neustart wird die Windows-Willkommensseite, die auch als Out-of-Box-Experience (OOBE) bezeichnet wird angezeigt und der Endbenutzer wird aufgefordert, die Microsoft-Software-Lizenzbedingungen zu lesen und den Computer zu konfigurieren. Legen Sie den Parameter Microsoft-Windows-Deployment\Reseal Mode = OOBE fest, wird die Windows-Willkommensseite direkt nach Abschluss der Installation angezeigt.

Überprüfen und Speichern der Einstellungen

In diesem Schritt überprüfen Sie die Einstellungen der Antwortdatei und speichern sie dann in einer Datei.

Klicken Sie in WindowsSIM auf Extras, und klicken Sie dann auf Antwortdatei überprüfen.
Wenn die Antwortdatei erfolgreich ohne Warnungen oder Fehler überprüft wurde, wird im Bereich Meldungen unten im Fenster WindowsSIM die Meldung Keine Warnungen oder Fehler angezeigt. Andernfalls werden im Bereich Meldungen Fehlermeldungen angezeigt.
Wenn ein Fehler auftritt, doppelklicken Sie im Bereich Meldungen auf die Fehlermeldung, um zu der fehlerhaften Einstellung zu wechseln. Korrigieren Sie die Einstellung, um den Fehler zu beheben, und wiederholen Sie dann die Überprüfung, indem Sie auf Antwortdatei überprüfen klicken. Wiederholen Sie diesen Schritt, bis die Überprüfung der Antwortdatei fehlerfrei bleibt.
Klicken Sie im Menü Datei auf Antwortdatei speichern. Speichern Sie die Antwortdatei unter dem Namen Autounattend.xml.
Kopieren Sie die Datei Autounattend.xml in das Stammverzeichnis eines USB-Flashlaufwerks oder auf eine Diskette.

Erstellen einer Abbildinstallation

Ein Abbildcomputer verfügt über eine angepasste Installation von Windows, die Sie auf einem oder mehreren Zielcomputern duplizieren möchten. Sie können eine Abbildinstallation mithilfe der Windows-Produkt-DVD und einer Antwortdatei erstellen.

Schalten Sie den Abbildcomputer ein, legen Sie die Windows7-Produkt-DVD ein, und schließen Sie das USB-Laufwerk an, das die im vorherigen Schritt erstellte Antwortdatei enthält (Autounattend.xml).
Schalten Sie den Computer ein und starten Sie vom CD-/DVD-ROM-Laufwerk. Windows7 Setup (Setup.exe) wird automatisch gestartet. Standardmäßig durchsucht WindowsSetup das Stammverzeichnis aller Wechselmedien nach einer Antwortdatei mit dem Namen Autounattend.xml.
Nach dem Abschluss von Setup können Sie überprüfen, dass alle Anpassungen übernommen wurden. Wenn Sie in Ihrer Antwortdatei beispielsweise die optionale Komponente Microsoft-Windows-IE-InternetExplorer hinzugefügt und die Einstellung Home_Page festgelegt haben, können Sie diese jetzt durch Öffnen von InternetExplorer überprüfen.

2. Installieren zusätzlicher Anwendungen und Treiber, um einen "StandardDesktop" für die Verteilung zu erstellen.

Installieren Sie zusätzliche Programme und Treiber, um das System für die Vervielfältigung auf neue Computer anzupassen.

3. Erstellen einer Antwortdatei für das Mini-Setup

Bei der Erstellung einer Antwortdatei für das Mini-Setup besteht die Schwierigkeit darin, herauszufinden welche Komponenten für welche Installationsphase benötigt werden und welche der 7 Installationsphasen beim Mini-Setup überhaupt durchlaufen werden.

Die nachstehende Tabelle gibt Aufschluss:

Konfigurationsphase	Komponente	Wert
7 oobe System	Microsoft-Windows-International-Core	InputLocale = de-DE SystemLocale = de-DE UILanguage = de-DE UILanguageFalback = en-US UserLocale = de-DE
4 specialize	Microsoft-Windows-Shell-Setup	ComputerName = * oder Name ShowWindowsLive = true / false ProductKey = xxxxxxx... TimeZone = W. Europe Standard Time
7 oobe System	Microsoft-Windows-Shell-Setup	RegisteredOrganisation = xxxxxx RegisteredOwner = xxxx
7 oobe System	Microsoft-Windows-Shell-Setup\UserAccounts\LocalAccounts\LocalAccount	Description = Administratorkonto DisplayName = Admin Group = Administratoren Name = Admin Unterkomponente Password Value = Passwort1
7 oobe System	Microsoft-Windows-Shell-Setup\OOBE	HideEulaPage = true NetworkLocation = Work ProtectYourPC = 3 SkipUserOOBE = true
4 specialize	Microsoft-Windows-Security-Licensing-SLC-UX	SkipAutoActivation = true

Beim Speichern der Datei bleiben nicht verwendete Parameter unberücksichtigt.

Speichern Sie die Datei unter dem Namen Sysprep.xml im Verzeichnis C:\Windows\System32\sysprep auf dem System, welches Sie zur Vervielfältigung vorbereitet haben.

4. Verallgemeinern des Systems und entfernen der SID durch Ausführen des Befehls Sysprep

Sysprep.exe bereitet das Abbild für die Aufzeichnung vor. Dabei werden verschiedene benutzer- und computerspezifische Einstellungen sowie Protokolldateien bereinigt.

Durch die Ausführung des Befehls sysprep /generalize werden Standardgerätetreiber aus dem Windows-Abbild entfernt. Wenn Sie während der Installation Standardgerätetreiber hinzufügen und das Windows-Abbild aufzeichnen möchten, legen Sie für die Einstellung PersistAllDeviceInstalls der Komponente Microsoft-Windows-PnpSysprep in der Antwortdatei die Option True fest. Bei Verwendung dieser Einstellung entfernt Sysprep die erkannten Gerätetreiber nicht.

Führen Sie den folgenden Befehl aus:

sysprep /generalize /oobe /shutdown /unattend:C:\Windows\System32\sysprep\sysprep.xml

---------------------------------------------------------------------------------------------------------------------
Beispieldatei: Sysprep.xml
---------------------------------------------------------------------------------------------------------------------
<?xml version="1.0" encoding="utf-8"?>
<unattend xmlns="urn:schemas-microsoft-com:unattend">
    <settings pass="oobeSystem">
        <component name="Microsoft-Windows-International-Core" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <InputLocale>de-DE</InputLocale>
            <SystemLocale>de-DE</SystemLocale>
            <UILanguage>de-DE</UILanguage>
            <UILanguageFallback>en-US</UILanguageFallback>
            <UserLocale>de-DE</UserLocale>
        </component>
        <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <OOBE>
                <SkipUserOOBE>true</SkipUserOOBE>
                <HideEULAPage>true</HideEULAPage>
                <NetworkLocation>Work</NetworkLocation>
                <ProtectYourPC>3</ProtectYourPC>
            </OOBE>
            <UserAccounts>
                <LocalAccounts>
                    <LocalAccount wcm:action="add">
                        <Password>
                            <Value>UABhAHMAcwB3AG8AcgB0ADEAUABhAHMAcwB3AG8AcgBkAA==</Value>
                            <PlainText>false</PlainText>
                        </Password>
                        <Description>Administratorkonto</Description>
                        <DisplayName>Admin</DisplayName>
                        <Group>Administratoren</Group>
                        <Name>Admin</Name>
                    </LocalAccount>
                </LocalAccounts>
            </UserAccounts>
            <RegisteredOwner>Ownie</RegisteredOwner>
            <RegisteredOrganization>Organisation</RegisteredOrganization>
        </component>
    </settings>
    <settings pass="specialize">
        <component name="Microsoft-Windows-Security-Licensing-SLC-UX" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <SkipAutoActivation>true</SkipAutoActivation>
        </component>
        <component name="Microsoft-Windows-Shell-Setup" processorArchitecture="amd64" publicKeyToken="31bf3856ad364e35" language="neutral" versionScope="nonSxS" xmlns:wcm="http://schemas.microsoft.com/WMIConfig/2002/State" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
            <ComputerName>Win7</ComputerName>
            <ShowWindowsLive>true</ShowWindowsLive>
            <TimeZone>W. Europe Standard Time</TimeZone>
        </component>
    </settings>
    <cpi:offlineImage cpi:source="wim:d:/win7/install.wim#Windows 7 ULTIMATE" xmlns:cpi="urn:schemas-microsoft-com:cpi" />
</unattend>
---------------------------------------------------------------------------------------------------------------------

Denke Sie daran auch Ihren Produkt-Key einzufügen, da die Setuproutine ansonsten unterbrochen wird.

Im weiteren Verlauf verwenden Sie einen Windows PE Datenträger und zeichnen mit Hilfe von ImageX ein Abbild des vorbereiteten Systems für die Übertragung auf andere Computer auf.

5. Erstellen eines startbaren Windows PE-Mediums

In diesem Schritt erstellen Sie mithilfe des Skripts Copype.cmd einen startbaren Windows PE-RAM-Datenträger auf CD-ROM. Mit einem Windows PE-RAM-Datenträger können Sie einen Computer zu Bereitstellungs- und Wiederherstellungszwecken starten. Windows PE RAM-Datenträger werden beim Starten direkt in den Arbeitsspeicher geladen, was Ihnen ermöglicht, das Windows PE-Medium nach dem Starten des Computers zu entfernen. Nachdem Sie mithilfe von Windows PE gestartet haben, können Sie das Tool ImageX verwenden, um die dateibasierten Laufwerksabbilder aufzuzeichnen, zu ändern und zu laden.

Klicken Sie auf Ihrem Arbeitscomputer auf Start, zeigen Sie auf Alle Programme, zeigen Sie auf WindowsAIK, klicken Sie mit der rechten Maustaste auf Eingabeaufforderung für Bereitstellungstools, und wählen Sie Als Administrator ausführen aus. Über die Menüverknüpfung wird ein Eingabeaufforderungsfenster geöffnet, und die Umgebungsvariablen werden automatisch so festgelegt, dass sie auf die benötigten Tools zeigen. Standardmäßig werden alle Tools unter C:\Programme\WindowsAIK\Tools installiert.
Führen Sie an der Eingabeaufforderung das Skript Copype.cmd aus.

copype.cmd <architecture> <destination>

Dabei kann <Architektur> x86, amd64 oder ia64 sein, und <Ziel> ist ein Pfad zu einem lokalen Verzeichnis. Beispiel: copype.cmd x86 c:\winpe_x86

Dieses Skript bewirkt, dass die folgende Verzeichnisstruktur erstellt wird und die notwendigen Dateien für diese Architektur kopiert werden.
Kopieren von ImageX nach \Winpe_x86\ISO. Geben Sie z.B. Folgendes ein:

copy "c:\program files\WindowsAIK\Tools\x86\imagex.exe" c:\winpe_x86\iso\

Sie können eine optionale Konfigurationsdatei mit dem Namen Winscript.ini erstellen, die das Tool ImageX anweist, bestimmte Dateien während der Aufzeichnung auszuschließen. Wimscript.ini sollte im gleichen Verzeichnis wie das Tool ImageX gespeichert werden.
Erstellen Sie von der Eingabeaufforderung für Bereitstellungstools mithilfe des Tools Oscdimg eine WindowsPE-Abbilddatei (ISO). Geben Sie z.B. Folgendes ein:

oscdimg -n -bc:\winpe_x86\etfsboot.com c:\winpe_x86\ISO c:\winpe_x86\winpe_x86.iso
Brennen Sie das Abbild (winpe_x86.iso) auf eine CD-ROM. Im WindowsAIK ist keine CD-ROM-Brennsoftware enthalten. Verwenden Sie zum Brennen des Abbilds auf CD-ROM eine zuverlässige Drittanbietersoftware.

Sie verfügen nun über eine startbare Windows PE-RAM-CD mit dem Tool ImageX.

6. Aufzeichnen der Installation in einer Netzwerkfreigabe

In diesem Schritt zeichnen Sie mithilfe von Windows PE und dem Tool ImageX ein Abbild Ihres Abbildcomputers auf. Anschließend speichern Sie dieses Abbild in einer Netzwerkfreigabe.

Legen Sie auf dem Abbildcomputer das WindowsPE-Medium ein, und starten Sie den Computer neu. WindowsPE wird gestartet, und anschließend wird ein Eingabeaufforderungsfenster geöffnet.
Erfassen Sie mithilfe des auf dem WindowsPE-Medium gespeicherten Tools ImageX ein Abbild der Abbildinstallation. Geben Sie an der Eingabeaufforderung beispielsweise Folgendes ein:

e:\imagex.exe /capture d: d:\myimage.wim "my Win7 Install" /compress fast /verify
Kopieren Sie das Abbild an einen Speicherort im Netzwerk. Dies ist möglich, da WindowsPE Netzwerkunterstützung bietet. Geben Sie an der Eingabeaufforderung beispielsweise Folgendes ein:

net use y: \\network_share\images
copy d:\myimage.wim y:

7. Anwenden des neu erstellten Windows 7 Abbildes auf einen Zielcomputer.

Nachdem Sie das Abbild der Abbildinstallation erstellt haben, können Sie es auf neuer Hardware bereitstellen.

In diesem Schritt formatieren Sie mithilfe des Tools DiskPart die Festplatte und kopieren ein Abbild von der Netzwerkfreigabe. Für dieses Beispiel können Sie den Abbildcomputer als Zielcomputer verwenden.

Legen Sie auf dem Zielcomputer das WindowsPE-Medium ein, und starten Sie den Computer neu.
WindowsPE wird gestartet, und anschließend wird ein Eingabeaufforderungsfenster geöffnet.
Formatieren Sie mithilfe des Tools DiskPart von der Eingabeaufforderung in Windows PE die Festplatte, um den Anforderungen für die Laufwerkskonfiguration zu entsprechen. Geben Sie z. B. Folgendes ein:

diskpart
select disk 0
clean
create partition primary size=200
select partition 1
format fs=ntfs label="system"
assign letter=c
active
create partition primary
select partition 2
format fs=ntfs label="Windows"
assign letter=d
exit

Sie können diese Informationen als Skript aufzeichnen, indem Sie die Befehle in einer Textdatei speichern und diese an demselben Speicherort wie das Abbild speichern. Geben Sie Folgendes ein, um das Skript von der Eingabeaufforderung in Windows PE auszuführen:

diskpart /s <scriptname>.txt

Dabei steht <Skriptname> für den Namen der Textdatei, die die Diskpart-Befehle enthält.
Kopieren Sie das Abbild von der Netzwerkfreigabe auf die lokale Festplatte. Geben Sie an der Eingabeaufforderung beispielsweise Folgendes ein:

net use y: \\network_share\images
copy y:\myimage.wim d:
Geben Sie ggf. Netzwerkanmeldeinformationen an, um auf das Netzwerk zugreifen zu können.
Installieren Sie mithilfe der auf dem Windows PE-Medium gespeicherten Tools ImageX das Abbild auf der Festplatte. Geben Sie an der Eingabeaufforderung beispielsweise Folgendes ein:

e:\imagex.exe /apply d:\myimage.wim 1 d:
Verwenden Sie BCDboot, um die Startkonfigurationsdaten (Boot Configuration Data, BCD) zum Speichern und Kopieren der Startumgebungsdateien in die Systempartition zu initialisieren. Geben Sie an der Eingabeaufforderung beispielsweise Folgendes ein:

d:\windows\system32\bcdboot d:\windows
Anschließend können Sie den Computer neu starten. Windows 7 wird ausgeführt und das Mini-Setup wird durch die hinterlegte Antwortdatei automatisch durchlaufen.

Abgestimmte Kennwortrichtlinien

Maik — Tue, 19 May 2009 18:55:00 GMT

In Active Directory Domänen unter Windows 2000 Server und Windows Server 2003 konnte jeweils nur eine einheitliche Kennwortrichtlinie und eine Kontosperrungsrichtlinie für alle Benutzer einer Domäne angewendet werden. Diese Kontorichtlinien wurden in der Standarddomänenrichtlinie der Domäne verbindlich konfiguriert. Unternehmen, die unterschiedliche Kennwort- und Kontosperrungsrichtlinien für verschiedene Benutzergruppen benötigten, mussten entweder mehrere Domänen bereitstellen oder auf Softwarelösungen von Drittanbietern zurückgreifen.

Mit dem Betriebssystem Windows Server 2008 ist es nun möglich, verschiedene Kennwort- und Kontosperrungsrichtlinien für verschiedene Benutzer oder Benutzergruppen innerhalb einer gemeinsamen Domäne zu definieren.

Abgestimmte Kennwortrichtlinien (Fine grained Password Policies) werden nicht über Gruppenrichtlinienobjekte (GPOs) implementiert, sondern direkt im Active Directory als Kennworteinstellungsobjekte (Password Setting Objects, PSOs) erstellt und mit Gruppen- oder Benutzerkonten verknüpft.

Einschränkungen und Voraussetzungen:

Abgestimmte Kennwortrichtlinien können nur auf Benutzerobjekte, Objekte vom Typ InetOrgPerson und auf globale Sicherheitsgruppen angewendet werden.
Die Domäne muss in der Funktionsebene Windows Server2008 betrieben werden (dies bedeutet, dass alle Domänencontroller zunächst auf Windows Server 2008 aktualisiert werden müssen).
Standardmäßig können nur Mitglieder der Gruppe Domänen-Admins abgestimmte Kennwortrichtlinien festlegen.

Verarbeitungsreihenfolge von Kennworteinstellungsobjekten

Ein Benutzer- oder Gruppenobjekt kann mit mehreren Kennworteinstellungsobjekten verknüpft sein, entweder aufgrund der Mitgliedschaft in mehreren Gruppen, auf die verschiedene Kennworteinstellungsobjekte angewendet sind, oder weil mehrere Kennworteinstellungsobjekte direkt auf das Objekt angewendet sind. Es kann jedoch nur ein Kennworteinstellungsobjekt als effektive Kennwortrichtlinie angewendet werden. Nur die Einstellungen aus diesem Kennworteinstellungsobjekt können sich auf den Benutzer oder die Gruppe auswirken. Die Einstellungen aus anderen Kennworteinstellungsobjekten, die mit dem Benutzer oder der Gruppe verknüpft sind, können nicht zusammengeführt werden.

Der Richtlinienergebnissatz kann nur für ein Benutzerobjekt berechnet werden. Das Kennworteinstellungsobjekt kann mit einer der folgenden zwei Methoden auf ein Benutzerobjekt angewendet werden:

Direkt: Kennworteinstellungsobjekt ist mit dem Benutzer verknüpft.
Indirekt: Kennworteinstellungsobjekt ist mit Gruppen verknüpft, in denen der Benutzer Mitglied ist.

Jedes Kennworteinstellungsobjekt hat ein zusätzliches Attribut mit dem Namen msDS-PasswordSettingsPrecedence, das an der Berechnung des Richtlinienergebnissatzes beteiligt ist. Das msDS-PasswordSettingsPrecedence-Attribut hat den ganzzahligen Wert 1 oder größer. Ein niedrigerer Wert für das Vorrangattribut gibt an, dass das Kennworteinstellungsobjekt einen höheren Rang oder eine höhere Priorität hat als andere Kennworteinstellungsobjekte. Nehmen Sie z. B. ein Objekt an, mit dem zwei Kennworteinstellungsobjekte verknüpft sind. Ein Kennworteinstellungsobjekt hat den Vorrangwert 2 und das andere den Vorrangwert 4. In diesem Fall hat das Kennworteinstellungsobjekt, das den Vorrangwert 2 hat, einen höheren Rang, und wird daher auf das Objekt angewendet.

Wenn mehrere Kennworteinstellungsobjekte mit einem Benutzer oder einer Gruppe verknüpft sind, wird das resultierende angewendete Kennworteinstellungsobjekt folgendermaßen ermittelt:

Ein Kennworteinstellungsobjekt, das direkt mit dem Benutzerobjekt verknüpft ist, ist das resultierende Kennworteinstellungsobjekt. Wenn mehrere Kennworteinstellungsobjekte direkt mit dem Benutzerobjekt verknüpft sind, wird eine Warnmeldung im Ereignisprotokoll protokolliert, und das Kennworteinstellungsobjekt mit dem niedrigsten Vorrangwert ist das resultierende Kennworteinstellungsobjekt.
Wenn kein Kennworteinstellungsobjekt mit dem Benutzerobjekt verknüpft ist, werden die Mitgliedschaften des Benutzers in globalen Sicherheitsgruppen und alle basierend auf diesen globalen Gruppenmitgliedschaften auf den Benutzer anwendbaren Kennworteinstellungsobjekte verglichen. Das Kennworteinstellungsobjekt mit dem niedrigsten Vorrangwert ist das resultierende Kennworteinstellungsobjekt.
Wenn sich aus den Bedingungen (1) und (2) kein Kennworteinstellungsobjekt ergibt, wird die Standarddomänenrichtlinie angewendet.

Es wird empfohlen, für jedes erstellte Kennworteinstellungsobjekt einen eindeutigen msDS-PasswordSettingsPrecedence-Wert zuzuweisen. Sie können jedoch mehrere Kennworteinstellungsobjekte mit dem gleichen msDS-PasswordSettingsPrecedence-Wert erstellen. Wenn sich aus den Bedingungen (1) und (2) mehrere Kennworteinstellungsobjekte mit dem gleichen msDS-PasswordSettingsPrecedence-Wert für einen Benutzer ergeben, wird das Kennworteinstellungsobjekt mit der kleinsten GUID angewendet.

Themen in diesem Artikel

Erstellen und anwenden von Kennworteinstellungsobjekten (PSOs)
Prüfen von Kennworteinstellungsobjekten für einen bestimmten Benutzer
Anwenden von Kennworteinstellungsobjekten auf eine Schattengruppe
Löschen und von Kennworteinstellungsobjekten

1. Erstellen von Kennworteinstellungsobjekten (PSOs)

Für das Erstellen von Kennworteinstellungsobjekten kann entweder die Konsole ADSI-Editor oder das Befehlszeilenprogramm ldifde.exe verwendet werden. Im folgenden Beispiel verwende ich den ADSI-Editor.

Öffnen Sie den ADSI-Editor und stellen Sie eine Verbindung mit der Domäne her, in der Sie ein neues Kennworteinstellungsobjekt erstellen möchten.
Erweitern Sie die Domäne und öffnen Sie den Container CN=System durch einen Doppelklick.
Im Container CN=Password Settings Container werden alle zuvor in der Domäne erstellten PSOs angezeigt. Öffnen Sie das Kontextmenü des Containers CN=Password Settings Container und wählen Sie die Option Neu - Objekt...
Das neue Objekt stellt eine Instanz der Klasse msDS-PasswordSettings dar. Klicken Sie auf Weiter.
Geben Sie einen Namen für das neue Kennworteinstellungsobjekt ein und klicken Sie auf Weiter.
Im weiteren Verlauf des Assistenten müssen eine Reihe zusätzlicher Attribute konfiguriert werden. Die Attribute entsprechen den Richtlinien aus den Abschnitten Kennwortrichtlinien und Kontosperrungsrichtlinien der Kontorichtlinien. Die Attribute und Ihre Bedeutung werden nachstehend gelistet:
- Attributname: msDS-PasswordSettingsPrecedence
  Beschreibung: Gibt die Priorität des PSO an. Je kleiner der Wert, desto höher die Priorität.
  Wertebereich: Größer 0
  Beispiel: 10
- Attributname: msDS-PasswordReversibleEncryptionEnabled
  Beschreibung: Gibt an, ob Kennwörter mit umkehrbarer Verschlüsselung gespeichert werden können
  Wertebereich: False, True
  Beispiel: False
- Attributname: msDS-PasswordHistoryLength
  Beschreibung: Entspricht der Kennwortrichtlinie Kennwortchronik erzwingen.
  Wertebereich: 0 bis 1024
  Beispiel: 24
- Attributname: msDS-PasswordComplexityEnabled
  Beschreibung: Entspricht der Kennwortrichtlinie Kennwort muss Komplexitätsvoraussetzungen entsprechen.
  Wertebereich: False, True
  Beispiel: True
- Attributname: msDS-MinimumPasswordLength
  Beschreibung: Gibt die minimale Kennwortlänge an.
  Wertebereich: 1 bis 255
  Beispiel: 8
- Attributname: msDS-MinimumPasswordAge
  Beschreibung: Gibt das minimale Kennwortalter an.
  Wertebereich: nichts oder 00:00:00:00 bis Wert von msDS-MaximumPasswordAge
  Beispiel: 1:00:00:00 (1 Tag)
- Attributname: msDS-MaximumPasswordAge
  Beschreibung: Gibt das maximale Kennwortalter an.
  Wertebereich: nichts oder größer msDS-MinimumPasswordAge
  Beispiel: 14:00:00:00 (14 Tage)
- Attributname: msDS-LockoutThreshold
  Beschreibung: Entspricht der Kontosperrungsrichtlinie Kontosperrungsschwelle.
  Wertebereich: 0 bis 65535
  Beispiel: 3
- Attributname: msDS-LockoutObservationWindow
  Beschreibung: Entspricht der Kontosperrungsrichtlinie Zurücksetzungsdauer des Kontosperrungszählers
  Wertebereich: Nichts oder 00:00:00:00 bis msDS-LockoutDuration
  Beispiel: 0:00:30:00 (30 Minuten)
- Attributname: msDS-LockoutDuration
  Beschreibung: Gibt die Kontosperrdauer an.
  Wertebereich: Nicht oder 0 oder ein Wert größer gleich msDS-LockoutObservationWindow
  Beispiel: 0:00:30:00 (30 Minuten)
- Attributname: msDS-PSOAppliesTo
  Beschreibung: Stellt ein Mehrfachwertattribut dar und verknüpf das PSO mit einem oder mehreren Benutzerkonto bzw. Gruppenkonto.
  Wertebereich: 0 oder mehrere Distuingished Namen (DNs)
  Beispiel: "CN=Hanna Montana,OU=CB_Buchhaltung,DC=cblabs,DC=de"
Das Attribut msDS-PSOAppliesTo kann erst im letzten Schritt des Assistenten über die Option Weitere Attribute konfiguriert werden.

Wählen Sie unter Anzuzeigende Eigenschaften den Wert Optional oder Beide aus. Anschließend können Sie das Attribut msDS-PSOAppliesTo aus der Liste der Eigenschaften auswählen:

Sie können nun ein oder mehrere DNs angeben, auf die das neue Kennworteinstellungsobjekt angewendet werden soll.

2. Prüfen von Kennworteinstellungsobjekten für einen bestimmten Benutzer

Um zu überprüfen, welches Kennworteinstellungsobjekt auf ein bestimmtes Benutzer- oder Gruppenkonto angewendet wird, gehen Sie wie folgt vor:

Öffnen Sie die Konsole Active Directory-Benutzer und -Computer
Aktivieren Sie im Menü Ansicht die Option Erweiterte Features
Öffnen Sie die Eigenschaften des betreffenden Benutzerkontos und wechseln Sie zum Register Attribut-Editor.
Klicken Sie auf die Schaltfläche Filter und stellen Sie sicher, dass die Optionen Attribute-Verbindlich und Schreibgeschützte Attribute anzeigen-Erzeugt markiert sind.
Suchen Sie nach dem Attribut msDS-ResultantPSO. Falls der Wert des Attributs mit Nicht gesetzt angezeigt wird, finden die Kennwortrichtlinien der Standarddomänenrichtlinie Anwendung.

3. Anwenden von Kennworteinstellungsobjekten auf eine Schattengruppe

Kennworteinstellungsobjekte können nicht direkt auf die Benutzer innerhalb einer Organisationseinheit (OU) angewendet werden. Mit Hilfe einer Schattengruppe (Shadow Group) ist es jedoch möglich diese Einschränkung zu umgehen.

Eine Schattengruppe stellt eine Sicherheitsgruppe dar, die alle Benutzerkonten einer bestimmten Organisationseinheit enthält und zur besseren Übersicht auch den Namen der Organisationseinheit widerspiegelt. Da bei einem Verschieben von Benutzern in andere Organisationseinheiten jedesmal auch die Mitgliedschaften der Schattengruppen angepasst werden müssen, bietet es sich an diesen Schritt zu automatisieren.

Im folgenden Beispiel sollen die Benutzer der Organisationseinheit CB_Buchhaltung in die Schattengruppe shadow_CB_Buchhaltung aufgenommen werden.

Folgender Befehl kann für das Leeren der Gruppe verwendet werden:

dsget group "cn=shadow_CB_Buchhaltung,OU=CB_Buchhaltung,DC=cblabs,DC=de" -members | dsmod group "cn=shadow_CB_Buchhaltung,OU=CB_Buchhaltung,DC=cblabs,DC=de" -rmmbr

Im zweiten Schritt können die Benutzerkonten der Organisationseinheit ermittelt werden und als Mitglied in die Schattengruppe aufgenommen werden:

dsquery user "OU=CB_Buchhaltung,DC=cblabs,DC=de" | dsmod group "cn=shadow_CB_Buchhaltung,OU=CB_Buchhaltung,DC=cblabs,DC=de" -addmbr

Im Anschluss kann der DN der Gruppe in das Attribut msDS-PSOAppliesTo des Kennworteinstellungsobjektes aufgenommen werden:

Verwenden Sie den ADSI-Editor, um die Eigenschaften des Kennworteinstellungsobjekts zu bearbeiten.
Markieren Sie das Attribut msDS-PSOAppliesTo und klicken Sie auf bearbeiten.
Klicken Sie auf DN hinzufügen und geben Sie den Distinguished Name in das Dialogfeld Definierten Namen (DN) hinzufügen ein. Klicken Sie anschließend auf OK und schließen Sie den Dialog Editor für mehrwertige definierte Namen mit Sicherheitsprinzipal über die Schaltfläche OK.

4. Löschen und von Kennworteinstellungsobjekten

Kennworteinstellungsobjekte können über die Konsole ADSI-Editor aus dem Container CN=Password Settings Container gelöscht werden.

Die bestehenden Verknüpfungen mit Benutzer- und Gruppenkonten werden dabei automatisch aus den entsprechenden Objekten entfernt, so dass zukünftig die Einstellungen der Standarddomänenrichtlinie angewendet werden.

Benutzerkonten nach Erstelldatum auslesen

Maik — Mon, 04 May 2009 19:09:00 GMT

Hatten Sie schon mal den Wunsch, die neu erstellten Active Directory Benutzerkonten der letzten Woche aufzulisten, oder sich nach einem Urlaub einen Überblick zu verschaffen?

Die nachstehende Abfrage ermittelt alle Active Directory Benutzer unterhalb der Organisationseinheit CB_Test, deren Konten seit dem 16.04.2009 erstellt wurden und schreibt sie in die Textdatei Output.txt. Die Liste kann anschließend in Excel oder in ein Datenbanksystem importiert und für weitere Analyse genutzt werden.

dsquery * "OU=CB_Test,DC=cblabs,DC=de" -filter "(&(objectClass=User)(objectCategory=Person)(whenCreated>=20090416000000.0Z))" -attr distinguishedName displayName sAMAccountName whenCreated -Limit 0 > D:\Output.txt

Das Datum wird dabei in der Form yyyyMMddHHmmss.0Z angegeben.

Directory Service Comparision Tool (DSCT)

Maik — Wed, 29 Apr 2009 20:07:00 GMT

Active Directory Snapshots sind eine Neuerung, die mit Windows Server 2008 eingeführt wurden und sicher auch in den nächsten Versionen des Serverbetriebssystems beibehalten werden. AD Snapshots können manuell oder skriptgesteuert erstellt werden und bieten eine Momentaufnahme der Verzeichnisdatenbank zu Vergleichs- und Analysezwecken. Sie können beispielsweise die Attribute eines gelöschten Objektes im Snapshot einsehen, das Objekt selber aber nicht direkt in die produktive Datenbank überführen oder wiederherstellen. Die Befehlszeilenprogramme CSVDE und LDIFDE für den Export und Import von Verzeichnisdaten bieten an dieser Stelle kaum einen praktikablen Ansatz und ein integriertes Tool für diesen Zweck wird derzeit nicht geboten.

Diese Lücke wird durch ein Snap-In mit dem Namen Directory Service Comparision Tool oder kurz DSCT von Fredrik Lindström für die Microsoft Management Konsole geschlossen. Das Tool bietet unter anderem die folgenden Funktionen:

Ermitteln und Anzeigen von Unterschieden zwischen Active Directory und Active Directory Snapshots.
Wiederherstellung einzelner Attribute aus Snapshots in Active Directory.
Reanimieren gelöschter Objekte.
Wiederherstellen von Gruppenmitgliedschaften.
Anzeige von Unterschieden der Gruppenmitgliedschaft eines Objektes (Benutzer, Computer und Gruppen). Selektive oder vollständige Wiederherstellung der Gruppenmitgliedschaften.
Integration in die Active Directory Überwachung.
Ermöglicht das Zusammenfassen von Einträgen des Ereignisprotokolls aller Domänencontroller für ein bestimmtes Objekt.

DSCT fragt die produktive Active Directory Datenbank und den bereitgestellten Snapshot ab und vergleicht jedes Objekt samt seiner zugehörigen Attribute, um festzustellen, ob das Objekt seit Erstellung des Snapshot geändert, neu erstellt oder gelöscht wurde.

DSCT muss nicht auf einem Domänencontroller installiert werden und kann auch über einen Computer betrieben werden, der kein Mitglied der Domäne ist.

Das Programm ist sowohl als 32 Bit wie auch als 64 Bit Version verfügbar und kann unter der Adresse http://lindstrom.nullsession.com/?page_id=11 heruntergeladen werden. Es kann unter Windows XP, Windows Vista und Windows Server 2008 / Windows Server 2008 R2 ausgeführt werden.

Die Voraussetzungen für den Betrieb der Anwendung:

.Net Framework 3.5
MMC 3.0
Datenquellen: Active Directory und ein verbundener Active Directory Snapshot

Verwenden von DSCT

Bevor Sie DSCT installieren, stellen Sie sicher, dass Sie über ein funktionierendes Active Directory und einen bereitgestellten Snapshot für verfügen. Informationen zum Erstellen von AD Snapshots finden Sie auch im Artikel Verwenden von Active Directory Snapshots unter Windows Server 2008.

Nach der Installation können Sie das Snap-In Directory Service Comparison Tool in eine neue MMC aufnehmen.

Die nachstehenden Schritte sollen einen Einstieg in das Tool vermitteln:

Öffnen Sie die Datasource Settings, um eine Verbindung mit dem Active Directory und dem Snapshot herzustellen.

Geben Sie den Namen oder die IP-Adresses eines Windows Server 2008 Domänencontrollers für die Verbindung zum Active Directory an. Geben Sie weiterhin die Verbindungsdaten (Servername:Port) an, unter denen Sie Ihren Snapshot mithilfe von Dsamain bereitgestellt haben.

Aufgrund eines Fehlers in Windows Server 2008 ist der Wert der highestCommittedUSN (höchste übermittelte Unique Sequence Number) des Snapshots höher als die des Active Directory. In der Folge wird das Snapshot als aktueller angesehen und ein Vergleich der beiden Verzeichnisse ist nicht möglich. Sie haben nun die Wahl abzuwarten bis das Active Directory aufgrund von Änderungen eine höhere highestCommittedUSN aufweist oder Sie erhöhen die highestCommittedUSN des Active Directory zwangsweise über die Funktion Increase value oder ein selbst erstelltes Skript.

Die Option Increase value verändert das Attribut Titel eines frei wählbaren Benutzerkontos 1726-mal in Folge, um die highestCommittedUSN zu erhöhen. Es ist empfehlenswert für diesen Vorgang ein separates Benutzerkonto zu erstellen, das im Anschluss wieder entfernt werden kann.

Fahren Sie mit der Option Increase value fort.

Geben Sie den Namen eines Benutzerkontos ein, das Sie für die Schreiboperationen verwenden möchten. Klicken Sie auf Find now, markieren Sie das Objekt in der unteren Auswahlliste und klicken Sie anschließend auf Update, um den Prozess zu starten.

Der Aktualisierungsprozess wird durchgeführt...

Die highestCommitedUSN wurde erfolgreich um 1726 erhöht. Klicken Sie auf OK.

Auf den Registern Modified, Added und Deleted werden geänderte, neu erstellte und gelöschte Objekte gezeigt. Über die Funktion Resync in der Aktionsleiste kann ein erneuter Abgleich zwischen Active Directory und Snapshot durchgeführt werden.

Nachdem ein Objekt aus dem Active Directory gelöscht und ein Resync durchgeführt wurde, wird es auf dem Register Deleted angezeigt. Wird das Objekt markiert, werden im unteren Bereich die einzelnen Attribute samt den zugehörigen Werten angezeigt. Im Aktionsfeld wird die Option Reanimate angezeigt, die das Objekt reanimiert.

Nach der Reanimierung wird das Benutzerkonto wieder im Active Directory angezeigt. Das Konto ist jedoch deaktiviert (das Attribut Kennwort besitzt keinen Wert) und enthält nur einen Mindestsatz an Attributen. Dies entspricht auch dem Ergebnis einer Reanimierung mit dem Befehlszeilenprogramm ADRestore (siehe http://technet.microsoft.com/en-us/magazine/2007.09.tombstones.aspx). Das Benutzerkonto verfügt lediglich über einen Prä-Windows 2000 Benutzernamen und ist Mitglied der Gruppe Domänen-Benutzer.

Das Tool DSCT bietet Ihnen nun aber die Möglichkeit die einzelnen Attribute und auch die Mitgliedschaften für das reanimierte Benutzerkonto wiederherzustellen.

Nach der Wiederherstellung der ausgewählten Attribute

Wiederherstellung der Gruppenmitgliedschaft für ein reanimiertes Benutzerkonto

Anmerkung:
Nicht alle Attribute können wiederhergestellt werden.

Wenn Sie ein Benutzerkonto wiederherstellen möchten, dessen originäre Organisationseinheit nicht mehr besteht, müssen Sie zunächst die OU wiederherstellen. Es ist nicht ausreichend eine neue OU anzulegen, da diese eine neue SID erhält und somit ein gänzlich neues Objekt darstellt.

Quellen und weitere Informationen:
http://lindstrom.nullsession.com/?page_id=11
http://technet.microsoft.com/en-us/magazine/2007.09.tombstones.aspx