Dukel

Willst du die Mac dann nicht mit dem Zertifikat ersetzen? D.h. es wird nur noch das Zertifikat benötigt und du brauchst nur noch ein Computeraccount.

Wieso sollten sich Benutzer nicht mittels Ihres Domänen Accounts einloggen dürfen? Was machen diese Systeme?

Hast du dir schonmal das SQL Always On angeschaut? Das kann synchron (für HA) und Asynchron (für DR) synchronisieren. Das mit den Updates musst du dir aber selbst anschauen. EDIT: https://msdn.microsoft.com/en-us/library/dn178483(v=sql.120).aspx

Ich würde das nicht 1:1 umziehen sondern das auf zwei oder drei VM's aufteilen. Einen DC mit DNS und DHCP, einen SQL und Fileserver und RDS Host. Wenn es nicht anders geht, dann den RDS mit dem SQL Server zusammen, aber der DC sollte nichts anderes machen.

Dann verbiete das Autologon organisatorisch (zusätzlich zur GPO).

Keine SBS sondern einen "Normalen" Windows Server.

Mach mal das Try um das reg import. $files... foreach... try{ reg import }catch{...} Btw. statt $files kannst du das get-Childitem direkt ins Foreach nehmen. foreach($file in (Get-Childitem ...)){

[strg]+[alt]+[entf] -> Passwort ändern -> Anderen User eintragen -> Passwort des anderen User ändern.

Irgendwas stimmt da nicht. Mit einem SBS kann man keine Vertrauensstellungen aufbauen.

Ein Telefon mit einem eingerichteten Postfach, welches übergeben wird?

Wenn das Sizing nicht passt sollte man mehr RAM spendieren und nicht die Dienste einschränken. Diese nutzen nicht ohne Grund den RAM. Es gibt seit dem AD (Windows Server 2000) keine PDC und BDC mehr. Alle DC's sind gleichberechtigt. Es gibt noch die FSMO Rollen, diese müssen bei einem SBS aber auf selbigen liegen.

Nur wenn man sich einloggt. Wenn man z.B. nur OWA oder ähnliches nutzt hilft das weniger. Wir haben bei Kunden uns beholfen, indem wir ein Script laufen lassen, welches das Ablaufdatum eines Passworts kontrolliert. X Tage vor Ablauf wird eine eMail an den Benutzer geschickt, dass er demnächst sein Passwort ändern sollte. In dem Fall mit zwei Benutzern sollte man sich angewöhnen, wenn man ein Passwort ändert dies gleich bei allen Konten zu machen.

Der Help Desk kann das, wenn es konfiguriert wird, aber eben nicht über OWA. OWA ist kein Passwortänderungsprogramm.

Ist Outlook Anywhere konfiguriert und funktioniert auch?

Dann wende dich an den Hersteller der Software. Hast du den SQL Server evtl. einmal auf einem eigenen Server installiert? Ihr könnt auch mit der Express Version Datenbanksicherungen automatisieren. Entweder mit einem extra Backup Programm (mit einem SQL Agent) oder mittels Scripten und dem Windows Scheduler. Btw. sa ist keine gute Idee. Ein Datenbank User sollte keine Sysadmin Rechte auf dem SQL Server haben.

Vermutlich richtet das Combit Setup gleich die Datenbank ein. Aber so was musst du den Hersteller fragen. Dann installiere doch den SQL Server und installiere danach Combit.

Wieso muss man sich an dem Gerät immer mit unterschiedlichen Nutzern anmelden?

2016 darfst du mittels dem Downgrade Recht installieren (wenn dieses enthalten ist). Greifen die Benutzer zur Administration des Servers zu oder als Anwender?

WPAD konfiguriert man ja mittels einer PAC Datei. WPAD ist die Verteilung der PAC Datei, damit diese nicht in jedem Browser konfiguriert werden muss.

Nicht wenn man es richtig konfiguriert wenn du https://www.heise.de/security/meldung/WPAD-20-Jahre-altes-Protokoll-bringt-Millionen-Nutzer-in-Gefahr-3288801.html meinst.

Proxy Einstellungen kannst du auch via WPAD verteilen. https://de.wikipedia.org/wiki/Web_Proxy_Autodiscovery_Protocol https://de.wikipedia.org/wiki/Proxy_Auto-Config

RDP und dann eine Applikation von einem anderen RDS Host? Wieso nicht gleich die Applikation vom zweiten RDS Host holen?

Wenn die Shares pro User unterschiedlich sind hat man im Design schon etwas falsch gemacht. Hier sollten höchstens Gruppen unterschiedlich behandelt werden.

Wegen Dingen zu beachten: Das wurde hier schon mehrmals genannt. Am besten ist es, wenn nicht alle Patches genehmigt werden, sondern nur die benötigt werden. Wieso sollte man jede Etage einzeln gruppieren? Wird es für einzelne Bereiche andere Regelungen (patches, wartungsfenster,...) geben? Überlege dir die Anforderungen (Auto-Updates, Wartungsfenster,...) und gruppiere nach diesen Anforderungen (z.B. Office Rechner, Entwicklerrechner, Prüfstände, ...)

NTDSUtil bzw. cmd "als Administrator" gestartet? Hast du im AD entsprechende Rechte?