Integrationshandbuch Microsoft-Netzwerk

Transkript

1 Ulrich Schlüter Integrationshandbuch Microsoft-Netzwerk Windows Server 2003 R2, SBS 2003, ADS, Exchange Server, Windows XP und Microsoft Office

2 Auf einen Blick Vorwort Wie dieses Buch aufgebaut ist Die Grundinstallation des Windows Server Die Implementierung des Active Directory Windows Server 2003 R Die Installation der Exchange-Organisation Client-Zugriffslizenzen für Windows Server und Exchange Server eingeben Den Server und die Clients remote verwalten Die Installation des Remote Installation Service RIS Die RIS-Installation eines Windows-XP-Professional-Clients Alternative zur RIS-Installation des Musterclients Einführung in Gruppenrichtlinien Die Gruppenrichtlinien von Windows XP einsetzen Eigene Vorlagedateien für fehlende Gruppenrichtlinien Microsoft Office im Netzwerk Servergespeicherte Benutzerprofile, Basisordner, Ordnerumleitungen und Dokumentvorlageverzeichnisse Das Anmeldeskript Über das Anmeldeskript Anwendungen und Service Packs verteilen Die Erstellung des Komplettabbildes Strategische Überlegungen und Tipps Namenskonventionen für Active-Directory-Objekte Gruppen und Gruppenverschachtelung Access-based Enumeration ABE Netzwerkdrucker einrichten Betriebsmasterfunktionen und der globale Katalogserver Serverdienste und Ausfallsicherheit Active-Directory-Modelle zur Verteilung der Serverfunktionen Der Ausbau der Exchange Server-Organisation Outlook und öffentliche Exchange-Ordner praxisnah nutzen Exchange-Administrationsaufgaben Hinweise zur Exchange-Installation und -Migration Sicherheit im verteilten Active Directory Einstieg in die Projektierung Informationstechnologie und Recht Index

3 Vorwort Wie dieses Buch aufgebaut ist Die Grundinstallation des Windows Server Windows 2000 Server und Windows Server Windows Server 2003 R Einzelprodukte oder Windows Small Business Server Planung der Installation von Windows Server Partitionierung der Festplatten des Testservers Virtuelle Maschinen nutzen Mehrere Windows-Betriebssysteme parallel betreiben RIS erfordert eine separate Partition Flexibilität durch eine Wechselplatte Hardware einsetzen, wenn es keine Windows Server 2003-Treiber gibt Startbare Betriebssystem-CD mit integriertem Service Pack verwenden Namensvergabe für die Testumgebung Ablauf der Grundinstallation des ersten Domänencontrollers Von Windows Update zu Microsoft Update wechseln Die Implementierung des Active Directory Installation des Active Directory Ändern des Kennwortes für den Wiederherstellungsmodus Die Domänenfunktionsebene auf Windows Server 2003 hochstufen Den Standort umbenennen Das Konto»Administrator«zur Sicherheit umbenennen Das TCP/IP-Protokoll für DNS konfigurieren Die Konfiguration des DNS-Serverdienstes Überprüfung der DNS-Server-Konfiguration DHCP konfigurieren WINS konfigurieren Support-Tools und das Windows Server Resource Kit installieren Anpassungen an der Standardinstallation von Windows Server 2003 vornehmen

4 Weitere Partitionen anlegen Die Installationsdateien und Service Packs auf den Server kopieren Das Startmenü anpassen Windows Explorer anpassen Monitoranzeige einstellen Ein zentrales Verzeichnis für temporäre Dateien erstellen Fehlerberichterstattung deaktivieren Visuelle Effekte abstellen und Auslagerungsdatei festlegen Starten und Wiederherstellen anpassen Automatische Updates konfigurieren Remote-Zugriff konfigurieren Herunterfahren-Abfrage deaktivieren Alle installierten Windows-Komponenten anzeigen Java Virtual Machine bei Bedarf installieren DirectX bei Bedarf aktivieren IMAPI-CD-Brenn-COM-Dienst aktivieren Optionen der Ereignisprotokolle festlegen Den Internet Explorer konfigurieren Verstärkte Sicherheitskonfiguration für Internet Explorer abschalten Die Maus konfigurieren Einen Windows-XP-Client in die Domäne einfügen Windows Server 2003 R Editionen von Windows Server 2003 R Upgrade auf R2 oder zusätzliche Server unter W2003SRV R Installation und Upgrade Anwendungskompatibilität von Windows Server 2003 R Lizenzierung von Windows Server 2003 R Neue Features von Windows Server 2003 R Verbesserte Verwaltungsprogramme Microsoft Management Console (MMC) Dateiserververwaltung Ressourcen-Manager für Dateiserver Dateifilterung Druckverwaltung Netzdrucker über Gruppenrichtlinien zuweisen

5 3.6.8 Hardwareverwaltung Speicherverwaltung für SANs Stabile Dateireplikation mittels DFS-Namespace und DFS-Replikation und RDC Active-Directory-Verbunddienste Windows SharePoint Services Service Pack Features von Windows SharePoint Services SharePoint Central Administration Anwendungen für Windows SharePoint Services zum Download Unterstützung für erweiterte Extranetkonfigurationen UNIX-Interoperabilität mit den Microsoft Services for Network File System MSNFS Gleiche aktuellste Version der Support-Tools im Netzwerk verwenden Literaturhinweise zu Windows Server 2003 R Die Installation der Exchange-Organisation Vorbemerkungen Benötigte Dienste hinzuinstallieren Die Installation des Exchange Server ForestPrep einmalig für die Exchange-Organisation durchführen DomainPrep einmalig für jede Domäne durchführen Exchange Server 2003 installieren Das neueste Exchange Server Service Pack installieren Windows Server 2003 fährt langsam herunter, nachdem Exchange 2003 installiert wurde Exchange-Organisation in den einheitlichen Modus überführen Das Startmenü für Exchange Server anpassen Konsolenansichten im Autorenmodus dauerhaft anpassen Ein erster Blick auf Exchange Server IFS Installable File System Über Outlook auf den Exchange Server zugreifen Mit echo@tu-berlin.de das Versenden von Mails in und aus dem Internet testen Unter Outlook 2002 einige Einstellungen vornehmen Outlook 2003 im Vergleich zu Outlook XP

6 4.5.4 Umstieg auf Outlook 2003 für wandernde Outlook-Benutzer Das Format des Anzeigenamens in»nachname, Vorname«oder»Nachname Vorname«ändern Client-Zugriffslizenzen für Windows Server und Exchange Server eingeben Das Lizenzmodell von Microsoft BackOffice Replikation und Überwachen der Benutzerlizenzen an mehreren Standorten Lizenzverwaltung an einem Standort Den Server und die Clients remote verwalten Dieselben Werkzeuge zur Fernadministration von Servern und Clients Fernadministration unter Windows 2000 Server Remotedesktopverbindung unter Windows Server Remotedesktopverbindung nutzen Remotedesktopverbindung mit Parametern starten Remotedesktopverbindung auf dem Server starten Das Verwaltungsprogramm Remotedesktops Spezielle Tastenkombinationen in Remotedesktop Konsolensitzung Remotedesktop-Webverbindung Vergleich mit Small Business Server Administrationswerkzeuge auf einem Windows XP-Client installieren AdminPak.msi auf dem Windows XP-Client installieren Exchange-Systemverwaltungstools auf dem Windows-XP-Client installieren Gruppenrichtlinienverwaltungskonsole GPMC.MSI auf dem Windows-XP-Client installieren Den Befehl»Ausführen als«verwenden Remote Control Add-In für die Active Directory MMC Vergleich von Remotedesktop und Remoteunterstützung Remoteunterstützung unter Windows XP anbieten Remoteunterstützung unter Windows Server 2003 anbieten

7 Einstellungen der Remotedesktopverbindung in einer Datei sichern Das Benutzerprofil für die Fernwartung optimieren Das Wirrwarr der Verwaltungswerkzeuge durchschauen Die Installation des Remote Installation Service RIS Abbild-Methode versus unbeaufsichtigte Installation Merkmale von RIS unter Windows Server 2000/ Arten von RIS-Abbildern CD-basierte Abbilder und RIPrep-Abbilder Von RIS unterstützte Betriebssysteme Abbilder bestehen aus einzelnen Dateien, die manipuliert werden können Für jeden HAL-Typ muss ein Abbild erstellt werden PXE-basiertes Boot-PROM oder RIS-Startdiskette Der Ablauf der Installation des Remote Installation Service Windows XP mit integriertem Service Pack nutzen Remoteinstallationsdienste auf dem Server hinzufügen Überprüfen der RIS-Installation Das Namensformat für RIS-Clients festlegen Den Container für neue RIS-Clients festlegen Die Autorisierung eines RIS-Servers im Active Directory Rechte vergeben, um Abbilder einzuspielen Das Recht erteilen, neue Computerkonten anzulegen Das Recht»Anmeldung als Stapelverarbeitungsauftrag«zuweisen Den verschiedenen Supportgruppen Installationsrechte auf bestimmte Abbilder verweigern CD-basierte Abbilder oder Antwortdateien hinzufügen Die Clientinstallationsoptionen Die Erstellung eines Installationsabbildes mit RIPrep Welche Anwendungen dürfen auf dem Quellcomputer installiert sein? Schritte zur Vorbereitung der Erstellung des RIPrep-Abbildes Ein Standard-Benutzerprofil für die Domäne erstellen Checkliste zum Erstellen des Musterarbeitsplatzes Mit dem»assistenten zur Vorbereitung der Remoteinstallation«ein RIPrep-Abbild erstellen

8 Die Hardware zwischen Quell- und Zielcomputer muss nicht identisch sein Windows-XP-Product-ID und Lizenzierung Datenträgereigenschaften auf dem Quellclientcomputer und den Zielcomputern Der Groveler-Dienst und das Verzeichnis SIS Common Store Backup und Restore der RIS-Partition Die Abbilder zwischen mehreren RIS-Servern synchronisieren RIPrep-Abbilder mittels Robocopy zwischen RIS-Servern synchronisieren RIPrep-Abbilder über eine Festplatte oder DVD verschicken RIPrep-Abbilder mit einem Laptop an den Standorten installieren Alternativen zu RIPrep-Abbildern Die RIS-Installation eines Windows-XP-Professional-Clients Die prinzipielle Funktionsweise des Clientinstallations- Assistenten Der Windows XP-Installationsmanager»setupmgr.exe« Die Steuerdateien risndrd.sif und riprep.sif manuell anpassen Auswahl der zu installierenden Windows-XP-Komponenten Zusätzliche OEM-Treiber installieren Probleme bei NVIDIA nforce3 und nforce4 Chipsatz Alternative zur RIS-Installation des Musterclients Wann sollten Sie den Mustercomputer konventionell über eine CD installieren? Der Ablauf der Installation Netzwerkeinstellungen testen Client in die Testdomäne aufnehmen Die globale Gruppe»local Admins«in die lokale Gruppe der Administratoren aufnehmen Einführung in Gruppenrichtlinien Wie man sich dem Thema»Gruppenrichtlinien«nähert Was sind Gruppenrichtlinien?

9 10.3 Was sind Gruppenrichtlinienobjekte (Group Policy Objects, GPOs)? Was sind Gruppenrichtlinienverknüpfungen? Was sind Gruppenrichtliniencontainer (GPCs)? Was sind Gruppenrichtlinienvorlagen (Group Policy Templates, GPT)? Die Gruppenrichtlinienverwaltungswerkzeuge Anwenden von Gruppenrichtlinien Reihenfolge der Richtlinienvererbung Deaktivierung der Richtlinienvererbung Die Option»Kein Vorrang«überschreibt die Deaktivierung der Vererbung Die Einstellungen»Nicht konfiguriert«,»aktiviert«und»deaktiviert« DNS-Server mit SRV Records ist notwendige Voraussetzung Gruppenrichtlinien wirken auf Benutzer- oder Computerobjekte, nicht auf Sicherheitsgruppen Konfigurierte Richtlinien werden auch in der Registrierdatenbank gespeichert Aktualisierung ohne Verzögerung Sichern, Kopieren und Importieren von Richtlinieneinstellungen Gruppenrichtlinienverknüpfungen hinzufügen Eine Gruppenrichtlinie oder deren Verknüpfung löschen Wiederherstellen der Standarddomänenrichtlinie mit dem Kommandozeilentool Gruppenrichtlinien vs. reg-dateien Fehlersuche, wenn eine Richtlinie nicht wirkt Tools, Artikel und Quellen zu Gruppenrichtlinien Die Gruppenrichtlinien von Windows XP einsetzen Gruppenrichtlinien aktualisieren Die Windows-XP-Vorlagedateien für Gruppenrichtlinien nutzen Gruppenrichtlinienvorlagedateien von Windows XP Service Packs auf aktuellere adm-dateien überprüfen Service Packs zu Windows Server enthalten oft nicht aktuelle adm-dateien Windows-XP-Gruppenrichtlinien analysieren adm-dateien sind abwärtskompatibel Festlegen der Windows-XP-Gruppenrichtlinien für den Standard-Computer

10 11.4 Wo werden die Einstellungen im Bereich»Computerkonfiguration«auf dem Domänencontroller gespeichert? Festlegen der Gruppenrichtlinien für den Standardbenutzer Aktivieren der Gruppenrichtlinie»Gruppenrichtlinienaktualisierungsintervall für Benutzer« Richtlinien für Microsoft Internet Explorer Richtlinien für Windows Explorer Benutzer auf die Verwendung von zugelassenen Snap-Ins beschränken Richtlinien für Windows Updates Richtlinien für Startmenüs, Taskleiste und Desktops Welche Sinnbilder der Systemsteuerung benötigt der Anwender? Richtlinien für Offlinedateien Laptop-Benutzer und Offline-Synchronisierung Positiv- oder Negativlisten für ausführbare Dateien Speicherort der Benutzerkonfigurations-Richtlinien Wenn zwei Gruppenrichtlinien sich streiten Eigene Vorlagedateien für fehlende Gruppenrichtlinien Vorlagedateien mit dem Tool»Registry System Wizard«erstellen Die Struktur von Vorlagedateien für Gruppenrichtlinien Die selbst erstellte Gruppenrichtliniendatei»WindowsXP-HLM«nutzen Die selbst erstellte Gruppenrichtliniendatei»WindowsXP-HCU«nutzen Die selbst erstellte Gruppenrichtliniendatei»Windows Explorer«nutzen Die selbst erstellte Gruppenrichtliniendatei»ExchangeProvider«nutzen Die Vorlagedatei CorelDraw11.ADM nutzen Analyse des Mustercomputers nach dem Einspielen der selbst erstellten Gruppenrichtlinienvorlagedateien Microsoft Office im Netzwerk Microsoft Office Microsoft Office automatisch installieren Strategien zum Installieren und Warten für Microsoft Office

11 Eine Administratorinstallation auf dem Server vornehmen Ein Office Service Pack in die Administratorinstallation integrieren Installation von einem komprimierten CD-Abbild von Office Die Office-Installation mit dem Custom Installation Wizard anpassen Der Microsoft Office 2003 Profile Wizard Eine OPS-Datei mit dem Profile Wizard erzeugen Die OPS-Datei in eine mit dem CIW erzeugte MSI-Datei einbinden Konfigurationseinstellungen, die nicht vom Profile Wizard gesichert werden Die Microsoft-Office-Gruppenrichtlinien nutzen Vorlagedateien von Office Office-2003-Richtlinien in der Kategorie»Computerkonfiguration« Office-2003-Richtlinien in der Kategorie»Benutzerkonfiguration« Die Office-2003-Richtlinien unter»benutzerkonfiguration«konfigurieren Servergespeicherte Benutzerprofile, Basisordner, Ordnerumleitungen und Dokumentvorlageverzeichnisse Servergespeicherte Benutzerprofile Funktionsweise von servergespeicherten Benutzerprofilen Servergespeicherte Profile einrichten Der Gruppe»Administratoren«Vollzugriff auf servergespeicherte Profile erteilen Die Rechte auf ein servergespeichertes Profilverzeichnis neu setzen Verzeichnisse aus servergespeicherten Profilen ausnehmen Basisordner und Ordnerumleitung Funktion von servergespeicherten Basisverzeichnissen Basisverzeichnisse auf dem Server zuweisen Eine Ordnerumleitung für das Verzeichnis»Eigene Dateien«einrichten

12 14.3 Als Systemadministrator unter drei Kennungen diszipliniert arbeiten Offline-Synchronisation für Benutzer mit mobilen Geräten Zentrale Verzeichnisse für Dokumentvorlagen definieren Benutzervorlagen und Arbeitsgruppenvorlagen Das AutoStart-Verzeichnis über eine Gruppenrichtlinie festlegen Dokumentvorlagen über mehrere Standorte synchronisieren Das Anmeldeskript Das Anmeldeskript als»eierlegende Wollmilchsau«verwenden Wo liegt das Anmeldeskript auf dem Domänencontroller? Das Anmeldeskript strukturieren Die Netlogon-Freigabe mit Unterverzeichnissen strukturieren Ein Anmeldeskript einem Benutzer zuweisen Ein Anmeldeskript einer Benutzergruppe zuweisen Startskripte und Herunterfahrenskripte Verhindern, dass das Anmeldeskript versehentlich auf einem Server oder unter der Kennung eines Domänen-Administrators abläuft Für eine Gruppe von Anwendern ein Gruppenlaufwerk definieren Exkurs zum Verständnis des Befehls»if errorlevel Zahl« Die Variable LOGONSERVER verwenden Die Möglichkeiten der Gruppenverschachtelung nutzen Laufwerkszuordnungen für Unterabteilungen einrichten Der Befehl»subst«als Alternative zu Freigaben Den Ablauf des Anmeldeskriptes beschleunigen Unterroutinen einsetzen Skripte mit dem Tool Kix32 rasend schnell machen Switch User nutzen, um mit beliebigen Rechten zu operieren Beispiele für die Anwendung von SU Psexec als Alternative zu Runas, SU oder MakeMeAdmin Ein zentrales Verzeichnis für temporäre Dateien anlegen Umgebungsvariable setzen Netzdrucker zentral den Clients oder Benutzern zuweisen Informationen über den Computer oder den angemeldeten Benutzer auf dem Bildschirm anzeigen BGInfo von

13 15.26 Verknüpfungen mit dem Tool SHORTCUT.EXE generieren Hardware- und Softwareinformationen in einer zentralen Serverfreigabe sammeln MSINFO32 inventarisiert Ihre Computer Einen Nachrichtentext bei der Anmeldung anzeigen Zugriff auf Programme zum Bearbeiten der Registrierung verhindern Ein vollständiges Beispielskript für unsere Organisation»Company.local« Anmeldeskript für den Small Business Server Visual-Basic-Skripte verwenden Über das Anmeldeskript Anwendungen und Service Packs verteilen Über das Anmeldeskript ganze Anwendungen installieren und Service Packs einspielen Software aus einem zentralen Softwarearchiv installieren Den Adobe Reader automatisiert installieren Microsoft Office automatisch installieren Mit ScriptIt Setup-Routinen automatisieren Zusammenfassung und weiteres Vorgehen Die Erstellung des Komplettabbildes Grundlegende Vorarbeiten für die Erstellung des Komplettabbildes Das Startmenü und den Desktop anpassen Funktionen der Verzeichnisse»Default User«und»All Users« Verknüpfungen im Startmenü löschen oder verschieben Administrationstools für Standardanwender nicht zugänglich machen Verknüpfungen von Systemprogrammen in das Untermenü»Verwaltung«verschieben Multimedia-Programme über Gruppenrichtlinie deaktivieren Das Verzeichnis SendTo verschieben Die Favoriten unter»default User«löschen Die Microsoft-Office-Installation überprüfen Den Schlüssel HKEY_CURRENT_USER für»default User«anpassen

14 Microsoft-Explorer-Einstellungen konfigurieren Voreinstellungen für die Maus Voreinstellungen für andere Programme und Tools Voreinstellungen für -Signaturen und Disclaimer Cookies und Cache im Internet Explorer löschen Taskleiste und Schnellstartleiste konfigurieren Desktop-Bereinigungsassistenten deaktivieren Drucker und Plotter einrichten Profil von»default User«überschreiben Test des Musterclients Das Komplettabbild erstellen Systemwiederherstellungspunkte löschen Vorhandene Benutzerprofile überprüfen und entrümpeln Temporäre Dateien löschen und die Festplatte defragmentieren Defragmentierung und Datenträgerbereinigung automatisieren Ereignisprotokolle aufräumen Einen»domänenneutralen«Client konfigurieren Die Erstellung des RIPrep-Abbildes Die RIPrep-Steuerdatei»riprep.sif«anpassen Zusammenfassung und Ausblick Strategische Überlegungen und Tipps Den Speicherverbrauch in den Griff bekommen Speicherplatz zum Nulltarif zurückgewinnen Kernentscheidungen zur Vermeidung unnötiger Speicherkosten Welche Arten von Speicherfressern gibt es? Wie spüren Sie diese Speicherfresser auf? Wie vermeiden Sie zukünftig diese Speicherfresser? Hardlinks und Abzweigungspunkte einsetzen Verpflichtungserklärung als Anlage zum Arbeitsvertrag Serverkonsolidierung durch Hardware-Virtualisierung Windows Storage Server 2003 R2, Windows Compute Cluster Server 2003 oder Data Protection Manager 2006 einsetzen Das Synchronisieren von Datenbeständen zwischen Servern verschiedener Standorte

15 18.5 Die Zeitsynchronisation innerhalb der Gesamtstruktur Gruppentypen und Gruppenverschachtelung Migration oder Neuinstallation Domäne umbenennen Domänencontroller mehrere Servernamen zuweisen Das Rationalisierungspotenzial der RIS- und RIPrep-Methode Die Testumgebung produktiv nutzen Abbilder mit einem Laptop als RIS-Server mobil einspielen Die Ergebnisse der Testumgebung mit geringem Aufwand in mehrere Produktivdomänen übernehmen Kundendomänen standardisiert hochziehen und warten Benötigte HAL-Abbilder Windows mit mehreren HAL-Typen parallel installieren Wenn mit Imagetools erstellte Systemabbilder nicht starten Welche Anwendungen gehören in ein Abbild, welche sollten nachinstalliert werden? MSI-Dateien für unbeaufsichtigte Installationen neu packen oder selbst erstellen Sollte der Virenscanner in das Abbild eines Mustercomputers eingehen? Sollte der Client einer kaufmännischen Anwendung in das Abbild eines Mustercomputers eingehen? Welche Anwendungen können über Gruppenrichtlinien installiert werden? MSI-Pakete zuweisen oder veröffentlichen? Software wohl proportioniert verteilen Ausfallsicherheit bei Servern Einsparpotenziale bei der Beschaffung von Hardware Preis- und Garantieverfall verbieten den Kauf auf Vorrat Wartungsverträge für Server nützen vorwiegend dem Hersteller Einsparpotentiale bei Software PCs mit Windows XP Home Edition in eine Domäne aufnehmen Gebrauchte Software preiswert einkaufen Was ist»gebrauchte Software«? Darf man Software weiterveräußern? Darf man OEM-Software weiterveräußern?

16 Ist Gebrauchtsoftware updateberechtigt? Was ist, wenn die gebrauchte Software schon registriert wurde? Nach gebrauchter Software recherchieren Kosten für WAN-Verbindungen Ausbau der dezentralen IT-Struktur oder rigorose Zentralisierung? Replikationsverkehr zwischen den Standorten abschätzen In den Ausbau der WAN-Leitungen und nicht in dezentrale Strukturen investieren Lizenzrechtliche Probleme Microsoft Office oder OpenOffice? Welche Microsoft-Office-Edition einsetzen? Daten von defekten Festplatten wiederherstellen lassen Das WWW-Prinzip: Work With Winners Abhängigkeit von Einzelpersonen vermeiden Das Vieraugen-Prinzip Das KISS-Prinzip zur Vermeidung unnötiger Komplexität Empfehlungen in Büchern und in Whitepapers des Internets haben ein sehr kurzes Verfallsdatum Namenskonventionen für Active-Directory-Objekte Generelles zu Namenskonventionen im Active Directory Distinguished Name, Relative Distinguished Name, User Principal Name, Full Qualified Name und NetBIOS Name Auf Umlaute und Sonderzeichen verzichten Namenskonvention für Anmeldenamen und -Adressen Üblicherweise genutzte Konventionen Anonyme Anmeldekennungen verwenden Anonyme -Adressen oder Sammel- - Adressen verwenden Namenskonvention für Servernamen Namenskonvention für Workstations Namenskonvention für Drucker Namenskonvention für Organisationseinheiten (OUs) Namenskonventionen für persönliche Basisordner, Gruppenverzeichnisse und servergespeicherte Benutzerprofile Verteilerlisten, Ressourcen und externe Kontakte

17 20 Gruppen und Gruppenverschachtelung Gruppentypen und Gruppenbereiche Altlasten aus Windows-NT-4.0-Domänen Sicherheitsgruppen im Active Directory Umwandlung von Gruppen Globale oder universelle Gruppenbereiche verwenden Einige Ratschläge zur Auswahl des Gruppentyps und des Gruppenbereichs Access-based Enumeration ABE Installationsvoraussetzungen und Quelle zum Download Installation und Konfiguration von ABE Bedeutung von ABE für Anwender und IT-Personal Access-based Enumeration (ABE) und Hochverfügbarkeitscluster Netzwerkdrucker einrichten Remote-Anschlussmonitore Drucksystem über Standard-TCP/IP-Portmonitor ansteuern Drucker über LPR-Anschlussmonitor ansteuern Neutrale Namen für Netzwerkdrucker und deren Freigaben vergeben Netzdrucker mit mehreren Papierschächten mehrfach einrichten Druckserver-Konfiguration anpassen Netzdrucker beim Anwender einrichten Netzdrucker manuell zuweisen Netzdrucker über Skripte zuweisen Netzdrucker über Gruppenrichtlinien zuweisen Unterschied zwischen LocalPort und Standard-TCP/IP-Port Druckwarteschlangen im Notfall durch Domänenbenutzer sicher neu starten Druckverwaltung unter Windows Server 2003 R Betriebsmasterfunktionen und der globale Katalogserver Der globale Katalog und die Betriebsmasterrollen Die Verteilung der Betriebsmasterfunktionen und der Funktion des globalen Katalogservers auf die Domänencontroller

18 23.3 Die Verschiebung der Betriebsmasterrollen Die Routine DUMPFSMOS.CMD zum Anzeigen der Betriebsmasterfunktionen Wann sollten Betriebsmasterfunktionen übertragen werden? Das Tool NTDSUTIL zum Übertragen oder Übernehmen von Betriebsmasterfunktionen Snap-Ins zur grafischen Anzeige und Übertragung der Betriebsmasterfunktionen Einem Server die Funktion»Globaler Katalog«zuweisen Serverdienste und Ausfallsicherheit DNS-Server DHCP-Server Die Gültigkeitsdauer (Lease Duration) für IP-Adressen festlegen DHCP-Bereiche verwalten Ausfallsicherheit durch redundante DHCP-Server Verwenden von DHCP-Bereichsgruppierungen Bereichsgruppierungskonfigurationen für Multinets Router sollten DHCP-Request weiterreichen Clusterunterstützung für DHCP-Server APIPA-Funktion auf den Windows-XP-Clients deaktivieren DHCP-Server autorisieren WINS-Server Zeitserver Datei- und Druckserver Exchange Server RIS-Server und Softwarearchivserver Datenbankserver SQL-Server und SMS-Server Backup-Server Terminalserver SharePoint, Virtuelle Server, Schattenkopien, Windows Storage Server, Cluster, NAS, SAN, iscsi, Data Protection Manager

19 25 Active-Directory-Modelle zur Verteilung der Serverfunktionen Aufteilung der Serverfunktionen bei nur einem Standort Aufteilung der Serverfunktionen bei mehreren Standorten und einer Domäne Aufteilung der Serverfunktionen bei mehreren Standorten und mehreren Domänen Der Ausbau der Exchange Server-Organisation Das Exchange Server 2003 Service Pack Kompatibilität zwischen Exchange 2000/2003 und Windows Server 2000/ Wichtige Exchange Server-Begriffe Namenskonventionen bei Exchange-Objekten ForestPrep und DomainPrep in einer Multidomänen- Gesamtstruktur ForestPrep in der Gesamtstruktur ausführen DomainPrep in jeder Domäne ausführen Die eigentliche Installation von Exchange 2000/2003 in einer Multidomänen-Gesamtstruktur Delegieren von Verwaltungsberechtigungen an Exchange-Objekten Exchange-Registerkarten werden im Snap-In»Active Directory- Benutzer und -Computer«nicht angezeigt Namen und Speicherort der Exchange-Speichergruppen und -Datenbanken Globale Einstellungen für Postfachspeicher Globale Einstellungen für öffentliche Ordner Die Berechtigung zum Erstellen öffentlicher Ordner auf oberster Ebene einschränken Globale oder universelle -Verteiler Verteilerlisten, Ressourcen-Postfächer und externe Kontakte Empfängerrichtlinien und SMTP-Adressen MX-Record beim Provider eintragen lassen SMTP-Adresse für Empfängerobjekte individuell ändern Aktualisierungsintervall von Empfängerrichtlinien Unterschiedliche SMTP-Adressen automatisch generieren Priorität bei mehreren Empfängerrichtlinien

20 26.16 Postfach-Managereinstellungen nutzen, um Postfächer aufzuräumen Virtueller Standardserver für SMTP Automatische Antworten, Weiterleitungen, Abwesenheitsmeldungen und Unzustellbarkeitsberichte Das gewünschte Adressbuch als Standardadressbuch einstellen Exchange-Offline-Adressbücher Überwachung des Exchange Server (Monitoring) Die Exchange-Dienste mit einer Stapeldatei stoppen und starten Fehler beim Start der Exchange-Dienste Versenden und Empfangen von Internet- s für bestimmte Benutzer unterbinden Verhindern, dass bestimmte Anwender Mails aus dem Internet erhalten Exchange Backup und Restore Client/Server-Kommunikation über WAN-Verbindungen Anbindung über MAPI oder POP Outlook Mobile Access (OMA) Optimierung von Exchange Server Outlook und öffentliche Exchange-Ordner praxisnah nutzen Einfache Groupware- und Workflow-Funktionen nutzen Senden eines Dokuments zur Überarbeitung Senden eines Dokuments als Textkörper einer -Nachricht Senden eines Dokuments als Anlage einer -Nachricht Senden eines Dokuments zur Überarbeitung Senden eines Dokuments an eine Verteilerliste Aufgaben zuweisen Verwenden von Gruppenzeitplänen Was sind Gruppenzeitpläne? Erstellen, Anzeigen oder Löschen eines Gruppenzeitplans Anpassen von Gruppenzeitplänen Senden einer Besprechungsanfrage oder -Nachricht aus einem Gruppenzeitplan Zugriffsrechte für Stellvertretung Berechtigungsstufen für Outlook-Ordner

21 Freigeben von privaten Ordnern durch Gewähren von Zugriffsrechten für Stellvertretung Nur die Berechtigung für die Bearbeitung von Besprechungsanfragen und -antworten erteilen Freigeben eines öffentlichen oder privaten Ordners mit Hilfe von Berechtigungen Problembehandlung bei Zugriffsrechten für Stellvertretung Einen Vertreter für ein gesamtes Postfach bestimmen Eine kostenlose Helpdesk-Verwaltung Senden eines Dokuments an einen öffentlichen Ordner Einheitliche Signaturen für s Standardisierte Signaturen statt Wildwuchs Welchen Inhalt könnte eine standardisierte -Signatur haben? Wie kann eine standardisierte -Signatur technisch zentral verwaltet werden? Den Schriftverkehr standardisieren und rationalisieren Zentral gepflegte Internetfavoriten über Outlook Inhalte für ausländische Geschäftskorrespondenz bereitstellen Den»Knigge«im öffentlichen Exchange-Ordner bereitstellen Mitarbeiter sehen nur die öffentlichen Ordner, auf die sie zugreifen können Öffentliche Ordner erstellen Öffentliche Ordner über den Exchange System-Manager oder in Outlook erstellen Einen öffentlichen Ordner für aktivieren Anonyme Ordner für -Eingang und Faxeingang erstellen Eine automatische Antwort für eingehende Mails aktivieren Newsletter in öffentlichen Ordnern sammeln Öffentliche Ordner offline verfügbar machen Mit dem Ordner-Assistenten Ordnerregeln erstellen Mit dem Tool SMTPSEND Nachrichten aus Batchroutinen verschicken Moderierte Ordner Weitere mögliche Inhalte von öffentlichen Ordnern Ordneransichten erstellen und zuweisen Hierarchie der öffentlichen Ordner Inhalte in öffentliche Ordner einstellen Öffentliche Ordner mit sensiblen Daten schützen

22 27.25 Die Bedeutung von Outlook Abgrenzung von Exchange Server zu einem Intranet- bzw. Internetserver Abgrenzung Exchange öffentliche Ordner zu SharePoint (Gastbeitrag von Ulrich B. Boddenberg) Konsequenzen für Small Business Server Exchange-Administrationsaufgaben Einrichtung der Exchange-Systemverwaltungstools Einrichtung eines Postfachs auf dem Exchange Server Verteilerlisten für s Ressourcen anlegen Den Cleanup-Agenten nutzen Die»Speichergruppe für die Wiederherstellung«einer Speichergruppe eines beliebigen Exchange Server Das Mailbox Recovery Center Hinweise zur Exchange-Installation und -Migration Allgemeine Hinweise zur Abwärtskompatibilität von Exchange 2000/ Exchange Standard und Enterprise Edition Standard Edition Enterprise Edition Betriebssystem-Kompatibilität von Exchange Server Exchange Server Best Practices Analyzer Tool Konfigurieren von /Userva und SystemPages Bei mehr als 1 GB RAM die BOOT.INI verändern Leistungssteigerung durch separate Laufwerke für Transaktionsprotokolldateien Festplatten-Cache abschalten Wozu wird ein SMTP-Connector benötigt? Frontend-Server sollte kein Clusterserver sein Hinweise zu verschiedenen Sprachversionen Der globale Zeichensatz basiert auf der Sprache des ersten installierten Exchange Server Unterstützung internationaler Clients Dateibeschränkungen bei Outlook aufheben

23 30 Sicherheit im verteilten Active Directory Sicherheitsrisiken Sicherheitskonzepte Sicherheitsmaßnahmen Überwachungsrichtlinien (Auditing) Maßnahmen zur Reduzierung und Auswirkungen von sicherheitsrelevanten Vorfällen Erstellung eines Reaktionsplans für sicherheitsrelevante Zwischenfälle des Systems Tools für die Sicherheitskonfiguration und Sicherheitsüberwachung Einstieg in die Projektierung Ein möglicher Ablauf des Projekts zur Einführung von Active Directory bzw. zur Aktualisierung auf neue Microsoft-Produktversionen Projektziele eindeutig definieren Projekt-Qualitätssicherung (PQS) einführen Details der Projektdokumentation festlegen Ziele der Ist-Aufnahme Soll-Konzept nach Top-Down-Methode erstellen Projekt-Netzplan zeigt den kritischen Weg Projektteilaufgaben managen Funktion der Projekt-Meilensteine Wie Sie den Inhalt dieses Kapitels praktisch umsetzen können Ist-Analyse Analyse der Aufbau- und Ablauforganisation Analyse zum IT-Management Analyse des Kommunikationsflusses Analyse der Netzwerkarchitektur Analyse der Namenskonventionen Analyse der Serverstruktur Analyse von DNS, DHCP, WINS Analyse der technischen Standards Analyse zur Hardware Analyse zur Software

24 Analyse der Datenbestände und der Zugriffsbeschränkungen Analyse der Sicherheitsstandards Fragenkataloge und Checklisten zur Erstellung des Soll-Konzepts Fragenkatalog zur Ermittlung der Anzahl, der Funktion, der Ausstattung und der Konfiguration der Windows Server Fragenkatalog zur Ermittlung der Anforderungen an die Workstations Fragenkatalog zur Ermittlung der Anforderungen an die Administration des Gesamtsystems Vorgehensweise zur Ermittlung des Schulungsbedarfs für Systembetreuer und Anwender Informationstechnologie und Recht Das vollständige Kapitel finden Sie auf der Buch-DVD Warum Sie dieses Kapitel lesen sollten Das Urheberrecht von Software Das Mitbestimmungsrecht des Betriebsrates Der innerbetriebliche Datenschutzbeauftragte Nutzung von - und anderen Internetdiensten am Arbeitsplatz Basel-II-Richtlinie und deren Auswirkung auf Informationstechnologie Gesetzliche Archivierungspflicht für s und geschäftsrelevante digitale Dokumente Rechtsvorschriften für Archivierung Aufbewahrungsfristen Haftung für gelöschte oder manipulierte geschäftsrelevante s Rechtsprobleme bei der Bereitstellung von Internetportalen Index

25 Für den Zugriff auf Microsoft-Server- und -Clientprodukte benötigen Sie neben den Serverlizenzen Client-Zugriffslizenzen (CALs). Der Lizenzvertrag, der die Nutzung von Microsoft-Produkten regelt, wird als Endbenutzerlizenzvertrag (End User License Agreement, EULA) bezeichnet. Die nicht autorisierte Verwendung einer Software stellt eine Verletzung des Urheberrechts dar. 5 Client-Zugriffslizenzen für Windows Server und Exchange Server eingeben 5.1 Das Lizenzmodell von Microsoft BackOffice Die Lizenzierung für Windows-2003-Server-Produkte unterliegt dem Lizenzmodell von Microsoft BackOffice. Microsoft BackOffice umfasst folgende Produkte: Microsoft Windows Server Microsoft Exchange Server Microsoft SQL Server Microsoft Site Server Microsoft SNA Server Microsoft ISA Server Unter dem BackOffice-Lizenzmodell werden Server- und Clientcomputer, auf denen Windows ausgeführt wird, separat lizenziert. Für jedes Serverprodukt ist eine Serverlizenz erforderlich. Die meisten Microsoft BackOffice-Serverprodukte erfordern eine Client-Zugriffslizenz (Client Access License, CAL) für jeden Clientcomputer, mit dem auf dieses Serverprodukt zugegriffen wird. Die derzeitige Lizenzrichtlinie für Microsoft-BackOffice-Serverprodukte umfasst zwei Modi. Durch den Lizenzierungsmodus»Pro Server«werden einem bestimmten Serverprodukt auf einem Computer Client-Zugriffslizenzen zugewiesen, wobei pro Lizenz eine Clientverbindung zulässig ist. Durch den Lizenzierungsmodus»Pro Arbeitsplatz«wird jedem Clientcomputer, der auf ein Produkt zugreift, eine Client-Zugriffslizenz für dieses Serverprodukt zugewiesen. Mit einer Pro-Arbeitsplatz-Lizenz kann ein Clientcomputer auf ein bestimmtes Ser- 149

26 5 Client-Zugriffslizenzen für Windows Server und Exchange Server eingeben verprodukt zugreifen, das sich auf einem beliebigen Computer im Netzwerk befindet. Alle BackOffice-Produkte, die Client-Zugriffslizenzen benötigen, können im Pro- Arbeitsplatz-Modus lizenziert werden. Einige Produkte wie Windows Server, SQL Server und SNA Server können darüber hinaus im Pro-Server-Modus lizenziert werden. Wenn für ein Produkt beide Modi verfügbar sind, ist für ein Produkt, das im Netzwerk auf mehr als einem Server ausgeführt wird, in der Regel der Pro-Arbeitsplatz-Modus vorzuziehen. Zur Verwaltung der Microsoft BackOffice-Lizenzierung für Standorte oder das Unternehmen verwenden Sie das Symbol Lizenzierung in Verwaltung. Standorte werden mittels der auf den jeweiligen Lizenzserver replizierten Lizenzdaten überwacht. Clientseitig muss außerdem zwischen einer User Client Access License, kurz User CAL, und einer Device CAL unterschieden werden. Daneben gibt es die External Connector License für externe Benutzer, die z. B. auf einen Exchange Server oder einen SharePoint Portal Server von außen zugreifen. Auf der Buch-DVD finden Sie zum Thema»Lizenzierung der Microsoft-Produkte«eine ausführliche Abhandlung. Hier soll eher der technische Aspekt, nämlich die Eintragung der Lizenzen, erörtert werden. 5.2 Replikation und Überwachen der Benutzerlizenzen an mehreren Standorten In einem großen, über mehrere Standorte verteilten Unternehmen werden die Lizenzinformationen für die einzelnen Standorte vom jeweiligen Lizenzserver separat aufgezeichnet. Beim Lizenzserver des Standortes handelt es sich in der Regel um den ersten für diesen Standort eingerichteten Domänencontroller. Die Lizenzinformationen werden durch den Lizenzprotokollierdienst aufgezeichnet und auf eine zentrale Datenbank repliziert, die sich auf dem standorteigenen Lizenzserver befindet. Der Standortadministrator oder der Administrator des Lizenzservers kann dann über Verwaltung Lizenzierung die Lizenzdaten, die auf dem Lizenzserver des Standortes gespeichert sind, chronologisch anzeigen lassen. Wenn Benutzer auf Microsoft-BackOffice-Serverprodukte an mehr als einem Standort zugreifen, können ihnen mehrere Lizenzen für dieses Produkt zugeordnet werden. Durch den Lizenzprotokollierdienst werden auf dem Lizenzserver des Standortes Lizenzdaten für den betreffenden Standort gesammelt. Da die 150

27 Lizenzverwaltung an einem Standort 5.3 Lizenzen an einem Standort jedoch unabhängig von anderen Standorten zugewiesen werden, kann es passieren, dass einem Benutzer, der auf ein Serverprodukt an mehreren Standorten zugreift, unbeabsichtigt mehrere Client-Zugriffslizenzen für dasselbe Produkt zugeordnet werden. Wenn Ihr Unternehmen über mehrere Standorte verteilt ist und Sie einen unerwartet hohen Verbrauch von Softwarelizenzen feststellen, sollten Sie prüfen, ob einem Benutzer von mehreren Standorten Lizenzen zugeordnet wurden. Dieses wird besonders für die Kennungen zutreffen, unter denen sich die Mitarbeiter des zentralen Supports an den Servern der verschiedenen Standorte anmelden. Um mehrere Client- Zugriffslizenzen zu suchen, die einem Benutzer an verschiedenen Standorten zugeordnet wurden, müssen Sie die Produktinformationen verschiedener Standorte vergleichen. Über das Symbol Verwaltung Lizenzierung können Sie die unter Clients (Pro Arbeitsplatz) aufgeführten Benutzer für verschiedene Standorte vergleichen. Wurde einem Benutzer, der einem anderen Standort angehört, an zwei Standorten eine Lizenz zugeordnet, können Sie den Benutzer entweder entfernen oder die Lizenz widerrufen. Davon sollte jedoch abgesehen werden, wenn der Benutzer für jeden Standort einen anderen Computer verwendet, wenn er z. B. häufig zwischen verschiedenen Niederlassungen unterwegs ist und an jedem Standort einen anderen Computer zur Verfügung hat. Im letzteren Fall hat die mehrfache Zuordnung von Lizenzen ihre Richtigkeit. Wenn ein Unternehmen mehrere Standorte unterhält, kann man in der Regel von mehreren Benutzergruppen ausgehen, die geografisch oder nach Abteilungen getrennt sind, jedoch in firmeneigenen Subnetzen zusammenarbeiten. Stellen Sie fest, dass Benutzer regelmäßig auf Server an anderen Standorten zugreifen, so sollten Sie vielleicht die Gliederung der Standorte oder die Verteilung der Ressourcen auf diese Standorte überdenken. 5.3 Lizenzverwaltung an einem Standort Bei der Installation des Windows Server 2003 konnten Sie sich bezüglich des Lizenzierungsmodus zwischen Pro Server und Pro Gerät oder pro Benutzer entscheiden. Jetzt muss sowohl für den Zugriff auf die Dateiserver der Domäne als auch für den Zugriff auf die Exchange Server die Anzahl der erworbenen Lizenzen eingegeben werden. Dieses ist in unserer Testumgebung zwar nebensächlich. Sie sollten aber wissen, wie Sie später in der Produktivumgebung die Anzahl der erworbenen Client-Zugriffslizenzen eintragen. 151

28 5 Client-Zugriffslizenzen für Windows Server und Exchange Server eingeben Bevor Sie die Lizenzierungskonsole starten können, muss zuerst über Start Programme Verwaltung Dienste der Starttyp des Lizenzierungsprotokollierdienstes von Deaktiviert in Automatisch geändert werden. Dann starten Sie den Dienst und rufen die Lizenzierungskonsole über Start Programme Verwaltung auf. Wenn Sie bei der Installation des Windows Server als Lizenzierungsmodus Pro Server gewählt hatten, können Sie über die Registerkarte Server die Eigenschaften des Servers S1 öffnen und einmalig in den Lizenzierungsmodus Pro Gerät oder pro Benutzer wechseln. 152

29 Lizenzverwaltung an einem Standort 5.3 Über die Registerkarte Produkte wählen Sie das Produkt Windows Server mit der rechten Maustaste und den Befehl Eigenschaften an, wählen dann die Registerkarte Erwerbsdatum, klicken auf Neu und geben die Anzahl der erworbenen Lizenzen und einen Kommentar ein, der z. B. den Namen des Lieferanten, die Rechnungsnummer und das Rechnungsdatum enthalten kann. Werden später weitere Lizenzen hinzugekauft, so können Sie am Kommentar leicht feststellen, wo die zugehörigen Rechnungen zu finden sind. 153

30 Index A ABE 675 ABEcmd 675 ABEUI.MSI 675 Abfangen von Benutzeridentitäten 904 Abmahnung 980 Abmeldeskripte 960 Absenderfilterung 743 Absenderkennungsfilterung 743 absolute Pfade 574 Abzweigungspunkt 596 Access Runtime-Version 638, 640 Access-based Enumeration (ABE) 35, 675, 913 ACPI Advanced Control and Power Interface 198, 577, 615 ACPI-APIC-MP 198, 615 ACPI-APIC-UP 198, 615 ACPI-PIC 198, 615 Active Desktop 320 Active Directory Federation Services ADFS 106 Active Directory-Verbunddienste 99, 106 ActiveSync 744, 809 Add-Ins deaktivieren 569 Add-Ins für Office 553 Add-Ins installieren 569 ADFS 106 Administration des Gesamtsystems 958 Administrative Gruppen 748 anzeigen 876 Administrator umbenennen 64, 555 Administrator-Account 912 Administratorkennwort 908 Administratorkonto deaktivieren 579 AdminPak.msi 170 AdminPassword 579 Adobe Reader 360, 539 Adressbuch 750 Adressliste 751 Adresslistenserver 755 Adressraum 801 ADSI Edit 140 Aktualisierungsintervall 776 Aliasname 882 All Users 558 AllDup 589 Analyse der Datenbestände 947 der Namenskonventionen 941 der Netzwerkarchitektur 940 der Serverstruktur 942 der Sicherheitsstandards 948 der technischen Standards 944 der Zugriffsbeschränkungen 947 des Kommunikationsflusses 939 von DNS, DHCP, WINS 943 zum IT-Management 939 zur Hardware 945 zur Software 946 Analysepunkte RIS 232 Anbieten von Remoteunterstützung 179, 184, 574 Animation der Fenster 353 Anmeldeoptionen 347 Anmeldeskript 467, 960 sichtbar ausführen 475 Anmeldeskript Small Business Server 530 Anmeldung als Stapelverarbeitungsauftrag 217 anonyme Anmeldekennungen 653 anonyme -Adressen 654 Antigen 642 Antwortdatei 241 Anwendungen deaktivieren 561 sperren 563 Anwendungskompatibilität 99 Anwendungsmodus 157 Anwendungsservermodus 156 Anzeigename 139, 771 APIC Advanced Programmable Interrupt Controller 198, 577, 615 APIPA Automatic Private IP Adressing 347, 713 APIPA-Funktion 346, 713 Arbeitsgruppenvorlagen 454 Archivierung von s 593 Assistent für die Suchfunktion