Mal wieder schließt Microsoft eine ihrer Communities. Diesmal ist die TechNet-Gallery dran, in der jahrelang Skripte, Tools und Dokumentationen aus der Community einen Platz gefunden hatten.

Schon seit einigen Wochen ist die Gallery im Read-only-Modus. Zum Ende dieses Jahres wird sie verschwinden. Da Microsoft das selbst peinlich zu sein scheint, haben sie den Hinweis drauf … eher dezent gehalten:

[TechNet Gallery Closure | Microsoft Docs]
https://docs.microsoft.com/en-us/teamblog/technet-gallery-retirement

Wer also selbst Inhalte in der Galley publiziert hat, sollte sich jetzt sehr schnell um eine Alternative kümmern, die Dinge bereitzuhalten.

Exchange 2000 war vielleicht der wichtigste Meilenstein in der Geschichte von Microsofts Messaging- und Groupwaresystem. Es markiert den Punkt, an dem der Verzeichnisdienst zum Teil des Betriebssystems wurde (Active Directory). Damit wurde deutlich, dass Microsoft den Weg in die Rechenzentren und Großunternehmen ernst meinte.

Am 29. November 2000 erschien also Exchange 2000 Server nach einer langen und sehr intensiven Betaphase. Die letzte Vorabversion (Beta 3) war gerade sieben Wochen vorher freigegeben worden, Windows 2000 Server mit dem neuen Active Directory war am 24. August 2000 auf dem Markt erschienen. Herzlichen Glückwunsch also, Exchange 2000!

Lesenswerte Zusammenfassungen der Geschichte von Exchange und von Active Directory gibt es hier:

[Microsoft Exchange 2000: Just the facts – TechRepublic]
https://www.techrepublic.com/article/microsoft-exchange-2000-just-the-facts/

[joeware – never stop exploring – History of Active Directory from someone who made it]
https://blog.joeware.net/2008/08/11/1420/

Und hier für die Nostalgie der Älteren unter uns ein Fotoalbum. So sah Exchange 2000 für den Admin aus.

… weiterlesen

Wer sich schon einmal mit Ausbildungsmaterial und Zertifizierungsprüfungen von Microsoft befasst hat, kennt die fiktiven Firmen, die in den Aufgaben und Szenarien immer wieder vorkommen. Einige davon sehr häufig wie Contoso, Northwind oder A. Datum, andere viel seltener. Es gibt aber wirklich viele davon.

In Microsofts TechNet-Wiki gibt es eine Liste, gepflegt von der Community, die eine beeindruckende Vollständigkeit aufweist. Wer also mit Microsoft-Produkten und deren Dokumentation zu tun hat, wird dort sicher auf Bekanntes treffen,

[List of fictional companies used in Microsoft material – TechNet Wiki]
https://social.technet.microsoft.com/wiki/contents/articles/1117.list-of-fictional-companies-used-in-microsoft-material.aspx

Es gibt gar keine “richtige” oder “beste” OU-Struktur für eine Active-Directory-Domäne. Trotzdem gibt es aber ziemlich viel, was man “nicht so gut” machen kann. Nach langem Zögern stelle ich daher hier eine Beispiel-Struktur vor, die als Grundlage für eigene Designs dienen kann.

Ein Grundfehler zieht sich durch sehr viele AD-Umgebungen, seit Microsoft Ende der Neunzigerjahre mit ersten Beispielen und Schulungen an die Öffentlichkeit gegangen ist: Viele Admins versuchen seither nämlich, das Organigramm des Unternehmens mit OUs in der Domäne abzubilden. Schnell stellen sie dann fest, dass das ziemlich umständlich für den Admin ist. Und kurz darauf kommt dann die Erkenntnis, dass sich das Organigramm schon wieder geändert hat, aber niemand hat den Admins Bescheid gesagt.

Die Erkenntnis: Die OU-Struktur im AD ist nicht für das Organigramm da, sondern für die Administration. Die IT-Administration hat in aller Regel völlig andere Kriterien als das Business, und das ist auch gut so. Die AD-Struktur soll also den Admins helfen, nicht den Mitarbeitern. Mitarbeiter bekommen die OUs ohnehin praktisch nie zu Gesicht, Manager auch nicht. Hier stellt sich dann aber auch schon das Problem mit “Best Practice”: da auch die IT-Administration von Unternehmen zu Unternehmen sehr unterschiedlich ist, wird es kein Modell geben, das zu allen passt. Wie oben schon angemerkt, gibt es ein paar Konstrukte, die sich in vielen Situationen bewährt haben und von denen aus man dann selbst planen kann.

… weiterlesen

Community ohne Meetings – macht keinen Spaß. Immerhin gibt es Ersatzformate, und auf diesem Weg plant das Azure Dev Meetup Munich seine erste große Veranstaltung: der Azure Developer Community Day 2020 wird am Dienstag, dem 8. Dezember 2020 rein virtuell stattfinden. Die Organisatoren haben Großes vor: Ein Lineup von 24 Sessions in vier parallelen Tracks soll per Microsoft Teams über die virtuelle Bühne gehen.

Dabei wollen die Münchner Meetup-Kollegen den Community-Gedanken hoch halten und haben daher ein ebenso offenes wie ehrgeiziges Konzept: Der Call for Papers ist öffentlich bis zum 28. November – es kann also bis kurz vor dem Event einen Session-Vorschlag einreichen, wer Lust dazu hat. Das wird sicher eine spannende Sache!

Hier geht es zum Event:

[Azure Developer Community Day 2020 – #azdevcom]
https://www.azuredev.org/

Und hier ist der Call for Papers:

[Azure Developer Community Day 2020 (virtual Edition): Call for Papers (CfP) @ Sessionize.com]
https://sessionize.com/azure-developer-community-day-2020

Okay, es ist ein Tipp aus der c’t Retro, aber gut ist er ja trotzdem: Auf pcjs.org gibt es ein hübsches “Museum” zur PC-Technik. Auf der Seite läuft ein JavaScript-basierter Emulator, der verschiedene historische Rechner im Browser nachbildet. Die meisten davon sind frühe PCs (und einige historische Software), aber es gibt auch andere Typen wie die legendäre PDP-10*.

Für die Älteren unter uns (hüstel) einen Blick wert:

[PCjs Machines]
https://www.pcjs.org/

* ja, natürlich PDP, nicht PHP. Danke an Frank Carius für den Hinweis. 😉

In einem Kundenprojekt war kürzlich abzuwägen, ob für bestimmte Informationen das Schema des Active Directory erweitert werden sollte. Um diesen Vorgang den Verantwortlichen gegenüber ein wenig einzuordnen, recherchierte ich ein wenig und fand einen älteren, aber gut geschriebenen Artikel von AD-Urgestein Brian Desmond:

[Extending the Active Directory Schema | IT Pro]
https://www.itprotoday.com/active-directory/extending-active-directory-schema

Brian stellt einige technische Zusammenhänge dar und zeigt vor allem gut auf, an welchen Stellen es Planung und Vorbereitung braucht. Beherzt man dies, dann ist eine Schema-Erweiterung keine Magie. Was im Artikel leider etwas kurz kommt, ist die technische Umsetzung. Dazu recherchiere ich dann noch ein wenig weiter – oder ich schreibe bei Gelegenheit selbst was dazu.

Das Problem: Anwender sollen eine bestimmte Webseite öffnen können (hier: die einer internen Telefonanlage), indem sie nur deren Namen (hier: “starface”) in den Browser eintippen. Der Browser macht daraus allerdings eine Suchanfrage. Nur wenn man “https://” vor den Namen tippt, öffnet sich die Webseite.

Die Lösung: Tatsächlich bietet Firefox dafür eine Konfigurations-Option.

Firefox speichert solche Eingaben in der about:config. Dort sucht man nach „fixup.dom“ und bekommt eine Liste angezeigt mit Wörtern denen ein http voran gesetzt werden soll. (Siehe Bild). Dort kann man solche Einträge auch wieder löschen.

Nun wollte ich das irgendwie in die GPO übertragen. Das funktioniert so aber nicht. Die Lösung ist dort die Einstellung „browser.fixup.dns_first for single words“. Zu finden ist das unter Computerconfiguration -> Administrative Vorgaben -> Mozilla -> Firefox -> Einstellungen. Diese einfach aktivieren und die Gruppenrichtlinien auf dem Client aktualisieren. (ggf. Client noch neu starten)

Wie der Name schon sagt guckt Firefox bei der Eingabe eines einzelnen Wortes in der Adresszeile erstmal, ob es eine passende DNS-Auflösung dafür gibt. Falls ja, wird ein http:// vorangestellt. Falls nicht wird die eingestellte Standardsuchmaschine befragt.

Die Lösung funktioniert wie gesagt nur für den Firefox. Für andere Browser wird es vermutlich ähnliche Einstellungen geben.

Der entscheidende Input kam von:

[Did you mean to go to example : firefox]
https://www.reddit.com/r/firefox/comments/dyota7/did_you_mean_to_go_to_example/

Auch Domänencontroller segnen irgendwann das Zeitliche. Weiß man das vorher, dann kann (und sollte) man den DC geordnet aus dem Active Directory entfernen. Das geht recht einfach über eine ordentliche Deinstallation.

Nun kann ein DC aber auch einfach “versterben” – der Server ist kaputt und lässt sich nicht reparieren. Für den laufenden Betrieb ist das meist nur ein geringes Problem, weil man “einfach” einen neuen DC installieren kann und so die gewünschte Redundanz wieder herstellt. Nun hat man allerdings das verwaiste Objekt des ehemaligen Domänencontrollers noch im AD.

In den meisten Fällen ist auch dies unproblematisch. Schon seit vielen Jahren kann man das DC-Objekt einfach über das Dienstprogramm “Active-Directory-Benutzer und -Computer” löschen, das Tool kümmert sich dann um den Rest. Früher musste man umständlich mit ntdsutil arbeiten, das leider etwas krude in der Bedienung ist*.

Was aber, wenn sich Active Directory weigert mit dem Hinweis: Zugriff verweigert? In den meisten Fällen ist dafür das Häkchen “Objekt vor zufälligem Löschen schützen” zuständig. Ist es aktiv, dann kann man das Objekt nicht löschen. Man muss erst den Haken entfernen. Eine zusätzliche Hürde lauert dabei, denn das Häkchen kann an mindestens zwei stellen stehen.

Einmal könnte es in “Active-Directory-Benutzer und -Computer” stehen:

Auch in “Active-Directory-Standorte und –Dienste” kann es auftauchen:

Auf der Kommandozeile lässt sich das so prüfen. Falls das Häkchen gesetzt ist, wird ganz am Anfang der Liste mindestens ein Eintrag mit “Verweigern” (Deny) auftauchen:

dsacls "CN=DC-Name,OU=Domain Controllers,DC=domain,DC=tld"
dsacls "CN=NTDS Settings,CN=DC01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=domain,DC=tld"

An beiden Stellen muss das Häkchen leer sein, damit das Löschen funktioniert.

* Eine Anmerkung noch zu ntdsutil: Leider gibt es zu dem Tool eine ganze Reihe falscher Anleitungen. Auch die Anleitung auf einigen Microsoft-Seiten ist leider falsch. Die folgende Seite enthält eine korrekte Anleitung:

[Forced removal of a Domain Controller from Active Directory – Dimitris Tonias]
https://www.dtonias.com/forced-removal-domain-controller/

In einem Kundenprojekt war die Frage zu klären, wie eigentlich Gruppenrichtlinien verarbeitet werden, wenn Benutzer- und Computerkonten in unterschiedlichen AD-Forests zuhause sind. Ein älterer Artikel des ehemaligen MVPs Florian Frommherz (jetzt Microsoft Corp.) beschreibt dies sehr umfassend:

[Florian’s Blog – Cross-Forest Group Policy application]
http://www.frickelsoft.net/blog/?p=284