AD-Schemaänderung ändern

[Muffel 11]

An einem ganz frischen 2008 R2 mit einem ganz frischen AD (2008 Level) habe ich als Domänenadmin nach Anleitung Schemaänderungen von Hand vorgenommen (Attribute anlegen in der Schema-MMC, die man auch unter 2008 erst noch freischalten muss). Leider ist mir bei zwei Einträgen ein Fehler unterlaufen und ich habe mich vertippt. Im ADSIEDIT kann ich den Eintrag zwar auswählen, aber weder löschen noch ändern. Die Änderung wird einfach ignoriert (nach OK ist Eintrag wie vorher) und die Löschung wird mit einem Zugriffsfehler verweigert.

 

Wie geht es?

[Daim 12]

Salve,

 

Wie geht es?

 

garnicht! Eine Schemaänderung kann nicht einfach wieder rückgängig gemacht werden, außer du führst ein Forest-Recovery durch, was keiner möchte. Eigene hinzugefügte Attribute kann man nicht löschen, höchstens deaktivieren. Aber zumindest "Schaden" sie auch nicht.

 

Du kannst weitere, diesmal mit korrekten Namen erstellen und beim nächsten Mal besser aufpassen.

[blub 115]

An einem ganz frischen 2008 R2 mit einem ganz frischen AD (2008 Level) habe ich als Domänenadmin nach Anleitung Schemaänderungen von Hand vorgenommen

 

Ist auch der falsche Ansatz. Kritische AD-Änderungen, zu denen Schemaänderungen sicher gehören, sollte man aus verschiedenen Gründen (Nachvollziehbarkeit, Testbarkeit, Vertippsler vermeiden) immer skripten.

 

cu

blub

[Muffel 11]

Eigene hinzugefügte Attribute kann man nicht löschen, höchstens deaktivieren. Aber zumindest "Schaden" sie auch nicht.

 

Du kannst weitere, diesmal mit korrekten Namen erstellen und beim nächsten Mal besser aufpassen.

 

Naja, ich muss beim Erstellen aber bestimmte IDs verwenden, wenn ich jetzt ein Attribut deaktiviere dann kann ich es doch nicht mit dieser eindeutigen ID neu anlegen. Oder? Wenn dann wie?

 

Ist auch der falsche Ansatz. Kritische AD-Änderungen, zu denen Schemaänderungen sicher gehören, sollte man aus verschiedenen Gründen (Nachvollziehbarkeit, Testbarkeit, Vertippsler vermeiden) immer skripten.

 

Das ändert ja nicht das Problem, wenn man einen Fehler im Skript hat. Bei mir geht es zum Beispiel um den Haken "Multiple Einträge" (IsSingelValue=TRUE oder so ähnlich), der bei den zwei Objekten fehlt (bzw. auf FALSE gesetzt werden müsste). Geht das wirklich nicht?

[NilsK 2.930]

Moin,

 

Naja, ich muss beim Erstellen aber bestimmte IDs verwenden, wenn ich jetzt ein Attribut deaktiviere dann kann ich es doch nicht mit dieser eindeutigen ID neu anlegen.

 

richtig. Da hast du jetzt, mit Verlaub, ein Problem.

 

Das ändert ja nicht das Problem, wenn man einen Fehler im Skript hat. Bei mir geht es zum Beispiel um den Haken "Multiple Einträge" (IsSingelValue=TRUE oder so ähnlich), der bei den zwei Objekten fehlt (bzw. auf FALSE gesetzt werden müsste). Geht das wirklich nicht?

 

Ja, das geht wirklich nicht. Aus genau dem Grund ja auch der Hinweis: Man baut sowas in einer abgeschotteten Testumgebung auf und skriptet es. Das prüft man dann in einer Staging-Umgebung. Erst dann lässt man es auf die Realumgebung los.

 

Gruß, Nils

[Muffel 11]

Da hast du jetzt, mit Verlaub, ein Problem.

 

:cry:

 

Wenigstens ist das AD nagelneu und es existiert nur ein einzelner Domaincontroller drin, von daher ist das Problem zeitlich doch sehr klein. Zum Glück!

 

Dann war das jetzt offiziell die Testumgebung.

 

Ja, das geht wirklich nicht.

 

Auch nicht inoffiziell? Beispielsweise über irgendeinen Editor (Dritthersteller)? :confused: Komisch, reinschreiben kann man, aber nicht ändern.

[blub 115]

nimms als Warnschuss, zumindest in einer produktiven Umgebung nicht ohne Grundlagenknowhow und ohne Prozesse im AD umeinanderzuklicken.

[NilsK 2.930]

Moin,

 

Auch nicht inoffiziell? Beispielsweise über irgendeinen Editor (Dritthersteller)? :confused: Komisch, reinschreiben kann man, aber nicht ändern.

 

was genau willst du jetzt hören? Wenn du dir irre viel Zeit nimmst, wirst du natürlich einen Weg finden. Sind ja nur Daten in einer Datenbank.

 

Es gibt aber weder einen supporteten noch einen dokumentierten Weg, so etwas zu tun. Und ein produktives AD würde ich nie, nie, niemals unsupported betreiben.

 

faq-o-matic.net AD-Schemaerweiterung: Ein paar Hinweise

 

Gruß, Nils