Hallo.

Unser Win2012 Server (Betriebsmaster) läuft als VM unter Hyper-V. Da die Hardware des Hosts nun außer Garantie ist, haben wir einen neuen Host gekauft. Ich habe den virtuellen Server heruntergefahren, die VHDX Datei auf den neuen Server kopiert und dort unter einen neuen virtuellen Maschine eingebunden. Server läuft problemlos, jedoch ist die Netlogon Freigabe nicht mehr da.

Kann ich die irgendwie wieder herstellen? (sie soll ja vom Windows selber erzeugt werden)

Hallo Miteinander,

da mir zum Zeitpunkt der Installation eines Domänencontrollers der Lizenzkey noch nicht vorlag habe ich den

Server als Evulation Version installiert.

Vollständiger Domänencontroller (AD,DNS,DHCP, Dateiserver usw.)

Mittlerweile hatte ich dann den Lizenzkey erhalten und wollte die Evaluation Version zur Vollversion machen.

Lizenzkey wurde immer als nicht gültig abgelehnt. Sprich ich konnte den Server nicht aktivieren.

Weiss jemand einen Rat oder eine Vorgehensweise um das Problem zu lösen.

Vielen Dank für eure Hilfe im Vorraus.

Hi, 

I try to automate cert requests for LDAPS certificate. When i request the my cert template the certificates private key is exportable. But never, when I try with certreq. 

This is my Inf:

[Version]
Signature="$Windows NT$

[NewRequest] 
; At least one value must be set in this section 
Subject="CN=dc01"
KeySpec=1
KeyLength=4096
Exportable=TRUE
ProviderType=12
RequestType=PKCS10
KeyUsage=0xa0

[RequestAttributes]
CertificateTemplate="KDC_TEMPLATE"


[Extensions]
_continue_ = "dns=dc01&"
_continue_ = "dns=dc01.mydomain.dom&"
_continue_ = "dns=mydomain.dom&"
_continue_ = "dns=MYDOMAIN&"
_continue_ = "dns=ldap.mydomain.dom&"

Then I try
certreq -new c:\_scripts\request2.inf c:\_scripts\result.txt
certreq -config pki.mydomain.dom\myCERT-CA -submit c:\_scripts\result.txt c:\_scripts\certificate.cer 
certreq -accept c:\_scripts\certificate.cer 

I got a powershell script to put the cert to NTDS Store.

But the private key ist never exportable when I script this, only when I use MMC an request manual.

Does anyone has an idea, what I do wrong??

Hallo,

bei uns steht die Migration auf einen neuen Server an.

Auf der alten Maschine (Windows Server 2008 R2) laufen Exchange 2010 und eine indas AD integrierte CA.

Laut https://techcommunity.microsoft.com/t5/itops-talk-blog/step-by-step-migrating-the-active-directory-certificate-service/ba-p/697674 ist die Migration einer Microsoft-CA gar nicht so schwierig, wenn Quell und Ziel-Server densekben Namen haben.

Aufgrund der Exchange-Migration wird der neue Server allerdings einen anderen Hostnamen besitzen.

Genügt es in diesem Fall in den exportierten Registry-Schlüsseln den Namen anzupassen, oder ist eine andere Vorgehensweise notwendig ?

Grüße

Tobias

Hallo,

ich habe einen Windows Server mit Active Directory und Root CA. Dazu habe ich einen zweiten Server mit Untergeordneter Zertifizierungsstelle, Zertifikatregistrierungsrichtlinien-Webdienst und Zertifikatregistrierungs-Webdienst installiert. Die Dienste der Root CA und die der Untergeordneten CA laufen und die Templates werden von der Root CA an die Untergeordnete CA weitergegeben. Ich habe an einem Client in der MMC eine Registrierungsrichtlinie hinterlegt die auf die Untergeordnete CA zeigt (mit Benutzername und Passwort), da der Client nicht Mitglied der Domäne ist. Diese Richtlinie wird auch erfolgreich akzeptiert. Allerdings bekomme ich beim anfordern eines Zertifikates auf diesem Client die Fehlermeldung "Sie können zu diesem Zeitpunkt kein Zertifikat anfordern, weil keine Zertifikattypen verfügbar sind. Wenn Sie ein Zertifikat benötigen, wenden Sie sich an den Administrator". D.h. es werden gar keine Zertifikat Templates angezeigt. An was kann das liegen? Es scheint so als könnte die Untergeordnete CA keine neuen Zertifikate ausstellen. Welche Berechtigung muss ich den Templates geben, damit nicht Domain Mitglieder diese anfordern können?

Sehr geehrte Kollegen,

wir haben unsere AD-Migration fast abgeschlossen. Alle 2012er DC's sind durch 2016er ersetzt worden. Es fehlt nur noch das Heraufstufen der Domänenfunktonsebene und der Forestfunktionsebene. Wir sind aktuell auf 2012 und können jetzt "Windows Server" auswählen.

Gibt es Punkte, die wir beachten müssen. Klar, es können keine 2012er DC's mehr installiert werden. Gibt es irgendwelche "Einschränkungen"  oder kommen nur "Features" hinzu?

Viele Grüße

Tango

Hallo,

wenn ich über das Webinterface der Windows PKI eine "erweiterte Zertifikatsanforderung" stelle, bleibt der Auswahlfeld "Kryptografiedienstanbieter" (CSP) auf "wird geladen".

Ich weiß nicht das wann das Problem besteht. Ca. 3 / 4 Monate. 

Alle anderen Funktionen der PKI sind soweit ok.

Hat jemand eine Idee?

Tango

Ich habe ein seltsames Problem mit der Anmeldung von Benutzern einer Domäne mit Windows 10 Rechnern (Server Win 2012) und hoffe auf gute Ideen.

Hintergrund ist folgender. Ich habe vom Chef die Aufgabe bekommen an einem bestehenden Netz dessen ursprüngliche Admin leider verstorben ist, einen neuen PC`s für einen neuen Mitarbeiter einzurichten.

Ich habe also einen Windows 10 Pro Rechner beschafft und diesen in die Domäne eingebunden. Das klappte problemlos. Habe dann auf dem Server im Active Directory einen neuen User angelegt. Orientiert habe ich mich an einem bestehenden User.

Wenn ich nun versuche mich an der Domäne am neuen Rechner anzumelden, bekomme ich die Fehlermeldung:

„Sie konnten mit diesen Informationen nicht angemeldet werden, weil ihre Domäne nicht verfügbar ist.“

Melde ich mich aber mit dem Domänen Administrator an, klappt es. Grundsätzlich klappt die Domänenanmeldung an dem PC also.

Auch mit einem bestehenden User, der auf einer anderen bereits existierenden Win 10 Arbeitstation arbeitet, kann ich mich nicht an diesem Rechner anmelden?! Es sind keine Beschränkungen (Zeitlich/Computer) für die Anmeldung im Userprofil eingestellt.

Es geht sowohl die Anmeldung mit Domäne\User als auch User@Domäne.tld nicht.

DNS scheint zu funktioniert, Rechner hat IP bekommen und auch Gateway und DNS zeigen auf den Server.

Mit dem neuen User kann ich mich aber auch nicht an einer existierenden Arbeitsstation (Win 10 Pro) anmelden, dafür aber an allen noch existierenden Win7 Arbeitsstationen.

?!

Nach langem Hin und Her habe ich folgendes herausgefunden. Alle User können sich auf allen Win 7 Rechnern anmelden, aber nur die entsprechenden User auf ihren Win 10 Arbeitstationen. Der Domänenadmin kann sich überall anmelden. 

Also noch mal zusammenfassend, was auf drei getesteten Rechnern mit drei verschiedene Usern passiert, falls ich mich zu kompliziert ausgedrückt habe:

Neue Station (Win 10 Pro)

Ich kann mich weder mit dem neuen, noch mit dem bestehenden User anmelden, aber mit dem Domänenadmin. Grundsätzlich klappt also die Anmeldung an der Domäne, aber nicht mit Userkonten, nur mit dem Domänenadmin.

Bestehende Station (Win 10 Pro)

Ich kann mich mit dem bestehendem User und dem Domändenadmin anmelden, nicht aber mit dem neuen User und auch nicht mit anderen bestehenden Usern?!

Bestehende Stationen (Win 7)

Hier kann ich mich mit allen Usern anmelden.

Alle Rechner (Win 10) sind auf aktuellem Stand, das Abschalten von Defender/Virenschutz brachte keine Änderung. User habe ich, was Einstellungen und Gruppen angeht, verglichen und auch mal als Kopie von einem funktionierenden angelegt. Keine Änderung.

Ich habe dem User mal in alle Gruppen genommen in denen der Domänen Admin ist. Keine Änderung

Und ich bin die Gruppenrichtlinien durchgegangen, konnte aber nichts ungewöhnliches entdecken. Ich habe die Gruppenrichtlinien auch mal testweise deaktiviert und mit gpupdate /force aktualisiert. Keine Änderung. 

Hat jemand eine Idee wo das her kommen kann? Bzw. wo man es einstellen kann, das man sich explizit an der Windows 10 Arbeitstationen NICHT anmelden kann?

Hat jemand eine Idee, wo ich weiter suchen kann?

Vielen Dank im Voraus

Ralf

Hallo,

um LDAPS zu verwenden benötigen meine DCs ja ein Computer-Zertifikat.

Da wir keine CA besitzen stellt sich mir nun die Frage, ob die Domänencontroller von Hause aus schon so ein Zertifikat besitzen, damit Applikationen LDADS nutzen können?

Hallo zusammen,

wir haben eine Enterprise PKI.

Über die vereilen wir Benutzer-Zertifikate auf Fat-Clients per GPO / Autoentrollment.

über die verteilen wir IPSec-Zertifikate mittel Scep- / Ndes-Server auf die IPads / iphones.

Wie bekommt man Benutzer-Zertifikate auf Thin-Clients?

Gruss

Tango

Hallo,
ich möchte automatisiert Computerorbjekte in eine andere OU verschieben.
Dazu habe ich folgendes Skript gefunden:
Move-ADObject -Identity "CN=R07GF,OU=CEO,DC=enterprise,DC=com" -TargetPath "CN=Computers,DC=Enterprise,DC=Com

Gerne würde ich das so erstellen das z. B. alles Stationen mit WS* in OU 1 verschoben werden und alle mit NB* in OU 2.
Ist das möglich?

Danke und Gruß
Dennis

Hallo zusammen,

mir ist bewusst, dass dieses Thema schon oft im Internet zu finden ist, jedoch kann ich nirgends die gleiche Konstellation finden, die wir hier haben. Deshalb möchte ich euch bitten, mir zu helfen.

Im ersten Schritt geht es darum eine Active Directory Zertifizierungsstelle (Unternehmenszertifizierungsstelle) auf einen anderen Server umzuziehen. Der andere Server soll einen anderen Namen haben und die Zertifizierungsstelle soll ebenfalls anders heißen. Ich weiß, das ist ein größeres Unterfangen und wird nicht empfohlen. Leider hat aber die IT-Firma, die das bei uns früher eingerichtet hat, manche Dinge gegen BestPractise gemacht und auch den Namen der Zertifizierungsstelle kann nicht so bleiben (es wurde einfach eine fortlaufende Nummer bei den Server gegeben).

Also zu unserer Umgebung:

- 2 x VM-Hosts mit Windows Server 2019 auf denen jeweils einige virtuelle Maschinen laufen

- Auf je einem VM-Host läuft ein Domain Controller (DC01 und DC02) mit Windows Server 2019 (wegen Ausfallsicherheit!)

- Der Server mit der Zertifizierungsstelle ist noch ein Windows Server 2008 R2 (ja ich weiß, der ist schon aus der Wartung...) und darauf laufen ebenfalls Active Directory mit DNS, GPO (DHCP-Rolle hab ich schon umgezogen). Außerdem läuft dort auch noch ein Exchange 2010 drauf. Also insgesamt alles gegen jegliche BestPractise..

- Alle FSMO-Rollen wurden schon vor längerer Zeit fehlerfrei auf den DC01 übertragen.

Jetzt würde ich gern eine ein- oder zweistufige Zertifizierungsstelle aufbauen und danach natürlich den Exchange 2010 durch einen Exchange 2019 ersetzen.

Wie gehe ich hier am besten vor?

Mein Vorgehen (bei einstufiger Zertifizierungsstelle) sieht aktuell so aus:

1. Neuen virtuellen Server (Windows Server 2019) mit neuem Namen aufsetzen und dort eine neue Zertifizierungsstelle (mit neuem Namem) einrichten

2. Zertifikate von diesem Server neu ausstellen lassen (u.a. auch neues Zertifikat für Exchange und das dort anbinden)

3. Testen

4. Wenn alles passt, die alte Zertifizierungsstelle deaktivieren und entfernen

5. Danach auf altem Server "dcpromo", damit er auch kein Domain Controller mehr ist (macht das Probleme mit dem installierten Exchange 2010?)

6. Neuen Exchange Server 2019 aufsetzen und Postfächer umziehen

7. Danach alten Exchange 2010 aus der Domäne und abschalten.

Ist mein Vorgehen korrekt? Theoretisch könnte ich den Schritt 5 auch erst nach dem Schritt 6 durchführen, falls es Probleme mit installiertem ActiveDirectory + Exchange 2010 gibt.

Vielen Dank, wenn ihr mich dabei unterstützen könnt!

Grüße,

Benjamin

Hallo,

wir wollen mit ADConnect eine Verbindung der On-Premise AD und der Azure AD herstellen.
Dazu habe ich erstmal eine Testumgebung erstellt um das Ganze zu testen.

Es scheint so erstmal auch alles zu funktionieren. Keine Fehlermeldungen und die erste Sync "Synchronisation Service Manager" hat alle User (Adds -> 20) hinzugefügt. 
Auch im Microsoft 365 Admin Center werden keine Fehler angezeigt. 

Aber keine der importierten 20 Testuser erscheint im M365 Admin Center. Weder unter "Aktive Benutzer" noch im Azure AD.

Was mache ich falsch oder habe ich da einen Denkfehler?

vG Markus

Hallo,

wir haben seit langer Zeit die Domäne von 2 DC's auf einen DC reduziert.
Beim Überprüfen mit DCDIAG ist mir aufgefallen, dass es einen Fehler mit dem DFSR

Im Ereignis Log ist das zu sehen.

Aber wie / wo kann ich den alten Server03 herauslöschen?

Im DFS Verwaltungs Snapin sehe ich das hier

Gruß, Herry 

Domäne mit 2 W2K8 DC's, die 2 DC's durch 2 W2K16 DC's ersetzt, DFSRMIG vorher vergessen

Keine Fehler bei der Umstellung aufgetreten, dcdiag keine Fehler beim Sysvol

Sysvol Verzeichnis aus Datensicherung gesichert, Applikationsdomäne daher nur 6 GPO's und keine Daten im Netlogon

DFSRMIG kann nicht verwendet werden, wie kann von FRS auf DFSR Replikation umgestellt werden ?

Hallo zusammen,

wir haben kürzlich damit begonnen, unseren Domain Controller (SBS 2011) auszumustern und durch einen Windows Server 2016 zu ersetzen. Bei der Migration haben wir uns an diese Anleitung gehalten:

(https://windowsserveressentials.com/2017/03/28/migrate-sbs-2011-standard-to-windows-server-2016/)

Sowohl der SBS als auch der WS laufen als VM auf einem ESXi Host (6.0.0), aktuelle Updates sind eingespielt.

Ich habe das ganze Szenario im Voraus natürlich in einer Testumgebung durchgespielt, in der ist auch alles einwandfrei gelaufen. Jetzt haben wir am Freitag die Migration des tatsächlichen DCs angestoßen, bis zum Umzug der Zertifizierungsstelle des SBS auf den neuen Server gab es auch keine Probleme. In der oben verlinkten Anleitung steht allerdings, man könnte/sollte nach der Installation der Zertifizierungsstelle auf dem Zielserver einmal testweise ein Zertifikat für den DC ausstellen, was leider nicht funktioniert hat.

Bei der Auswahl der Zertifikatsvorlagen in der MMC kam der Hinweis, dass keine Zertifikatstypen verfügbar sind. Wenn ich mir alle Zertifikatsvorlagen anzeigen lasse, bekomme ich die Fehlermeldung z.B. unter der Vorlage "Domänencontroller":

"Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum gemessen an der aktuellen Systemzeit oder dem  Zeitstempel in der signierten Datei. Es wurde keine gültige Zertifizierungsstelle gefunden, die für das Ausstellen von Zertifikaten basiuerend auf dieser Vorlage konfiguriert wurde, oder dieserVorgang wird von der Zertifizierungsstelle nicht unterstützt, oder die Zertifizierungsstelle ist nicht vertrauenswürdig."

In meiner Testumgebung konnte ich nach gleicher Prozedur immerhin die Vorlagen für "Domänencontroller", Domänencontrollerauthentifizierung" und "Verzeichnis E-mail Replikation" auswählen.

Hat jemand schon mal was ähnliches erlebt oder eine Idee, was da schief gelaufen sein könnte? Wäre für jeden Hinweis dankbar, habe leider noch nicht so viel Erfahrung rund um das Thema Zertifikate, ist auch mein erster DC-Umzug.

Vielen Dank schonmal!

P.S. Ich kann leider noch keine Screenshots posten, deswegen die etwas umständliche Umschreibung.

LG MaEhl

Guten Morgen,

wir haben einem User bzw. einer Gruppe die Objektverwaltung für eine OU eingerichtet. Hier kann der User die Mitgliedschaft in Gruppen verändern.

Damit er das auf seinem PC durchführen kann, hat er die RSAT für Windows 10 installiert bekommen.

In der Konsole Active Directory-Benutzer und -Computer sieht er nun die Gesamte AD-Struktur also alle OUs und Objekte. 

Kann man die Sichtbarkeit soweit einschränken, dass er nur die OU/Objekte sieht, die er auch verwaltet?

Danke vorab.

AMU

Hallo.

Ich habe angefangen einen SBS2011 abzulösen. Zuerst wollte ich einen zweiten DC aufsetzen. Aktuell ist es ein 2012R2.
Nachdem alles ohne Fehler geklappt hat, stellte ich während ich einen Terminalserver konfigurierte seltsame Dinge fest. Als ich den 2012R2 DC runterstufen wollte, sagt er es wäre nicht möglich. Das war vor 2 Wochen. Nun bin ich etwas weiter. 

Es gibt da einige Probleme mit der Replikation und ich komme leider nicht weiter. 
Fangen wir mit der guten Kiste an.

DC-2012R2:
Repadmin sieht gut aus.

C:\Windows\system32>repadmin /showrepl

Repadmin: Befehl "/showrepl" wird für den vollständigen DC "localhost" ausgeführt
Standardname-des-ersten-Standorts\DC-2012R2
DSA-Optionen: IS_GC
Standortoptionen: (none)
DSA-Objekt-GUID: f713babd-5e3e-4297-98ec-ff9692581b00
DSA-Aufrufkennung: f3390b76-83b9-41d3-9baa-f7cca2302937

==== EINGEHENDE NACHBARN=====================================

DC=bahai-deutschland,DC=local
    Standardname-des-ersten-Standorts\SBS2011 über RPC
        DSA-Objekt-GUID: 478cf293-2312-4614-88e4-3d06488c349d
        Letzter Versuch am 2020-05-01 13:13:04 war erfolgreich.

CN=Configuration,DC=bahai-deutschland,DC=local
    Standardname-des-ersten-Standorts\SBS2011 über RPC
        DSA-Objekt-GUID: 478cf293-2312-4614-88e4-3d06488c349d
        Letzter Versuch am 2020-05-01 13:13:04 war erfolgreich.

CN=Schema,CN=Configuration,DC=bahai-deutschland,DC=local
    Standardname-des-ersten-Standorts\SBS2011 über RPC
        DSA-Objekt-GUID: 478cf293-2312-4614-88e4-3d06488c349d
        Letzter Versuch am 2020-05-01 13:13:04 war erfolgreich.

DC=DomainDnsZones,DC=bahai-deutschland,DC=local
    Standardname-des-ersten-Standorts\SBS2011 über RPC
        DSA-Objekt-GUID: 478cf293-2312-4614-88e4-3d06488c349d
        Letzter Versuch am 2020-05-01 13:13:04 war erfolgreich.

DC=ForestDnsZones,DC=bahai-deutschland,DC=local
    Standardname-des-ersten-Standorts\SBS2011 über RPC
        DSA-Objekt-GUID: 478cf293-2312-4614-88e4-3d06488c349d
        Letzter Versuch am 2020-05-01 13:13:04 war erfolgreich.

DCDiag zeigt nur Warnungen im Log

Nun der SBS2011:

U:\>repadmin /showrepl

Repadmin: Befehl "/showrepl" wird für den vollständigen DC "localhost" ausgeführt
Standardname-des-ersten-Standorts\SBS2011
DSA-Optionen: IS_GC
Standortoptionen: (none)
DSA-Objekt-GUID: 478cf293-2312-4614-88e4-3d06488c349d
DSA-Aufrufkennung: 171e673b-e471-4ddb-bd53-735593623692

DsReplicaGetInfo() ist fehlgeschlagen mit Status 8453 (0x2105):
    Der Replikationszugriff wurde verweigert.
DsReplicaGetInfo() ist fehlgeschlagen mit Status 8453 (0x2105):
    Der Replikationszugriff wurde verweigert.

Namenskontext: CN=Schema,CN=Configuration,DC=bahai-deutschland,DC=local
Quelle: Standardname-des-ersten-Standorts\DC-2012R2
******* WARNUNG: KCC konnte diese REPLIKATVERKNPÜFUNG aufgrund eines Fehlers nicht hinzufügen.

Namenskontext: DC=bahai-deutschland,DC=local
Quelle: Standardname-des-ersten-Standorts\DC-2012R2
******* WARNUNG: KCC konnte diese REPLIKATVERKNPÜFUNG aufgrund eines Fehlers nicht hinzufügen.

Namenskontext: CN=Configuration,DC=bahai-deutschland,DC=local
Quelle: Standardname-des-ersten-Standorts\DC-2012R2
******* WARNUNG: KCC konnte diese REPLIKATVERKNPÜFUNG aufgrund eines Fehlers nicht hinzufügen.

DCdiag hat Meldungen. Hier die Tests, die nicht bestanden worden.

 Starting test: NCSecDesc
    Fehler: NT-AUTORITÄT\DOMÄNENCONTROLLER DER ORGANISATION besitzt keine
       Replicating Directory Changes In Filtered Set
    Zugriffsrechte für den Namenskontext:
    DC=ForestDnsZones,DC=bahai-deutschland,DC=local
    Fehler: NT-AUTORITÄT\DOMÄNENCONTROLLER DER ORGANISATION besitzt keine
       Replicating Directory Changes In Filtered Set
    Zugriffsrechte für den Namenskontext:
    DC=DomainDnsZones,DC=bahai-deutschland,DC=local
    ......................... SBS2011 hat den Test NCSecDesc nicht
    bestanden.

 Starting test: Services

       Ungültiger Diensttyp: w32time auf SBS2011; aktueller Wert:

       WIN32_OWN_PROCESS; erwarteter Wert: WIN32_SHARE_PROCESS

    ......................... SBS2011 hat den Test Services nicht

    bestanden.

Dann kommen noch jede Menge DCOM Fehler. Ein Beispiel:

            DCOM konnte mit dem Computer "Hadji-PC.bahai-deutschland.local" unter Verwendung eines beliebigen, konfigur
erten Protokolls keine Daten austauschen.

         Fehler. Ereignis-ID: 0xC0002719

            Erstellungszeitpunkt: 05/01/2020   13:02:57

Die Replikation funktioniert leider nur von DC-2012R aus. Also SBS2011 > DC-2012R2.
Der andere Weg???

Bin leider trotz nun 3 Tage suchen, nicht weiter gekommen.