daabm

Du sollst damit anfangen, daß Sicherheit immer beim Fundament anfängt, niemals beim Dach

Nö. Es ist einfach, die eingebaute cmd.exe für Benutzer unbrauchbar zu machen, weil die auf diesen Policy-Wert trainiert ist. Gibt genügend alternative Shells, denen das egal ist. Und Dir geht es am Ende auch nicht um das Ausführen einer Befehlszeile, sondern um die Sicherheit des Systems. Und die kannst Du niemals (!) mit Benutzereinstellungen herstellen. Das geht nur auf Computerebene. Das Verbieten irgendwelcher Gimmicks im Benutzerkontext erhöht die Sicherheit nicht. Es fördert nur die Kreativität der Anwender - oder ihren Unmut ob der Unbrauchbarkeit des Systems.

Bei nem DC kannst Du auch einfach ein Inplace-Update machen... hat hier jetzt Duzende Male problemlos funktioniert. Aber ok, wir haben auch keine Domäne, in der es nur einen DC geben würde - ein Scheitern hätte uns also nicht wirklich weh getan

# for hex 0xbc4 / decimal 3012 : ERROR_PRINTER_NOT_FOUND winerror.h # No printers were found. Der 3eb ist noch unergiebiger: # for hex 0x3eb / decimal 1003 : ERROR_CAN_NOT_COMPLETE winerror.h # Cannot complete this function. Kann es sein, daß das Mapping im Systemkontext läuft und die Computerkonten keine Rechte auf die Druckerfreigabe haben?

Ich drücke dem Proxmox-Forum jetzt schon die Daumen... SCNR Hetzner also, aha. Wie hast Du das mit Japan hinbekommen? https://www.hetzner.com/de/unternehmen/rechenzentrum/

Viel Spaß. Hat dein Ceph-Backbone deutlich mehr als 2.5G? Wenn nein, wirst Du viel leiden...

Ja.

Man könnte am Client ja mal gucken, was für Tickets man bekommt klist get HOST/<FQDN> Und man könnte gucken welche ETypes die Zielkonten unterstützen powershell get-adcomputer <hostname> -properties msds-supportedencryptiontypes (Spoiler: Da sollte 24 oder 28 drinstehen)

Leider verstehe ich den Satz nicht. Und eine Frage finde ich in Deinem Beitrag auch nicht.

Jetzt hör auf, Jan. Sonst kommt noch die Frage nach "wie verwende ich denn die Thunderbolt-Interfaces als Ceph-Backbone"

I second that... Nur ein convenience feature eigentlich

Ich weiß nicht, ob es in Deutschland Firmen gibt, die mehr DCs betreiben als wir (vermutlich ja - aber auf jeden Fall sind wir ganz oben mit dabei). Wir legen die vCPU nach Anzahl der zu erwartenden Logon-User aus, und uns ist noch nie (!) deswegen eine AD-DB kaputt gegangen. Die Dinger sind schweinsmäßig rock-stable... Such Dir nen anderen Berater. Da kann ich darüber berichten, wenn das wirklich jemand braucht...

Bei manchen Deiner Statements tun mir Deine Kunden leid... SCNR

Dem ist nichts hinzuzufügen. Homelab top, 24/7 schmeiß weg. Ja, hier steht einer. Nein, er hat es nicht in den Proxmox-Cluster geschafft.

DFS ist kein synchroner Speicher... Ich kenne allplan nicht, keine Ahnung was die an Dateioperationen haben. Aber replizierter Storage dürfte ungeeignet sein.

Das hätte ich jetzt auch gesagt - "privat"kriegt man das in 30 Minuten vermutlich zusammengesucht, wie man eine HTML-Seite mit 4 iFrames baut

Wieso "quasi" ? Irgendwann geht Dir halt RAM aus, weil jede Logon Session auch getrennt noch was davon braucht. Aber ein Limit kenne ich da nicht.

WMI-Remoting - OMG, da musst Du an Namespace-Berechtigungen drehen. Vergiß es lieber - wir hatten so was ähnliches auch mal und haben das Produkt dann verworfen...

Etwas spät, aber: Da sind wir wieder bei Schlangenöl und Lufthaken

Genau

Hat dieser Daniel evtl. ein lokales Konto auf dem RDS?

Verschaff Dir Vollzugriff dann geht es auf jeden Fall. Ich weiß leider nicht auswendig, was genau hinter den extendedRights steckt, macht alles meistens ein Kollege.

Man könnte auf die Idee kommen, das mal aus Sicht von DNS zu testen: nslookup -type=ALL _msdcs.intern.example.de (ALL muss groß geschrieben werden...) Wenn da nix kommt, geht die Sucherei los

Was soll daran gefährlich sein?