Thema: active-directory
-
Windows LAPS: eindeutige lokale Administratorpasswörter für Windows Server und wer sie lesen darf
Windows LAPS (in Windows Server 2019 und 2022 ab dem Update vom 11. April 2023 sowie in Windows Server 2025 integriert) randomisiert und rotiert das lokale Administratorpasswort jedes Rechners automatisch und speichert es in Active Directory oder Microsoft Entra ID; in AD dürfen standardmässig Domain Admins es lesen, für jeden weiteren Leser ist eine explizit delegierte Berechtigung nötig.
-
Kerberos unter Windows: klist, klist purge und setspn -L/-Q bei SPN-Problemen
Windows stellt gecachte Kerberos-Tickets über klist und Service Principal Names über setspn zur Verfügung. Doppelte SPNs und Zeitabweichungen zwischen Client und Domänencontroller sind die zwei Fehlerursachen, die am häufigsten als unklare «Authentifizierung nicht möglich»-Meldungen statt als eindeutige Kerberos-Fehler auftreten.
-
Linux-Host mit realmd und SSSD in Active Directory einbinden
Mit realm discover und realm join übernimmt realmd die detaillierte Kerberos-, LDAP- und SSSD-Konfiguration, sodass sssd.conf nicht von Hand bearbeitet werden muss. realm permit schränkt anschliessend ein, welche AD-Konten sich tatsächlich anmelden dürfen, und sssctl bietet eine zentrale Stelle, um den aktuellen Zustand von SSSD zu prüfen.
-
Active-Directory-Benutzer und -Gruppen mit PowerShell verwalten, ohne das gesamte Verzeichnis zu durchsuchen
Get-ADUser mit -Filter und -Properties, New-ADUser mit SecureString-Passwort, Add-ADGroupMember sowie Search-ADAccount/Unlock-ADAccount bei Kontosperrungen – und warum -Filter * in einem Verzeichnis mit zehntausenden Objekten eine Falle ist.
-
Zustand von Active Directory vor jeder Änderung prüfen: dcdiag, repadmin und die FSMO-Rolleninhaber
Ein Prüfablauf vor Änderungen an einem Domänencontroller: dcdiag für lokale Diagnosen, repadmin /replsummary und /showrepl für die Replikation, Get-ADDomainController und netdom query fsmo für die Bestandsaufnahme von Domänencontrollern und Rolleninhabern sowie die Bedeutung der Zeitquelle des PDC-Emulators.
-
LDAP und Active Directory unter Linux mit ldapsearch abfragen, ohne Passwort auf der Kommandozeile
ldapsearch unterstützt einen Simple Bind mit Bind-DN und Passwort oder einen SASL/GSSAPI-Bind mit einem vorhandenen Kerberos-Ticket, ausserdem seitenweise Ergebnisse (Paged Results) sowie StartTLS/LDAPS für eine verschlüsselte Verbindung. Die Optionen -y und -W gibt es gerade deshalb, damit ein Passwort nie als Klartext-Argument auf der Kommandozeile stehen muss.
Maschinenlesbar: JSON