phatair

Hallo zusammen, ich hoffe ich bin mit dem Thema MDM hier im richtigen Unterforum. Wir planen ein MDM System einzuführen, um in der Fertigung eine mobile Datenerfassung mit Android Geräten zu ermöglichen. Eingesetzt werden entweder Zebra oder PointMobile Android rugged devices. Im Moment wird das MDM System nur für diese Geräte genutzt und diese befinden sich ausschließlich im lokalen Fertigungsnetz und haben keine Verbindung ins Internet. Der MDM Server könnte also im internen LAN laufen und benötigt keinen externen Zugriff. Es ist allerdings nicht auszuschließen, dass wir in Zukunft auch Firmen Smartphones oder BYOD Geräte haben, die über das MDM System verwaltet werden sollen. Hier wäre dann natürlich ein externer Zugriff auf den MDM Server notwendig. Wir haben uns für SureMDM von 42Gears entschieden, da alle notwendigen Funktionen gegeben sind und das System nicht total überfrachtet ist, mit Funktionen die wir bei unserer Firmengröße nicht benötigen werden. Nun stellt sich für mich nur die Frage - stelle ich den MDM Server in unsere DMZ oder ins interne LAN. Im Moment wird wie gesagt kein Zugriff von Extern benötigt. Das wird sich aber mit hoher Wahrscheinlichkeit in den nächsten Monaten oder Jahren ändern. Ein Support Mitarbeiter der Firma meinte nun zu mir, dass wir ihn aus sicherheitstechnischen Gründen (da sonst alle verwalteten Geräte nach außen bekannt gegeben werden können) nicht in die DMZ stellen sollen, sondern den MDM Server im internen LAN betreiben sollen und falls ein externer Zugriff notwendig ist, die URL des Server durch die Firewall von extern zugänglich machen sollen (public facing). Das klang für mich jetzt erstmal merkwürdig, weil nach meinem Verständnis die DMZ ja genau für solch eine Situation geschaffen wird und ich eben nicht einen internen Server direkt ins Internet stellen möchte. Verstehe ich jetzt hier irgendwas komplett falsch? Wie habt ihr das gelöst? Steht bei euch der MDM Server auch in der DMZ? Danke euch schon mal.

Hi Speer, den Broker lassen wir ja zusammen mit dem WebAccess und Lizenzserver auf einem separaten Server laufen. Die Trennung vom RDS Host haben wir jetzt ja vorgenommen. Falls du meinst, dass wir den Broker getrennt vom WebAccess und dem Lizenzserver laufen lassen sollten, da sind wir dann doch eine Nummer zu klein :) Wir haben insgesamt ca. 20 RDP User und es ist nicht absehbar das wir uns in den nächsten Jahren verdreifachen oder vervierfachen. Ich denke das hängt schon auch immer ein gutes Stück von der Größe der Umgebung hab. Aber Danke für die Info.

Moin Nils, danke für deine Rückmeldung. Ist in der Tat etwas schwierig hier über das Forum eine Lösung zu erhalten. Ich dachte, vielleicht ist diese Fehlermeldung die beim kopieren des User Objektes erscheint bei jemanden bekannt. Aber es scheint ja eher eine sehr allgemeine Fehlermeldung zu sein. Ich werde jetzt beim Dell Defender Support anfragen, die müssten mir hier eigentlich weiterhelfen können. Wenn ich dann den Grund für die fehlerhafte Authentifizierung kenne, hilft mir das vielleicht auch beim AD Objekt weiter. Ich werde berichten :)

Ja das stimmt. Ich bin auch nicht zwingend davon ausgegangen, dass es kopiert wird. Es hätte ja auch sein können, dass beim kopieren dieses Attribut geprüft wird oder aus anderen Gründen auffällt das hier ein Fehler vorliegt und dann eben das Kopieren fehlschlägt. Wir verwenden Sonicwall für das SSL VPN und Dell Defender (One Identity) mit Token für die Authentifizierung. Wir verwenden 2 Authentifzierungen - erst die Windows Anmeldung, gefolgt vom Token. Die Windows Anmeldung klappt noch. Der Token wird aber immer abgewiesen. Im Dell Defender Log sehe ich dann folgende Fehlermeldung: Ich habe den Token dann einem anderen User zugewiesen und dort funktioniert er einwandfrei. Somit muss es irgendwo am User liegen.

Hi Nils, ok, dann kann ich das zumindest schon mal ausschließen. Die Primäre Gruppe ist bei dem User "Domänen-Benutzer". Ich habe auch schon den User mit anderen verglichen. Ich kann keinen Unterschied feststellen.

Hallo zusammen, ich habe ein AD User Objekt welches ich kopieren möchte. Wenn ich das versuche, kann ich ganz normal über den "Kopieren..." Assistenten den neuen Namen, das Konto und das Passwort vergeben. Wenn ich am Ende auf "Fertigstellen" klicke erhalte ich aber folgende Fehlermeldung: Andere User lassen sich problemlos kopieren. Hat jemand eine Idee woran das liegen kann? Wenn ich in den Attribut-Editor Tab des Users schaue, fällt mir auf das bei dem Attribut "msExchSafeSendersHash" ein etwas merkwürdiger Wert steht (siehe angehängten Screenshot). Kann das daran liegen? Hintergrund ist folgender. Der User hat auch Probleme sich bei unserem SSL VPN zu authentifizieren. Die Rückmeldung des AD Objektes scheint fehlerhaft zu sein. Deshalb wollte ich den User einmal kopieren und dabei ist mir der Fehler aufgefallen. Vielleicht ist das auch der Grund für die fehlerhafte SSL VPN Authentifizierung. Nur leider sagt mir dieser Backlink Fehler nichts. Für Hilfe wäre ich sehr dankbar.

Vielen Dank an alle. Die Umstellung hat nun wunderbar geklappt. Wir haben den neuen Lizenzserver telefonisch aktiviert. Danach mussten wir alle 4 CAL Pakete ebenso telefonisch aktivieren. War zwar etwas nervig und langwierig aber hat geklappt. Danach haben wir vom bestehenden RDS Host die Features WebAccess, Lizenzmanager und Session Broker entfernt und den RDS Host dem neuen Session Broker hinzugefügt und die Sammlung neu erstellt. Mit der geänderten MSTSC Datei funktioniert auch das Load balancing. Danke!

@Nobbyaushb Du brauchst dich doch nicht entschuldigen - wir gehen ja alle noch einem richtigen Job nach und ich bin dankbar für jeden Hilfe! So, nun bin ich schon mal einen Schritt weiter. Ich musste den neuen Server tatsächlich per Telefon aktivieren. Die Dame konnte mir auch nicht erklären was da schief gelaufen ist. Der Nachteil der Telefon Aktivierung ist, jetzt müssen auch alle CALs per Telefon eingetragen werden ... Ich werde aber am Montag mal die Option "Lizenzen von anderem Lizenzserver zu diesem Lizenzserver migrieren" ausprobieren. Das klingt eigentlich genau nach meiner Lösung. @Jan Ich hatte genau diesen Tip schon ausprobiert. Lic Server deinstalliert, LServer umgenannt und Lic Server neu installiert. Hat auch nicht geholfen. Was passiert eigentlich mit der aktuellen Sammlung auf unserem RDS Host 1. Dieser RDS Host beinhaltet ja im Moment noch alle Rollen (Lic, Web, Broker und Host). Somit ist auf diesem auch eine Sammlung angelegt und User sind dort angemeldet (allerdings nicht über den Sammlungsnamen sondern sie verbinden sich einfach zu dem Servernamen ohne den Sammlungsnamen mitzugeben). Auf unserem neuen Session Broker füge ich dann ja den RDS Host 1 im Server Manager hinzu. Wird dann die Sammlung dort auch gleich angezeigt oder muss ich die neu erstellen? Werden in diesem Fall dann alle bestehenden Verbindungen getrennt oder ist das dem RDS Host 1 und den Clients die verbunden sind total egal?

Ich erhalte nun beim aktivieren des neuen Lizenzmanagers folgende Meldung am Ende: Der Vorgang wurde ohne Fehler abgeschlossen. Status: Ihre Anforderung kann nicht verarbeitet werden. Stellen Sie sicher, dass alle erforderlichen Informationen richtig eingegeben wurden, und senden Sie die Anforderung erneut. Wenn das Problem erneut auftritt, verwenden Sie eine andere Verbindungsmethode. Als Verbindungsmethode nutze ich "Automatische Verbindung" Was mache ich falsch? den alten Lizenzserver habe ich deaktiviert. Auch dort erhalte ich jetzt die gleiche Meldung, wenn ich versuche den Lizenzserver wieder zu aktivieren. Hat jemand eine Idee?

Achso :) Ich dachte das wird immer online direkt von MS geprüft, da ich meine Open Nummer usw. eingeben muss. Dann kann ich ja den neuen Lizenzserver schon mit den Lizenzen bestücken und dann einfach umschalten. Dann dauert das ja nur ein paar Sekunden.

Hallo zusammen, ich hätte noch eine Frage und hoffe ihr könnt mir noch mal helfen. Wenn ich von dem bestehenden RDS Host den Lizenzserver entferne, werden dann alle verbundenen Clients getrennt oder habe ich eine gewisse Zeit um den neuen Lizenzserver einzutragen und die Lizenzen auf den neuen zu übertragen? Normalerweise hat man ja 90 oder 180 Tage Zeit zum testen, aber ich weiß nicht ob das auch für einen RDS Host gilt der schon mal einen Lizenzserver eingetragen hatte. Vielen Dank euch.

Hi Jan, ich habe noch zwei Fragen, vielleicht kannst du mir hier auch noch helfen. Ich habe nun meinen Server für den Session Broker, RDWeb und License manager fertig konfiguriert. Im Moment läuft das ja alles auf unserem RDS Host 1. Hier habe ich auch im Server Manager die Bereitstellungsübersicht. Das ganze würde ich jetzt über den Session Broker managen und müsste dazu ja den Web Access, License Manager und Session Broker in der Bereitstellungsübersicht austauschen. Beim Web Access und dem License Manager kann ich das auch machen. Beim Session Broker ist das entfernen und hinzufügen ausgegraut. Muss ich dafür alle Sammlungen löschen? Die andere Frage wäre, kann ich den License Manager einfach im laufenden Betrieb austauschen ( also den alten deaktivieren und den neuen aktivieren) oder wird beim deaktivieren des License Manager jede Verbindung zum RDS Host getrennt, da keine Lizenz mehr zur Verfügung steht? Gruß, Steffen

Hi Jan, ich habe nun beide RDS Hosts fertig und werde dann den RDS Session Broker auf einem anderen Server installieren. Ebenso den Lizenz Manager. Auf den RDS Servern gibt es ja folgende Sicherheitsgruppen. RDS-Endpunktserver, RDS-Remotezugriffsserver und den RDS-Verwaltungsserver. Die Erklärung zu den einzelnen Gruppen ist mir noch nicht ganz schlüssig. Ich habe jetzt folgende Situation RD Session Broker und RDWeb Server RDS Host 1 RDS Host 2 Welche Gruppe muss ich jetzt auf welchem Server wie "befüllen"? Jeder Host ist für eine Sammlung zuständig, es gibt also noch kein Load Balancing zwischen den RDS Hosts.

Hi Jan, danke für deine Antwort. Wenn ich dich richtig verstehe ist das Problem nicht, dass Connection Broker und der RDS Host auf einem Server laufen sondern ich muss eine speziell angepasste RDP Datei verwenden. Ist das soweit richtig? Ich füge dann den Inhalt aus dem von dir genannten Beitrag hinzu (natürlich an meine Umgebung angepasst) use redirection server name:i:1 loadbalanceinfo:s:tsv://MS Terminal Services Plugin.1.<RDS COLLECTION NAME> Das heißt ich muss für jede Sammlung eine RDP Datei erstellen? Wir nutzen aber z.b. in der Fertigung IGEL Thin Clients. Dort muss ich dann wohl den "Routing Token" verwenden - wurde zumindest so in dem verlinkten Beitrag genannt. Zum Thema Broker auf dem RDSH - ja das ist sicherlich nicht schön. Ich werde das noch ändern. Ich hatte die Situation so übernommen, da früher nur 1 RDP Server geplant war... Es reicht aber einfach ein anderer Server, der kein RDSH ist oder würdet ihr wirklich einen separaten Server dafür installieren? Den Lizenzserver würde ich in diesem Zuge natürlich auch gleich verschieben (oder kann man die Lizenzen nicht so einfach auf einen anderen Server übertragen?)

Hallo zusammen, wir hatten bisher einen RDS Server im Netzwerk. Dieser hat als RDS Host, als Verbindungsbroker und Lizenzserver gedient. Auf diesem RDS Server war eine Sammlung vorhanden. Diese haben wir ganz normal über den Servernamen oder die IP ansprechen können. Nun haben wir einen 2. RDS Server installiert und diesen soweit eingerichtet, dass er den bestehenden RDS Server als Verbindungsbroker und Lizenzserver nutzt. Es wurde eine 2. Sammlung erstellt. Für beide RDS Server gibt es eigene Sicherheitsgruppen mit Usern, die eine Verbindung zu diesen Servern aufbauen dürfen. Meine Frage ist nun. Wie kann ich die einzelnen Hosts bzw. Sammlungen ansprechen? Gehe ich dazu immer über den Verbindungsbroker und der erkennt dann an welchem Server sich der User anmelden darf? Bei meinem Test ging das aber nicht, da ich mich dann ja auch gleichzeitig an dem 1. RDS Server anmelden möchte. User die nur für den 2. RDS eine Berechtigung haben, bekommen somit eine Fehlermeldung (was ja auch logisch ist). Oder spreche ich weiterhin beide Server einfach über die jeweilige IP an. Für was ist dann aber der Verbindungsbroker da? Zählt der nur, wenn ich pro Sammlung mehrere Server hinterlege? Dann würde in diesem Fall der Verbindungsbroker den Lastenausgleich machen? Da ich ja aber immer direkt einen RDS Server per Name oder IP Anspreche verstehe ich das dann nicht ganz. Beim Server 2008R2 RDS hatte man dazu eine Farm mit einer IP Adresse angelegt und hat darüber den Lastenausgleich gemacht. Das scheint sich bei 2012R2 ja grundlegend geändert zu haben. Für einen kurzen Tip wäre ich sehr dankbar. Gruß, Steffen

Hi Jan, danke! Ich habe das Problem gefunden - es lag an der Priorisierung der FW Regel. Nun hat der Beitritt funktioniert. Gruß, Steffen

Hallo zusammen, ich stehe irgendwie auf dem Schlauch und hoffe ihr könnt mir auf die Sprünge helfen. wir haben bei uns 2 VLANs definiert 1. Verwaltung - 172.27.143.0 /24 2. Fertigung - 172.27.150.0 /24 Die DCs laufen im Verwaltungs-VLAN. DNS läuft auf den DCs. Nun möchte ich einen RDP Server im Fertigungs VLAN laufen lassen. Dieser soll Domänen Mitglied werden. Dazu habe ich erstmal auf unserer Firewall alles Ports zwischen den IPs der DCs und der IP vom RDP Server freigegeben um auszuschließen das hier irgendwas blockiert wird. Der RDP Server hat als DNS Server die beiden DCs aus dem Verwaltungs VLAN eingetragen. Die Namensauflösung funktioniert auch. Ich kann die DCs und den FQDN anpingen, nslookup zu den DCs funktioniert auch. Auch kann ich per LDAP Browser auf die AD zugreifen. Versuche ich aber den Server in die Domäne aufzunehmen, gebe ich die Login Daten für den Domain Beitritt ein und erhalte dann die Fehlermeldung "Der Netzwerkpfad wurde nicht nicht gefunden". Es ist doch grundsätzlich möglich einen Server in einem anderen IP Bereich zu betreiben und trotzdem der Domäne hinzuzufügen, oder bin ich gerade vollends verwirrt? Was mache ich falsch oder wo übersehe ich was? Für Hilfe wäre ich sehr dankbar. Gruß

Danke zahni. Das scheint mein Problem behoben zu haben. Zwar ist nach der Installation das benötigte Laufwerk fehlerhaft verbunden, aber nach einem Neustart des PCs funktioniert alles wie es soll und das Laufwerk ist korrekt verbunden . Bei der Automatisierung werde ich einfach am Ende der Installation eine Nachricht an den User ausgeben, dass ein Neustart des PCs zwingend notwendig ist. Immer noch besser als 20 manuelle Installationen durchzuführen.

Das eigentliche Programm läuft auf einem 2008R2 Server. Der Ordner wird freigegeben. Auf den Clients (es sind ca. 20 PCs) wird dann nur einen Client installiert. Die Installation kann ich mit bestimmten Parametern für ein Deployment konfigurieren (Server, Freigabename, Laufwerksbuchstabe). Die Installation der Client Software schaut während der Installation ob der installierende User die Berechtigung auf die Freigabe hat bzw. testet wohl ob das Laufwerk gemapped werden könnte. Ist das nicht der Fall, schlägt die Installation fehl. Läuft die Überprüfung und die Installation korrekt durch, wird beim starten der Software (als User) das Laufwerk zum Server gemapped und die Software startet. Ist etwas umständlich gelöst (wie ich finde) aber ist leider so. Ich benötige als zum installieren nicht nur einen User der Admin Rechte auf dem lokalen PC hat sondern auch einen User der schon Zugriff auf die Freigabe des Servers hat... @Zahni: Würde das bedeuten, ich kann in die Berechtigung einfach die Gruppe "Domänen-Computer" eintragen und der System Account hätte somit Zugriff? Das wäre natürlich super, muss ich gleich mal testen.

Hi Norbert, Danke dir für die kurze Einschätzung. Ja, ich hatte schon mit Bosch gesprochen, wir nutzen die aktuelle Version. Es ist im Grunde auch kein Problem der Software, sondern der Softwareverteilung. Ich müsste die Software mit einem User ausführen, der für die Freigabe eingetragen ist und gleichzeitig lokale Admin rechte auf dem Gerät hat. Zenworks (unsere Management Software) kann eine Installation aber nur als "System" oder "dynamischer lokaler Admin" ausführen. Das hilft mir beides somit nicht. Da ich keinen der beiden "User" auf die Freigabe berechtigen kann. Runas per Script geht ebenso nicht, da ich kein Passwort mitgeben kann. Falls noch jemand eine Idee hat - gerne her damit :) Gruß, Steffen

Hat niemand etwas Erfahrung mit diesen Einstellungen und kann eine kurze Einschätzung abgeben ob diese so sinnvoll genutzt werden können? Grundsätzlich sollte der Gast User ja nicht aktiviert werden. Wenn ich mir also mit dem aktivieren und den oben genannten Einstellungen trotzdem eine große Sicherheitslücke öffne, würde ich auf dem manuellen Weg die Software installieren. Ich tue mich nur schwer das abzuschätzen.

Hallo zusammen, ich muss auf einem Server eine Freigabe für den Gast Zugriff freigeben. Hintergrund ist, dass wir ein Programm von Bosch verwenden, welches bei der Installation ein Netzlaufwerk mapped. Dieser Zugriff funktioniert nur, wenn der Gast Zugriff für diese Freigabe aktiviert ist, da der Installer als lokaler dynamischer Administrator ausgeführt wird. Die Installation wird automatisiert über Zenworks durchgeführt. Ich habe also keine Möglichkeit einen festen User für den Zugriff zu definieren. Ich habe nun den Gast Account auf dem betroffenen Server aktiviert (ohne PW). Die Freigabe habe ich mit JEDER (Leserechte) versehen. Die NTFS Berechtigung ebenso mit JEDER (Leserechte) versehen. In der Freigabe sind keine sensiblen Daten gespeichert. Nun habe ich noch in den lokalen Richtlinien unter "Zuweisen von Benutzerrechten" den Gast unter "Lokal anmelden verweigen" eingetragen. Kann man mit dieser Konfiguration leben oder habe ich hier noch irgendwo ein größeres Sicherheitsproblem? Kann man das irgendwie so einschränken, dass der Gast Account wirklich nur für diese eine Freigabe gilt? Der Server hat noch eine 2. Freigabe, hier ist in der NTFS Berechtigung kein JEDER hinterlegt. Dort funktioniert auch der Gast Zugriff nicht. Das sieht für mich erstmal gut aus. Ich wäre für eine kurze Einschätzung sehr dankbar. Es würde uns einiges an Zeit sparen, wenn wir das Programm so ausrollen können. Alternative wäre manuelle Installation auf den betroffenen PCs :(

Danke Norbert. Dann scheint es hier in Sachen Lizenzierung wirklich einen Unterschied zu geben. Die IoT Enterprise scheint ja wirklich für die Industrie ausgelegt zu sein (embedded Software) und somit darf diese Version auch "verkauft" werden. Damit hat sich dann aber endgültig die Frage geklärt, ob ich die LTSB Lizenz aus dem VLSC verwenden darf - natürlich nicht, da es sich um komplett unterschiedliche Produkte handelt. Wieder etwas gelernt. Danke!

Ich habe vorhin schon bei MS angerufen und warte hier auf einen Rückruf. Ich wollte eigentlich die Frage mit dem MAK Key klären - aber wenn sich jemand meldet werde ich das ansprechen. Wo ich nicht durchsteige - die vom Hersteller reden immer vom Windows 10 IoT Enterprise LTSB 2016. Das IoT sehe ich aber auf dem PC nirgends - unter Info steht nur Windows 10 Enterprise LTSB 2016. Vielleicht ist das aber der kleine Unterschied der die Lizenzierung wieder "legal" macht. Ich steige bei der MS Lizenzierung einfach nicht mehr durch, da kann man einen komplett Mitarbeiter für abstellen....

Ich bin aber kein MS Lizenz Profi, ich kann ja nur abgleichen ob die Lizenz auf dem Gerät mit dem auf der Rechnung übereinstimmt. Hier steht Windows 10 Enterprise LTSB 2016 - diese ist auch auf dem Endgerät installiert. Woher soll ich nun wissen ob der Hersteller seine Geräte korrekt lizenziert? Dazu müsste mir beim Hersteller jemand diese Info erstmal zu 100% beantworten können. Wenn diese mir nun sagen das sie eine VL haben und dies mit dem Distributor der Lizenzen so abgesprochen ist - dann kann ich nicht mehr machen. Ich Frage ja auch nicht bei DELL nach ob die ihre Geräte mit einer korrekten Windows 10 Pro Lizenz verkaufen. Ich sehe hier meine Aufgabe als erfüllt an. Es ist ja nicht so, dass hier offensichtlich eine falsche Lizenz vorliegt oder eine falsche Lizenzierung betrieben wird. Danke für eure Hilfe und Anregungen.