NilsK

Moin, nur eine Vermutung, aber es könnte sein, dass die Umlaut-Maskierung zuschlägt, die das AD für den sAMAccountName hat. Das hatten wir gerade in einem anderen Thread: das AD unterscheidet intern nicht zwischen einem User "Müller" und einem User "Muller". Ich würde einfach zwei Umbenennungen machen: von einß in einz, von einz in einss. Geht das? Gruß, Nils

Moin, ich hab den Thread noch mal gelesen. Um TLS-Zertifikate für den Zugriff von außen zu erzeugen, ist der interne Domänenname völlig egal. Wenn also nicht noch was anderes im Busch ist, braucht es weder eine Domänen-Migration noch irgendwelche DNS-Klimmzüge. Gruß, Nils

Moin, na, dann sind wir ja schon fast beim Filmzitate raten. "Oh, wir hatten dieses Jahr einen sehr schönen Sommer. Er fiel auf zwei Tage im Juli und einen im August." Leider weiß ich weder den exakten Wortlaut, noch kann ich mich an den Filmtitel erinnern. Irgendwas Britisches aus den Siebzigern, meine ich. Gruß, Nils

Moin, wer auch immer sich diesen Schw*chsinn mit dem dSHeuristics ausgedacht hat ... ein Quell steter Freude seit 25 Jahren. Gruß, Nils

Moin, nur um das jetzt noch mal ausdrücklich zu sagen: Für ein selbstsigniertes Zertifikat brauchst du gar keine PKI. Gruß, Nils

Moin, oder wie Norbert vor einer Stunde schon sagte ... Gruß, Nils PS. da PKI bekanntermaßen böse ist, ist bei erkanntem oder vermutetem Bedarf eine kompetente Beratung und Planung höchst sinnvoll. In einem Forum kann man technische Details diskutieren, aber an der Stelle sind wir hier offenkundig noch nicht.

Moin, dann verteilt erst mal nur Zertifikate. Baut die PKI erst dann, wenn ihr sie braucht. Kann gut sein, dass ihr keine braucht. Weder noch. Die beiden Server haben unterschiedliche Aufgaben. Eine Root-CA, die offline bleibt, eine Issuing-CA, die die Zertifikate verteilt ausstellt. Ihr bietet ja keine kommerziellen Zertifikatsdienste an, daher werdet ihr mit großer Sicherheit nur minimale Last haben und einen möglichen Ausfall per Recovery beantworten können. Siehe Norberts Antwort von vorhin. Gruß, Nils PS. ich hab oben den Ausdruck noch mal korrigiert: Die Issuing-CA stellt die Zertifikate aus, sie verteilt sie aber nicht.

Moin, dann braucht ihr evtl. eine PKI (je nachdem, was da genau verteilt werden soll; vielleicht braucht ihr auch keine, sondern nur Zertifikate) und GPOs. Die PKI sollte zweistufig sein, wenn es keine spezielleren Anforderungen gibt, es geht aber auch einstufig. Also minimal ein CA-Server, typischerweise zwei. Und dann - siehe Norbert. Gruß, Nils

Moin, eine PKI hat einfach mit Standorten nichts zu tun. Üblicherweise nicht mal mit einer Organisationsstruktur. Für die Details siehe Norberts Antwort. Was ist denn die Anforderung oder das zu lösende Problem? Gruß, Nils

Moin, nein. Das hat nichts miteinander zu tun. Gruß, Nils

Moin, die Pflicht kommt nicht vom BSI, sondern aus dem Gesetz und einer darauf bezogenen Verordnung. Das ist ein wichtiger Unterschied. An der Stelle (und in vergleichbaren Diskussionen) gibt es eine Menge Mythen, von denen ein Großteil großteils nicht zutrifft. Es hilft, wenn man bei vermeintlichen Pflichten hier und da mal genauer hinsieht. Gruß, Nils

Moin, wäre mir neu, dass das BSI irgend jemanden verpflichten kann. Und ob die Schlussfolgerung danach so zutrifft ... mit sowas wäre ich im Zweifel vorsichtig. Dem Rest stimme ich prinzipiell zu. Gruß, Nils

Moin, es ist ja auch ein neues Original. Gruß, Nils

Moin, am besten wäre es, sich mit einem kompetenten Dienstleister in Ruhe hinzusetzen und die Anforderungen sowie die Rahmenbedingungen in Ruhe zu besprechen. Das ist in einem Forum nicht zu leisten. Gruß, Nils

Moin, Es ist in diesem Kontext doch völlig egal, wie da zugegriffen wird. Relevant ist, auf was die Anwender zugreifen, also was für Daten und Dienste sie brauchen. Gruß, Nils

Moin, Da sollte man sich in Ruhe zusammensetzen, die Anforderungen klären und dann planen. "Nur noch Cloud" etwa sagt sich leicht, ist aber selten einfach so umzusetzen. Die technischen Details, die du aufzählst, sind eher Nebensache. In erster Linie ist das große Ganze und das Organisatorische zu klären. Gruß, Nils

Moin, wenn das Herunterstufen korrekt geklappt hat, dann ist für das AD alles in Ordnung. Ebenso dürfte auf dem Server alles soweit in Ordnung sein, dass er nun weiß, dass er ein Memberserver ist. Das Entfernen des Features bedeutet nur noch, dass die zugehörigen Programmdateien aus dem OS entfernt werden. Das ist aber funktional gesehen völlig unkritisch. Gruß, Nils

Moin, ja, leider gibt es Kunden, bei denen man solche Konstrukte auch mit Engelszungen nicht los wird. Eine gute Lösung mit genereller Aussicht auf Erfolg habe ich da auch noch nicht gefunden. Ich delegiere das dann immer an andere Mitarbeiter ... Gruß, Nils

Moin, wieso, bei wem ist das denn anders? Gruß, Ni"ich könnt schon wieder"ls

Moin, dem Web nach ist das ein Programm, das Ports umleitet. Das wird anscheinend mit diverser Software installiert. @KorF, ich nehme mal an, das ist ein Testsystem. Im Zweifel platt- und neu machen. Falls es ein Produktionssystem ist, solltet ihr prüfen, was ihr da als Grundlage für Clustersysteme nutzt. Solchen Installationen sollte man blind vertrauen können und daher wissen, was da läuft. Gruß, Nils

Moin, ah, danke. Ich meinte aber noch was anderes; zumindest in meiner Erinnerung gab es sowas wie ein Spezifikationsdokument, das auch angab, für welche Felder das gilt. Mag aber auch sein, dass die Erinnerung da trügt. Gruß, Nils

Moin, ach ja, das Matching ist in der Tat wichtig. Active Directory behandelt (zumindest in vielen Zusammenhängen) Umlaute wie die zugehörigen Vokale. "Müller" ist also gleich "Muller". Ich hatte dazu auch mal eine Dokumentation gefunden, finde sie aber gerade nicht wieder. Gruß, Nils

Moin, ja, das mit dem Backslash als Escape-Zeichen kennt schon, wer den Objektnamen von Usern gemäß deutschen Gepflogenheiten schreibt (Dimpflmoser, Johanna). Eine der beliebten Stolperstellen. Es gibt eine ganze Menge solcher Sachen im AD, die ich bei der Arbeit an meinem Dokutool José immer so peu à peu kennengelernt habe. Das resultierte dann in -zig Sonderlocken im Code. Ich wollte dazu auch immer mal ein Buch schreiben, hatte dann aber nicht ausreichend Muße dazu. Für einen meiner besten Vorträge auf der cim (damals noch ice) hat es aber gereicht. Gruß, Nils

Moin, das hat mit dem ursprünglichen Thread aber nichts zu tun, oder? Künftig bitte einen neuen Thread für eine neue Frage aufmachen. Danke. Grundsätzlich spricht in beiden Fällen nichts dagegen, aber beim SQL Server ist noch etwas Arbeit nötig, damit er hinterher auch ordentlich läuft. [Rename a computer that hosts a stand-alone instance of SQL Server - SQL Server | Microsoft Learn] https://learn.microsoft.com/en-us/sql/database-engine/install-windows/rename-a-computer-that-hosts-a-stand-alone-instance-of-sql-server?view=sql-server-ver16 Gruß, Nils

Moin, hängt halt immer von den Applikationen ab, die darauf zugreifen. Die können sich dann unterschiedlich d*mm anstellen. Bei Leerzeichen gibt es zumindest kein Codepage-Problem. Und LDAP-Filter irgendwo zu nutzen, ist nie eine Freude. Gruß, Nils