ChrisRa

Wie möchtest du deine PKI aufbauen? Root-CA Sub-CA Willst du die PKI 2-stufig aufbauen? Leg die Sperrliste bei einer eigenständigen Root-CA am besten auf einen IIS. Wenn du nun eine 2-stufige CA erstellen möchtest, nimmst du als 2. Stufe eine Enterprise CA. Die CRL bei einer eigenständigen Root-CA im AD zu veröffentlichen ist merkwürdig. Zum Thema Firewall: Der Server 2012 R2 konfiguriert die Ports automatisch, wenn du die Rolle AD Zertifikatsdienste installierst. Die Firewall schaltet man am Server per se nicht aus. Das ist einfach eine Grundsatzfrage. (Genauso sieht es eigentlich auch bei den Clients aus)

Ich weiß ehrlich gesagt gerade gar nicht, worüber wir hier diskutieren. :rolleyes: Ich kann mich nicht erinnern, dass ich gesagt habe, dass der 411er fast nicht zu schaffen ist, weil er so schwer ist. Mich hat nur das "relativ locker" gestört. Weil relativ locker scheint es wohl bei den Zahlen nicht zu sein. (was ich auch nicht wirklich verstehe) Ich habe lediglich versucht, eine Erklärung für die Allgemeinheit zu finden. Also... :thumb1: Alles Gut! Grüße

Was meinst du mir signieren des Sub-CA-Zertifikates? Grüße

Man braucht doch keine Spezielle Software. Das Adminkonto bleibt in deiner Obhut. Die Lehrer kannst du doch im AD entsprechend delegieren. Das geht alles mit Boardmitteln. Ich würde mir eine Lösung mit VLANs bauen. Je nach Etat eine entsprechende Securitylösung und alles passt. :-) Grüße

Wer hat denn im normalen betriebl. Umfeld "einigermaßen Praxis" am NPS, DCCloning, WDS, Bitlocker, dem VPN-Server von Microsoft etc. Wohl nicht viele. Ich finde deine Aussage also sehr aus der Luft gegriffen. Relativ locker auch leider nicht. Da scheinst du wohl ein Ausnahmetalent zu sein. :-)

Ich will auch mal einen kurzen Erfahrungsbericht schreiben. Ich habe heute die 411 mit 780 Punkten beim ersten Versuch bestanden. Ich besuche allerdings gerade auch einen Vorbereitungskurz der wirklich super ist. Ich habe jedes einzelne Themengebiet in VMs auseinander genommen. Alles wurde mit Verstand angeschaut und rumprobiert. Übersetzungsschwierigkeiten kann ich eigentlich ausschließen. Ich hatte mit keiner der gestellten Fragen Probleme. Außerdem arbeite ich auf der Arbeit nun schon ein bisschen länger mit dem Server 2012 R2 und könnte auch dort sicherlich ein bisschen was mitnehmen. Der 410er war definitiv einfacher als der 411er. Wobei ich am Ende des 411er ein besseres Gefühl als die tatsächlichen 780 Punkte hatte. Fazit: Mit genug Erfahrung am Produkt und guter Vorbereitung ist der 411er zu meistern.

Du kannst Laufwerke auch auf Clients, die einer Workgroup angehören, mappen. Dazu einfach den entsprechenden Haken machen und die passenden AD-Credentials eingeben.

Irgendwie immer noch nicht richtig verständlich. Du willst also einen Ordner unterhalb einer Freigabe mappen? Warum mapst du dann nicht einfach \\Namespace\Freigabe\Unterordner?

Für den ersten Fall würde ich dir auch erstmal einen Experten ans Herz legen. Du machst so vermutlich noch mehr kaputt als fertig. Und für die Zukunft mal über ein Disaster Recovery Konzept nachdenken. Und beschäftigt euch mit eurer Sicherungssoftware.

Hmm, Server 2012 R2 scheint da raus zu sein. Das scheint aber auch genau das zu sein, was ich schon gemacht habe.

Hat leider auch nix gebracht.

Das sind alle aktiven Einstellungen in der GPO. Das kommt aus dem GPresult.

Leider kein Erfolg. Habe aber schon sämtliche Konstellationen durch. Wie gesagt, wenn ich es lokal ohne GPO einstelle, klappt es mit nur der IP.

Hallo zusammen, auf dem Terminalserver liegt eine Software. Diese Software ist lokal intalliert, startet allerdings mit zusätzlichen Parametern. Der zusätzliche Parameter öffnet vor dem Programmstart eine starter.exe vom UNC-Pfad, um die Software auf updates zu prüfen. Anbei die Meldung (ist denke ich mal bekannt) und das GPresult. Die Richtlinie ist im Computerkontext und auf die OU des Terminalserver verlinkt. Sämtliche Konstellationen habe ich schon ausprobiert. Deaktiviere ich die Richtlinie und füge die IP manuell in die Zone des lokalen Intranets im IE ein, funktioniert es tadellos. Mir fällt nix mehr ein. Habt ihr Ideen, die euch spontan einfallen? Grüße

Korrekt. Wenn deine Interne Domain bw-eu.net ist, sieh zu, dass du sie kaufst. Dann kannst du dir ein Zertifikat auf diese Domain ausstellen lassen. :-) Best practice ist sowieso eine Subdomöne der gekauften Rootdomäne.

Ich verstehe dich nicht. Ein Zertifikat hat mit dem eigentlichen Zugriff erst einmal gar nichts zu tun. Das Zertifikat stellt nur sicher, dass du wirklich mit demjenigen verbunden bist als der er sich ausgibt. Wenn du ein Zertifikat anforderst, kannst du deine Domains angeben. Wenn du beispw. die Domain wiegehtdas.de besitzt und dein internes Netz intra.wiegehtdas.de heißt, lässt du das Zertifikat auf webserver.intra.wiegehtdas.de oder *.intra.wiegehtdas.de ausstellen. Die Clients haben Stammzertifikate. Hier sind die Stammzertifizierungsstellen angegeben. Der Client prüft nun, ob das Zertifikat von deinem Webserver von einer der Stammzertifizierungsstellen ausgestellt worden ist. Wenn ja -> Alles gut.

Der Client prüft den Zertifikatspfad. Dem ist egal ob die Domain, auf der das Zertifikat ausgestellt ist mit dem Internet verbunden ist.

Es lag scheinbar am WSUS. Getreu dem Motto "jeder boot tut gut", läuft nun alles. @Azharu: Vielleicht sieht man sich ja auf der CIM ;-).

Das manuelle Installieren der MSI funktioniert. Sogar aus dem WSUS-Pfad. Wenn ich die MSI allerdings manuell starte, fragt der Installer nach dem zukünftigen Update-verhalten. Muss ich dem Paket eventuell irgendeinen Schalter mitgeben, damit er silent installiert? Oder macht es der WSUS PP automatisch? Macht es überhaupt Sinn, den Adobe Reader über WSUS zu verteilen? Also die Grundversion des Readers? Wie macht ihr das denn so? Wenn ich den Reader manuell installiert habe (Bspw. den 11.0.8) patcht er sich automatisch auf die aktuelle Version (11.0.11), was ja eigentlich auch der Grundgedanke war. Ich glaube ich habe mich ein wenig verrannt. Und wie läuft es mit Java? Das wird immer komplett durch die neuere Version ersetzt, oder?

ZIP, entschuldige. Das war das komplette Language-Pack. Habe es aber mittlerweile auch mit dem ganz normalen "AdbeRdr11000_de_DE.msi" versucht.

Hahaha! :jau: :jau: Eine Sache hätte ich allerdings noch. Flashplayer funktioniert tadellos über WSUS PP. Was muss ich beim Reader beachten? Ich bekomme immer Code 80246007 und Code 51F. Ich habe das *.rar File von Adobe heruntergeladen. Dann habe ich es entpackt und aus der AcroRead.msi ein Update gebaut. Die anderen Dateien habe via "Weitere Dateien:" angehangen. Muss ich beim Reader noch eine Kleinigkeit beachten? Ich werde hier noch wahnsinnig :D . Grüße Chris

Vielen Dank für den Tipp mit dem WSUS PP. Klappt super damit. Ist schöner als eine GPO und Reporting kann ich damit nun auch betreiben. :-) Vielen Dank!! Grüße Chris

Hallo zusammen, ich hoffe, ich bin hier im richtigen Forum. Ich versuche gerade den Acrobat Reader mithilfe einer GPO zu verteilen. Ich habe das .msi Paket auch bereits mit dem "Acrobat Customization Wizard" angepasst. Die Verteilung funktioniert auch super. Der Client übernimmt allerdings die Einstellungen nicht, die ich im "Acrobat Customization Wizard" festgelegt habe. (Bspw. das Akzeptieren des Lizenzvertrages) Die erstellte *.mst Datei ist im Pfad vorhanden. Hat jemand eine Idee? Freundliche Grüße Chris

Hallo Peter, sind es Verknüpfungen auf ein Netzlaufwerk? Dann liegt es wahrscheinlich an der automatischen Desktopbereinigung. Schau mal in folgenden Beitrag: http://www.mcseboard.de/topic/173236-desktopbereinigung-abschalten-ohne-deaktivierung-der-computerwartung/

Erstmal vielen Dank für eure Rückmeldungen. Das habe ich jedoch schon ausprobiert. Die GPPs greifen auf Userebene. Ich habe Powershell veröffentlicht und es mit "gpresult /r" überprüft. Sie werden bloß nicht angewendet, wenn ich eine Remoteapp ausführe. Logge ich mich als User auf dem RD-Server ganz normal an, weden sie ausgeführt. :confused: Edit: Führe ich in der selben Sitzung im RDWeb mithilfe der PS ein gpupdate durch, aktualisiert er die GPPs. Anschließend nimmt er die Änderungen an. Es scheint also daran zu liegen, dass die GPPs nicht übernommen werden, wenn man eine RemoteApp öffnet. EditEdit: Es funktioniert. Ich war gestern wohl nur zu voreilig. Für diejenigen, die auf diesen Post in Zukunft stoßen: Achtet drauf, dass die Sitzung wirklich geschlossen ist, bis ihr euch das nächste mal anmeldet.