Terminal Server ohne Domain mit User CALs möglich?

[DavidNhaus 0]

Hallo,

 

es geht um ein System, welches aus zwei ESXi Hosts besteht, auf denen jeweils mehrere VMs mit Windows Server 2019 laufen. 

Das System wurde ohne Domain Controller aufgesetzt. 
Ziel ist es, sich per RDS auf eine der VMs des Systems draufzuschalten.

Für mich ist das alles noch Neuland, soweit ich weiß muss dafür aber Terminal-Server auf dieser VM installiert sein. 

Die Installation setzt normalerweise einen DC voraus, es scheint aber auch einen Workaround zu geben, zumindest habe ich dazu eine Anleitung gefunden. 

Jetzt ist es allerdings so, dass als Lizenzen keine Devices CALs, sondern User-CALs eingesetzt werden sollen.

Zu diesen habe ich auf der Microsoft folgende Einschränkung gefunden: 

 

RDS-CALs werden einem Benutzer in Active Directory zugewiesen.

RDS-CALs können innerhalb einer Arbeitsgruppe nicht nachverfolgt werden.

Ich weiß nicht was mit Nachverfolgung gemeint ist, ist diese Notwendig, damit das ganze funktionieren kann, oder ist das nur ein Extra was man nutzen kann?

 

 

 

 

[mwiederkehr 351]

"Können nicht nachverfolgt werden" heisst "Benutzer werden nach einer Stunde getrennt". RDS-User-CALs gehen seit Windows Server 2016 nur noch mit Domäne, da die Lizenzen für Benutzer "ausgecheckt" werden. Ohne Domäne geht es nur mit Device-CALs.

[Nobbyaushb 1.359]

Warum keine Domäne?

Macht doch vieles einfacher…

und - über wieviel User reden wir?

[DavidNhaus 0]

Das heißt es würde theoretisch funktionieren, allerdings immer stündlich begrenzt? Oder würde es nur einmalig für eine Stunde funktionieren?

 

vor 5 Minuten schrieb Nobbyaushb:

Warum keine Domäne?

Macht doch vieles einfacher…

und - über wieviel User reden wir?

Gute Frage, das kann ich nicht sagen. Das System ist allerdings recht klein, vielleicht deswegen.

Die Anzahl der Benutzer insgesamt liegt vielleicht so bei 10-20.

Eine gleichzeitige Nutzung von 5 reicht aus. 

 

[Nobbyaushb 1.359]

Wenn du 20 User hast empfehle ich eine Domäne

Und du musst auch alle 20 Lizensieren, auch wenn immer nur max. 5 gleichzeitig arbeiten 

[DavidNhaus 0]

Wie aufwendig ist das nachträgliche aufsetzten einer Domäne? 

Das Problem ist, dass ein Prozessleitsystem (PCS7) auf diesem System läuft, was natürlich auf keinen Fall ausfallen sollte.

Die 5 User sollen sich von bis zu 20 Personen geteilt werden.

[tesso 360]

vor 3 Minuten schrieb DavidNhaus:

Das Problem ist, dass ein Prozessleitsystem (PCS7) auf diesem System läuft, was natürlich auf keinen Fall ausfallen sollte.

Was sagt der Hersteller der Software zu RDS? Wird das supportet? 

[DavidNhaus 0]

 

vor 8 Minuten schrieb tesso:

Was sagt der Hersteller der Software zu RDS? Wird das supportet? 

Ja das wird unterstützt

https://cache.industry.siemens.com/dl/files/978/109754978/att_939393/v1/ps7web_a_de-DE.pdf

Seite 28

[Nobbyaushb 1.359]

Losgelöst ob das Siemens mittlerweile supportet - wenn das max. 20 User sind, musst du auch 20 User lizensieren.

Man könnte ggf. auf Device-CAL gehen, das müssten dann aber immer die gleichen (5?) Geräte sein

 

Ob das Aufsetzten einer Domäne nachträglich Sinn und viel Arbeit macht lässt sich m.E. in einem Forum nicht sinnvoll klären.

Hole dir einen kompetenten Anprechpartner ins Haus, das ist aus meiner Sicht die Vernünftigste Variante

[DavidNhaus 0]

Ich meinte damit, dass es bis zu 20 Arbeiter gibt, die sich nach je nach Bedarf mit einem der 5 lizensierten User-Accounts anmelden würden. 

 

Das Aufsetzen der Domäne würde ich selbst nicht durchführen können, dafür fehlt mir definitiv das Wissen, das müsste dann ein Kollege übernehmen, mir ging es erstmal nur darum zu klären, ob es eventuell doch möglich wäre mit User-Cals. 

 

Bei der Beantwortung dieser Frage habt ihr mir auf jeden Fall geholfen, danke! :)

[NorbertFe 1.800]

Gerade eben schrieb DavidNhaus:

Ich meinte damit, dass es bis zu 20 Arbeiter gibt, die sich nach je nach Bedarf mit einem der 5 lizensierten User-Accounts anmelden würden. 

Das is bei ms lizenztechnisch nicht vorgesehen, weil rds User cals named cals sind. Heißt, da wäre es vermutlich günstiger auf Device cals zu gehen, wenn wie oben angesprochen immer die selben 5 Geräte genutzt werden.

[cj_berlin 1.137]

vor einer Stunde schrieb DavidNhaus:

Ich weiß nicht was mit Nachverfolgung gemeint ist, ist diese Notwendig, damit das ganze funktionieren kann, oder ist das nur ein Extra was man nutzen kann?

 

Moin,

 

Fazit des bisher Gesagten: Bau das mit Device RDSCALs auf - damit kommst Du um AD herum, bleibst auch EULA-konform bei Microsoft und billiger ist es auch noch, da Du eben 5x statt 20x brauchst.

[DavidNhaus 0]

Ich werde mich mit den neuen Informationen nochmal an den Kunden wenden und schauen, ob Device Cals nicht doch eine Option sind.

Ich glaube allerdings, dass von Kundenseite gewünscht ist, dass beliebige Geräte, die an dem Firmennetz hängen, also bspw. auch solche, die sich aus dem Flexoffice per VPN ins Firmennetz einwählen, die Möglichkeit haben sollen auf diese Anlage zu schauen.

 

Wäre es eventuell noch eine Alternative, exklusiv für die eine VM (auf dieser läuft nur der PCS7-Webserver, die restliche Anlage ist nicht betroffen) einen DC aufzusetzen? 

Dann wäre nur die Frage, ob sich die Kommunikation zwischen der Webserver VM und den restlichen VMs Siemens-seitig danach noch funktioniert...

[cj_berlin 1.137]

Moin,

die Kommunikation wird schon funktionieren, wenn Du den DC nicht auf dem besagten Server mit aufsetzt, sondern separat, denn alle lokalen Accounts und Berechtigungen bleiben ja trotz AD-Mitgliedschaft bestehen.

Die User, die sich remote dort anmelden, müssen aber AD-User sein, denn nur für diese können Per-User-RDSCALs ausgecheckt werden.

[DavidNhaus 0]

Ich bin mir nicht sicher, ob ich das richtig verstanden habe.

 

- ESXi (Hier ist unter anderem, ich nenne sie jetzt mal VM1, aufgesetzt)

- VM1 (hier ist der PCS7-Webserver installiert, auf diese VM sollen die remote Zugriffe ermöglicht werden)

- Terminal Server -> muss auf VM1 installiert werden, richtig?

- Domain Controller -> wenn ich Dich richtig verstanden habe diesen NICHT auf VM1 aufsetzen, sondern separat -> eine weitere VM dafür anlegen?

- Active Directoy -> ???