daabm

Mit Deinem Befehl versucht er das direkt auf dem Druckserver... Und korrekterweise stellst Du dort in den Standard-Druckeinstellungen auch das korrekte Format ein. Lokal auf dem Client geht es einfach, indem Du fertige Settings von einem passend konfigurierten Drucker (auf einem Referenzclient) exportierst und auf allen anderen Clients wieder importierst. Ich hab das immer mit printui gemacht, weiß leider nicht ob es ein Powershell-Pendant dazu gibt.

Dem ist kaum was hinzuzufügen Nach mehreren Fusionen und Umbenennungen landet unser interner Namensraum jetzt auch in einer DNS-Zone, die mit dem Firmennamen nichts zu tun hat. Für Großunternehmen ist ein Ändern des DNS-Namensraums eine mittlere Katastrophe...

Du erwartest jetzt aber nicht, daß ich 1058/1129 auswendig weiß oder suche? Da wäre der Event-Text schon nett... Und der von Dir verlinkte Artikel ist keine Lösung, sondern - siehe @NorbertFe - nur ein kruder Workaround. Bei Dir stimmt was nicht im Gesamtsetup - Kerberos scheint nicht zu funktionieren, möglicherweise asynchrone KDC-Kennwörter oder fehlende SPNs, vielleicht auch Fehler im DNS, aber das kann über ein Forum niemand beantworten.

Das ist die Krux bei den meisten MS-Lizenzen - der Nachweis muß beim Audit ggf. erbracht werden können, daß keine fehlen. Das Stück Papier mit den erworbenen Lizenzen reicht als Lizenznachweis, wenn Du "irgendwie" auch nachweisen kannst, daß nicht mehr User/Clients zugreifen.

SMB alleine bringt bei DCs wenig, da gibts noch DFSR/NTFRS, RPC, LDAP, KDC usw. Rein technisch funktioniert das mit IPSec, die Frage ist halt nach dem Nutzen. Wenn ich nur zwischen den DCs nen Tunnel habe, was mache ich mit Anwendungen, die nicht Site-aware sind?

Mark Heitbrink hatte da mal ein Tool dafür. Die Firma hat aber leider zugemacht und das Tool ist nicht mehr zu finden... Und ich brauch's nicht, sonst hätte ich schon längst ein Skript gebaut, das den Export und Import übernimmt und dabei on the fly gleich passende Migtables inkl. GPP erstellt. Aber es gibt bei GPP genügend Möglichkeiten, mit Variablen zu arbeiten, so daß man gut ohne Migtables auskommt.

Für Dich ja, für mich war das weit weg... BTT: DC Locator - https://blogs.technet.microsoft.com/askds/2008/09/24/domain-locator-across-a-forest-trust/ Da stimmt was mit den Sites nicht, wenn die Clients in DE nach China wollen. Hatte Norbert schon drauf hingewiesen.

Das ist jetzt vielleicht fies von mir, aber: Grütze bleibt Grütze... LW-Mappings mit IP-Adresse - geht gar nicht.

Ich verstehe schon die Anfangsbeschreibung nicht: "Ich habe 2 Root-DC s und 2 Child DCs". Was ist denn ein Root DC und was ist ein Child DC?

Das bringt jetzt zwar niemand weiter und auch das BSI wäre mit mir nicht konform, aber: Wofür bitte ist ein Virenscanner auf einem DC hilfreich, der nur DC ist? Ich weiß es nicht... Edit: Unsere DCs können nicht ins Internet, und iexplore.exe sowie firefox.exe und chrome.exe sind per AppLocker gesperrt. Was nutzt mich ein Virenscanner auf diesen Systemen?

dsquery user -samid <Accountname> | dsget user -memberof -expand Access Token gibt es in einer funktionierenden AD-Umgebung nicht, das heißt inzwischen Ticket granting ticket http://technet.microsoft.com/library/cc772815.aspx "klist purge" macht vermutlich, was Du möchtest.

XML läßt sich recht gut skripten. Das XML-Schema der Group Policy Preferences ist gut dokumentiert. Das läßt sich also prima skripten, wenn man den Bedarf hat

Vielleicht hilft der Hinweis: "Jeder" ist im Standard nicht wirklich jeder, sondern nur "Authentifizierte Benutzer". Nur wenn der Gast-Account aktiviert wurde, ändert sich das, aber der ist normalerweise deaktiviert.

Naja, man könnte mal oben rechts mit "Mein Konto" anfangen und landet dann bei https://account.activedirectory.windowsazure.com/passwordreset/Register.aspx Und da klickt man dann auf "Ändern" hinter der Telefonnummer.

LOL - stimmt, das wäre dann "Äpfel und Birnen" Und ich vergesse MS16-072 inzwischen gerne, weil das schon so ewig her ist...

[OT] Dir fehlt das Gen, mir die Ialität. Wir sollten uns zusammentun [/OT]

Hast Du mehrere DCs an verschiedenen Standorten? (AD-Replikationsintervall...)

Zielgruppenadressierung weiß nix von Migrationstabellen - wenn Du da den Object Picker verwendest, hast IMMER SIDs in der Ziel-GPO... Das geht aber auch anders, drück mal F3. Da verwendet man nicht den Object Picker, sondern schreibt die Gruppen/User/Computer mit entsprechenden Variablen einfach rein.

Rufs mal mit /? auf - soweit ich das im Kopf habe, erstellt es auf Wunsch alle Gruppen ebenfalls, und es kann m.W. auch mit Migtables umgehen. Ist zu lange her, und Migtables brauchen wir nicht mehr wirklich - innerhalb der GPOs haben wir keine SIDs mehr außer WellKnown, und der Sicherheitsfilter geht bei den Skripts über den Namen, nicht über die SID.

AppLocker hilft bei .doc relativ wenig - und .doc ist per se auch nicht gefährlich, wenn man Makros passend verbietet. Mit SRP könnte es gehen, hab ich aber noch nie probiert - ich finde es grundsätzlich besser, auf eine sichere Konfiguration der zugehörigen Anwendung zu achten (inkl. Deaktivieren von Javascript in Adobe Reader )

Hm - worauf wird denn da der Zugriff verweigert? Und ist UAC aktiviert oder nicht? Klingt jetzt sehr obskur, das Problem - aber ist vermutlich nur eine ganz obskure Kleinigkeit

Das ganze gibt es sogar fertig, ist nur relativ unbekannt: https://msdn.microsoft.com/de-de/windows/desktop/aa814152?f=255&MSPPError=-2147217396 CreateXMLFromEnvironment.wsf und CreateEnvironmentFromXML.wsf sind genau dafür gemacht: Übertragen von Gruppen, Usern, OUs und GPOs aus einer Domäne in eine andere. Durch Bearbeiten des XML kann man fast nach Belieben customizen.

Startup Skript - dann reden wir über eine Domäne? Warum berechtigst Du nicht einfach die "Domain Computers" auf der Freigabe? Oder Authenticated Users... Ich verstehe den Sinn nicht, das als anonymous unter Guest laufen zu lassen.

Nils hat Recht. Zum Nachlesen: https://blogs.technet.microsoft.com/askds/2008/09/24/domain-locator-across-a-forest-trust/

Ich blick hier nicht durch... Wie ist der Name der Website? Was sagt nslookup dazu? Ist im Browser ein Proxy konfiguriert? Und wenn die Website im Internet liegt, wäre ein Forwarder eigentlich die Lösung der Wahl.