đĄ 1. Theorie & Praxiskonzept
In Active Directory sind nicht nur Personen, sondern auch Computer vollwertige Sicherheitsprinzipale. Ein Computerkonto besitzt einen Namen mit abschlieĂendem Dollarzeichen (z.B. CLIENT01$). Zwischen dem Client und dem DomĂ€nencontroller besteht ein kryptografisch gesicherter Secure Channel, dessen Maschinenkennwort sich standardmĂ€Ăig alle 30 Tage vollautomatisch Ă€ndert.
Nicht nur der Fahrer (Benutzer) hat einen Ausweis, sondern auch das Auto (Computer) hat ein eigenes Nummernschild und eine Zulassung im Fuhrpark (AD). Alle 30 Tage tauschen Auto und Werkstatt einen neuen geheimen Chip-Code aus (Maschinenkennwort), damit kein Fremder das Auto kapern kann.
⥠2. Active Directory Cheat-Sheet
| Befehl / Konzept | Bedeutung & Funktion |
|---|---|
Test-ComputerSecureChannel -Verbose | PrĂŒft, ob der sichere Kanal zwischen Client und DomĂ€nencontroller intakt ist. |
Test-ComputerSecureChannel -Repair -Credential (Get-Credential) | Repariert einen unterbrochenen Secure Channel (z.B. nach Snapshot-Rollback). |
djoin.exe /provision /domain corp.de /machine PC01 /savefile blob.txt | Erstellt einen Offline Domain Join Blob ohne Netzwerkkontakt zum DC. |
Reset-ComputerMachinePassword | Setzt das Kennwort des lokalen Computerkontos im AD zurĂŒck. |
â ïž 3. HĂ€ufige Stolperfallen & Best Practices
Wird eine VM nach mehr als 30 Tagen auf einen alten Hypervisor-Snapshot zurĂŒckgesetzt, ist ihr lokales Maschinenpasswort veraltet! Die Anmeldung scheitert mit 'Die Vertrauensstellung zwischen dieser Arbeitsstation und der primĂ€ren DomĂ€ne ist fehlgeschlagen'.
Jeder authentifizierte Standardbenutzer darf im Standard bis zu 10 Computer der DomĂ€ne hinzufĂŒgen (Attribut ms-DS-MachineAccountQuota). In sicheren Umgebungen sollte dies auf 0 gesetzt werden!
đ§ Diagnostischer Selbst-Check
ĂberprĂŒfe dein VerstĂ€ndnis zu Active Directory Architektur, FSMO, GPO und Sicherheit mit gezieltem Feedback: