Im folgenden Artikel gehe ich zuerst davon aus, dass der DC einwand­frei funk­tioniert und mit seinen Partnern kommu­niziert. Ich spreche dann aber auch das Ver­halten bei even­tuellen Fehler­fällen an. Das Herab­stufung (im Englischen Demotion genannt) zeige ich ein­mal anhand der GUI und zusätzlich mittels PowerShell.

Nach der Instal­lation von SCCM ist das Sys­tem leer, es sind keine User und auch keine Computer ent­halten. Diese muss der Admini­strator daher erst impor­tieren. Dafür stehen mehrere Ver­fahren zur Aus­wahl. Ich be­schreibe hier die manu­elle Ein­gabe eines Com­puters sowie die Über­nahme aus dem Active Directory.

Der Network Policy Server (NPS) über­nimmt die Authen­tifi­zierung, Autori­sierung sowie das Accounting (AAA) für Radius-Clients (Access Server). Das können WLAN-APs, Switches, DFÜ-Remote­zugriffe und VPN-Server sein. Diese Anleitung zeigt, wie man NPS installiert, mit dem AD verbindet und Accounting aktiviert.

Der DNS-Server ist mit einer der wichtigsten Bestand­teile einer Active-Directory-Domain. Nur durch ihn können Computer den Domain Controller finden. Das ver­sehent­liche Löschen einer DNS-Zone hat daher unange­nehme Konse­quenzen. Ein solches Malheur lässt sich durch einen ent­sprechen­den Schutz vermeiden.

Auch wenn es zahl­reiche Regeln und Best Practices zur Absicherung des Active Directory gibt, so sind diese ohne ein geeig­nete Tools nur schwer einzu­halten und zu über­wachen. Das kosten­lose PingCastle über­nimmt diese Aufgabe, in­dem es das AD auf zahl­reiche Risiko­faktoren prüft und detail­lierte Reports erstellt.

Seit Server 2016 ist es mög­lich, Be­nutzer tem­porär in AD-Gruppen aufzu­nehmen und so ihre Berech­tigungen zeit­lich zu be­schränken. Die Bord­mittel sehen dafür nur Power­Shell vor. Mein hier beschrie­benes Script bietet aber eine GUI, so dass auch tech­nisch nicht versierte User diese Aufgabe über­nehmen können.

Windows enthält die nötige Grundausstattung für das Management des Active Directory und seiner verschiedenen Funktionen. Sie reicht aber für viele Aufgaben nicht aus, so dass ein ganzer Markt für AD-Tools entstanden ist. Neben mächtigen Produkten für komplexe Umgebungen füllen auch kostenlose Angebote einige Lücken der Bordmittel.

Bei LAPS handelt es sich um ein kosten­loses Tool von Microsoft, das für lokale Admin-Konten auf jedem PC ein zufäl­liges Pass­wort erzeugt. Aller­dings kann man nicht so ein­fach erkennen, ob der Mecha­nismus auf jedem Rechner funk­tioniert. Abhilfe schafft hier ein PowerShell-Script, das einen Health-Report erstellt.

CommuniGate Pro ist eine Soft­ware für Unified Communi­cations, deren Funk­tionen von E-Mail, Kalen­der und Auf­gaben über VoIP und Instant Messaging bis Video-Kon­ferenzen reicht. Sie besitzt eine über­greifende Instal­lation für alle Features. Als kri­tische Infra­struktur lässt sie sich hoch­verfügbar konfi­gurieren.*

Wenn eine Installation von Exchange gegen die Wand ge­fahren wurde oder der alte Exchange-Server sich nicht mehr dein­stallieren lassen will, dann kann eine manu­elle Berei­nigung des Active Directory erfor­derlich sein. Andern­falls scheitert jeder Versuch, Exchange in dieser Umge­bung neu einzu­richten.