Dieser Artikel ist der zweite Teil einer dreiteiligen Serie. Der vorherige Teil der Serie ist hier zu finden.

In diesem Teil wird ein Deployment Script erarbeitet und eingerichtet, welches den eigentlichen Domain Join und die dynamische DNS Aktualisierung übernimmt.

… weiterlesen

Die erfolgreiche Cloud & Datacenter Conference Germany geht in diesem Jahr in die dritte Runde – und sie wird noch größer und cooler als zuvor! Carsten Rachfahl und sein Team laden zu zwei Tagen Tech-Sessions und Geek-Networking nach Hanau in den Congress Park. Über 60 Sessions in bis zu sechs parallelen Tracks bieten ein prall gefülltes Programm, das seinesgleichen sucht.

Das Feld der Sprecherinnen und Sprecher zeigt das “Who’s Who” der IT-Branche und enthält viele Namen, die in der Community für Qualität stehen. Es empfiehlt sich, die Tickets rechtzeitig zu sichern. Termin der Konferenz: 15. und 16. Mai 2018.

Mehr Info:

[Cloud & Datacenter Conference Germany | Die Zukunft Ihrer IT gestalten]
https://www.cdc-germany.de/

Dieser Artikel ist der erste Teil einer dreiteiligen Serie.

Linux ist für viele Administratoren noch ein notwendiges Übel, welches im Netzwerk kursiert aber unter keinerlei Verwaltung steht.

Es fängt schon dabei an, dass hier meist kein einheitliches Image verwendet und keine zentrale Authentifizierung implementiert wurde, da sich die meisten KMU Unternehmen damit mangels fehlender Ressourcen nicht auseinander setzen.

Mit dieser Artikelserie möchte ich einige gute Optionen des System Center Virtual Machine Managers (SCVMM) in Verbindung mit Power Broker Open Identity Services (PBIS Open) aufzeigen, um auch hier etwas Einheitlichkeit zu schaffen.

… weiterlesen

Oder: Vertrauen ist gut, Kontrolle ist besser!

Welcher Windows-Administrator kennt diese Situation nicht? Man ist zwar eigentlich kein Datenbankadministrator (DBA), aber zur der Anwendung gehört halt ein SQL Server, und einen echten DBA gibt es nun mal nicht. Also muss man sehen, dass die Datenbank läuft. Genauso wichtig wie ein laufender Server ist gerade bei Datenbanken, dass man die Daten im Notfall auch wiederherstellen kann. Dabei muss man immer wieder feststellen, dass das Backup noch recht gut überwacht und kontrolliert wird, aber die Wiederherstellung so gut wie nie getestet ist.

Es gilt der Spruch:

Was interessiert mich das erfolgreiche Backup, der erfolgreiche Restore ist mir viel wichtiger!

Und letztendlich trifft dies genau den Kern des Problems. Viele (Teilzeit-) Datenbankadministratoren verlassen sich zu sehr auf die Meldung „Backup erfolgreich“, testen aber zu selten bis niemals ob auch die Wiederherstellung aus dem Backup funktioniert. Eine regelmäßige händische Kontrolle ist aufwendig, zeitintensiv und von Spaß wollen wir erst gar nicht reden. Aber es gibt einen einfachen und schnellen Weg den Restore über die Powershell zu testen.

… weiterlesen

Wer sich auf einen anderen Rechner per Remote Desktop verbindet bekommt ohne Konfiguration eine Meldung.

Jeder Windows Client erstellt ein selbst signiertes Zertifikat für die RDP-Verbindung. Über dieses Zertifikat wird die gesicherte Verbindung hergestellt. Es ist etwas unschön, da hier erstes eine Warnung kommt – wie kann ich sicher sein, ob es das richtige ist? Ich möchte hier den Weg zeigen wie es mit einer Windows-CA im Zusammenspiel mit einer GPO zu lösen ist.

… weiterlesen

Setzt man sich mit der Planung und Implementierung einer (möglicherweise Multi-Tier-) Enterprise-CA unter Windows auseinander, so wird man feststellen, dass hierfür sowohl ein CRL-Webserver (Certificate Revocation List) als auch ein OCSP Responder (Online Certificate Status Protocol) sinnvoll sind. In größeren Umgebungen befinden sich sowohl der CRL-Webserver als auch der OCSP Responder meistens in einer DMZ und sind weder Mitglied der selben noch Mitglied einer vertrauten Domäne der Issuing Certificate Authority (dt. Zertifizierungsstelle).

Im Gegensatz zu einer herkömmlichen Zertifikatssperrliste (CRL), welche komplett digital signiert von der Zertifizierungsstelle kommt, werden OCSP Anfragen pro Antwort signiert. Dafür wird ein OCSP Response Signing Zertifikat benötigt, welches nur kurze Laufzeiten haben sollte, da dies die Zertifikatserweiterung „id-pkix-ocsp-nocheck“ beinhaltet und so keinerlei Revocation Check erfolgt.

Die folgende Grafik beschreibt den Ablauf eines OCSP-Checks:

Steht der OCSP Responder (ggf. mehrere hinter einem Load Balancer) nun in einer DMZ, hat dieser keinerlei Möglichkeit, ein solches Zertifikat automatisch bei einer CA anzufordern. Dadurch gibt es für die Automatisierung dieses Vorganges auch keine Best Practice. Allerdings konnte uns auch hier PowerShell wieder aushelfen.

… weiterlesen

Möchte man die PrimaryGroupID (näheres siehe in diesem Beitrag) automatisch für alle AD-User prüfen und ggf. auch automatisch korrigieren, so kann man dies natürlich auch per PowerShell tun.

Im Active Directory gibt es standardmäßig eine Ausnahme, welche nicht die primaryGroupID 513 („Domain-Users“) hat: Hierbei handelt es sich um den User „Guest“, dieser hat die primaryGroupID 514 („Domain-Guests“) und muss somit gesondert berücksichtigt werden. Das Script „Correct-ADPrimaryGroup.ps1” (zu finden auf Github) berücksichtigt auch diese Ausnahme.

[Correct-ADPrimaryGroup.ps1 · GitHub]
https://gist.github.com/RobinBeismann/cbd3ae7e74d9d8fd331304d13788f0e0

Falls man sich nur die Vorkommnisse anzeigen lassen will, so kann man das Script direkt ausführen, da die Variable „$dryRun“ standardmäßig auf true steht. Möchte man die oben generierten (potentiellen) Fehler automatisch korrigieren lassen, so muss man Zeile 2 auf „$dryRun = $false“ ändern.

In der Standardeinstellung fragt das Script alle AD-User in der aktuellen Domäne ab, dies kann geändert werden in dem man Zeile 3 auf „$searchBase=’OU Pfad’“ ändert.

Nutzt man keine Enterprise-Linux-Systeme wie SUSE Enterprise Linux oder Redhat Enterprise Linux, stellt sich die Integration in einen LDAP-Verzeichnisdienst wie das Active Directory manchmal als kleine Herausforderung dar. Ein Weg dies, auf Debian-Derivaten zu realisieren, ohne auf Samba zurückzugreifen, ist Powerbroker Identity Services Open (PBIS Open) von BeyondTrust, ehemals bekannt als Likewise Open.

… weiterlesen

Im Januar gibt es eine kleine Eventreihe mit Kultcharakter: Developer-Guru Scott Guthrie kommt zu einer “Azure Red Shirt Dev Tour” nach München und Berlin. Im Fokus der kostenlosen eintägigen Events steht die Entwicklung mit Azure-Clouddiensten. Zügige Anmeldung ist sinnvoll. Am 17. Januar 2018 ist Scott in Berlin und am 18. Januar in München.

[Azure Red Shirt Tour Berlin]
https://www.microsoftevents.com/profile/form/index.cfm?PKformID=0x3109845abcd

[Azure Red Shirt Tour München]
https://www.microsoftevents.com/profile/form/index.cfm?PKformID=0x3107717abcd

Wir haben unsere beliebte Sammlung von AD-Testbenutzerkonten mit lustigen Namen erweitert. In der jüngsten Fassung sind über 330 Namen enthalten, das sind über 40 neue Benutzerkonten seit dem letzten Update.

Alles Weitere zur Sammlung findet sich hier, auch eine geordnete Liste:

[AD-Testuser mit Details und lustigen Namen (reloaded) | faq-o-matic.net]
https://www.faq-o-matic.net/2014/02/17/ad-testuser-mit-details-und-lustigen-namen-reloaded/

Den Download könnt ihr auch gleich hier vornehmen – aber Vorsicht: Wie immer legt das Skript nach einer kurzen Warnung sofort los und erzeugt über 330 Konten in der aktuellen Domäne.

  Create-fomUsers (17,1 KiB, 8.774-mal heruntergeladen, letzte Änderung am 22. Januar 2019)

Auch unsere Extra-Seite mit den Namen als Einzelportionen hat die neue Lieferung als Datenbestand:

[Lustige Namen]
https://www.faq-o-matic.net/namen/