Thema: windows-server
-
Windows LAPS: eindeutige lokale Administratorpasswörter für Windows Server und wer sie lesen darf
Windows LAPS (in Windows Server 2019 und 2022 ab dem Update vom 11. April 2023 sowie in Windows Server 2025 integriert) randomisiert und rotiert das lokale Administratorpasswort jedes Rechners automatisch und speichert es in Active Directory oder Microsoft Entra ID; in AD dürfen standardmässig Domain Admins es lesen, für jeden weiteren Leser ist eine explizit delegierte Berechtigung nötig.
-
Windows PowerShell 5.1 und PowerShell 7 auf Servern: unter welcher Version ein Skript tatsächlich läuft
PowerShell 7 wird parallel zur integrierten Windows PowerShell 5.1 installiert und ersetzt diese nicht; es hat einen anderen Namen der ausführbaren Datei, einen anderen Modulpfad und einen eigenen Remoting-Endpunkt. Ein Agent, der `powershell.exe` aufruft, obwohl er `pwsh.exe` meint (oder umgekehrt), erhält unbemerkt Modulsatz und Standardeinstellungen der jeweils anderen Engine.
-
Neue Disk in Windows Server vorbereiten: von Get-Disk bis Format-Volume und warum sie offline startet
Die Abfolge im PowerShell-Storage-Modul von Get-Disk bis zum eingebundenen, formatierten Volume (Initialize-Disk -PartitionStyle GPT, New-Partition -UseMaximumSize, Format-Volume), das spätere Vergrössern mit Get-PartitionSupportedSize sowie die SAN-Richtlinie, die manche neu angebundenen Disks standardmässig offline lässt.
-
PowerShell-Remoting aktivieren und nutzen: WinRM, TrustedHosts und das Second-Hop-Limit
PowerShell-Remoting mit Enable-PSRemoting aktivieren, zwischen TrustedHosts und HTTPS-Transport wählen, Befehle mit Invoke-Command und Enter-PSSession ausführen und die Begrenzung bei der Weitergabe von Anmeldedaten, den sogenannten Second Hop, kennen.
-
Windows-Updates ohne GUI prüfen, installieren und bestätigen
Die Update-Seite von sconfig, die tatsächlichen Grenzen von Get-HotFix, WSUS als Standardweg für verwaltetes Patching und eine belegte Methode, einen ausstehenden Neustart vor dem nächsten Wartungsfenster zu erkennen.
-
Windows-Server-Rollen und -Features per PowerShell installieren, ohne ausstehende Neustarts anzuhäufen
Get-WindowsFeature und Install-WindowsFeature -IncludeManagementTools decken Suche und Installation ab. Mit -Source wird auf Features-on-Demand-Medien verwiesen, wenn dem lokalen Komponentenspeicher die Dateien fehlen. Das zurückgegebene Objekt zeigt, ob noch ein Neustart aussteht.
-
Active-Directory-Benutzer und -Gruppen mit PowerShell verwalten, ohne das gesamte Verzeichnis zu durchsuchen
Get-ADUser mit -Filter und -Properties, New-ADUser mit SecureString-Passwort, Add-ADGroupMember sowie Search-ADAccount/Unlock-ADAccount bei Kontosperrungen – und warum -Filter * in einem Verzeichnis mit zehntausenden Objekten eine Falle ist.
-
Windows Event Forwarding: quellinitiierte Subscription, wecutil und die Gruppe EventLog Readers
Bei einer quellinitiierten WEF-Subscription beziehen die Quellcomputer ihre Konfiguration per Gruppenrichtlinie vom Collector und senden passende Ereignisse dorthin; wecutil verwaltet die Subscription auf dem Collector. Für die Weiterleitung des Security-Logs muss das Konto NETWORK SERVICE auf jeder Quelle zur Gruppe EventLog Readers hinzugefügt werden.
-
Windows Server mit Windows Server Backup (wbadmin) sichern und wiederherstellen
Installation des Features Windows Server Backup, Vollsicherung oder Systemstatussicherung mit wbadmin start backup bzw. start systemstatebackup, Auflisten von Wiederherstellungspunkten mit wbadmin get versions, Grenzen des Tools und die Empfehlung, eine Wiederherstellung zu testen, statt von ihrem Gelingen auszugehen.
-
Ausfallsicherer Speicher auf einem Standalone-Server mit Speicherplätzen (Storage Spaces) und Austausch einer defekten Festplatte
Physische Festplatten mit New-StoragePool zusammenfassen, mit New-VirtualDisk ein Mirror- oder Parity-Laufwerk anlegen, den Zustand mit Get-PhysicalDisk und Get-StorageJob überwachen und eine defekte Festplatte nach dokumentiertem Ablauf ersetzen, ohne den Pool zu verlieren.
-
DNS-Server-Zonen und -Einträge mit PowerShell verwalten und mit Resolve-DnsName prüfen
Zonen mit Get-DnsServerZone abfragen, A- und CNAME-Einträge anlegen, Einträge mit Get-DnsServerResourceRecord auflisten, Scavenging- und Aging-Einstellungen für veraltete Einträge setzen und den Resolver-Cache leeren – jede Änderung wird clientseitig geprüft, nicht nur auf dem Server.
-
Grundlagen der IIS-Administration mit PowerShell: Sites, Application Pools, Logs und Konfigurationssicherung
Sites mit Get-IISSite des Moduls IISAdministration auslesen, einen Application Pool recyceln, den Standardspeicherort der IIS-Logs kennen und mit appcmd add backup vor einer Konfigurationsänderung einen Snapshot der applicationHost.config anlegen.
-
Hyper-V mit PowerShell: virtuelle Maschinen, Checkpoints und warum ein Checkpoint kein Backup ist
Get-VM und der Aufbau eines New-VM-Aufrufs, der Unterschied zwischen Standard- und Production-Checkpoints, Export-VM zum Verschieben einer VM, Integrationsdienste und der Schalter -ExposeVirtualizationExtensions für verschachtelte Virtualisierung.
-
Werkzeuge zur Netzwerkkonfiguration im Vergleich: nmcli, netplan, systemd-networkd und ihre Entsprechungen unter Windows und macOS
Aktuelle Netzwerkkonfiguration auslesen, statische Adresse setzen und DNS-Server festlegen: dieselben drei Aufgaben mit nmcli (NetworkManager), netplan (Ubuntu), systemd-networkd, den Netzwerk-Cmdlets der Windows PowerShell und networksetup unter macOS.
-
DHCP-Serverrolle per PowerShell verwalten: Bereiche, Reservierungen, Autorisierung und Sicherung
Bereiche und Leases mit Get-DhcpServerv4Scope abfragen, Adressen mit Add-DhcpServerv4Reservation reservieren, einen Server mit Add-DhcpServerInDC in AD autorisieren, DHCP-Failover im Überblick und die Konfiguration vor riskanten Änderungen mit Backup-DhcpServer sichern.
-
Windows Server Core administrieren: sconfig, fehlende Funktionen und Fernverwaltung
Server Core verzichtet auf die Desktop-Shell und lokale GUI-Konsolen und erhält dafür eine kleinere Codebasis und Angriffsfläche. sconfig deckt die Erstkonfiguration an der Konsole ab, während Windows Admin Center oder Rechner mit RSAT die grafische Verwaltung übernehmen, die Server Core selbst nicht bietet.
-
Zustand von Active Directory vor jeder Änderung prüfen: dcdiag, repadmin und die FSMO-Rolleninhaber
Ein Prüfablauf vor Änderungen an einem Domänencontroller: dcdiag für lokale Diagnosen, repadmin /replsummary und /showrepl für die Replikation, Get-ADDomainController und netdom query fsmo für die Bestandsaufnahme von Domänencontrollern und Rolleninhabern sowie die Bedeutung der Zeitquelle des PDC-Emulators.
-
BitLocker unter Windows Server: Aktivieren, Volume-Status prüfen und Wiederherstellungsinformationen vor dem Neustart sichern
Das BitLocker-Feature muss installiert sein, bevor manage-bde und Get-BitLockerVolume verfügbar sind. Ein Recovery-Password-Protector ermöglicht es einem ausgesperrten Administrator, wieder Zugriff zu erhalten, ist aber erst dauerhaft nutzbar, wenn er in Active Directory oder Microsoft Entra ID gesichert und vor dem nächsten Neustart dort als vorhanden bestätigt wurde.
-
Geplante Aufgabe mit dem Modul ScheduledTasks erstellen: Aktion, Trigger, Principal und Ergebniscodes
New-ScheduledTaskAction, -Trigger und -Principal werden zu einer Aufgabe kombiniert, die Register-ScheduledTask registriert. Unter NT AUTHORITY\SYSTEM ist kein gespeichertes Passwort nötig, und Get-ScheduledTaskInfo samt den dokumentierten Ergebniskonstanten des Task Schedulers zeigt einem Agenten, ob der letzte Lauf tatsächlich erfolgreich war.
-
Zertifikate mit PowerShell verwalten: Cert:-Laufwerk, PFX-Import und -Export und Bindung an IIS
Zertifikate unter Cert:\LocalMachine\My durchsuchen, per Get-ChildItem nach Ablaufdatum filtern, mit Import-PfxCertificate und Export-PfxCertificate samt privatem Schlüssel verschieben, New-SelfSignedCertificate nur für Tests nutzen und das Ergebnis mit New-WebBinding in IIS binden bzw. mit netsh http show sslcert prüfen.
Maschinenlesbar: JSON