FISILernwerkstatt

Weiterführend · Betriebssysteme · Microsoft

Windows zentral verwalten

Active Directory verbindet Identitäten, Geräte und Regeln. Entscheidend ist zu verstehen, welches Bauteil welche Aufgabe übernimmt.

Abhängigkeit

Ohne DNS kein gesundes AD

Clients finden Domänencontroller über DNS-SRV-Records. Deshalb müssen Domänenmitglieder als DNS-Server die zuständigen internen DNS-Server verwenden – nicht einfach einen öffentlichen Resolver.

  • A/AAAA: Name zu IPv4-/IPv6-Adresse
  • PTR: IP-Adresse zu Name in einer Reverse-Lookupzone
  • SRV: Dienst und zuständigen Server finden
  • CNAME: Alias auf einen anderen Namen

Berechtigungen

Konten nicht einzeln berechtigen

Ein bewährtes Denkmodell ist AGDLP: Accounts kommen in globale Gruppen, diese in domänenlokale Gruppen, und domänenlokale Gruppen erhalten Permissions auf Ressourcen.

A  → Benutzerkonto Anna
G  → GG_Vertrieb
DL → DL_Ablage_Vertrieb_Aendern
P  → NTFS-Recht „Ändern“ auf der Ablage

Das schafft nachvollziehbare Rollen. Ändert eine Person die Abteilung, werden Gruppenmitgliedschaften angepasst statt vieler einzelner ACL-Einträge.

Konfiguration

Gruppenrichtlinien und LSDOU

GPOs verteilen Einstellungen für Computer und Benutzer. Die grundlegende Verarbeitungsreihenfolge lautet Local, Site, Domain, OU. Später verarbeitete Richtlinien können frühere Einstellungen überschreiben.

  • GPOs enthalten Einstellungen; Links verbinden sie mit Sites, Domänen oder OUs.
  • Sicherheitsfilter und WMI-Filter grenzen die Anwendung ein.
  • gpresult /r zeigt angewendete Richtlinien.
  • gpupdate /force stößt eine Aktualisierung an, ersetzt aber keine Ursachenanalyse.

IP-Konfiguration

DHCP in vier Schritten: DORA

D
Discover

Client sucht per Broadcast einen DHCP-Server.

O
Offer

Server bietet Adresse und Optionen an.

R
Request

Client fordert das gewählte Angebot an.

A
Acknowledge

Server bestätigt die Lease.

Ein DHCP-Relay leitet Anfragen über Routergrenzen weiter, damit nicht in jedem Subnetz ein eigener Server stehen muss.

Automation

PowerShell arbeitet mit Objekten

In einer PowerShell-Pipeline werden strukturierte Objekte weitergegeben. Dadurch greifst du auf Eigenschaften zu, statt Textspalten mühsam zu zerlegen.

Get-Service | Where-Object Status -eq 'Running'
Get-Process | Sort-Object CPU -Descending | Select-Object -First 5
Get-ADUser -Filter * -SearchBase 'OU=Azubis,DC=intern,DC=example,DC=de'
Test-NetConnection server01 -Port 443
Vor Änderungen: Erst mit Get- prüfen, die Zielmenge eingrenzen und bei unterstützten Cmdlets -WhatIf verwenden.

Selbstcheck

Kurze Kontrollfragen

Warum sollte ein Domänenclient den internen DNS-Server verwenden?

Nur der zuständige DNS kennt normalerweise die AD-Zonen und SRV-Records, über die Clients Domänencontroller und AD-Dienste finden.

Warum sind Gruppen besser als direkte Benutzerrechte?

Gruppen bilden Rollen ab, machen Berechtigungen nachvollziehbar und reduzieren den Aufwand bei Personalwechseln.

Was ist der Unterschied zwischen OU und Gruppe?

Eine OU strukturiert AD-Objekte, ermöglicht Delegation und GPO-Verknüpfung. Eine Gruppe bündelt Mitglieder vor allem für Berechtigungen oder Verteilung.