testperson

Hi, ggfs. ist das gp-pack Defender ein Ansatz / eine Anlaufstelle: https://www.gp-pack.com/gp-pack-defender-antivirus/ Gruß Jan

Ich zitiere mich mal selber (https://www.mcseboard.de/topic/218704-windows-terminalserver-2019-ohne-ad/?do=findComment&comment=1409981) Funktioniert es per PowerShell (New-RDSessionCollection)? New-RDSessionCollection -CollectionName "Session Collection 02" -SessionHost @("RDSH01.Contoso.com"," RDSH02.Contoso.com") -CollectionDescription "Session collection for West office hosts." -ConnectionBroker "RDCB.Contoso.com"

Wie so oft beim Troubleshooting: Einfach mal vorne/unten mit den Basics anfangen und dann koordiniert weiter machen. Und danke für die Rückmeldung!

Hi, ja. Mit Zwischenschritt (https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/active-directory-functional-levels): Auch bei Netzwerken kommt es nicht auf die Größe an. Möglich ist es jedenfalls. Ob es auch sinnvoll sein könnte, kann man "von außen" nicht sagen. Gruß Jan

Hi, in der GUI bzw. im ECP geht das nicht mehr. Da brauchst du die EMS und Set-RemoteDomain: # Einstellungen für alle Remote Domains ansehen: Get-RemoteDomain | fl Name, AllowedOOFType, AutoReplyEnabled, AutoForwardEnabled # Anpassen: Set-RemoteDomain -Name <deine Domain / default> -AutoReplyEnabled <$true/$false> Set-RemoteDomain -Name <deine Domain / default> -AutoForwardEnabled <$true/$false> Set-RemoteDomain -Name <deine Domain / default> -AllowedOOFType <None/InternalLegacy/External/ExternalLegacy> Gruß Jan

# del ohne Shift del %exchangeinstallpath%\transportroles\data\temp\unifiedcontent\* # del mit Shift DEL %EXCHANGEINSTALLPATH%\TRANSPORTROLES\DATA\TEMP\UNIFIEDCONTENT\*

Welche Rollen hast du denn installiert? Sind die Server komplett gepatched? Ich habe von Kollegen immer mal wieder gehört, dass die RDS-Verwaltungs-GUI unter Server 2019 nicht immer mitspielt. In diesen Fällen wurden die Sammlungen per PoSh konfiguriert und konnten danach auch in der GUI verwaltet werden.

Hi, die neueren Yubikey können als SmartCard genutzt werden und dann wäre folgendes denkbar: https://docs.microsoft.com/en-us/windows/security/threat-protection/security-policy-settings/interactive-logon-smart-card-removal-behavior Bzw. schreibt Yubico dazu: https://support.yubico.com/hc/en-us/articles/360015654500-Setting-up-Windows-Server-for-YubiKey-PIV-Authentication Allerdings bringt Zertifikat/SmartCard wieder ein weiteres Level an Komplexität mit. Gruß Jan

Du kannst aber "mstsc.exe" öffnen und dir eine eigene zum Testen erstellen. Ansonsten sollten sich AFAIK die Eigenschaften der Sammlung, die im RDP File landen, per PowerShell anpassen lassen. Fürs "RD Gateway" werden vermutlich die Einträge mit "gateway" am Anfang verantwortlich sein.

Du hättest die 0 gegen eine 1 tauschen sollen, sofern dort keine 1 gestanden hätte. ;) Zusätzlich sollte in der RDP Datei auf der Registerkarte "Erweitert" -> "Einstellungen" -> "Keinen Remotedesktop-Gatewayserver verwenden" gewählt sein.

Hi, die Einstellungen der Programme sollten sich per GPO und/oder Script "übertragen" bzw. eher vorgeben / -einstellen lassen. Weitere Möglichkeit wäre den roamenden Usern Notebooks an die Hand zu geben oder auf Terminalserver zu setzen. Ich finde es i.d.R. einfacher, die User zu ihren Daten / Programmen / Einstellungen zu holen wie umgekehrt. Alternativ könntest du auch nach einer 3rd Party Profilmanagement Lösung Ausschau halten. Gruß Jan

Du hast aber sicherlich vorher ein wenig geplant, getestet und hier und da gescripted. Zumal die Profile Container auch keine "nach mir die Sintflut" Lösung ist.

Desktop und Apps: https://www.petenetlive.com/KB/Article/0001208 Apps nach User/Group im RDWeb kann ich dir nicht sagen. Wir machen das ausschließlich mit XenApp/XenDesktop. :)

Theoretisch kannst du die FSLogix Komponenten einfach installieren. Solange du keine User in die entsprechenden Gruppen aufnimmst, sollte da nichts passieren. Ich sehe aber selbst ohne PVS oder MCS kein "riesen Problem", einfach eine neue Test Delivery Group zu erstellen.

OT: Sondern die IP! SCNR

Der Wert "3" ist jedenfalls korrekt für drei Monate: https://gpsearch.azurewebsites.net/#12499 Sind freigegebene Postfächer / öffentliche Ordner vorhanden, die auf deinem lokalen PC evtl. nicht gecached werden? "Außer" (https://docs.microsoft.com/en-us/outlook/troubleshoot/data-files/limits-using-pst-files-over-lan-wan#outlook-2010-or-later-versions-hosted-remotely-by-using-windows-server-2008-r2-orlater-rdsh-or-vdi-configuration) In einem solchen Szenario würde ich in Richtung FSLogix Profile Container oder den VHDX based Cache des Citrix UPMs (https://support.citrix.com/article/CTX235347) setzen. Alternativ eben zu sehen, dass der Cache mit 3 Tagen möglichst klein bleibt und dann mit roamen bzw. ggfs. streamen.

Oh, wo ich grade nochmal den Screenshot sehe und es um den CachMode geht.. Ich meine mich zu erinnern, dass das ein Bug in der Outlook GUI ist.. Was landet denn beim User in "HKCU\software\policies\microsoft\office\16.0\outlook\cached mode" im DWORD "syncwindowsetting"?

Das ist jetzt ein Ergebnis von "gpresult /h gpo.html" auf einer der VDAs oder ein Screenshot aus der gpmc.msc? Wo ist/sind die C_XenApp_Serversettings" und die "C_Loopback" verlinkt? Wo ist die "B_Office_2016_CacheMode" verlinkt?

Hi, bei einer RDS Bereitstellung kann jeder der zur Verbindung berechtigt ist eine Desktop-Session starten. Ebenfalls kann man aus fast jeder veröffentlichten App problemlos "ausbrechen" und weitere Apps starten. Wenn du wirklich Apps pro User/Gruppe möchtest, wäre FSLogix App Masking und/oder AppLocker ein Ansatz. Gruß Jan

Beides.

Hi, im Anschluss dann gleich noch: https://support.microsoft.com/de-de/help/4581424/description-of-the-security-update-for-exchange-server-october-2020 Gruß Jan P.S.: Ein (funktionierendes) Backup ist ja vorhanden.

Hi, was ist denn der eigentliche Plan hinter der Frage? Es ist ja durchaus möglich, dass der Logon-Server (auf den zweiten oder dritten Blick) dafür kein guter Ansatz ist. Gruß Jan

Hi, hier wäre der HTML Output von "gpresult /h gpo.html" interessant und evtl. ein Screenshot der die verlinkten GPOs der "VDA OU" zeigt. Hier würde ich "pauschal" immer mit weniger starten (3 Tage bis 2 Wochen) bzw. es davon abhängig machen, wie groß die OSTs letztlich werden und welche Profillösung wie zum Einsatz kommt. Gruß Jan

Von welchem Hersteller ist denn "der Server"? Oder ist das ein "Teller bunte Knete"?

... und im Worst-Case per Telefon aktivieren.