Hallo,

gibt es die Möglichkeit für einen Windows 7-Benutzer, der sich an der 2008R2-Domäne anmelden möchte, bei abgelaufenem Kennwort, die Option zur direkten Neuvergabe eines Kennwortes anzubieten?

Es gibt keinen Terminalserver und kein OWA. Diese Optionen sind mir bei der Suche nach einer Lösung bereits untergekommen. ChangeExpiredPasswordEnabled wäre eine willkommende Option, aber wie gesagt wohl nur im Zusammenhang mit Exchange. Steht aber für die betroffenen Benutzer nicht zur Verfügung.

Es ist im Übrigen nicht so, dass die Benutzer nicht rechtzzeitig auf den Ablauf des Kennwortes hingewiesen werden, aber das leidige Thema ist ja bekannt ;-)

Viele Grüße

Sabine

Einen wunderschönen Guten Tag,

ich hätte da mal eine Frage.

Zuerst zu unserem System:

Wir haben einen Microsoft Windows 2016 Server sowie Clients welche mit Windows 10 betrieben werden.

_______________________________________________________________________________________________

Via eines Tools haben wir nun bei der Vervollständigung unseres Active Directory, ebenfalls Bilderattribute hinzugefügt, sodass diese den jeweiligen Nutzern zugeteilt werden. Diese wurden ebenfalls angepasst und skaliert und dem Ordner mit allen Benutzerprofilfotos hinzugefügt.

Ziel ist es dass jedem User bei der Anmeldung sein eigenes Bild angezeigt wird.

Nach der ersten Synchronisation werden die Bilder sauber angezeigt sobald man entweder den Bildschirm sperrt, oder auf die Kontoeinstellungen klickt.

Jedoch bleibt das kleine Profilbild, welches zu sehen ist sobald man die Windows-Taste drückt auf dem Standard. Hier ist nur das Graue Männchen auf grauem Grund zu sehen

.

Außerdem ist bei der Anmeldung, sobald der Benutzername und das Kennwort angegeben wird, das Bild ebenfalls auf Standard.

Kann uns jemand sagen was falsch, beziehungsweise, was ergänzt werden müsste?

Wir haben uns nach folgender Anleitung gerichtet:

https://znil.net/index.php?title=Foto_im_Active_Directory_hinterlegen_und_bei_Benutzeranmeldung_anzeigen

Freue mich auf hilfreiche Antworten.

Mfg Cedric Schwade

Hallo zusammen,

ich bekomme ständig diese Meldung, doch weis ich gerade nicht was ich machen soll. Kannmir eine dabei helfen das zu klären. DANKE!

Windows Smal Business Server 2011 Standard

Protokollname: System
Quelle:        Schannel
Datum:         29.11.2016 16:11:09
Ereignis-ID:   36887
Aufgabenkategorie:Keine
Ebene:         Fehler
Schlüsselwörter:
Benutzer:      SYSTEM
Computer:      SERVER.Domäne.lan
Beschreibung:
Es wurde eine schwerwiegende Warnung empfangen: 46.
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Schannel" Guid="{1F678132-5938-4686-9FDC-C8FF68F15C85}" />
    <EventID>36887</EventID>
    <Version>0</Version>
    <Level>2</Level>
    <Task>0</Task>
    <Opcode>0</Opcode>
    <Keywords>0x8000000000000000</Keywords>
    <TimeCreated SystemTime="2016-11-29T15:11:09.501298900Z" />
    <EventRecordID>3431210</EventRecordID>
    <Correlation />
    <Execution ProcessID="760" ThreadID="808" />
    <Channel>System</Channel>
    <Computer>SERVER.Domäne.lan</Computer>
    <Security UserID="S-1-5-18" />
  </System>
  <EventData>
    <Data Name="AlertDesc">46</Data>
  </EventData>
</Event>

Hallo Zusammen,

als erstes einmal Frohes Neues Jahr :).

Ich beschäftige mich seit dieser Woche mit FSMO-Rollen. Ich habe jetzt gelesen das wenn ein Betriebsmaster Server ausfällt und er nicht wieder online gehen kann, ich die FSMO-Rollen auch offline übertragen kann. Soweit so gut. Ich habe aber auch gelesen das man dafür sogen soll das der Ausgefallene Betriebsmaster Server nicht wieder Online geht.

Was passiert den wenn ich die FSMO-Rollen offline übertragen hab und der ursprüngliche Server(Betriebsmaster) mit den FSMO-Rollen wieder on kommt?

Mir wurde gesagt das nichts passiert. Die Server untereinander Replizieren sich und dabei merkt der Server(Ursprünglich ausgefallene) das die FSMO-Rollen schon da sind und nimmt die FSMO-Rollen dann raus. Wenn es stimmt seit welcher Version ist das so und wie war es bei den früheren Versionen? Die haben das ja bestimmt nicht nur zum spaß hingeschrieben. Leider aber auch nicht was passiert.

Ich hoffe das mir das Jemand beantworten kann.

MfG

Lego134

Morgen liebe Community,

habe folgendes Problem:

Meine zwei DC`s aus der Subdomain "reden" nicht mehr miteinander. In der Hauptdomäne (3 DC´s) funktioniert alles einwandfrei. Ping und DNS Auflösung funktionieren auch.

Folgendes habe ich schon ausprobiert:

• netdom passwort reset
• reboot natürlich :)
  
• netlogon dienst neustarten
• firewall / virenprogramm abgeschaltet
• einen DC herabstufen (hat auch nicht funktioniert)
• neuen DC in die domain einbinden (hat auch nicht funktioniert)

Bin langsam mit meiner Weisheit am Ende. Ich hoffe hier kann mir irgendjemand helfen :)

Danke euch schon einmal!

C:\Users\Administrator>repadmin /syncall
RÜCKRUFMELDUNG: Fehler bei der Verbindungsherstellung mit Server de5bca9c-f990-4
018-b16c-e17b7579ed02._msdcs.basic-ag.local (Netzwerkfehler): 1722 (0x6ba):
    Der RPC-Server ist nicht verfügbar.

SyncAll wurde mit einem schwerwiegenden Win32-Fehler beendet: 8440 (0x20f8):
    Der für diesen Replikationsvorgang angegebene Namenskontext ist ungültig.

C:\Users\Administrator>

C:\Users\Administrator>dcdiag

Verzeichnisserverdiagnose

Anfangssetup wird ausgeführt:
   Der Homeserver wird gesucht...
   Homeserver = DCFIL01
   * Identifizierte AD-Gesamtstruktur.
   Sammeln der Ausgangsinformationen abgeschlossen.

Erforderliche Anfangstests werden ausgeführt.

   Server wird getestet: Standardname-des-ersten-Standorts\DCFIL01
      Starting test: Connectivity
         Der Host de5bca9c-f990-4018-b16c-e17b7579ed02._msdcs.basic-ag.local
         konnte nicht zu einer IP-Adresse aufgelöst werden. Überprüfen Sie
         DNS-Server, DHCP, Servername, usw.
         Fehler beim Überprüfen der LDAP- und RPC-Konnektivität. Überprüfen Sie
         die Firewalleinstellungen.
         ......................... Der Test Connectivity für DCFIL01 ist
         fehlgeschlagen.

Primärtests werden ausgeführt.

   Server wird getestet: Standardname-des-ersten-Standorts\DCFIL01
      Alle Tests werden übersprungen, da der Server DCFIL01 nicht auf
      Anforderungen des Verzeichnisdiensts reagiert.


   Partitionstests werden ausgeführt auf: DomainDnsZones
      Starting test: CheckSDRefDom
         ......................... DomainDnsZones hat den Test CheckSDRefDom
         bestanden.
      Starting test: CrossRefValidation
         ......................... DomainDnsZones hat den Test
         CrossRefValidation bestanden.

   Partitionstests werden ausgeführt auf: filialen
      Starting test: CheckSDRefDom
         ......................... filialen hat den Test CheckSDRefDom
         bestanden.
      Starting test: CrossRefValidation
         ......................... filialen hat den Test CrossRefValidation
         bestanden.

   Partitionstests werden ausgeführt auf: ForestDnsZones
      Starting test: CheckSDRefDom
         ......................... ForestDnsZones hat den Test CheckSDRefDom
         bestanden.
      Starting test: CrossRefValidation
         ......................... ForestDnsZones hat den Test
         CrossRefValidation bestanden.

   Partitionstests werden ausgeführt auf: Schema
      Starting test: CheckSDRefDom
         ......................... Schema hat den Test CheckSDRefDom bestanden.
      Starting test: CrossRefValidation
         ......................... Schema hat den Test CrossRefValidation
         bestanden.

   Partitionstests werden ausgeführt auf: Configuration
      Starting test: CheckSDRefDom
         ......................... Configuration hat den Test CheckSDRefDom
         bestanden.
      Starting test: CrossRefValidation
         ......................... Configuration hat den Test
         CrossRefValidation bestanden.

   Unternehmenstests werden ausgeführt auf: basic-ag.local
      Starting test: LocatorCheck
         ......................... basic-ag.local hat den Test LocatorCheck
         bestanden.
      Starting test: Intersite
         ......................... basic-ag.local hat den Test Intersite
         bestanden.

Ich habe vielleicht demnächst eine Software, die sich mit einem AD Service Account authentifiziert. Das besondere ist, dass der Service Account eine Computerkonto sein wird, bei dem ich ein Kennwort (für das Computerkonto) fest vergeben muss.

Kann mir jemand sagen, wie ich mit dem Attribut-Editor einem Computerkonto ein Passwort manuell vergeben kann? 

Ich bin immer davon ausgegangen, dass so etwas überhaupt nicht geht.

Gruß

Peter

Hallo,

ich habe ein Problem mit Roamingprofiles und dem Homedrive unter einem "TEST" Windows 2016 RD Sitzungshost.

Kurze Beschreibung meiner Testumgebung:
VM ESX Umgebung
Storage Netapp
DC 2012 R2 aktuell gepatcht
RD Sitzungshost aktuell gepatcht

Sitzungssammlung erstellt, Anmeldung geht aber es wird nichts umgeleitet.

Ich bekomme es einfach nicht hin das die Roamingprofile ob im AD, oder über GPO´s gesetzt greifen und angewendet werden.

Das gleiche ist mit dem Basisverzeichnis des Benutzers.

Bisher arbeiten wir mit Windows 2008 R2, da läuft das wie geschmiert. Warum geht das bei Windows 2016 nicht mehr so einfach?

st_fbg

Vor Jahren wurde hier auf einem DC (W2008) eine Stammzertifizerungsstelle eingerichtet.

Hinzu kam ein weiterer Rechner (W2012) mit Exchange, der auch als Zugang für SSTP dienT(e). Aus irgendeinem Grunde ist dort auch eine zwischenzertifizierungsstelle eingerichtet. Das hat funktioniert, bis vor einigen Tagen das Zertifikat der ZW-Z-Stelle ausgelaufen ist.

Ich habe jetzt ein neues Zertifikat erstellt und dessen .cer-Datei auf dem W2012 "zwischengelagert".

Leider lässt sich das Zertifikat nicht installieren. Wenn ich die Zw-Z-Stelle von dem DC aus verwalte, dann kann ich dort den menüpunkt "Zertifikatstellenzertifikat installieren" auswählen, anschliessend beendet sich der Dienst.

Anstatt das dann eine Box aufgeht, in der ich das Zertifikat auswähle, passiert aber gar nichts!

Wenn ich auf dem W2012 selber das certsrv.msc aufrufe, dann kommt eine Meldung, dass das snap-in nicht initialisiert werden konnte. Sch****

Frage 1: Wie kriege ich das Zertifikat installiert?

Frage 2: Könnte ich eigentlich auf die untergeordnete Zertifizierungsstelle verzichten und stattdessen nur die noch funktionierende zertizierungsstelle verwenden ? Die Sperrlisten werden seit jeher auf dem W2012-Server veröpffentlicht.

Ich traue mich natürlich nicht, einfach die untergeordnete Z-Stelle zu entfernen. Wenn ja - wie geht das ?

Hallo,

wir haben in unserer Domäne ein funktionierendes Auto-Enrollment für S/MIME-Zertifikate. Die Benutzerzertifikate werden ausgestellt und im AD veröffentlicht (Attribut "userCertificate"). Soll nun eine verschlüsselte Mail in Outlook geschrieben werden, beschwert sich dieses, dass es kein Zertifikat für den Empfänger hat, es sei denn dieser hat bereits im Voraus eine signierte Mail gesendet, so dass der öffentliche Schlüssel vorliegt. Woran kann es liegen, dass Outlook das Zertifikat des Nutzers im AD nicht findet? Muss es zwingend im GAL veröffentlich werden (so dass es im Attribut userSMIMECertificate abgelegt wird)? Ich dachte, das wäre nicht mehr nötig.

Davon abgesehen habe ich festgestellt, dass wenn ich das ActiveDirectory als zusätzliches Adressbuch (unter Kontoeinstellungen im Tab "Adressbücher") hinzufüge, findet Outlook die Zertifikate. Aber sollte es nicht auch ohne diesen Schritt gehen?

Danke schon mal für alle Tipps und Hinweise.

Gruß,

Frank

AD Replication Status Tool Wo gibt es das zum Download ?

Hallo,

weiss einer wo man das aktuell downloaden kann ?

mfg

Egbert

Hallo an alle,

Ich habe auf einem Hyper-V 2 VM´s installiert (beide Windows Server 2012 R2).

Einer ist ein DC der andere ein RDS-Server. Konstallation lief im Netzwerk A auf Hyper-V A ohne Probleme.

Nach einem Export beider Vm´s von Hyper-V A und migration auf Hyper-V B in einem anderen Netzwerk (somit auch ein anderer Ip-Adressen Bereich), wird die Domäne vom RDS scheinbar nicht mehr gefunden (gelegentlich klappt es). Domäne kann dann auch nicht gepingt bzw. aufgelöst werden.

Als DNS ist der DC auch eingetragen.

Beim versuch sich per RDP am RDS anzumelden kommt eine NLA Fehlermeldung.

Schaltet man NLA aus, so kommt man in die RDP Sitzung, bekommt jedoch die Meldung das die Domäne nicht gefunden werden konnte.

In den Remoteeinstellungen unter Benutzerauswahl ist dann auch statt "Domänenname\Domenenbenutzer" nur ein Fragezeichen zu sehen.

Hat jemand eine Idee warum der RDS manchmal die Domäne verliert nach der migration?

Oder hat selbst soetwas mal erlebt?

Gruß,

Joe

Hi,

wir haben bei uns in der AD einen User der immer ca. nach 3 Std gesperrt wird. In der Ereignisnazeige wird die ID 4771 und 4776 Protokolliert. Die Arbeitsstation ist aber immer der DC selber. Ich habe jetzt schon das "Netwrix Account Lockout Examiner" angeschmissen und dieser findet über 60 fehlgeschlagene Logins mit diesem User immer vom DC aus. Leider zeigt er keinen Prozess oder ähnliches an, was dies verursacht. In der "netlogon.log" sind auch mehrere solcher Einträge vorhanden "01/20 10:55:12 [LOGON] [11736] SamLogon: Transitive Network logon of (null)\Username from \\x.x.x.104 (via EXSRV) Entered
01/20 10:55:12 [LOGON] [11736] SamLogon: Transitive Network logon of (null)\Username from \\x.x.x.104 (via EXSRV) Returns 0xC000006A
01/20 10:55:12 [LOGON] [11736] SamLogon: Transitive Network logon of (null)\Username from \\x.x.x.104 (via W2K12TS) Entered
01/20 10:55:12 [LOGON] [11736] SamLogon: Transitive Network logon of (null)\Username from \\x.x.x.104 (via W2K12TS) Returns 0xC000006A
01/20 10:55:13 [LOGON] [11736]  SamLogon: Transitive Network logon of (null)\Username from \\x.x.x.104 (via SWYXSRV) Entered
01/20 10:55:13 [LOGON] [11736]  SamLogon: Transitive Network logon of (null)\Username from \\x.x.x.104 (via SWYXSRV) Returns 0xC000006A".

Ich habe keine Ahnung was dies verursachen könnte. Google mit diesen EventIDs hat mich auch nicht weiter gebracht. Hat sonst noch jemand eine Idee was es könnte?

Hallo!

Wir haben einen Forest mit 4 Domänen und planen ein Function-Level Update von 2003 auf 2008 R2. 

Das Testen der Applikationen soll hier nicht erörtert werden.

Die Domänencontroller sind alle virtualisiert. Nun möchte ich gerne ein möglichst "einfaches" und schnelles Rollback-Szenario haben. Ich habe schon diverse Fachbeiträge gelesen, in denen immer von einem Snapshot abgeraten wurde wegen des USN.

Nun hatte ich mir Folgendes überlegt: es werden alle DCs in dem Forest heruntergefahren, bzw. es werden alle Domänendienste auf allen beendet. Dann wird ein Snapshot auf allen erstellt. Dann werden die DCs bzw. die Dienste wieder gestartet und das Functional Level kann durchgeführt werden. 

Wenn dann zurückgerudert werden muss, können zu allen Snapshots gleichzeitig zurückgespult werden und man hätte höchstens den ein oder anderen Rechner / Server den man noch mal in die Domäne heben müsste, falls gerade zufällig in der Zeit das Computerkennwort erneuert wurde (Useraktionen & Kennwörter lassen wir mal außen vor).

Sehe ich das falsch oder übersehe ich ein größeres Risiko?

Danke

Micha

Hallo Liebe AD-Experten,

wir haben folgende Situation. Wir benutzen im AD den CN als technischen Namen (z. B. Ixx-F123456789). Im Attribut "displayName" steht bei uns die eigentliche Bezeichnung einer Gruppe (z. B. OE123). Wenn ich einem User eine Gruppe zuweise, dann wird in dem Zuweisungsfenster nur der Name und der Pfad der Gruppe angezeigt.

Weiss jemand, ob es möglich ist, dieses Anzeigefenster zu erweitern? Ich würde gerne den CN und den DisplayNamen angzeigt bekommen.

Viele Grüße,

fhgmika

Ich habe gem´ß Anleitung "doppelte Vorlagen" in der PKI-Struktur erstellt/geändert.

Nun sollen gemäß Anleitung die orginalvorlagen zurückgezogen und die neuen installiert werden.

Wähle ich nun in der Zertifizierungsstelle/zertifikatvorlagen -> auszustellende Vorlage, dann ist die anschliessende Dialogbox leer, d.h. ich finde dort gar keine Vorlage, auch nicht meine geänderte (s.o.).

Auch ein Abwarten auf eine Repilkation bringt nichts, die Box bleibt leer.

in der Dialogbox wird erwähnt, dass evtl. Vorlagen nicht sichtbar sind, es wird aber nicht erklärt unter welchen umständen.

Alle Änderungen sind übrigens auf dem gleichen Computer vorgenpommen worden.

Ich habe neuerdoings Probleme mit den Zertifikatsperrlisten.

Ausgangspunkt war eine untergeordnete Zertifizierungstelle in der Domäne, die als überflüssig angesehen wurde (abgesehen davon ,daß das Zertifikat ausgelaufen war).

Diese wurde inzwischen entfernt, soweit scheint alles wieder zu funktionieren (bin mal skeptisch, aber aktuell sieht es so aus).

Ausnahme: Die PKI weist Probleme für den Download der Sperrlisten von einer http://-Adresse aus. Aber dazu später mehr.

Die Sperrlisten sollen auf dem Rechner der Zertifizierungsstelle im Pfad c:\windows\system32\certsrv\certenroll veröffentlicht werden.

Dazu finde ich in den Erweiterrungen genau diesen Pfad "C:\Windows\system32\certsrv\CertEnroll\...".

Ist das überhaupt richtig so ein ganz normaler Pfad ?

Wenn ich jetzt die Sperrliste veröffentlichen lassen will, dann schlägt dies fehl. Die Erignisanzeige  enthält Id 66 mit dem Text: "Es konnte keine Delta-Zertifikatsperrliste am folgenden Ort veröffentlicht werden - und dann mein Pfad!

Übrigens stammt die letzte .crt-Datei vom 21.1.2017

Update: Das letztere stimmt nicht. Nach Neustart der Zertifikatdienste sind mehrere .crt und  mehrere .crl-Dateien vorhanden.

Die Fehlermeldungen bleiben aber.

Hallo Leute,

habe ein Problem mit Windows 7 Update. Der Fortschrittsbalken läuft und läuft, aber es tut sich nix. Mist !

Habe auch schon versucht das System zurück zusetzen.  Wiederherstellung Fehler. 

Danke im Vorraus

Hallo zusammen,

ich habe das Problem das ich es nicht schaffe meinen Windows 10 Computer in meine domain hinzuzufügen.

DNS habe ich kontrolliert und diese passt auch. Sobald ich versuche den PC hinzu zufügen, verbindet dieser sich, fragt den Benutzernamen und das Passwort ab und direkt im anschluss:

Bei dem versuch der Domäne "****.****" beizutreten, trag folgender Fehler auf.

Der Domänencontroller erfüllt nicht die Versionsanforderungen für diesen Vorgang.

Informationen dazu finden sie unter "http://go.microsoft.com/fwlink/?LinkId=294288 for more Informations".

Ich habe schon mehrere Leute schreiben gesehen das es nicht möglich sei, doch laufen hier 6 PCs mit Windows 10 in dieser Domäne. Leider gibt es den alten ITler nicht mehr und bis ein neuer da ist, muss ich das irgendwie hinbekommen. Habe das Problem auch gegoogled und alle "Lösungen" waren entweder fehlerhafte DNS oder haben nicht funktioniert.

Ich bedanke mich für jede Hilfe im vorraus :)

Hallo,

eine hoffentlich kurze und einfache Frage: Benötige ich für Anmelde- und Abmeldeskripte in GPOs eine Sicherheitsfilterung, die sowohl den Benutzer, als auch seinen Computer mit einschließt? Oder genügt nur der Benutzer (bzw seine Gruppe) selbst? 

Wenn ich es nur mit dem Benutzer ausprobiere, wird das Anmeldeskript nämlich nicht ausgeführt. Füge ich Benutzer und Computer hinzu läuft es. Das kommt mir ein wenig seltsam vor. Ab der Anmeldung müsste doch alles im Benutzerkontext laufen?Ich möchte nur ausschließen, dass es an anderen Faktoren liegt, und für Anmeldeskripte wirklich sowohl Benutzer, als auch Computer nötig sind.

Festlegen zugelassener Anmeldearbeitsstationen mit Wildcard festlegen

Hallo,

kann man bei der obigen Funktion auch Wildcards für die Rechner festlegen ?

Das wäre echt super da ich dann ganz einfach den Zugriff auf die Rechner einer Abteilung festlegen kann. Alles ohne GPO ;-=

mfg

Egbert

Mein Rechner : Dell 7010 i7-3770 16Gb SSD Samsung 840 pro 256Gb NVIDIA quadro 4000 + quadro K600 Meine Server Supermicro 3x2E5620 48GB/ 1x2E5520 48GB; 1x2E5420 32GB/ 1x2E5-2630V3 128GB/ 1x2E5-2680v2 256GB 2x Grid K1 Platten direkt im Server kein SAN Switche DELL 6248 2x mit je 2x10GBIT im STACK DLINK für die APC Datensicherung VEEAM