1 Änderungen bei Windows Server 2008 R2

Transkript

1 1 Änderungen bei Windows Server 2008 R2 1.1 Die Neuerungen im Überblick Zeitgleich mit Windows 7 erschien auch das Serverbetriebssystem Windows Server 2008 R2. Diese beiden Betriebssysteme haben den gleichen Kernel, genauso wie Windows Server 2008 und Windows Vista identische Kernel haben. Mit dem Windows Server 2008 R2 führt Microsoft eine neue Funktionsebene für Active Directory ein. Diese Ebene ist erforderlich, damit sich einige der neuen Verbesserungen des Active Directory nutzen lassen, wie beispielsweise der Papierkorb im Active Directory. Mit ihm lassen sich gelöschte Objekte einfach wiederherstellen. Als neue Verwaltungsoberfläche kommt jetzt das Active Directory Administration Center zum Einsatz Nur noch 64-bit Windows Server 2008 R2 wird nur noch in der 64-bit Version zur Verfügung stehen, es gibt keine 32-bit Version mehr Active Directory Administration Center Windows Server 2008 R2 bietet eine neue zentrale Verwaltungsoberfläche für alle Routineaufgaben, das Active Directory Administration Center. Nach wie vor stehen aber die bekannten Snap-Ins noch zur Verfügung. Die Verknüpfung zum Active Directory Administration Center finden Sie unter dem Menüpunkt Verwaltung Best Practices Analyzer Überprüfung von Active Directory Als weitere Neuerung steht auch ein Best Practices Analyzer zur Verfügung, sobald Active Directory installiert ist. Mit diesem Tool können Sie die wichtigen Komponenten für das Active Directory überprüfen. Hier sind die wichtigsten Überprüfungen: Konsistenz der SRV-Records der Domänencontroller. Schemamaster und Domänennamenmaster sind auf dem gleichen Domänencontroller positioniert. RODC und PDC-Emulator sind auf dem gleichen Domänencontroller positioniert. Korrekter Computername der Domänencontroller. Anzahl der Domänencontroller in der Domäne. LDAP-Anbindung der Domänencontroller. Globale Kataloge und deren Funktionalität Papierkorb für Active Directory Ein völlig neues Tool ist der Papierkorb für Active Directory. Hierzu ist es nötig, die Funktionsebenen auf Windows Server 2008 R2 anzuheben. Der Papierkorb muss zunächst aktiviert werden. Dies wird in der Power-Shell vorgenommen. Geben Sie in der PowerShell nach dem Start den Befehl 1

2 Get-ADOptionalFeature ein. Anschließend werden Sie nach dem Filter gefragt. Hier verwenden Sie am besten den Platzhalter *. Nun zeigt die PowerShell Informationen zu den optionalen Features an beispielsweise im Bereich EnabledScopes zeigt den Wert { }, was bedeutet, dass das Feature noch deaktiviert ist. Wichtig ist, dass der Wert bei RequiredForestMode auf WindowsServer2008R2Forest steht und dieser Wert aktiviert ist. Dann können Sie den Papierkorb aktivieren. Dafür geben Sie den Befehl Enable-ADOptionalFeature "Recycle Bin Feature" ein. Anschließend fragt die PowerShell nach dem Scope. Hier verwenden Sie ForestOrConfigurationSet. Danach benötigen Sie das Target. Geben Sie hier als Wert die Bezeichnung Ihrer Gesamtstruktur ein, also den FQDN, zum Beispiel Meistertrainer.info. Danach müssen Sie die Aktivierung noch bestätigen. ACHTUNG! Die Aktivierung ist einmalig, sie lässt sich nicht mehr rückgängig machen! Das bedeutet, dass Sie die entsprechende Domäne oder die Gesamtstruktur löschen und neu erstellen müssen, um die Funktion wieder zu deaktivieren! Testen Sie nun die Funktionalität des Papierkorbs. Dazu legen Sie eine neue Organisationseinheit ein, und löschen diese danach wieder. Lassen Sie sich nun den Inhalte des Papierkorbs anzeigen: Get-ADObject SearchBase CN=Deleted Objects,DC=<Domänenname>, DC=<Top-Level-Domänenname>" ldapfilter (objectclass=*) -includedeletedobjects. In der neuen PowerShell lässt sich der Status des Papierkorbs von Active Directory anzeigen. Die Option -includedeletedobjects stellt sicher, dass nicht nur alle herkömmlichen Objekte angezeigt werden, sondern dass die PowerShell gelöschte Objekte berücksichtigt. Die Anzeige erfolgt allerdings nicht nur in Klartext, vielmehr zeigt die PowerShell die GUID des entsprechenden Objektes an. Diese GUID benötigen Sie für die Wiederherstellung. Wenn Sie ein Objekt wiederherstellen möchten, kopieren Sie die GUID in die Zwischenablage, und geben Sie dann den Powershell-Befehl ein: Restore-ADObject Identity <GUID> Offline-Domänenaufnahme Eine weitere Neuerung in Windows Server 2008 R2 ist es, Clients in die Domäne aufnehmen zu können, ohne dass er eine Netzwerkverbindung zur Domäne hat. Der Client muss dazu Windows 7 als Betriebssystem haben, und Sie müssen zunächst eine Aufnahmedatei erstellen. Dazu erstellen Sie ein Computerkonto, und speichern diese Informationen in einer Datei. Das Computerkonto erstellen Sie mit dem Befehl: DJOIN /Provision /domain <Domänenname> /Machine <Computername> /SaveFile <Dateiname> Der Inhalt der erstellten Datei ist verschlüsselt. Nach der Ausführung des Befehls sehen Sie das erstellte Computerkonto in der OU des Computers innerhalb der Domäne. Nun müssen Sie die Datei auf dem entsprechenden Client-Computer verfügbar machen. Mit dem Befehl DJOIN /Requestodj /LoadFile <Dateiname> /windowspath <Pfad zu Windows> nehmen Sie den Computer in die Domäne auf, ohne dass eine Verbindung zur Domäne bestehen muss. 2

3 1.1.6 Neue Version der PowerShell Wie Sie schon beim Thema Papierkorb bemerkt haben, ist die Powershell nun sehr wichtig geworden. Es ist auch eine neue Version eingeführt worden, Version 2.0. Die neue PowerShell müssen Sie als Feature installieren. Nachdem Sie Active Directory installiert haben, müssen Sie in der PowerShell 2.0 zunächst das Active- Directory-Modul laden, um alle Befehle nutzen zu können. Geben Sie dazu den Befehl add-module active Directory in der PowerShell ein, gefolgt vom Befehl get-module. Wichtige PowerShell-Befehle In der nachfolgenden Liste finden Sie wichtige PowerShell-Befehle. Ausführliche Informationen über die Funktion des Befehls und dessen Syntax erhalten Sie über <Befehl> /help in der PowerShell. Häufig kann man die Funktion des Befehls bereits am Namen erkennen. Add-ADDomainControllerPasswordReplicationPolicy Add-ADGroupMember Clear-ADAccountExpiration Disable-ADOptionalFeature Enable-ADOptionalFeature Get-ADAccountResultantPasswordReplicationPolicy Get-ADComputerServiceAccount Get-ADDomain Get-ADDomainControllerPasswordReplicationPolicy Get-ADFineGrainedPasswordPolicy Get-ADForest Get-ADGroupMember Get-ADOptionalFeature Get-ADPrincipalGroupMembership Get-ADServiceAccount Get-ADUserResultantPasswordPolicy Move-ADDirectoryServer Move-ADObject New-ADFineGrainedPasswordPolicy New-ADObject New-ADServiceAccount Remove-ADComputer Remove-ADDomainControllerPasswordReplicationPolicy Remove-ADFineGrainedPasswordPolicySubject Remove-ADGroupMember Remove-ADOrganizationalUnit Remove-ADServiceAccount Rename-ADObject Restore-ADObject Set-ADAccountControl Set-ADAccountPassword 3

4 Set-ADDefaultDomainPasswordPolicy Set-ADDomainMode Set-ADForest Set-ADGroup Set-ADOrganizationalUnit Set-ADUser Unlock-ADAccount 1.2 Windows Server 2008 R2 als DC in einer bestehende Domäne Die Voraussetzung um neu Features nutzen zu können, ist der Gesamtstrukturfunktionsmodus Windows Server 2008 R2. Das bedeutet, alle Domänencontroller (DC) in allen Domänen einer Gesamtstruktur müssen unter Windows Server 2008 R2 betrieben werden Die Voraussetzungen damit der erste Windows Server 2008 R2 DC hinzugefügt werden kann Die Domäne in der man den Windows Server 2008 R2 DC hinzufügen möchte, muss sich im einheitlichen Domänenfunktionsmodus (entweder Windows 2000 pur, Windows Server 2003 oder Windows Server 2008) befinden. Ist der Einsatz eines Windows Server 2008 oder Windows Server 2008 R2 RODCs in der Gesamtstruktur geplant, so ist das erst ab der Gesamtstrukturfunktionsebene Windows Server 2003 möglich. Auch muss sich bereits ein voll beschreibbarer Windows Server 2008 DC oder Windows Server 2008 R2 DC in der Domäne befinden, in der man den RODC hinzufügen möchte. 1.3 Fragen Frage 1: Sie haben in Ihrer Firma eine einzelne Domäne, die im Gesamtstrukturfunktionsmodus Windows Server 2008 läuft. Alle Domänencontroller haben Windows Server 2008 R2 als Betriebssystem. Was müssen Sie tun, um den Active Directory Papierkorb zu benutzen? Sie müssen den Gesamtstrukturfunktionsmodus auf Windows Server 2008 R2 ändern und das cmdlet Enable-ADOptionalFeature benutzen 4

5 Frage 2: Sie haben in Ihrer Firma eine einzelne Domäne, die im Gesamtstrukturfunktionsmodus Windows Server 2008 läuft. Alle Domänencontroller haben Windows Server 2008 R2 als Betriebssystem. Mit welchen cmdlet können Sie einen gelöschten Computer wiederherstellen? Restore-ADObject Frage 3: Welchen Domänenfunktionsmodus benötigen Sie, um einen RODC unter Windows Server 2008 R2 zu installieren? Windows Server 2003 Frage 4: Momentan haben Sie eine Windows Server 2008 Domäne mit mehreren RODCs. Was müssen Sie tun, um RODCs mit Windows Server 2008 R2 hinzufügen zu können? Adprep /domainprep Adprep /forestprep Oder mit cmdlet: Set-ADDomainMode Identity Frage 5: Sie haben in Ihrer Firma eine einzelne Domäne, die im Gesamtstrukturfunktionsmodus Windows Server 2008 R2 läuft. Wie können Sie einen Server hinzufügen, ohne dass er mit der Domäne bei der Aufnahme verbunden sein muss? Auf einem Computer, der mit der Domäne verbunden ist, führen Sie den Befehl Djoin.exe mit dem Parameter provision aus. Auf dem Computer, der hinzugefügt werden soll, führen Sie den Befehl Djoin.exe mit dem Parameter requestodj aus. 5

6 Frage 6: Alle Mit welchem cmdlet können Sie verhindern, dass die Domänenrichtlinie, die eine Änderung der Kennwörter alle 30 Tage erzwingt, für das Konto einer Anwendung angewendet wird? Anwort: Set-ADServiceAccount Frage 7: Alle Mit welchem cmdlet können Sie die AppLocker Richtlinie überprüfen? Test-AppLockerPolicy Frage 8: Alle Mit welchem cmdlet können Sie Subnetze für die Standortdefinition hinzufügen? Antwort New-ADObject Frage 9: Alle Mit welchem cmdlet können Sie Gruppenrichtlinien sichern? Backup-GPO 6