AD - Zertifizierungsstelle migrieren

[cj_berlin 1.138]

vor 9 Stunden schrieb wznutzer:

OK, „best practice“ und geringe Lizenzkosten passt nicht zusammen. 

Das kommt auf die Größe der Umgebung an. Wo ich normalerweise unterwegs bin, verursacht eine zusätzliche Windows Server-VM keine zusätzlichen Lizenzkosten  Break-Even zwischen Standard und Datacenter liegt bei 11 VMs pro Host, +/- 2, abhängig von den Verträgen, die man hat.

 

Wenn wir von Umgebungen reden, wo die Frage nach einem zweiten Domain Controller bereits die Lizenzkosten-Debatte auf den Plan ruft, ist die Best Practice-Frage sowieso müßig. Da gibt es halt "den Server" (in traditionelleren Unternehmen heißt er dann "der Hauptrechner") und wenn der angegriffen wird oder kaputt geht, ist eh vorbei.

bearbeitet 23. Juni 2023 von cj_berlin

[wznutzer 32]

vor 4 Stunden schrieb NorbertFe:

Hmm den Nachsatz zum Thema Security hast du jetzt lieber nicht bewusst wahrgenommen, oder? ;)

Doch habe ich wahrgenommen. Ich versuche immer dran zu denken. Was ich nicht so gerne mag, ist das Mischen von Rollen wenn eine den IIS benötigt. Da ich die Webregistrierung nicht installiert hätte, war das in meiner Überlegung OK. Ich habe das schon verstanden. So Dinge werden halt getrennt, das ist die richtige Vorgehensweise. Es gibt auch kein Argument, dass das Mischen rechtfertigt und trotzdem die Qualität hoch hält. Wenn man mischt, hat man das einfach schlechter gemacht, als das gehen würde.

vor 3 Stunden schrieb cj_berlin:

Wenn wir von Umgebungen reden, wo die Frage nach einem zweiten Domain Controller bereits die Lizenzkosten-Debatte auf den Plan ruft, ist die Best Practice-Frage sowieso müßig.

Ganz so schlimm ist es nicht. Ich habe natürlich mehrere DCs. Die derzeit installierte CA lief einfach mit. Der damalige Installateur hat das einfach mal so auf Vorrat installiert. Vor 2-3 Jahren hat MS dann mal bei einem Update darauf hingewiesen, dass LDAPs zu aktivieren sei. Da war die dann schon da und die DCs hatten Zertifikate. Sonst hatte die CA nichts zu tun, außer die erwähnten EFS Zertifikate, die vermutlich durch "rumspielen" der User automatisch ausgestellt worden sind, weil das nicht unterbunden war.

 

Vielen Dank für den Input, ich lerne gerne.

bearbeitet 23. Juni 2023 von wznutzer

[wznutzer 32]

Am 19.6.2023 um 12:32 schrieb NorbertFe:

Offensichtlich wurde es aber mal verwendet, denn die werden automatisch gezogen, sobald irgendwann/irgendwer mal auf "verschlüsseln" geklickt hat

Was lange währt…

Ich musste immer wieder drüber nachdenken, warum ich ausgestellte EFS-Zertifikate habe, obwohl das ganz sicher nicht genutzt wurde. Die Lösung ist KeePass. Speichert man da Anlagen und schaut man sich diese an und nutzt einen externen Viewer, verschlüsselt KeePass das ausgelagerte File und schwups hat man ein Zertifikat und weiß nichts davon.