Jump to content

daabm

Expert Member
 Profil anzeigen  Aktivitäten des Benutzers anzeigen

  • Gesamte Inhalte

    5.657

  • Registriert seit

  • Letzter Besuch

 Inhaltstyp 

Beiträge erstellt von daabm

  6. Aussendienstler Notebooks und Domänenmitgliedschaft

    in Windows 10 Forum

    Geschrieben

    vor 12 Stunden schrieb NorbertFe:

    Naja, der Client ändert es auch ohne den DC, wenn ich den Artikel richtig verstehe:

    https://blogs.technet.microsoft.com/askds/2009/02/15/machine-account-password-process-2/

    Ich möchte diesen Absatz betonen:

     

    Before we set the new password locally, we ensure we have a valid secure channel to the DC. If the client was never able to connect to the DC (where never is anything prior the time of the attempt – time to refresh the secure channel), then we will not change the password locally.

     

    Von alleine wird ein Client, der "offline" ist, also niemals seinen Secure Channel verlieren, weil er sein Kennwort schlicht NICHT ändert, wenn er keinen DC erreichen kann. Das wird oft falsch verstanden :-)

    • Danke 1

  11. Benutzerrichtlinie auf bestimmten Hosts ausschließen

    in Active Directory Forum

    Geschrieben

    Ich verweise mal auf ein unbekanntes Blog zum Thema "WMI-Filter auf nicht vorhanden": http://evilgpo.blogspot.com/2012/05/inverting-wmi-filters.html

    Loopback brauchts auch nicht - zum Screensaver hab ich damals einen der ersten Artikel überhaupt geschrieben: http://evilgpo.blogspot.com/2012/03/how-to-save-my-screen.html

    Und seit MS16-072 geht das sogar noch einfacher, indem einfach die entsprechenden Computer ein "Deny Read" für die GPO bekommen.

    • Danke 1

  17. Netlogon Scripte: Anfängerfragen

    in Windows Server Forum

    Geschrieben

    Task mit Trigger auf ein Ereignis in einem Eventlog:

     

    image.thumb.png.827f9839d172f705e4f0c31073e9afb9.png

     

    Hier kannst das XML aus dem Link im Prinzip direkt reinkopieren. Ja, wenn man das noch nie gesehen hat, kommt man nicht so schnell drauf :-) Aber ein IT-ler mit grundlegenden Kenntnissen bekommt das schon hin.

     

    Und wie Norbert schon geschrieben hat: Das Task-XML exportierst Du von dem Referenzrechner, wo Du den Task passend eingerichtet hast. Per Startup-Skript erstellst Du daraus mit schtasks /create /tn "Mein neuer Task" /xml <Pfad zum XML> /ru SYSTEM den Task auf den Zielrechnern. Kann sein, daß ein Parameter fehlt, aber so prinzipiell...

  22. Netlogon Scripte: Anfängerfragen

    in Windows Server Forum

    Geschrieben

    Sodele, nachdem wir ( @j.bussmann und ich) heute telefonisch mal das eigentliche Problem besprochen haben - insbesondere die Hintergründe der eigenartigen Situation :-) ( @Sunny61 manche Interna kann man am Telefon besprechen, die definitiv nicht in ein Forum gehören) - hier mal meine gesammelten Gedanken zu einer skriptbasierten Lösung. Teile davon wurden bereits erwähnt.

    • Wir sprechen ab sofort nicht mehr über Logonskripte. Das ist der falsche Andockpunkt. Richtig ist ein geplanter Task mit geeigneten Triggern.
    • Der Task kann erstellt werden entweder über ein Computerstartup-Skript oder über die vorhandene Softwareverteilung. Idealerweise mit beiden Methoden, um die Trefferquote zu maximieren. Und nein, ich würde ihn nicht über GPP erstellen, das ist zu fehleranfällig. Lieber in der Aufgabenplanung an einem Referenzrechner interaktiv zusammenbauen und dann als XML exportieren. Das kann dann mit schtasks (oder register-taskdefinition) importiert werden.
    • Trigger, die ich für sinnvoll halte: Startup (Delay 30 Minuten mit 10 Minuten Zufall), dann alle 12 Stunden im Hintergrund. Und auf Netzwerk-Events -> https://ardamis.com/2015/09/09/windows-event-log-query-for-domain-joined-network-connection/
      Die Trigger sind der Teil, der per GPP relativ mühsam ist, das geht einfacher in der Aufgabenplanung. Der Trigger auf Domain Joined Network würde den Usern heute schon helfen - wer führt schon nach der VPN-Verbindung noch manuell ein Logonskript aus? :-)

    Der Task muß IMHO ein Skript ausfürhen und in diesem dann folgende Aufgaben erledigen - seriell, nacheinander:

    1. Test-NetConnection (oder ping) auf den Server, der die UNC-Ressourcen bereitstellt
    2. Robocopy <Docusnap-Programmquellpfad> <lokaler Docusnap-Programmpfad> /xj /mir /log:xyz.log (Logs sind wichtig...)
    3. Docusnap-Inventoryskript aufrufen
    4. Robocopy <lokaler Docusnap-Inventorypfad> <Docusnap-Shared Inventory>

    Bei Step 4 muß der Zielpfad passend gestaltet sein - jeder PC braucht sein eigenes Verzeichnis. Wie genau es darunter dann aussehen soll, muß definiert werden. Und natürlich brauchen die Computer Leserechte auf den Programmquellpfad und Schreibrechte auf ihr Shared Inventory (könnte man ähnlich wie bei servergespeicherten Benutzerprofilen regeln...). Die Parameter für Robocopy sind auch nicht erschöpfend, dan kann man noch ein wenig tunen.

     

    Anmerkung: Ich hab keine Ahnung von Docusnap. Wenn Step 3 und 4 so nicht umsetzbar sind, dann kann 4 auch entfallen und 3 direkt irgendwo zentral ablegen...

     

    Wenn der Task mal auf einen Rechner verteilt wurde, dann sollte das alles relativ reibungslos laufen. Wie gesagt, Logging ist wichtig (egal wohin). Und Logs dürfen nicht überlaufen, auch da muß was passendes gestaltet werden (entweder nur ein Log immer überschreiben, oder anhängen und die Größe überwachen, oder mit Timestamp und die Anzahl überwachen).

     

    Und wenn man noch etwas tunen will, zerlegt man das in 2 Tasks. Der eine macht die beiden Robocopys und läuft mit dem Trigger auf Domain Joined Network Connection und zyklisch. Der andere macht nur das Inventory und läuft nur zyklisch.

×
×
  • Neu erstellen...