Wie kann man einen DNS-Server bzw. die DNS-Zonen umziehen ?

In den Eigenschaften eines Benutzers (im Snap-In Active Directory-Benutzer und -Computer), kann man im Reiter Konto die „Anmeldezeiten…“

(eine Periode der erlaubten Anmeldung) eintragen, in denen sich der Benutzer am Netzwerk (Domäne) anmelden darf.

Fallbeispiel 1:

Versucht sich der Benutzer außerhalb der dort eingetragenen Zeiten an der Domäne anzumelden, bekommt er die folgende Fehlermeldung:

„Ihr Konto sieht es nicht vor, dass Sie sich zu dieser Zeit anmelden. Wiederholen Sie den Vorgang später“.

Während dieser Zeit kann sich der Benutzer zwar mit seinen „cached Credentials“ (zwischengespeicherte Benutzerinformationen)
lokal an seinem Rechner authentifizieren, so lange keine Verbindung zum Netzwerk/Domäne besteht (Netzwerkkabel entfernen).
Ein Zugriff auf Domänen-Ressourcen ist aber nicht möglich (auch nach erneutem einstecken des Netzwerkkabels).

Anschließend bekommt der Benutzer die Möglichkeit, die Datei lokal abzuspeichern.

Damit diese Einstellung (die standardmäßig deaktiviert ist) auf Domänenkonten greift,

gilt es diese Richtlinie auf Domänen-Ebene (z.B. in der Default Domain Policy) zu aktivieren.

Weitere Informationen:

Netzwerksicherheit: Abmeldung nach Ablauf der Anmeldezeit erzwingen

HOW TO: Limit User Logon Time in a Domain in Windows Server 2003
HOW TO: Limit User Logon Time in a Domain in Windows 2000

In einer Domäne kann es vorkommen, dass ein Benutzer an mehreren Clients zeitgleich angemeldet ist. Um dieses Verhalten zu verhindern, gibt es mehrere Wege.

• Ein Weg ist, im Snap-In „Active Directory-Benutzer und –Computer“ in die Eigenschaften des jeweiligen Benutzers zu gehen, danach im Reiter „Konto“ auf „Anmelden…“ zu klicken und dort die jeweiligen „Prä-Windows 2000-Computernamen“ einzugeben, an denen sich der Benutzer anmelden darf. Dazu wird die Netbios-Namensauflösung benötigt und daher ist es ein Grund mehr, einen WINS-Server im Einsatz zu haben.
  
  
• Eine andere Möglichkeit bietet das Tool „Limitlogin“. 
  
  http://www.it-administrator.de/aktuell/13585.html
  http://www.microsoft.com/technet/technetmag/issues/2005/05/UtilitySpotlight/default.aspx
  
  Der Nachteil dieses Tools ist, dass man einen recht hohen Aufwand betreiben muss bis man es konfiguriert hat.
  Daher kann man sich die Frage stellen, ob es sich bei dem Preis-Leistungsverhältnis lohnt, dieses Tool einzusetzen.
  
  Über Limitlogin und den notwendigen Aufwand, kann man sich im folgenden Artikel einen Überblick verschaffen:
  http://www.faq-o-matic.net/2006/04/02/limitlogin-in-der-praxis/
  
  
• Eine recht einfache Variante um das zu realisieren ist diese Vorgehensweise:
  
  Falls jeder Benutzer z.B. ein Home-Laufwerk haben sollte (das er per Login-Script zugewiesen bekommt), kann man darauf die Rechte auf der Freigabe so setzen, dass sich nur "einer" mit diesem Laufwerk verbinden darf.
  Danach fügt man noch eine Zeile in das Login-Script ein (If not exist h: goto logout), so das der User abgemeldet wird, wenn das Home-Laufwerk nicht verfügbar ist.
  
  
• Eine weitere Möglichkeit stellen diese Gruppenrichtlinien dar:
  
  Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Zuweisen von Benutzerrechten\"Lokal anmelden zulassen"
  Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Lokale Richtlinien\Zuweisen von Benutzerrechten\"Lokal anmelden verweigern
  
  Man kann dann z.B. eine OU erstellen und alle Clients in diese OU verschieben, an denen sich der Benutzer nicht anmelden darf und verlinkt auf diese OU die GPO "Lokal anmelden verweigern".
  Oder man erstellt zwei OUs. In der einen OU befinden sich die Clients an denen sich der Benutzer anmelden darf und in die zweite OU verschiebt man die Clients, an denen sich der Benutzer nicht anmelden darf.
  Auf die OU mit den Clients an denen sich der Benutzer anmelden darf verlinkt man die GPO "Lokal anmelden zulassen" und auf die andere OU mit den Clients an denen sich der Benutzer nicht anmelden soll verlinkt man die GPO "Lokal anmelden verweigern".
  

Weitere Informationen:
Error message when you try to add more than 64 logon workstations in Windows Server 2003 or in Windows 2000 Server: "This property is limited to 64 values"

How to Use a Network Share to Limit a User's Concurrent Connections in Windows 2000

Limiting a User's Concurrent Connections in Windows 2000 and Windows NT 4.0

Möchte man wissen, welcher Domänencontroller als Anmeldeserver für den jeweiligen Benutzer diente,
kann man dies (unter anderem) mit folgenden Befehlen an dem Client herausfinden:

• echo %Logonserver%
  
  
• set Logonserver
  
  

• set Log

• set L

• set | find "LOGONSERVER"

• set

• NLTEST /DSGETDC:<Domäne>.<TLD>

Welche Möglichkeiten oder besser gesagt, Hilfen in Form von Logs (Protokollen) gibt es, wenn man z.B. einen Server zum Domänencontroller stufen, oder wenn man eine Domäne bzw. Gesamtstruktur auf ein Update vorbereiten möchte und es währenddessen zu einem Problem kommt?

Wenn dieser Fall eintritt, gilt es die (wenigen) verfügbaren „Ressourcen“ genauestens auszuwerten.

Welche Logs stehen zur Verfügung?

1. DCPROMOUI.LOG (Userinterface): Dieses Log enthält einen detaillierten Fortschrittsbericht über die Installation sowie Deinstallation des Active Directory, insbesondere die Einstellungen die ein Administrator über die GUI vornimmt. Das Logging beginnt, wenn man den Active Directory-Assistenten (DCPROMO) startet und geht soweit, bis eine Zusammenfassung erscheint, unabhängig davon, ob dieser Vorgang voreilig oder erfolgreich beendet wird.
   Falls die Installation oder das entfernen des Active Directory fehlschlug, erscheinen detaillierte Fehlermeldungen im Protokoll, sofort nach dem Schritt, der den Ausfall verursachte. Wenn der Installations- oder Entfernprozess erfolgreich ist, liefert das Protokoll positive Bestätigung dieser Tatsache.
   
   Des Weiteren beinhaltet das DcpromoUI.log weitere detaillierte Informationen über den Vorgang zur Installation oder das entfernen des Active Directory.
   
   Diese wären unter anderem:

·         Den Namen des Quell-Domänencontrollers für die Replikation

·         Die Verzeichnispartitionen die zum Ziel-Domänencontroller repliziert wurden

·         Die Anzahl der Objekte, die in jede Verzeichnispartition repliziert wurde

·         Informationen über das SYSVOL - Verzeichnis

·         Die Eingaben des Administrators während des DCPROMO-Vorgangs

2. DCPROMO.LOG: Dieses Log wird erstellt, wenn man den Active Directory-Assistenten aufruft. Es zeichnet das herauf- (promoten) bzw. herabstufen (demoten) des Servers sowie den Standortnamen auf. Weiterhin wird der Speicherort für die Active Directory-Datenbank (NTDS.DIT) und die dazugehörigen Protokolldateien (EDB*.LOG), die Zeitsynchronisation sowie die Verzeichnispartitionen samt Anzahl der Objekte die repliziert wurden protokolliert. Es werden diverse Dienste die für einen Domänencontroller wichtig sind konfiguriert.
   
   
3. DCPROMOS.LOG: Dieses Log wird erstellt, wenn eine NT-Domäne zu einer Active Directory-Domäne aktualisiert wird.

 
Hinweis: Alle o.g. Logs werden in Verzeichnis „%Systemroot%\Debug“ gespeichert

ADPREP.LOG: Das ADPREP-Protokoll wird im Verzeichnis „%Systemroot%\System32\Debug\Adprep\Logs“ erstellt und enthält einen detaillierten Bericht zur Domänen- und Gesamtstrukturvorbereitung

Es gibt eine weitere Datei, die nicht unerwähnt bleiben sollte:

NETLOGON.DNS: In der Datei sind die DNS SRV-Records eingetragen, die für einen Domänencontroller relevant sind. Diese Datei wird im Verzeichnis „%Systemroot%\System32\Config“ gespeichert. Der Anmeldedienst (NETLOGON) registriert die dort eingetragenen SRV-Records im DNS.

Weitere Informationen:
Registry Settings for Event Detail in the Dcpromoui.log File
How to check Directory Service Log using a CMD Script
Die Protokollierung des Active Directory`s konfigurieren
Active Directory Diagnostic Logging