Ich hatte nun schon mehrfach den Fall, für Testzwecke virt. (Trail-)Systeme zu nutzen. Dabei finde ich es einfacher, hierzu ein autom. Login einzusetzen. Zumal es einem ggf. auch erleichtet, wenn man eine VM mal mehrere Wochen nicht nutzt – dann allerdings die Zugangsdaten erstmal wieder erraten muss 😉
Für diesen Zweck gibt es 2 Möglichkeiten.
1.) Registryeinträge
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] „AutoAdminLogon“=“1“ „DefaultUserName“=“BENUTZER“ „DefaultPassword“=“KENNWORT“ „DefaultDomainName“=“DOMÄNE“
Wichtig! Beim Einsatz der Registrymethode wird das Passwort in Klartext abgelegt. Das solltet ihr aus Sicherheitsgründen berücksichtigen.
Microsoft ermöglicht es, die Windows Betriebssysteme für einen bestimmten Zeitraum ohne gültige Lizenz zu testen.
In meinem Falle handelt es sich um eine Testversion zu Windows Server 2012 R2.
Die Testversionen laufen nur für einen bestimmten Zeitraum – bei mir 180 Tage.
Danach ist normalerweise Schluss und man müsste die Testversion neu installieren oder eine Lizenz kaufen.
Es erscheint dann auch im Windows eine Meldung, das der Testzeitraum abgelaufen ist.
Jedoch lässt sich die Testlizenz auch verlängern 😉
Du brauchst nur eine Kommandozeile, welche mit Administratorrechten gestartet wurde.
Für die Verlängerung muss dann folgender Befehl eingegeben werden: slmgr -rearm
Das ganze wird mit einer Meldung bestätigt, nun ist ein Reboot fällig.
Nach dem Reboot sollte die Testversion von Windows erneut 180 Tage lang laufen.
Nach längerer Inaktivität mal wieder ein kurzer Beitrag.
Wir haben nach einer Umstellung der Windows Domäne auf 2012 R2 das Problem,
das einige Windows 10 Pro Clients keinen Zugriff auf die Netlogon Freigabe des DCs hatten und „Zugriff verweigert“ meldeten.
Der Zugriff auf andere Freigaben klappte fehlerfrei, jedoch wurden keine Logon-Scripts mehr ausgeführt.
Nach der Befragung von Dr. Google kam der KB-Artikel https://support.microsoft.com/de-de/kb/3000483 heraus.
Durch dieses Update wurden sog. „Gehärtete UNC-Pfade“ eingeführt, welche Windows 10 nutzt.
Um einen schnellen Zugriff auf die Ressourcen zu gewährleisten kann man (als Beispiel) in der Default Domain Policy unter
Computerkonfiguration / Richtlinien / Administrative Vorlagen / Netzwerk / Netzwerkanbieter
=> die „Gehärtete UNC-Pfade“ deaktivieren.
… und ihr wollt das Windows 10 Upgrade nicht haben?
Kein Problem.
Nachfolgendes kopieren, als .reg Datei speichern in importieren.
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows]
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Gwx]
"DisableGwx"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"DisableOSUpgrade"=dword:00000001
unter Windows 10 ist, aus Sicherheitsgründen, z.B. das Ausführen des Edge Browser’s (aber auch andere Programme) unter dem Administrator Account zunächst nicht ausführbar.
Wer es dennoch versucht, bekommt folgende Meldung zu Gesicht:
Wer es dennoch nutzen möchte, muss nur eine Kleinigkeit ändern.
Öffne dazu die lokalen Sicherheitsrichtlinien durch (Rechtsklick auf Startsymbol) -> „Ausführen“ -> „secpol.msc“ eintippen -> Rechtsklick und „Als Administrator ausführen“.
Gehe anschließend unter „Sicherheitseinstellungen“ -> „Lokale Richtlinien“ -> „Sicherheitsoptionen“ und aktiviere die Option
heute hatte ich ein Problem mit einem SBS 2008, welcher nach dem Wochenende keine Mails mehr via Smarthost versenden wollte.
Im der Warteschlangenanzeige des Exchange liefen nach und nach die Mails auf mit dem Fehler:
451 4.4.0 Primary target IP address responded with: „421 4.2.1 Unable to connect.“ Attempted failover to alternate host, but that did not succeed. Either there are no alternate hosts, or delivery failed to all alternate hosts.
Zuerst die üblichen Verdächtigen geprüft:
Internetverbindung vorhanden?
Ports nicht geblockt?
DNS funktioniert auch fehlerfrei?
Alles schien zu passen. Internet war verfügbar, alle (relev.) Ports waren offen und der DNS funktionierte auch (auch mal ein ipconfig /flushdns) brachte keine Besserung.
Nach dem Motto „Reboot-tut-gut“ wurde auch das versucht – auch ohne Erfolg.
Nach ca. 1h dachte ich, komm, gebe nochmals die Daten für den Smarthost ein – auch kein Erfolg.
Erst als ich für den SmartHost andere Anmeldedaten verwendete, funktionierte es plötzlich wieder – seltsam, die „alten“ Anmeldedaten waren nach wie vor gültig und auch korrekt.
Du hast einen Exchange 2013 und brauchst ein SAN Zertifikat?
Dann könnte dir diese Beschreibung weiterhelfen.
[warning]ACHTUNG:
Diese Beschreibung ist nicht für eine produktive Umgebung gedacht – bitte TESTE sorgfältig![/warning]
In meiner Testumgebung sind 3 (virt.) Server vorhanden:
– Domänencontroller (DC) / Windows Server 2012 R2
– Applikationserver (AS) / Windows Server 2012 R2
– Exchange 2013 (EX) / Windows Server 2012 R2
Installation der Zertifikatsstelle (CA)
Als erstes installiere die Zertifizierungsstelle auf einem geeigneten Server (bei mir der AS). Bedenke: für eine Active Directory integrierte Zertifizierungsstelle (CA) muss der Server Mitglied des Active Directorys sein.
Dies ist über die „Rollen und Features“ durchzuführen. Wähle dann hierbei die „Active Directory Zertifikatsdienste“ aus.
SAN CA
Es genügt zunächst der Rollendienst „Zertifizierungsstelle“
SAN CA
Anschließend erfolgt die Installation
SAN CA
Ist die Rolle installiert, erscheint ein Hinweis im Server-Manager hinsichtlich der erforderlichen Konfiguration.
SAN-CA04
Die Konfiguration sollte als Administrator erfolgen.
SAN-CA05
Da bist jetzt nur die Zertifizierungsstelle installiert wurde, kann auch nichts weiteren konfiguriert werden.
SAN-CA06
Jetzt kann entschieden werden, welche CA-Art installiert werden soll – ich nehme die AD-integrierte Unternehmenszertifizierungsstelle.
SAN-CA07
Da es sich hierbei um die erste (oberste) CA-Stelle handelt, wähle ich die „Stammzertifizierungsstelle“.
SAN-CA08
Nun muss noch ein neuer Schlüssel erstellt werden.
SAN-CA09
Bzgl. der Verschlüsselungsoptionen belasse ich alles bei den Standardwerten.
SAN-CA10
Nun kann der Name vergeben werden – bitte nutze hier eine allgemeinen Namen.
SAN-CA11
Lege nun die Gültigkeitsdauer fest. Diese sollte höher sein, als das auszustellende Zertifikat. Daher nehme ich jetzt einfach mal 20 Jahre.
SAN-CA12
Wo sollen die Daten abgespeichert werden? Ich nutze die Standardeinstellungen …
SAN-CA13
Kurz noch eine Zusammenfassung, anschließend mit „konfigurieren“ das ganze bestätigen.
SAN-CA14
Fertig – zumindest mit diesem Teil!
SAN-CA15
Zertifikatsvorlage für SAN Zertifikat
Erstelle eine neue Vorlage über die Zertifikatsvorlagen und gehe mit einem Rechtsklick auf „Verwalten“.
SAN-CA-20
Suche nun die Vorlage „Webserver“ und wähle „Vorlage duplizieren“.
SAN-CA-21
Als Namen für mein 2 Jahres Zertifikat wähle ich „Exchange-Server-Zertifikat“
SAN-CA-22
Damit später auch alle DNS-Namen erfasst werden können, muss der Haken bei “Vom Antragssteller zugelassene symmetrische Algorithmen einbeziehen” auf dem Reiter “Anforderungsverarbeitung” aktiviert werden. Soll das Zertifikat später exportiert werden, der solle außerdem den Haken bei “Exportieren von privaten Schlüssel zulassen” setzen.
SAN-CA-23
Über die „Sicherheit“ sollte die Gruppe „Exchange Server“ Vollzugriff haben.
Über die Zertifizierungsstelle kann jetzt die neue Vorlage hinzugefügt werden, dazu Rechtsklick auf “Zertifikatsvorlagen” –> “Neu” –> “Auszustellende Zertifikatsvorlage”.
Im nächsten Dialog wird die Vorlage “Exchange Server Zertifikate L*” ausgewählt und hinzugefügt.
SAN-CA-24
SAN Zertifikat für den Exchangeserver beantragen
Wir wechseln nun auf den Exchangeserver (EX).
Bevor wir starten, aktualisieren wir noch die Gruppenrichtlinien, damit auch das Stammzertifikat installiert wird.
SAN-CA-30
Öffne nun über die Verwaltung die „Zertifikate“.
Unter dem Punkt “Eigene Zertifikate” –> “Zertifikate”, kann über den Menüpunkt “Alle Aufgaben” –> “Neues Zertifikat anfordern” das neue Zertifikat für Exchange beantragt werden.
SAN-CA-31
Siehst du nun die Active Directory-Registrierungsrichtlinie – dann passt es 😉
SAN-CA-32
Klicke nun auf “Weiter”, es wird jetzt die eben erstellte Vorlage angezeigt. Setzte den Haken und klicke auf “Es werden zusätzliche Informationen…”
SAN-CA-33
Im Abschnitt Antragsteller müssen die grundlegenden Informationen angegeben werden:
Organisation (Firmenname)
Land
Organisationeinheit (EDV…)
Allgemeiner Name (aus Kombatibilitätsgründen am der externe Zugriffsname, also owa.<domäne>.de)
Achtung:
Im Abschnitt “Alternativer Name” können/müssen nun DNS-Namen hinzugefügt werden unter denen auf Exchange zugegriffen wird, diese Einstellungen sind abhängig von der Exchange Konfiguration. Die DNS Namen müssen je nach Umgebung die internen Zugriffsnamen „(owa.frankysweb.local) und die externen Namen, also die Namen unter den Exchange über das Internet erreichbar ist (owa.frankysweb.de) enthalten. In dem Screenshot weiter unten sieht man das ich die jeweiligen Exchange Dienste, alle unter separaten DNS-Namen veröffentliche (EAS, OWA, EWS…) Man kann die Dienste auch unter einem Namen zusammenfassen, wie zum Beispiel mail.frankysweb.de/local. Wer es sich ganz einfach machen will, kann an dieser Stelle auch *.frankysweb.local und *.frankysweb.de eintragen. Dabei handelt es sich um ein Wildcard Zertifikat welches alle Hosts die auf frankysweb.local oder frankysweb.de hören akzeptiert. Man sollte sich also VORHER Gedanken machen unter welchen Namen die Exchange Dienste veröffentlicht werden. Ebenfalls sollte der Eintrag autodiscover.frankysweb.de/local nicht fehlen.
SAN-CA-34
Vergebe nun noch unter „Allgemein“ einen Namen
SAN-CA-35
Nun kann das Zertifikat beantragt werden.
SAN-CA-36
Das Zertifikat sieht nun wie folgt aus – mit allen angegebenen Namen.
SAN-CA-37
Neues Zertifikat im Exchange hinterlegen
Damit auch die UM Dienste von Exchange 2013 das Zertifikat akzeptieren,
muss vor dem Zuweisen der Dienste der Startmodus geändert werden.
Der Startmodus kann über die Exchange Management Shell geändert werden
In der Exchange Verwaltungskonsole sollten wir jetzt bereits ein gültiges neues Zertifikat angezeigt bekommen,
diesem Zertifikat müssen noch die Exchange Dienste zugeordnet werden. Das Zuordennen der Dienste, kann auch über die Konsole erledigt werden.
SAN-CA-40
Nun noch alle Exchange Dienste zuweisen.
SAN-CA-41
Nun erscheint eine Warnung, das das Zertifikat getauscht wird -> mit JA bestätigen.
Zum Schluss noch die Dienste “
– Microsoft Exchange Unified Messaging und
– Microsoft Exchange Unified Messaging Call Router
neustarten, damit auch dort die Änderungen wirksam werden.
Soll das Zertifikat manuell z.B. auf einem Smartphone installiert werden, so Stammzertifizierungsstellenzertifikat installiert werden.
Dies findest du im Verzeichnis c:\Windows\System32\CertSrv\CertEnroll.
