Trust. In dieser Übung wird eine Active Directory Vertrauensstellung aufgebaut. Einrichten einer bedingen DNS Weiterleitung

Größe: px

Ab Seite anzeigen:

Download "Trust. In dieser Übung wird eine Active Directory Vertrauensstellung aufgebaut. Einrichten einer bedingen DNS Weiterleitung"

Jens Hochberg
vor 7 Jahren
Abrufe

1 In dieser Übung wird eine Active Directory Vertrauensstellung aufgebaut. Sie sollten diese Übung mit einem Kollegen durchführen. Einrichten einer bedingen DNS Weiterleitung Damit eine Active Directory Vertrauensstellung aufgebaut werden kann muss die Namensauflösung in beiden Richtungen gewährleistet sein. Öffnen Sie auf server01 dnsmgmt.msc. Richten Sie wie im Screenshot (ignorieren Sie das rote X) ersichtlich eine bedingte DNS Weiterleitung zu Ihrem Kollegen ein. Kontrollieren Sie ob die DNS Weiterleitung im Punkt Bedingte Weiterleitungen aufscheint. Patrick Grünauer Seite 1/11

Versuchen Sie die Domäne des Kollegen zu pingen.

Einstellungen und die Einstellungen der Firewall.

Einrichten einer Gesamtstrukturvertrauensstellung Öffnen Sie auf server01

2 Versuchen Sie die Domäne des Kollegen zu pingen. Sollte der Ping nicht funktionieren so kontrollieren Sie die DNS Einstellungen und die Einstellungen der Firewall. Der Ping muss funktionieren ansonsten kann kein Trust eingerichtet werden. Einrichten einer Gesamtstrukturvertrauensstellung Öffnen Sie auf server01 domain.msc. Wählen Sie Ihre Domäne und klicken Sie auf Eigenschaften. Klicken Sie auf Neue Vertrauensstellung. Patrick Grünauer Seite 2/11

3 Geben Sie den beim Assistenten den Namen der Domäne Ihres Kollegen ein. Wählen Sie beim nächsten Punkt Gesamtstrukturvertrauensstellung. Wählen Sie bei Richtung Bidirektional. Patrick Grünauer Seite 3/11

Gesamtstrukturweite Authentifizierung (siehe nächste

4 Wählen Sie beim nächsten Punkt Nur für diese Domäne. Wählen Sie bei Authentifizierungsebene eine Gesamtstrukturweite Authentifizierung (siehe nächste Seite die Anmerkung zu diesem Punkt). Patrick Grünauer Seite 4/11

Partner-Domäne das Recht Authentifizieren zulassen gewährt werden (siehe Screenshot).

5 Beachten Sie beim Punkt Authentifizierung die Ausgewählte Authentifizierung. Wenn Sie diese gewählt hätten so muss explizit für jeden Benutzer auf jedem Computerkonto der Partner-Domäne das Recht Authentifizieren zulassen gewährt werden (siehe Screenshot). Legen Sie ein Vertrauensstellungskennwort fest. Sprechen Sie sich mit Ihrem Kollegen ab. Sie sollte das gleiche Kennwort verwenden. Patrick Grünauer Seite 5/11

6 Wählen Sie beim nächsten Punkt Ja. Möglicherweise kommen Sie zu einer Kennwortabfrage. Bitten Sie Ihren Kollegen die Anmeldeinformationen einzugeben. Schließen Sie den Assistenten ab. Patrick Grünauer Seite 6/11

7 Kontrollieren Sie Ihren Einstellungen. Patrick Grünauer Seite 7/11

Rufen Sie in PowerShell get-adtrust auf und sehen Sie sich Ihre

Testen der Vertrauensstellung Öffnen Sie auf server01 dsa.msc.

8 Rufen Sie in PowerShell get-adtrust auf und sehen Sie sich Ihre Einstellungen durch. Alternativ steht netdom zur Verfügung. Testen der Vertrauensstellung Öffnen Sie auf server01 dsa.msc. Klicken Sie mit der rechten Maustaste auf Ihre Domäne und wählen Sie die Suchoption. Wie Sie sehen können Sie nun auch in der Domäne Ihres Kollegen nach Benutzer suchen. Patrick Grünauer Seite 8/11

$Erstellen Sie auf server01 auf c:\ einen Ordner mit dem Namen Dateien.$ Geben Sie dem Administrator in der Domäne Ihres Kollegen das Recht auf

$Kollegen zuzugreifen. Geben Sie dafür in Ausführen \\servername.domäne.$

9 Erstellen Sie auf server01 auf c:\ einen Ordner mit dem Namen Dateien. Geben Sie den Ordner wie im Screenshot ersichtlich frei. Geben Sie dem Administrator in der Domäne Ihres Kollegen das Recht auf die Ordnerfreigabe zuzugreifen. Versuchen Sie nun mithilfe eines UNC Pfads auf den Ordner Ihres Kollegen zuzugreifen. Geben Sie dafür in Ausführen \\servername.domäne.xxx\dateien des Kollegen ein. Patrick Grünauer Seite 9/11

Selektive Authentifizierung Ändern Sie die Vertrauensstellung in domain.msc und stellen Sie Selektive Authentifizierung ein (wie im Screenshot) in beiden Richtungen.

10 Selektive Authentifizierung Ändern Sie die Vertrauensstellung in domain.msc und stellen Sie Selektive Authentifizierung ein (wie im Screenshot) in beiden Richtungen. Das bedeutet nun, dass obwohl ein Trust existiert explizit im Computerkonto das Recht Authentifizierung zulassen aktiviert werden muss. Sie sollten nun den Ordner Dateien vom Kollegen nicht öffnen können. Falls Sie Ihn doch öffnen können so melden Sie sich von server01 ab und wieder an. Es muss explizit das Recht dazu erteilt werden. Öffnen Sie dazu dsa.msc. Vergeben Sie am AD Computerkonto dem Administrator Ihres Kollegen das Recht Authentifizierung zulassen (Screenshot). Patrick Grünauer Seite 10/11

11 Patrick Grünauer Seite 11/11

Ähnliche Dokumente

PSO / Recycle Bin. In dieser Übung wird eine Kennwortrichtlinie (Fine-grained Password Policy) erstellt und der Active Directory Papierkorb aktiviert.

PSO / Recycle Bin. In dieser Übung wird eine Kennwortrichtlinie (Fine-grained Password Policy) erstellt und der Active Directory Papierkorb aktiviert. In dieser Übung wird eine Kennwortrichtlinie (Fine-grained Password Policy) erstellt und der Active Directory Papierkorb aktiviert. Default Domain Policy Die Default Domain Policy legt Kennwort- und Sperrrichtlinien