dmetzger

Danke auch, dass Du Deine Lösung vorbildlich dokumentierst.

Lass mich als MCT antworten, der hin und wieder Leute mit ähnlicher Voraussetzung unter seinen Kursteilnehmern hat. Zum einen möchten Kursanbieter (also Schulen) möglichst viele Teilnehmer haben, da sie von den bezahlten Kursgeldern leben. Also nennen sie lieber tiefere Voraussetzungen ("1 Jahr Praktikum genügt..."), während es sich bereits bei Microsoft im "Audience Profile" anspruchsvoller liest, z.B.: http://www.microsoft.com/learning/en/us/exam.aspx?ID=70-640&locale=en-us Es sitzen somit immer wieder praktisch gänzlich unerfahrene Leute im Klassenraum. Nicht erfundenes Beispiel aus dem realen Trainerleben: Trainer sagt: "Bitte starten Sie die Kommandozeile und geben Sie die Befehle laut Ihrem Kursbuch ein." Teilnehmer: "Wo finde ich die Kommandozeile?" Am Ende schaffen die Leute die Prüfungen trotzdem, weil sie Google kennen und irgendwo vorab die Prüfungsfragen und -antworten finden. Sie werden also MCITP, obwohl sie ausserhalb der Schulungs-Labs nie einen Windows Server gesehen geschweige denn alltäglich bedient haben. Anschliessend bewerben sie sich, werden vielleicht tatsächlich angestellt, und tauchen womöglich hier im Forum oder in anderen als Fragesteller wieder auf, um sich täglich durchs Berufsleben helfen zu lassen. Das ist der schlimmste Fall und bestimmt nicht Deiner, denn Du bringst als Wirtschaftsinformatiker bereits einige Kenntnisse mit, wenngleich die praktische Erfahrung als Serveradmin noch fehlt. Mein Tipp deshalb: Versuche parallel zu einem MCITP-Lehrgang auch irgendwo die Möglichkeit zu finden, begleitet erste Erfahrungen in der Serverpflege zu sammeln. Das ist sicherlich der schwerste Teil, doch alleine eine MCITP-Zertifizierung ist keine Garantie. Wir begleiten of Kunden bei der Auswahl von internem IT-Personal. Da schauen wir uns zwar Ausbildungen und Zertifizierungen an, doch die Entscheidung fällt im Anstellungsgespräch, in dem wir die tatsächlichen technischen Kenntnisse von Bewerbern prüfen, z.B. "Erklären Sie uns, in welchem Zusammenhang DNS mit Active Directory steht"; "Erläutern Sie uns, wie AD repliziert und ordnen Sie Begriffe wie FRS, DFSR, KDC, ISTG, NTDS Site Settings, Standortverbindungsbrücken etc. ein."; "Wie und wo werden Gruppenrichtlinienobjekte gespeichert?" Ich wünsche Dir viel Glück und Möglichkeiten, ein guter Sysadmin zu werden.

Zeigt Outlook im sicheren Modus das gleiche Verhalten? "Ausführen" -> "Outlook.exe /safe"

Wenn ich mich kurz einmischen darf: Du hast von den Vorrednern sehr konstruktive Vorschläge und Einwände erhalten. Sie arbeiten in professionellen Umgebungen mit professionellen Mitteln und versuchen mit Erfahrung und Kompetenz zu helfen. Das lässt sich leicht herauslesen. Es fällt dem einen oder anderen Kollegen möglicherweise schwer, trotz seiner Erfahrung und Kompetenz weitere Hilfestellung für eine nicht-professionelle Lösung zu leisten. Ich würde so etwas als produktive Umgebung nie bauen, sondern lieber auf den Kunden verzichten. Es gibt nun einmal gesetzliche Regelungen für den Umgang mit geschäftlicher E-Mail, es gibt eine Haftung der Geschäftsführung, und es gibt eine Verantwortung der IT-Verantwortlichen - darum nennt man sie so.

NorbertFe hat den entscheidenden Punkt schon genannt: Mit einem NAS-Gerät lässt sich keine Domäne bauen. Die Anlassagentur will es wahrscheinlich möglichst billig haben. Sonst würde sie sich bestimmt eine Fachperson leisten.

Nicht unbedingt. "Administratoren" (Vollzugriff - Diesen Ordner, Unterordner und Dateien), "System" (Vollzugriff - Diesen Ordner, Unterordner und Dateien) und "Ersteller-Besitzer" (Lesen, Ausführen - Nur Unterordner und Dateien) sollen ja Berechtigungen auf den untergeordneten Stammordnern haben, ohne dass sie auf jedem Stammordner nach dessen Erstellung separat eingetragen werden müssen. Es könnten je nach Umgebung einige 1000 oder 10'000 Stammordner sein :shock: Aber auch wenn es bloss 5 Stammordner/Homes sind, schlage ich vor: - Berechtigungen für Gruppen, die keinen Zugriff auf die Freigabestruktur haben sollen, möglichst weit oben entfernen (z.B. "Benutzer"). Das kann je nachdem bereits der Stamm eines separaten Datenvolumens sein, auf dem nur Stammordner/Homes beherbergt werden sollen. - Falls es Gruppen gibt, die auf eine übergeordnete Ordnerstruktur zugreifen sollen, nicht aber auf die Stammordner selbst, muss tatsächlich die "Berechtigungen übergeordneter Objekte, sofern vererbbar..."-Kette unterbrochen werden, um an diesem Punkt diejenigen Gruppen zu entfernen, deren Berechtigungen nicht weiter vererbt werden sollen. - Berechtigungen können "Nur für diesen Ordner" gesetzt werden. Eine entsprechende Gruppe hat in diesem Fall Zugriff auf dieses übergeordnete Objekt, nicht aber auf untergeordnete. - Für automatisch erstellte Stammordner haben deren Benutzer Vollzugriff, d.h. sie können Berechtigungen untergeordneter Objekte (Ordner, Dokumente) per ACL ändern und z.B. den Administratoren alle Berechtigungen entziehen. Auch wenn sich dies durch Besitzübernahme ändern lässt, kann eine spätere Dateiserver-Migration dadurch erheblich länger dauern und/oder Sicherungen schlagen fehl. Es empfiehlt sich, die Berechtigungen der Benutzer auf ihren Stammordner so anzupassen, dass sie keinen Vollzugriff haben (CACLS drängt sich hier auf). Wenn alle Domänencontroller mindestens Windows Server 2008 RTM sind, kann dies mittels der Gruppe "Owner Rights" und Vererbung auf die Stammordner ebenfalls erreicht werden.

Mein Gott, noch niemand hier? *Licht an* Ihr seid hoffentlich alle schon bei den Kunden und nicht mehr im Schlaf.

Die interne Benutzerverwaltung von SharePoint ist für ein Hosting-Angebot ungeeignet. Wir haben wie erwähnt eine solche Plattform schon einmal für einen Kunden gebaut (Hosted Messaging and Collaboration 4.5). Die Plattform - sprich auch AD - muss z.B. in der Lage sein, mehrere Benutzerobjekte "Hans Müller" zu provisionieren, wenn diese aus verschiedenen Organisationen stammen. Man kann ja schlecht der Firma A erzählen, dass ihr Hans Müller einen anderen Anmeldenamen wählen muss, weil es in der Benutzerverwaltung schon einen Hans Müller der Firma B gibt. Die Plattform muss skalierbar und in der Lage sein, automatisierte Monatsberichte für die Lizenzabrechnung mit Microsoft zu generieren. Hierzu gibt es Werkzeuge, die nicht die interne Benutzerverwaltung von SharePoint nutzen. Es gibt für HMC 4.5 eine ausführliche Plattform-Dokumentation von Microsoft. Sie basiert auf Windows Server 2003/2008, Exchange Server 2007 und SharePoint Services 3.0: Solution for Hosted Messaging and Collaboration v4.5 Es gibt vorläufig keine vergleichbare Dokumentation für W2K8R2, E2K10 und SharePoint 2010, sondern nur einen Migrationsführer -> Exchange 2010 SP1. Die Dokumentation von HMC 4.5 vermittelt jedoch Grundlagenwissen für den Aufbau von Hosted SharePoint inkl. Voraussetzungen und Werkzeugen für die Benutzerverwaltung mitels Provisionierungswerkzeug und AD im List Object Mode: Deploy the Core Platform (Deploy Active Directory directory service) Die XML-Beispiele für die Provisionierung geben Aufschluss darüber, was im Hintergrund geschieht.

Was Du wahrscheinlich suchst, findest Du hier: Use Manual Steps to Set Active Directory to List Object Mode Controlling Object Visibility (Windows) Ich rate von der Umsetzung auf eigene Faust ab, wenn Du nicht wirklich tiefes Wissen von Active Directory hast. In dem Zusammenhang steht auch das Microsoft Provisioning System (MPS): Microsoft Provisioning System Component Overview

Lies Dich mal hier durch: Insight Deutschland - Microsoft SPLA Anschliessend kannst Du Dich bei Insight persönlich informieren, was Lizenzsache ist. Wir haben das alles für einen Kunden schon einmal abgeklärt, auch im Kontakt mit Microsoft selbst. Schildere Deinen Fall, und Du wirst rechtsverbindlich Auskunft erhalten, wie die Lizenzierung erfolgen muss. Aber beginnt nicht einfach als IT-Dienstleister mit dem Anbieten von Diensten ohne vorhergehende Abklärung - zu Eurem Schutz und dem der Kunden.

Hier findet eine ähnliche Diskussion - wenn nicht sogar die selbe - statt: http://www.mcseboard.de/virtualisierung-82/sharepoint-virtualisierung-2-170315.html#post1053782

Du kommst definitiv nicht um ein Service Provider License Agreement herum. Action Pack-Lizenzen sind, wie Du richtig bemerkst, ausschliesslich für den internen Gebrauch. Das selbe gilt allerdings auch für hinzugekaufte Volumenlizenzen - die sind für den Gebrauch durch den Lizenznehmer.

Es gibt keinen unterstützten Migrationspfad von SharePoint 2010 Beta zu RTM. SharePoint 2010 - The Beta, The RTM and the Migration Path - Remember Sammy Jankis Es gibt andererseits Lösungen von Drittanbietern für die Migration der Inhalte: Metalogix - SharePoint Migration Solutions Wir haben unseren interessierten Kunden abgeraten, "produktive" Systeme mit SharePoint 2010 zu bauen und lieber auf die RTM zu warten, um unterstützt aus SharePoint Server 2007/Services 3.0 zu SharePoint 2010/Foundation 2010 zu migrieren. Von Microsoft offiziell unterstützt ist ausschliesslich die Beta zu RTM-Migration für TAP-Kunden.

Korrekt: "WMI-Filter". Wenn der Filter für die Anwendung der Richtlinie mindestens Windows Vista voraussetzt, wird die Richtlinie für XP nicht angewendet. Das ist ja der Sinn von WMI-Filtern.

Der Fall wurde im Forum mehrmals besprochen und gelöst. Dein DC hat 2 aktivierte Netzwerkadapter mit zwei unterschiedlichen IP-Adressen im selben Subnetz. Das Forum hat eine ausgezeichnete Suchfunktion.

Im Active Directory Schema -> Attribut "defaultSecurityDescriptor". Default Security Descriptor (Windows)

Man sieht mal wieder: 3 Informatiker, 4 Meinungen :D Andererseits trifft Nils den Punkt. Das muss man ihm in diesem Fall lassen.

Quest ist selbstverständlich besser. Man bekommt, wofür man bezahlt. ADMT hat als Kostenlosprodukt seine Einschränkungen. NT auf W2K3 mache ich lieber mit der ADMT-Version 2.0 statt 3.0/3.1/3.2, wenns ADMT sein muss (der Kunde ist mein König). Ich fühle mich wohl damit und verwende es noch immer gerne, wenn nicht die Umstände eine neuere Version voraussetzen.

Das wäre mein bevorzugter Weg mit ADMT 2.0: Download details: Active Directory Migration Tool v.2.0 Migration von Windows NT 4 Domäne nach Windows 2003 Active Directory

Gerne geschehen. Dokumentiere Dein Vorgehen für zukünftige Fälle, übe mit ADSIedit etc. und erlebe glückliche Tage mit AD:D

Fehlermeldung: Das DSA-Objekt kann nicht gelöscht werden

Genau diesen KB-Artikel von Microsoft meine ich. Arbeite ihn durch, wobei vor allem die Abschnitte "Entfernen Sie die Metadaten für alle anderen Domänencontroller in der Domäne" und "Überprüfen der Gültigkeit von Active Directory-Objekten, die mit der RID-Zuweisung zusammenhängen" hilfreich sein sollten. Der Artikel von Daim beschreibt ausgezeichnet, wie man die freundliche und die erzwungene Verschiebung von FSM-Rollen durchführt, falls die im KB-Artikel von Microsoft beschriebenen Lösungsansätze nicht fruchten. Ist nur des Versuches wegen, denn der DC weiss im Prinzip, dass ihm der RID Master zugedacht ist; er kanns nur nicht mit dem verblichenen Kollegen abgleichen.

Gibts weitere Einträge mit SAM als Quelle? Das Problem kommt daher, dass der DC nach einer Wiederherstellung u.a. prüft, ob ausser ihm ein anderer Domänencontroller die RID FSMO für sich beansprucht. Nur ist ausser ihm kein anderer DC da, der per Replikation diese Frage beantworten kann. Hast Du bereits einen Neustart durchgeführt? Es gibt im Zusammenhang mit diesem Verhalten für Windows 2000 Server einen Hotfix, allerdings für den Fall, dass der RID Master nach einer Wiederherstellung doppelte SIDs vergibt, weil sein RID Pool auf einen früheren Zustand zurückgesetzt wird. Ich weiss allerdings nicht, dass dieser Hotfix hier von Nutzen sein kann. Kannst Du versuchen, die RID FSMO zu erzwingen, auch wenn netdom query fsmo meldet, dass der DC bereits RID Master ist? Und eben: Gibts weitere Einträge mit SAM als Quelle?

Hast Du Events mit der ID 16650 in der Ereignisanzeige?

Lied Dich hier durch: You cannot log on to the domain, join a computer to the domain, or run the Active Directory Installation Wizard (Dcpromo.exe) in Windows Server 2003 Lass Dich nicht beirren vom Umstand, dass Windows Server 2003 genannt wird. Deine Lösung ist mit hoher Wahrscheinlichkeit unter "Resolution 1" aufgeführt. Erstelle zuerst eine Sicherung des c:\winnt\sysvol-Ordners und seiner Inhalte. Das ist die so genannte Burflags-Lösung.