NilsK

Moin, Was kann denn auf einem DC vollgeschrieben werden? Ich würde da kurzen Prozess machen, den DC aus den AD entfernen und einen neuen aufsetzen. Sollte es auf der virtuellen Festplatte irgendwas von Belang geben, kann man die ja irgendwo mounten und die Daten weg kopieren. Gruß, Nils

Moin, Die Host-Fehlermeldung war vor dem Neustart des Hosts, richtig? Dann ist die hier weniger interessant. Meldet der Host nach dem Neustart noch Fehler? Gruß, Nils

Moin, um es noch mal ganz deutlich zu sagen: Das ist kein Thema für Policies, sondern für Automatisierung, sprich Skripte. Gruß, Nils

Moin, wenn das Hotel verkauft wird und eine eigene IT-Umgebung braucht, dann baut man für dieses Hotel eine eigene (separate) IT-Umgebung auf, die dann mit verkauft wird. In dem Fall könnt ihr sogar Dinge automatisieren und habt ein Konzept, das ihr dem Broker-Unternehmen als maßgeschneiderte Dienstleistung verkaufen könnt, die dann bei jedem neuen Hotel angewendet wird. Siehste, hier kriegst du sogar Business Consulting kostenlos dazu. Sag noch einer was über böse Dienstleister. Gruß, Nils

Moin, auf ein ordentliches AD-Backup. Das ist was anderes, als eine VM zu sichern. Letzteres kannst du auch tun, aber immer nur ergänzend. Falls das jemandem bekannt vorkommt: Ja, ich habe gerade in Erfurt darüber gesprochen. https://www.it-p.de/experts-live-germany-die-relevanz-von-active-directory-ad-im-cloud-zeitalter/ (hier Seite 53) Gruß, Nils

Moin, kurz und knapp: Das ist nicht so. Du kannst zwei Domänen, die zu einem Tree gehören, nicht nachträglich trennen. Der Tree bringt dir keinen Vorteil. Das wird daran liegen, dass eine Multi-Domänen-Umgebung eben einiges an Besonderheiten mitbringt, mit denen man umgehen muss. Dazu gehört die Frage, welche Objekte sich in welcher der Domänen befindet. Auch DNS muss passend eingerichtet sein. Eine solche Umgebung erschwert die Administration, bringt aber weder für die Sicherheit noch für den Betrieb Vorteile. Deshalb macht man das nicht (mehr). [Welches Domänenmodell ist das Beste für Active Directory? | faq-o-matic.net] https://www.faq-o-matic.net/2007/06/09/welches-domaenenmodell-ist-das-beste-fuer-active-directory/ Heute würde ich den Artikel noch wesentlich schärfer formulieren und deutlich sagen, dass ein Multi-Domänen-Konzept fast immer die falsche Wahl ist. Gruß, Nils

Moin, na, wenn du das sagst ... dann muss ich das wohl seit 25 Jahren irgendwie falsch verstanden haben. Gruß, Nils

Moin, warum ein Tree? Das macht man eigentlich schon lang nicht mehr. Da es nur sehr wenige Gründe dafür gibt - welcher ist es hier? Zudem wäre es nett, wenn du dein Problem deutlich benennst und es nicht in so einem langen Text versteckst. Gruß, Nils

Moin, falscher Dampfer. Die autorisierende Wiederherstellung braucht man, um einzelne gelöschte Objekte in einem laufenden AD wiederherzustellen. Wenn man einen einzelnen DC in einem nicht laufenden AD wiederherstellt, dann gibt es ja kein laufendes AD. Dann braucht man auch keine autorisierende Wiederherstellung, die würde nur das USN-Gefüge durcheinanderbringen (was aber meist auch kein echtes Problem darstellt). Das Problem mit Netlogon usw. wird ein Detailproblem sein, das sich auf dem betreffenden DC beheben lassen sollte. FSMO-Rollen sind hier uninteressant. Clients können während des Restores laufen oder nicht, das hat für den Restore-Vorgang keine Auswirkung. Je nachdem, was da im Detail kaputtgegangen ist und wie vorher gesichert wurde, ist es mit dem Restore eines DCs halt nicht getan. Zusätzliche Arbeit wird man immer haben. [Video-Tutorial: Active Directory Object Recovery | faq-o-matic.net] https://www.faq-o-matic.net/2009/09/07/video-tutorial-active-directory-object-recovery/ Gruß, Nils

Moin, Prima, Glück gehabt. Danke für die Rückmeldung. Dann empfehle ich als nächstes ein Recovery-Konzept (ein Backup-Konzept folgt daraus). Gruß, Nils

Moin, das Flag "nicht exportierbar" ist nur ein Versteckspiel. Die Windows-MMC hält sich daran, das müsste sie aber nicht tun. Es gibt Clients, mit denen man den Key trotzdem exportieren kann. Ist auch kein Wunder, denn um ihn nutzen zu können, muss man ihn ja lesen, und das ist bei Computern gleichbedeutend mit Kopieren. Gruß, Nils PS. nein, ich kann keinen Client nennen, mangels Bedarf. Kann aber keine riesige Hürde sein.

Moin, System Engineer ist keine geschützte Berufsbezeichnung. Am Ende versteht jede etwas anderes darunter. Meist handelt es sich dabei um "Praktiker", die Konzepte erarbeiten und auch umsetzen. Ein Studium ist zumindest nicht generell Voraussetzung. Von den SEs, mit denen ich in den letzten 25 Jahren gearbeitet habe, hatte schätzungsweise weniger als die Hälfte studiert - und von diesen hatte schätzungsweise weniger als die Hälfte ein IT-Studium. Ähnlich ist das mit der Bezeichnung "IT-Consultant", auch die ist nicht geschützt und lässt keinen Rückschluss auf den Bildungsweg oder die Berufserfahrung zu. Das Zitat, das du da anführst, ist nicht aussagekräftig. Gruß, Nils (vom Ausbildungsweg her Literaturwissenschaftler)

Moin @Admin666, dein Engagement in Ehren, aber kann es sein, dass du im Eifer etwas viel interpretierst und unterstellst? Du äußerst hier eine ganze Menge Dinge, die nur auf Vermutungen beruhen, und leitest daraus heftige Kritik ab. Hier bist du ziemlich auf dem Holzweg. "System Engineer" hat mit Studium nichts zu tun und sagt natürlich auch nicht aus, dass keine Berufserfahrung vorliegt. Gruß, Nils

Moin, Ich habe diesen Vergleich mal in einem Vortrag visualisiert, daher wird er mir oft zugeschrieben. Sehr schmeichelhaft, aber in Wirklichkeit habe ich mir die Analogie irgendwo abgeguckt und weiß nicht mehr, wo. Gruß, Nils

Moin, also geht es um RDP-Sessions auf einem bestimmten Server, die nach einer gewissen Zeit beendet werden sollen? Dann dürfte dies hier passen: https://gpsearch.azurewebsites.net/#8098 Oder geht es um etwas anderes? Gruß, Nils

Moin, und wo ist jetzt das Szenario? Gruß, Nils

Moin, Ohne Domäne gibt es nur lokale Konten. Du musst also jeden User, der zugreifen soll, auf dem Rechner anlegen, wo die Daten liegen. Diesen lokalen Konten gibst du dann die Berechtigungen. Wer zugreifen will, muss sich beim Zugriff mit einem dieser Konten anmelden. Falls auf dem zugreifenden Rechner ein User mit gleichem Namen und Kennwort angemeldet ist, muss dieser sich nicht ausdrücklich anmelden. Seine Anmeldung wird in den Fall übernommen. Vielleicht ist das der Effekt, den du siehst. Auch in so einem Konstrukt sollte man die Berechtigungen über NTFS vergeben, nicht über die Freigabe. Gruß, Nils

Moin, ist das eine Testumgebung? Oder was? Egal, ob du das repariert bekommst oder neu machst - dass man Hyper-V nicht auf demselben Blech betreibt wie einen DC, sollte sich mittlerweile rumgesprochen haben. Genauer: Ein DC ist nur DC und ein Host ist nur ein Host. Punkt. Vielleicht solltest du jetzt mal anfangen, Klartext zu reden, was das da überhaupt alles ist. Mit Bruchstücken kommen wir hier nicht weiter, und dafür müssen wir unsere Zeit auch nicht investieren. Wenn ein AD nicht läuft, weil der einzige DC tot ist, dann sind die Daten des AD auch nicht da. Ob du das Backup noch wiederhergestellt bekommst, wird sich ja zeigen. Wenn nicht, dann keine AD-Daten. Oder wovon redest du? Gruß, Nils

Moin, Evgenij, dein Account wurde gehackt. Gruß, Nils

Moin, also ... wenn du seit 10 Tagen auf den DC verzichten kannst, klingt es, als sei die Umgebung nicht ganz so kritisch. Von wie vielen Anwendern sprechen wir denn in etwa? Vielleicht ist es nach der vergangenen Zeit sinnvoller, die Umgebung neu aufzubauen. Das erzeugt Umstände, aber geht vielleicht schneller, als weiter erratisch an dem Recovery rumzumachen. Gruß, Nils

Moin, Naja, sooo exotisch sind Thema und Technik nun auch wieder nicht. Da findet man schon Leute. Gruß, Nils

Moin, diese Aussage wird nicht ausreichen, wenn ihr ein Audit überstehen wollt. Abgesehen davon, dass es keinen "DSGVO-Schalter" beim M365 gibt und die "Analyse-Tools" eher ein sekundäres Problem sind, kommt es vor allem darauf an, dass ihr bestimmte Dinge nicht macht. In einer Kita habt ihr es mit sehr sensiblen personenbezogenen Daten zu tun, die nicht ohne Weiteres einer Cloud übergeben werden können. Viel tiefer können wir in einem Forum nicht gehen, denn 1. würde das auf Rechtsberatung hinauslaufen, die wir nicht leisten dürfen und 2. ist das für ein Forum erheblich zu komplex, das ist eine Beratungsdienstleistung, die durchaus Geld kosten kann. Der Träger eurer Kita sollte euch da weiterhelfen können, ihr seid ja nicht die erste Einrichtung, die sowas vorhat. Ein DSB ist dafür nur bedingt der richtige Ansprechpartner, weil er die Technik nicht umsetzen, sondern bewerten soll. Gruß, Nils

Moin, Danke für die Info. Wenn das so ist, wie du beschreibst, dann würde ich schleunigst alle VMs, die auf dem "alten" Host laufen, dort weg migrieren. Es kann gut sein, dass das Dateisystem dort kaputt ist. Und nun hoffe ich, dass du nicht nur "Rollen überträgst", denn das ist das geringste Problem, sondern dein AD ausreichend betriebssicher aufbaust. Gruß, Nils

Moin, also, da wäre mein Optimismus begrenzt. Wer das braucht, sollte sich lieber die PowerShell ansehen. Gruß, Nils

Moin, wenn man wüsste, welche DLL dafür zuständig ist und wie die angesprochen wird, könnte man die evtl. einbinden. Wäre aber ohne offiziellen Support ein kruder Hack, den man bei einem Sicherheitsthema eher nicht haben möchte. Gruß, Nils