RSAT: Fehlende Reiter bei der Domänenverwaltung

Seit Windows Vista und Windows Server 2008 existiert das „Administration Pack“ (kurz: Adminpak) nicht mehr. Im Adminpak, das es seit Windows 2000 gab, sind sämtliche administrativen Snap-Ins wie z.B. Active Directory-Benutzer und -Computer (ADBuC), das DNS- oder DHCP-Snap-In usw. enthalten. Das Adminpak hat den Vorteil, dass es sich auf einer Windows-2000- bzw. Windows-XP-Admin-Workstation installieren lässt und danach von dem Client aus die Domäne und die Infrastruktur-Dienste administriert werden können. Für jeden Administrator eines der Pflicht-Tools, das auf seiner Workstation nicht fehlen darf.

Lange Zeit gabt es für Windows Vista gar keine Möglichkeit, mit unterstützten Methoden eine Windows-Infrastruktur fernzuverwalten. Nur mit Umwegen gelang es etwa, eine funktionsreduzierte Adminpak-Installation hinzubekommen. Erst anderthalb Jahre nach dem Vista-Release kam die Abhilfe: Der Nachfolger des Adminpaks nennt sich „Remote Server Administration Tools“ (RSAT). Die RSAT können unter den Vista-Versionen Business, Enterprise und Ultimate installiert werden und unterstützen sowohl die x86- als auch die x64-Architektur. Die Voraussetzung für die RSAT ist das Service Pack 1 für Windows Vista. Aber: Ganz vollständig sind die Tools zunächst nicht. Wie man dem für zwei wichtige Fälle abhilft, beschreibt dieser Artikel.

In Betrieb nehmen

Die RSAT lassen sich hier herunterladen:

• Downloaddetails: Microsoft Remoteserver-Verwaltungstools für Windows Vista 32-Bit Edition (KB941314)
  http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=9ff6e897-23ce-4a36-b7fc-d52065de9960
• Downloaddetails: Microsoft Remoteserver-Verwaltungstools für Windows Vista SP1 64-Bit Edition (KB941314)
  http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=d647a60b-63fd-4ac5-9243-bd3c497d2bc5

Nach der Installation der RSAT müssen noch die gewünschten Tools aktiviert werden. Damit etwa die AD-Snap-Ins angezeigt werden, gilt es die folgenden Schritte durchzuführen:

1. Im ersten Schritt ist in der Systemsteuerung unter Programme und Funktionen auf der linken Seite die Aufgabe Windows-Funktionen ein- oder ausschalten auszuwählen.
2. Im zweiten Schritt kann im darauf erscheinenden Dialogfenster Windows-Funktionen unter dem Punkt Remoteserver-Verwaltungstools – Rollenverwaltungstools – Tools für die Active Directory-Domänendienste die Komponente Tools für Active Directory-Domänencontroller aktiviert werden.

Anschließend stehen dem Administrator die drei AD-Snap-Ins (dsa.msc, dssite.msc und domain.msc) samt dem ADSI Edit in gewohnter Weise in der Systemsteuerung unter Verwaltung zur Verfügung. Wer die Programme lieber über das Startmenü aufruft, geht ähnlich vor wie unter Windows XP: Rechtsklick auf das Startmenü, Befehl „Eigenschaften“. Dort das Menü anpassen und auswählen: „Systemverwaltung: Im Menü Alle Programme anzeigen“ (fast ganz unten in der Liste).

Da fehlt doch was?

Wenn man nun in der MMC Active Directory-Benutzer und –Computer unter Ansicht die Erweiterten Features aktiviert, erscheinen weniger Reiter in den Eigenschaften eines Benutzerkontos als auf einem DC oder unter einem Windows-XP-Client mit installiertem Adminpak.

Möchte man aber die Einstellung „Terminaldienste-Benutzerprofil“ im Reiter Terminaldienstprofile konfigurieren, ist man gezwungen, diese Konfiguration entweder per RDP oder per Turnschuh direkt am DC vorzunehmen. Denn der Reiter Terminaldienstprofile, in dem diese Einstellung vorgenommen werden kann, erscheint auf einem Vista-Client nicht. Wer nun glaubt, dass dies an einem Windows-2008-basierenden Active Directory liegt und die Reiter in einer Windows-2000- oder Windows-Server-2003-Umgebung erscheinen, der irrt. Egal, in welcher Domäne sich der Vista-Client befindet, die Reiter erscheinen zu keinem Zeitpunkt.

Nun gibt es aber eine nicht supportete Möglichkeit, den Reiter Terminaldienstprofile und noch weitere drei Reiter in den RSAT anzuzeigen. Dazu sind die folgenden Schritte notwendig:

1. Zuerst müssen entweder von einem Mitgliedsserver unter Windows Server 2008, auf dem unter den Features die Komponente Tools für Active Directory-Domänencontroller installiert wurde, oder von einem Windows Server 2008 DC die beiden Dateien
   %windir%\system32\tsuserex.dll und %windir%\system32\de-DE\tsuserex.dll.mui auf den Vista-Client in die gleichen Verzeichnisse kopiert werden. Dabei ist auf die gleiche Architektur zu achten. Das bedeutet, die beiden Dateien müssen von einem 32-Bit-Server stammen, wenn es sich um einen 32-Bit-Vista-Client handelt.
2. Falls es sich um englische Systeme handelt, so lautet der Pfad zu der Datei „ususerex.dll.mui“ folgendermaßen: %windir%\system32\en-US\tsuserex.dll.mui.
3. Auf dem Vista-Client gilt es dann mit administrativen Rechten diesen Befehl auszuführen:
   regsvr32.exe tsuserex.dll.
4. Anschließend stehen die folgenden vier Reiter ohne Funktionsverlust zusätzlich auf dem Vista-Client zur Verfügung:

• Remoteüberwachung
• Sitzungen
• Terminaldienstprofile
• Umgebung

Mit dem folgenden Befehl verschwinden die Reiter wieder:

regsvr32.exe tsuserex.dll /u

Der Reiter Attribut-Editor unter Windows Vista

Der Reiter Attribut-Editor, der sich in Domänen unter Windows Server 2008 in der MMC „Active Directory-Benutzer und -Computer“ in den Eigenschaften der Objekte befindet, ist eine Erleichterung für den Administrator, um Änderungen von einzelnen Attributen direkt am Objekt vorzunehmen. Der Reiter erscheint jedoch erst, wenn unter Ansicht in der MMC „Active Directory-Benutzer und -Computer“, die Erweiterten Features aktiviert wurden.

Bis zu Windows-Server-2003-Zeiten musste der Administrator die Änderungen an einzelnen Attributen in Objekten z.B. mit ADSI Edit durchführen. Nun kann er das von einem Vista-Client oder einem Windows Server 2008, auf dem die RSAT und anschließend die Komponente Tools für Active Directory-Domänencontroller installiert wurden, durchführen.

Befindet sich der Vista-Client in einer Umgebung unter Windows Server 2008, erscheint standardmäßig beim Aufruf der Eigenschaften eines Objekts in der MMC ADBuC der Reiter Attribut-Editor. Ist jedoch der Vista-Client oder ein Windows Server 2008 (worauf die Komponente Tools für Active Directory-Domänencontroller installiert ist) Mitglied einer Windows-2000- oder Windows-Server-2003-Gesamtstruktur, so erscheint der Reiter nicht. Der Grund dafür ist, dass die Windows-2000-/2003-Gesamtstruktur diesen Reiter nicht kennt. Denn bei einem Upgrade einer Windows-2000- oder Windows-Server-2003-Domäne auf Windows Server 2008 werden einige Schema- und Konfigurationsänderungen in Active Directory ausgeführt, von denen eine genau diesen Reiter betriffr. Das ADPREP /FORESTPREP von der Windows-Server-2008-DVD aktualisiert nämlich auch den Display Specifier in der Konfigurationspartition, der genau diesen Reiter zum Vorschein bringt. Diese Änderung existiert natürlich in einer Gesamtstruktur unter Windows 2000/2003 nicht. Man kann sie aber wie folgt mit Domänen-Admin Rechten der Root-Domäne händisch hinzufügen:

1. Mit ADSIEdit oder LDP, die sich beide in den Windows Support Tools befinden, gilt es zuerst zu diesem Pfad zu navigieren:
   CN=computer-Display,CN=407,CN=DisplaySpecifiers,CN=Configuration,DC=<Root-Domäne>
   Dort angekommen, ruft man mit einem Rechtsklick auf “computer-Display” die Eigenschaften auf und fügt im Attribut “adminPropertyPages” diese Zeile hinzu:
   8,{c7436f12-a27f-4cab-aaca-2bd27ed1b773}
2. Als nächstes ruft man die Eigenschaften von dem Objekt “default-Display” auf:
   CN=default-Display,CN=407,CN=DisplaySpecifiers,CN=Configuration,DC=<Root-Domäne>
   Dort ist dann in dem Attribut “adminPropertyPages”, das sich ebenfalls in den Eigenschaften des Objekts befindet, dieser Wert einzutragen:
   4,{c7436f12-a27f-4cab-aaca-2bd27ed1b773}
3. Zum Schluss ist noch in den Eigenschaften des Objekts “user-Display”, das sich in diesem Pfad befindet:
   CN=user-Display,CN=407,CN=DisplaySpecifiers,CN=Configuration,DC=<Root-Domäne>
   im Attribut “adminPropertyPages” dieser Wert einzutragen:
   10,{c7436f12-a27f-4cab-aaca-2bd27ed1b773}

Handelt es sich um englische Systeme, so muss die Änderung nicht im Container „CN=407“, sondern „CN=409“ erfolgen; Entsprechendes gilt für andere Sprachen. Des Weiteren kann bei den einzutragenden Werten die Zahl links vom Komma variieren. In den jeweiligen Objekten befinden sich bereits mehrere Werte im Attribut „adminPropertyPages“. Es sollte lediglich eine Zahl vergeben werden, die noch nicht existiert.

Anschließend steht der Reiter Attribut-Editor in der MMC ADBuC zur Verfügung, natürlich nur, wenn die „Erweiterten Features“ unter Ansicht aktiviert wurden.

Die Änderungen an den Objekten werden in der Konfigurationspartition durchgeführt, die bekanntlich in der Gesamtstruktur repliziert wird und somit alle Domänen in der Gesamtstruktur betrifft.