Dukel

Man kann die Rollen ohne die Management Tools installieren. Das wird dann sicher keinen Fehler melden, da dies dann gewollt ist.

Schau mal bei den Features unter Remoteadministration - Rollen...

http://www.pcgameshardware.de/Windows-10-Software-259581/Tipps/Automatische-Updates-deaktivieren-ausschalten-1165231/

Welche Edition nutzt du? Enterprise?

Du kannst Gruppen per GPP verwalten oder über "eingeschränkte Gruppen". Wieso lokale Gruppen und keine AD Gruppe?

Explodiert? Ich hoffe es gibt keine verletzten ;) Du kannst die kompletten Daten bereinigen. Wsus Dienst stoppen, alle Daten aus WSUSContent Order löschen, dann Wsus starten und "wsusutil reset" ausführen. Achtung! Danach werden alle genemigten Patches wieder heruntergeladen, d.H. du entfernst alle Genehmigungen (nicht ablehnen). Und für die Zukunft genehmigst du nur noch patches, die angefordert werden.

Ich glaube den Replikationsunterschied wirst du kaum merken. Es wird bei einem RODC alles ausser die Passwörter repliziert (und wenn es keine Änderungen gibt wird nichts bis kaum etwas repliziert) aber jede Anmeldung geht dann übers Netz (da hast du das selbe Problem wie ohne DC). Ein RODC hat andere Ziele.

Das war bei deinem Post nicht gleich ersichtlich, dass du eine externe Einwahl meintest.

Die Lizenzkosten kann man einfach berechnen. Bei den letzten Preisen, die ich angeschaut habe, war der Break even bei 10 VM's.

Dazu muss der zugreifende Client auch im Netz sein.

Die Regeln besagen, dass man einen Film erraten muss um drann zu sein. Evtl. überlässt Nobby dir das aktuelle aber.

Dafür gibt es den Serverbereinigungsassistenten. Diesen solltest du auch regelmäßig (per geplantem Script) ausführen.

Ablehnen würde ich die Patches nicht. Bekommt ihr keinen neuen Rechner dazu, bei denen dieser Patch dann fehlen würde?

Wir haben bei Projekten OWA per Loadbalancer veröffentlicht. Dieser wird eh benötigt und aktuelle Produkte bringen auch Sicherheitsfeatures mit.

OT: Zwei SQL Server auf einer VM? Ich würde versuchen diese zu konsolidieren oder zwei VMs daraus machen.

Ich bin mir nicht sicher. Kann sein das ich das schonmal gehört habe.

Bei SharePoint reicht auch die Foundation Version: Leider wird es kein SharePoint Foundation 2016 geben.

Ich würde sagen. Lös auf.

Es gibt 3rd Party SW die dies und anderes GPO betreffend unterstützt. Gibt es noch andere Anforderungen an GPO Management wie Genemigungen, Testumgebung,...

1. Erstelle eine neuen Thread 2. Man installiert keinen Exchange Server auf einem DC

/mir spiegelt die Daten. D.h. gelöschte Daten werden am Ziel gelöscht, neue Daten am Ziel erstellt. Verschobene Daten werden somit neu kopiert und an der alten Position gelöscht. Evtl. wäre eine Idee die Musik mit Tags / Metadaten zu sortieren. Damit umgehst du auch das Problem, wenn ein Stück zu mehreren Genres gehört dies nur in einem Ordner zu belassen oder die Daten zu duplizieren.

Wozu braucht ein AD-Admin Lokalen Zugriff auf einen DC?

Nochmal zu #4: Darf es nicht sein, dass die Hashes in anderen Standorten gespeichert werden oder darf es nicht sein das die Passwörter von Admins der anderen Standorten zurückgesetzt werden?

Du willst die AD Administration delegieren. Dabei kannst du Admins die Rechte geben, die sie benötigen (z.B. Benutzerkonten aus seinem Bereich zu verwalten). Das hat aber nichts damit zu tun, dass die Credentials (bzw. die Passwort Hashes, die Passwörter kann man nicht auslesen) nicht trotzdem überall gespeichert werden.

AD Netzwerk? Passe die Default Domain Policy an (hier nur(!) die Passwort Richtlinien). Kein AD Netzwerk? Installiere ein AD!