daabm

Ich hab gestern schon angefangen was zu schreiben, habs dann wieder gelöscht, aber ok: Wie paranoid bist Du, was läuft da drauf? Der nächste Market Place im Darknet? Es hilft nix, wenn Du die technische Basis aus der Hand gibst (was Du bei einem Hoster MUSST - der Hoster hat IMMER physischen Zugriff), helfen Dir nur Shielded VMs. Und die kriegst Du bei einem Hoster nicht.

Geprüft per gpresult? Und die Computer haben Leserechte auf die GPO? (MS16-072..) Und noch meine persönliche Meinung: Mit Druckerzuordnungen wird extrem viel Admin-Zeit verschwendet. Meistens wäre es effektiver, die Drucker im AD sauber zu pflegen (gescheite Beschreibung, Standort) - dann sind mit einer A4-Anleitung die meisten User in der Lage, diese selber zu verbinden. BTW: Warum "ersetzen"? Das hat zur Folge, daß bei jeder GPO-Verarbeitung der Drucker erst entfernt und dann wieder hinzugefügt wird... Technisch korrekt wäre "Aktualisieren", und dann machst Du halt noch ein 2. Element mit "Entfernen" und dem umgekehrten ILT. Aufwand? Ja, siehe vorherige Bemerkung

Ganz oben taucht im geplanten Umleitungspfad \Abteilung\ auf -laß den Quatsch, Abteilungen ändern sich. Alle einfach ins Root des Umleitungs-Stammverzeichnisses. Offline-Dateien hatten wir bis Win7 auch, hat "im großen und ganzen" leidlich funktioniert, aber zu viel Supportaufwand. Mit Win10 daher abgeschaltet...

@tesso Wir sollten uns hier glaub raushalten. Der TO will von den Lösungen, die wir empfehlen, nichts wissen, er bevorzugt die Bastelvariante. Wird dafür auch spätestens im Sommer eine Spamschleuder betreuen... Traurig.

Die LAPS-Doku ist in dem Sinne nicht von Microsoft, sondern von Microsoft Consulting Services. Kein großer Unterschied, könnte man meinen - aber die taugt halt echt.

Doch, aber Dinge, die nix taugen, die beschreibt man da besser auch nicht. BTT please...

Hm, mit repldom ersetzt Du nur die Trustees, nicht die Vererbung... Ich würde da mal direkt Helge anschreiben.

Guter Tip: Bevor Du Dich mit einem Unternehmen zusammensetzt, kontaktiere einen der User hier und setze Dich mit dem zusammen. Dann kannst Du hinterher dem Unternehmen nämlich die richtigen Fragen stellen und dessen Antworten qualifiziert bewerten

Und hier isser - taddaah Ob das buggy ist oder nicht, ist relativ egal, Grütze ist es in jedem Fall. Ob das mit dem Standarddrucker jemals funktioniert hat, weiß ich nicht. Ich hab den Kram nie ausprobiert, weil es einfach nix taugt. Möglicherweise hilft das GPP debug logging: https://blogs.technet.microsoft.com/askds/2008/07/18/enabling-group-policy-preferences-debug-logging-using-the-rsat/ Aber ohne Gewähr... Da sollte dann zumindest drinstehen, ob die CSE versucht, den Standarddrucker zu setzen. Dann konter ich gelassen mit der schönsten Coke-Bottle der Welt https://1drv.ms/f/s!AmhU53m8z7nflCefLOlEioSB7hzT

Die hat ja auch der Programmierer selber geschrieben, und man sieht der Doku definitiv an, daß er stolz auf sein Ergebnis ist. Geht mir auch so - wenn ich was richtig gut hinkriege und das dann dokumentiere, dann wird auch die Doku super

Im Zweifel glaub mir - ich hab das Buch geschrieben, @zahni spricht nur aus eigener Erfahrung @James_Eric Besorg Dir die Microsoft Security Baselines und setze die um. Google ist Dein Freund, Du wirst sie finden...

Es wäre vielleicht klug, ein Problem nach dem anderen zu lösen und nicht zu viel in einen Thread zusammen zu werfen. Ich blicke hier schon nicht mehr durch, was eigentlich das ursprüngliche Problem ist, was genau noch aktuell ist und welche Fehlersituation konkret besteht...

Winfried, im LAPS-Download ist doch jede Menge Doku enthalten?!?

Ja, so b***d das klingt: Du brauchst "irgendeine" Liste, in der Deine Windows-Installationen mit der zugehörigen Lizenz stehen. Und die sollte halt mit dem, was man in der Realität nachprüfen kann, 1:1 übereinstimmen... Du selbst kannst natürlich die KMS-Daten als Basis für diese Liste nehmen. Aber für den Audit ist das belanglos.

Der Faden ist richtig spaßig, da ist von allem was dabei Bin gespannt, ob wir ein faktisch greifbares Ergebnis erfahren.

Du hast ja recht - sorry dafür, das war ein Frust-Abend... Wir handhaben das so, daß Bitlocker über das Software-Deployment aktiv getriggert wird (aus zu Beginn, an am Ende). Da gab es bisher wenig Probleme, allerdings gehört dazu einiges an eigens geschriebener Software. Und wie bei den meisten Firmen dürfen wir das nicht rausgeben - unsere Firma arbeitet noch am "open source Prinzip"

Mir ging es mehr um das zweite Argument - lesbarer Code. Nix gegen Pipelining, wenn man das mal kurz auf der Commandline eintippt. Aber der TO sprach von einem Skript, und da finde ich halt Foreach besser als die Pipe. Das ist besser lesbar und damit auch einfacher wartbar. Und auch einfacher zu debuggen :-)

Ja, ich könnte. Sollte ich echt mal machen

Ja, elend. Wir sind mit der Win7-Ablösung soweit fertig, unsere Kunden steuern die Umstellung selbständig, manche haben da noch ne Bugwelle vor sich, die meisten sind fertig. Das Leben kann auch schön sein

Ich würde da mal was anders machen beim Foreach... Man kann das pipen, oder man macht es als Schleife. Oben ist die Pipe-Variante. Ich bevorzuge immer $Members = Get-ADGroupMember -Identity 'WeNeedMoreBeer' Foreach ( $Member in $Members ) { $Member | Select-Object -Property LastOrder } Zum einen ist das schneller (Faktor 2 bis 10), zum anderen erzeugt es deutlich besser lesbaren Code

Wenn der TO doch unbedingt nen Client als Server betreiben will.... laßt ihn doch. Ich würde ja auch nen Essentials nehmen in dem Fall. Oder wie immer 2 DCs und dann App-Server dazu. Bei 25 Clients finde ich 2 VM-Hosts ok, die je 1 DC hosten und 1 File/Application-Server.

Um @NorbertFe seine Aussage noch mal zu verdeutlichen: Der KMS ist KEIN Lizenzmanagement. Der Lizenznachweis gegenüber MS muß bei einem Audit auf anderen Wegen erfolgen, der KMS wird dafür nicht akzeptiert.

Kontraproduktiv Die kopiert man zusammen, denn sowohl beim Client als auch beim Server gibt es ADMX, die der jeweils andere nicht im Bauch hat. Deshalb würde ich immer den Download nehmen, da sind ALLE drin. Und die werfe ich dann in den CentralStore und hab meine Ruhe. Machen wir in der Firma natürlich nicht so - da stehe ich extrem darauf, unterschiedliche ADMX verwenden zu können je nach System, aber das ist ein anderes Thema, da könnte ich Bücher drüber schreiben

Der Screenshot sagt, daß das Programmseitig alles ok ist. Resize-Menü ist weg, rechts unten fehlen auch die Punkte, die Resize zulassen würden. Ihr müßt wohl woanders ansetzen.

Mal wieder was zum technischen Teil: Ich hab clientseitig XP->Vista->Win7->Win10 begleitet. XP nach Vista war recht mühsam, weil Reinstallation aller Geräte. Dafür haben wir was gebastelt ähnlich dem USMT, das aber spezifisch computerbezogene Teile auch mitnehmen konnte. Hat gut geklappt. Vista nach Win7 haben wir inplace gemacht - nie wieder, zu viele Abbrüche wegen individueller Spezialitäten. Win7 nach Win10 wieder per Reinstallation, und wieder mit dem alten Eigen-Gebastel, das schon von XP nach Vista verwendet wurde - funktioniert gut! Wichtig finde ich: Erklär den Betroffenen nicht, daß das sein muß, weil xyz, sondern daß sie folgende Vorteile haben: xyz. Riesen psychologischer Unterschied... Und bei der reinen Bedienung dürfte es eh keine Probleme geben, die Heimrechner laufen ja alle mindestens unter Win7, meist Win10. Ebenso wichtig aus Deiner Perspektive: OS-Updates NICHT aussitzen oder aufschieben, am besten immer sofort bei Erscheinen mit Planung/Rollout beginnen. Aufschieben bringt nix, es holt Dich auf jeden Fall ein