Jump to content

NilsK

Expert Member
 Profil anzeigen  Aktivitäten des Benutzers anzeigen

  • Gesamte Inhalte

    17.603

  • Registriert seit

  • Letzter Besuch

 Inhaltstyp 

Beiträge erstellt von NilsK

  4. Anwendung umgeht Windows Berechtigungen

    in Windows Forum — Security

    Geschrieben

    Moin,

     

    aha, dann kommen wir der Sache schon näher. Bitte beschreibe noch einmal genau, was dir vorschwebt, was du also erreichen möchtest. Es klingt so, als sei OneDrive für den Einsatzzweck nicht das richtige Werkzeug. Wenn wir verstehen, was die Anforderung ist, können wir dir vielleicht einen besseren Ansatz vorschlagen.

     

    Was du mit "Sicherheiten" meinst, nennt man übrigens "Berechtigungen". Es ist einfacher für die anderen, wenn du diesen Ausdruck dafür verwendest.

     

    Gruß, Nils

     

  6. Anwendung umgeht Windows Berechtigungen

    in Windows Forum — Security

    Geschrieben

    Moin,

     

    wenn ich es richtig verstehe, stolperst du über das alte Berechtigungsproblem, dass Dateien, die auf demselben Laufwerk verschoben werden, ihre vorhandenen Berechtigungen behalten und nicht die Berechtigungen des Zielordners übernehmen. Ist das das Szenario?

     

    Wenn ja, dann liegt das daran, dass in diesem Fall die Datei selbst (einschließlich der Metadaten) unverändert bleibt und nur der Pointer im Inhaltsverzeichnis sich ändert. In allen anderen Fällen (Datei kopieren, Datei von einem anderen Laufwerk verschieben) wird eine neue Datei erzeugt, die dann die Berechtigungen des Ordners übernimmt.

     

    Gruß, Nils

     

  7. DNS synchronisiert nicht

    in Windows Server Forum

    Geschrieben

    Moin,

     

    ja, das war das, was ich meine. Und es ist auch gleichzeitig die Erklärung und der Fehler.

     

    Eine primäre DNS-Zone wird nicht repliziert, wie Norbert ja auch sagt. Der sinnvollste Weg ist, dass du über den Button "Ändern" die Zone in eine AD-integrierte Zone umwandelst. Danach funktioniert es dann wie gewünscht.

     

    Gruß, Nils

     

  10. AD/Exchange: Dynamische Gruppe aus OU, ohne Teil dieser OU erzeugen

    in MS Exchange Forum

    Geschrieben

    Moin,

     

    gut, auf Basis der Angaben hier kann man eure Prozesse schlecht beurteilen. Was wir hier zu lesen bekommen, klingt etwas krude, aber vielleicht hat es ja bei näherem Hinsehen Hand und Fuß.

     

    Nur: Wenn ihr in dem Stil auf dynamische Gruppen setzt, solltet ihr dringend mehr Know-how und Sicherheit im Definieren der Filter aufbauen. Gruppen sind der Kern des Sicherheitskonzepts in Windows, die müssen tippi-toppi sein und dürfen nicht von Zufällen abhängen.

     

    Zitat

    Einfacher wäre es aber auf jeden Fall, wenn man nicht so eine OU-Akrobatik machen würde.

    Das war missverständlich von mir. Ich meinte damit nicht eure OU-Struktur, sondern den Filter in dem Gruppen-Statement. Da solltest du einen Ansatz finden, der ohne String-Vergleiche von OU-Pfaden auskommt.

     

    Gruß, Nils

     

  11. AD/Exchange: Dynamische Gruppe aus OU, ohne Teil dieser OU erzeugen

    in MS Exchange Forum

    Geschrieben · bearbeitet von NilsK
    Tippfehler beim eigenen Vornamen ... sowas schafft auch nur die Autokorrektur.

    Moin,

     

    Naja, man kriegt das durchaus auch so hin, wie es gewünscht ist, aber der bisherige Filter war eben falsch. Einfacher wäre es aber auf jeden Fall, wenn man nicht so eine OU-Akrobatik machen würde.

     

    Eins wollte ich aber noch fragen: ändert sich denn die Belegschaft in Wien so oft, dass man mit einer dynamischen Gruppe arbeiten muss? Wäre es nicht viel einfacher, die gewünschten Objekte in eine normale Gruppe zu stecken?

     

    Gruß, Nils

  12. AD/Exchange: Dynamische Gruppe aus OU, ohne Teil dieser OU erzeugen

    in MS Exchange Forum

    Geschrieben

    Moin,

     

    ja, das hast du falsch verstanden. Ein Objekt ist in genau einer OU, genau wie eine Datei auch immer nur in genau einem Ordner ist. Die Datei C:\ganz\langer\pfad.docx ist im Ordner "langer", aber nicht im Ordner "ganz".

     

    Dein Problem ist, dass du nicht auf die OU filterst, sondern auf einen Teil des distinguishedName. Damit hast du dann die Überschneidung, weil der Teilstring natürlich in dem längeren String enthalten ist. Ich hab grad nicht ausreichend Zeit, aber das wird sicher zielgerichteter gehen.

     

    Gruß, Nils

     

  13. DNS synchronisiert nicht

    in Windows Server Forum

    Geschrieben · bearbeitet von NilsK

    Moin,

     

    woran liest du denn ab, dass DNS nicht repliziert?

     

    Wenn du auf dem funktionierenden DNS-Server die Eigenschaften der AD-DNS-Zone aufrufst, was für ein ein Zonentyp wird dir da angezeigt?

     

    vor 1 Minute schrieb teletubbieland:

    die DCs müsse sich gegenseitig als primären DNS haben. Dann geht das.

     

    Nein, das hat auf die Replikation keinen Einfluss.

     

    Gruß, Nils

  14. AD/Exchange: Dynamische Gruppe aus OU, ohne Teil dieser OU erzeugen

    in MS Exchange Forum

    Geschrieben

    Moin,

     

    dein bisheriger Filter sieht jedenfalls nicht so gut aus. Du versuchst, alle User auszuschließen, die in der OU "...Wien/SO" sind und alle aufzunehmen, die in "...Wien/S" stecken. Da ein Account nur genau einer OU angehören kann, könnte es zwar sein, dass dein Filter funktioniert, aber er ist unsinnig. Es gibt keine Accounts, die beide Kriterien erfüllen, also brauchst du den Ausschluss nicht.

     

    Gruß, Nils

     

  16. Frage, Admin Tiering und Delegierungen

    in Active Directory Forum

    Geschrieben

    Moin,

     

    mach sowas NIE, NIE, NIE über das GUI. Es gibt seit -zig Jahren eine skriptfähige Lösung, die zwar nicht schön ist, aber das Nötige steuerbar - und vor allem wiederholbar - macht: dsacls. Such dir dann ein Tool dazu, mit dem du die AD-Berechtigungen anzeigen kannst, z.B. LIZA:

    [LIZA - Active Directory Security, Permission and ACL Analysis]
    https://www.ldapexplorer.com/en/liza.htm


    Zwei Beispielseiten zu dsacls:

    [AD-Adressen im Sekretariat bearbeiten lassen | faq-o-matic.net]
    https://www.faq-o-matic.net/2008/06/23/ad-adressen-im-sekretariat-bearbeiten-lassen/

     

    [dsacls-Ergebnis im Skript effizient prüfen | faq-o-matic.net]
    https://www.faq-o-matic.net/2010/05/25/dsacls-ergebnis-im-skript-effizient-prfen/

     

    Außerdem würde ich die Objektstruktur noch mal überdenken - da ist zu sehr das Organigramm im Vordergrund, wie mir scheint.

    Gedanken dazu:

    [Active Directory: Best Practice zur OU-Struktur | faq-o-matic.net]
    https://www.faq-o-matic.net/2020/11/16/active-directory-best-practice-zur-ou-struktur/

     

    Und: Aus deinen Ausführungen höre ich heraus, dass dort noch zu wenig Analyse und Planung drinsteckt, um wirklich mit der Umsetzung zu beginnen. Das ist aber wesentlich. Ich habe gerade erst ein Security-Audit hinter mir, wo der Kunde dachte, er hätte ein tolles Tiering, aber in Wirklichkeit war das so weit von den echten Anforderungen entfernt, dass die Domäne in weniger als 30 Minuten hätte übernommen werden können.

     

    Gruß, Nils

     

    • Like 1

  17. Outlook - Kategorien für Termin

    in MS Exchange Forum

    Geschrieben

    Moin,

     

    mit solchen Anforderungen sind Kategorien regelmäßig überfordert. Ich habe das noch nie benutzerübergreifend funktionieren sehen. Am Ende ist Outlook primär ein persönliches Tool. Für übergreifende Arbeitsprozesse sollte man von vornherein nach anderen Werkzeugen Ausschau halten.

     

    Und bevor du fragst: Empfehlungen dafür kann man erst aussprechen, wenn die Anforderungen klar sind.

     

    Gruß, Nils

     

    • Like 1
×
×
  • Neu erstellen...