cj_berlin

Moin, der Frage, was das bringen soll, schließe ich mich an. Wenn ihr jetzt eine neue Namenskonvention habt, sagen wir, Asterix statt Star Trek, das nächste OS-Upgrade kommt früh genug, und, wie @Nobbyaushb richtig sagt, niemand weiß, wie die Dinger heißen. Wenn ihr jedoch wirklich umbenennen müßt (z.B. weil eure neue IT-Butze darauf besteht, alle Geräte eines Kunden mit K<Kundennummer> zu präfixen), würde ich tatsächlich herunterstufen, sicherstellen, dass dies repliziert wurde, umbenennen und dann wieder heraufstufen. Dauert nicht länger, das Ergebnis ist aber garantiert. Oh, und wenn Jorge sagt, das geht in die Hose, geht es in die Hose.

Moin, Filter for devices as a condition in Conditional Access policy - Microsoft Entra ID | Microsoft Learn oder so?

PerfMon kann das alles *aufzeichnen*, dann kannst Du mit Deinen Kollegen sogar *grafisch* schauen. Taming Perfmon: Data Collector Sets | Microsoft Community Hub

Moin, muss es PowerShell sein? PerfMon hat das alles on Board

...aber wenn man das mit einem LTE-Router als "gut genug" deklariert, kann es ja auch ein DSL-Router sein. Wichtig ist, dass der Kunde kontrollieren kann, wann was offen ist, und während ein externer Kanal offen ist, sieht oder zumindest mitschneidet, was da gemacht wird.

Moin, wenn die Maschinen "wirklich offline" sind, dann kann von ihnen aus Sicht der Firma immerhin keine Gefahr ausgehen, selbst wenn jemand die Lieferkette angreift und der Hersteller da (ungewollt) Malware einbringt. Falls damit eine bessere Verfügbarkeit des Supports und nicht bloß Kosteneinsparung beim Hersteller gewährleistet ist, warum nicht. Wenn die Maschinen nach der Fernwartung dann doch ins LAN gesteckt werden, um irgendwelche Produktionsdateien zu transferieren, dann würde ich sagen, man muss es anders lösen. Fernwartungsrechner im Shop Floor, der alle Aktionen des Technikers als Video aufzeichnet, und diesen halt per LAN mit den Maschinen verbinden - aber ohne Auspuff in das weitere Unternehmensnetz... Oder halt old school... Techniker fährt auf den Hof, bekommt Kaffee und macht was vereinbart ist.

Update (weil die ganze Welt ja drauf wartet): Nach diversen eigenen Tests und einer abendlichen gemeinsamen Session mit @MurdocX kristallisiert sich das folgende Bild heraus: es funktioniert (und ja, ich weiß, das wurde von @mzahneissen anders gemeldet) mit Server 2019 und 2022 bei SMB-Zugriff von Member zu Member und Cross-Forest-Anmeldung auf einem Member (alles Server) es funktioniert NICHT (genau wie von @mzahneissen und @MurdocX beschrieben) in einem Lab, das komplett aus Server 2025-Maschinen besteht (DCs und Member). es funktioniert auch der Zugriff von einem Server 2025 oder Windows 11 Member auf einen Server 2022 Member in einem Lab, das 2022er DCs hat das Problem hat augenscheinlich NICHT mit der Site-Bestimmung und DCLocator zu tun (war kurz mal eine Idee) das Problem hat augenscheinlich auch NICHT mit dem November-Patchday zu tun. Soweit es also Dinge betrifft, die ich mit eigenen Augen gesehen habe, ist es mal wieder ein "Server 2025 als DC"-Problem. Bleiben also Meldungen in diesem Thread, die darauf hinweisen, dass das Phänomen ggfls. auch mit 2019 oder 2022 besteht, aber das kann ich beim besten Willen nicht nachstellen. Ich habe das an die PG gegeben, da aber Cliff Fischer gerade das Weite gesucht hat (nein, ich weiß nicht, ob er zu Semperis kommen wird ) sind sie gerade im Schock und mit verminderter Mannstärke und Motivation unterwegs. Jetzt wo ich ein Lab habe, wo es nicht funktioniert, werde ich mal ein paar Traces ziehen und weiter schauen.

Moin, was sagt denn das LAPS-Eventlog auf einer betroffenen Maschine dazu?

Moin, ist denn der alte User beim migrieren Postfach ordentlich als Master eingetragen (das wäre dann eine Linked Mailbox)? Falls ja, noch ein paar Stunden warten oder den Informationsspeicher an der Quelle durchtreten, damit Autodiscover auch weiß, dass das Postfach migriert wurde...

Wir können uns am Dienstag gern zusammenTeamViewern, schick mir ne PM.

Das ist lustig und traurig zugleich, denn in meinem Lab führt das, was Du beschreibst, zum gegenteiligen Ergebnis...

https://smsagent.blog/2025/09/05/checking-for-updated-secure-boot-certificates/

@MurdocX nein, keine AuthN Policies hier.

Ja, das sind die Tickets, und Du müsstest auch ein TGT von BERLIN ausgestellt im 0x3e7 Kontext auf lab02-srv-muc01 finden. Ist es schon im Enforced-Modus oder noch Supported? Denn wenn es schon im Enforced ist, bist Du ja so weit wie ich

Der Typ ist 'ne Maschine. Jetzt hat er noch Adam Driscoll gekauft...