Frage: Kann der Hauptbenutzer das Konto des Administrators löschen oder sein Kennwort ändern? Oder das Konto eines anderen mit Admin-Rechten angelegten Kontos?

Antwort: Nein. Er kann nur z.B. neue Benutzer erstellen und sie maximal zu Hauptbenutzern befördern.

Aber das Problem mit einem Hauptbenutzer liegt auch woanders …

Er darf in den System– und Programme-Ordnern schreiben. Jetzt hinterlegt er anstelle der programm.exe eine programm.bat und bennent die programm.exe in programm1.exe um.

Das einzige, was der Hauptbenutzer jetzt noch braucht, ist Zeit. Er muss warten, bis sich ein Administrator anmeldet und die programm.bat ausführt. Den Link im Startmenü mit Namen und Icon kann man ja fix hinterlegen. Damit der Admin es auch nicht merkt.

In der Batch steht jetzt etwa:

net localgroup Administratoren meinBentzer /add
programm1.exe

Mit der ersten Zeile wird der Benutzer Admin, mit der zweiten startet das eigentlich gemeinte Programm, und damit ist für den Admin alles prima und er hat nichts gemerkt.

Manchmal werden Benutzer durch eine Migration, beim Neuanlegen oder auch beim Zurücksetzen des Kennwortes mit einem Standardkennwort versehen. Ab und zu wird dann vergessen, bei der erstmaligen Anmeldung von einem Benutzer an der Domäne einen Kennwortwechsel zu erzwingen. Leider ist es nicht möglich, die Kennwörter der Benutzer aus dem Active Directory direkt auszulesen, da diese nur als Hashwert in der Active-Directory-Datenbank abgelegt sind. Mit einem kleinen Trick kann man aber mehrere Benutzerobjekte prüfen, ob diese ein bekanntes Standardkennwort noch verwenden.

… weiterlesen

Excel wird bei der Installation als Standardprogramm für CSV-Dateien eingerichtet. Es ist auch als Tabellenkalkulation gut dazu geeignet. Leider aber stellt Excel sich beim Umgang mit diesen Dateien manchmal etwas an: Gerade bei "echten" CSV-Dateien, deren Trennzeichen kein Semikolon, sondern ein Komma ist, erkennt Excel die Spaltentrennung nicht. Das liegt an den deutschen Spracheinstellungen – hierzulande ist das Komma der Dezimaltrenner, Excel möchte also gern ein Semikolon als Trennzeichen haben. Doch Abhilfe ist einfach.

… weiterlesen

Es ist nicht ganz leicht, im Rahmen einer Dokumentation im Netzwerk die Server zu identifizieren, die mit Windows Server 2003 R2 betrieben werden. Es liegt zwar nahe, die Einträge des Active Directory zu prüfen, aber dort wird kein Unterschied sichtbar zwischen einem Server mit SP1 und einem mit R2 (was ja technisch auch dieselbe Grundlage ist).

… weiterlesen

DNS ist eines der wichtigsten Themen im Zusammenhang mit Active Directory. Ein FAQ-Artikel kann hier keine umfassende Anleitung geben. Da aber viele Administratoren nicht genau wissen, was sie beim DNS berücksichtigen müssen, hier ein paar Hinweise.

Update 3. August 2010: Microsoft hat nun eine eigene „offizielle“ und umfassende Liste an Empfehlungen veröffentlicht. Siehe dazu:

[faq-o-matic.net » DNS für AD: Die offiziellen Empfehlungen]
http://www.faq-o-matic.net/2010/08/03/dns-fr-ad-die-offiziellen-empfehlungen/

… weiterlesen

Active Directory ist ein wartungsarmer Dienst. Die meisten Aufgaben geschehen automatisch im Hintergrund oder lassen sich bequem über die grafische Oberfläche erledigen. In manchen Fällen muss aber ein Spezialwerkzeug eingesetzt werden, das etwas eigen in der Bedienung ist: NTDSUTIL. Das Kommandozeilenprogramm  erfordert genaue Kenntnisse über die internen Abläufe und Zusammenhänge des Windows-Verzeichnisdienstes. Dieser Artikel stellt die einzelnen Funktionen des Programms kurz vor und gibt Hinweise, wo Details nachzuschlagen sind.

… weiterlesen

Wie baut man sich eigentlich mit wenig Aufwand eine Testumgebung für Active Directory auf, die in den wichtigsten Aspekten mit der produktiven Umgebung übereinstimmt? Ein Weg besteht im Abzweigen oder Klonen eines Domänencontrollers – Nachteile: Die Testumgebung ist sicherheitskritisch, weil sie alle Kennwörter enthält, und sie hat denselben Namen wie die Produktive Umgebung, kann also nicht im selben Netzwerk laufen. Ein sinnvollerer Weg besteht also darin, keine 100-Prozent-Kopie zu erzeugen, sondern nur die Struktur der Objekte zu übernehmen. Fragt sich nur, welches das beste Werkzeug dafür ist. Fündig wird man bei den GPO-Gurus …

… weiterlesen

Update 14.3.2007: Mit dem Windows Vista Application Compatibility Update von März 2007 funktioniert das Adminpak von Windows Server 2003 SP1 auch mit Windows Vista. Das im Folgenden beschriebene Verfahren ist damit nicht mehr notwendig. Erhältlich ist das Update über http://support.microsoft.com/?kbid=932246 (ganz hinunterscrollen) – zu diesem Artikel gibt es aus irgendeinem Grund nur die gruselige maschinenübersetzte Fassung, aber nicht das Original (Stand 14.3.2007). Achtung, das Update muss ausdrücklich mit administrativen Rechten gestartet werden!

Update Juli 2008: Für Vista ab Service Pack 1 stehen jetzt die Remote Server Administration Tools (RSAT) zur Verfügung, die die Verwaltung von Windows-Servern einschließlich Windows Server 2008 zulassen. Hier ist der Download:

[Downloaddetails: Microsoft Remoteserver-Verwaltungstools für Windows Vista 32-Bit Edition (KB941314)]
http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=9ff6e897-23ce-4a36-b7fc-d52065de9960

[Downloaddetails: Microsoft Remoteserver-Verwaltungstools für Windows Vista SP1 64-Bit Edition (KB941314)]
http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=d647a60b-63fd-4ac5-9243-bd3c497d2bc5

Achtung: Nach dem Download und der Installation müssen die Tools erst noch aktiviert werden. Dazu ruft man in der Systemsteuerung unter „Programme“ bzw. „Software“ (je nach Ansichtsmodus) die Funktion „Windows-Funktionen ein- oder ausschalten“ auf. Danach kann man die RSAT ganz oder teilweise einschalten.

… weiterlesen

Windows Server 2003 enthält die so genannten "ds*-Tools": Eine Sammlung von Kommandozeilenprogrammen, die Massenoperationen an Active Directory zulassen. Zu diesen Tools zählen dsquery (Abfragen des AD), dsget (Zugriff auf bestimmte Objekte erhalten), dsadd (Objekte erzeugen), dsmove (Objekte verschieben), dsmod (Objekte manipulieren) und andere. Das Interessante ist, dass diese Tools das Piping unterstützen, d.h. man kann etwa die Ausgabe einer dsquery-Abfrage direkt an dsmod verfüttern, um alle gefundenen Objekte zu bearbeiten.

… weiterlesen

Die mehr oder weniger stetig fallenden Preise für Hauptspeicher führen zu einem immer größer werdenden Angebot von Computern mit >2 GB Hauptspeicherausbau. Waren vor wenigen Jahren Hauptspeicher im Gigabytebereich nur Servern vorbehalten, sind die Preise mittlerweile soweit gesunken, dass auch Privatanwender den Hauptspeicher ihres Computers grosszügig ausbauen. Da Windows Vista den vorhandenen Hauptspeicher wesentlich effektiver als frühere Windows-Versionen ausnutzt und neue Technologien wie SuperFetch und ReadyBoost einführt, wird die Verwendung von Hauptspeicher im Gigabyte-Bereich sehr schnell Mainstream werden. … weiterlesen