Das Anmelden an einem Rechner, der Mitglied in einer Domäne ist, scheitert manchmal mit der Fehlermeldung, wonach eine Vertrauensstellung mit der primären Domäne nicht hergestellt werden konnte. Die Ursache dafür liegt in einem ungültigen Passwort für das Computer-Konto, das man zurücksetzen muss.
Shadows Groups im Active Directory stehen für ein Konzept, bei dem man für OUs gleichnamige Sicherheitsgruppen anlegt, welche die gleichen User enthalten wie die entsprechende OU. PowerShell kann die zusammengehörigen OUs und Gruppen synchron halten, indem man damit User aus der Gruppe entfernt oder ihr hinzufügt.
Mit PowerShell lassen sich Aktionen für praktisch alle Produkte der Microsoft-Plattform automatisieren. Kommt jedoch eine größere Sammlung an Scripts zusammen, dann geht die Übersicht schnell verloren. Das gilt erst recht, wenn die Scripts an Standardbenutzer delegiert und deren Berechtigungen erhöht werden sollen.
Microsoft veröffentlichte die Version 2 eines Programms, mit dem Administratoren veraltete Objekte aus dem Active Directory entfernen können. Im Gegensatz zu den gängigen Bordmitteln handelt es sich dabei um ein benutzerfreundliches Tool mit grafischer Oberfläche.
Microsoft führte mit Windows 7 und Server 2008 R2 die Möglichkeit ein, mit PCs einer Domäne beizutreten, ohne dass diese eine Verbindung zu einem Domänen-Controller haben müssen. Diesem Zweck dient nur das Kommandozeilen-Tool djoin.exe, ein GUI- oder PowerShell-Äquivalent dazu gibt es nicht.
Microsoft veröffentlichte die vierteljährlichen kumulativen Updates für Exchange 2013 (CU18) und 2016 (CU7). Beide bringen keine neuen Funktionen, sondern beheben nur bekannte Probleme. CU7 für Exchange 2016 stellt jedoch für die Installation neue Systemanforderungen.
Per Voreinstellung können sich alle AD-User an jedem Rechner der Domäne einloggen. Dieser Zustand dürfte in einigen Umgebungen unerwünscht sein, weil sich durch die Beschränkung der Anmeldung Risiken vermeiden lassen. Entsprechende Restriktionen können Admins über Gruppenrichtlinien durchsetzen.
Bei einer großen Zahl an OUs und GPOs ist nicht leicht zu überblicken, welche GPOs mit welchen OUs verknüpft sind. In PowerShell lässt sich das mit relativ geringem Aufwand herausfinden. Dabei kann man wahlweise die OUs nach verlinkten GPOs oder GPOs nach OUs filtern, mit denen sie verbunden sind.
Das optionale Active-Directory-Feature Privileged Access Management (PAM) unter Server 2016 erlaubt es, Benutzer zeitlich befristet in privilegierte Gruppen aufzunehmen. Es handelt sich dabei um eine Voraussetzung für JIT, welche jedoch hier ohne Bastion-Forest auskommt.
Virtualisierte Infrastrukturen stellen bei der Zeitsynchronisierung besondere Anforderungen, weil Hosts, Management-Umgebung und virtuelle Maschinen im Takt sein sollen. Mit dem einfachen Eintragen eines NTP-Servers ist es dabei nicht getan. Vielmehr bedarf es einer Strategie, um zu vermeiden, dass verschiedene Zeitquellen sich in die Quere kommen.
Wenn ein administratives Konto in die falschen Hände gerät, dann stehen böswilligen Zeitgenossen Tür und Tor für destruktive Aktivitäten offen. Privileged Account Management (PAM) reduziert diese Gefahr, indem es etwa Berechtigungen nur temporär einräumt. Microsoft bietet in Server 2016 mit Just-In-Time Administration (JIT) eine eigene Lösung an.