Windows-Server kennen zwei (bzw. drei) Modelle, wie die Client-Zugriffe lizenziert werden. Erforderlich sind dabei "Client Access Licenses" (CALs), die in jedem Fall gleich viel kosten. Vorsicht: Eine CAL für Windows 2000 Server berechtigt nicht zum Zugriff auf einen Windows Server 2003!

Dazu gibt es keine Möglichkeit, die ausreichend sicher ist. runas selbst kennt den Schalter /savecred, mit dem man einmalig die Anmeldedaten speichern kann. Aber dann kann man den Sicherheitsfaktor auch gleich bleiben lassen.

Hier die beiden wichtigsten Hilfsmittel: Die Microsoft Knowledge Base Die Event-ID-Datenbank eventid.net 

Um den SID eines Benutzer- oder Gruppenkontos herauszufinden, gibt es keinen eingebauten Befehl. Mit einem WMI-Script geht es aber recht einfach (grundsätzlich auch per ADSI, aber nicht so komfortabel). Folgendes Script als name2sid.vbs speichern und ausführen. Achtung: Es dauert ein bisschen, bis das Ergebnis angezeigt wird. Eine andere Variante wäre das Tool User2Sid (Download der komilierten […]

Die offizielle Lesart ist: Das Berechtigungssystem von Windows kennt für Ordner, Dateien und andere Objekte (z. B. ADS-Objekte) nur einen User als Besitzer. Die einzige Ausnahme sind Admins: Wenn ein Mitglied der lokalen Gruppe „Administratoren“ Besitzer eines Objekts ist, so setzt Windows stattdessen die Administratoren-Gruppe als Besitzer. Das Ändern des Besitzers ist bis einschließlich Windows XP […]

Zur Dokumentation oder zum Reporting von Berechtigungen auf einem Windows-System gibt es zahlreiche Möglichkeiten. Hier ein Überblick (ohne Anspruch auch Vollständigkeit):

Wer von einer Workstation aus nur das AD verwalten möchte, aber nicht alle anderen Serverdienste, muss nicht das ganze Adminpak installieren. Mit folgendem Kommando werden nur die AD-Verwaltungstools installiert:

Natürlich gibt es auch hierzu mehrere (kostenlose) Möglichkeiten – hier eine (unvollständige) Auswahl einiger Bordmittel. Achtung, mit Ausnahme des "dsget"-Beispiels geben alle Kommandos nur die direkten Mitglieder der Gruppe aus, aber nicht die indirekten. Die Beispiele gehen von einer Gruppe namens "Consulting" aus:

Das folgende Skript gibt den Wert eines beliebigen Attributs aus dem Active Directory für einen User zurück, dessen Logon-Name (SAM-Name, sAMAccountName) bekannt ist. Das ist nützlich, wenn beispielsweise zu der bekannten Systemvariablen %username% die Mailadresse, die Telefonnummer, der LDAP-Pfad oder irgendwas anderes aus dem AD erfragt werden soll.

Um verschiedene Windows-Versionen beispielsweise innerhalb eines Loginscripts unterscheiden zu können, kann man sich des Befehls "ver" bedienen. Da es sich um einen Konsolenbefehl handelt, muss seine Ausgabe allerdings geparst werden.