Thorsten Butz
Schulung und Consulting
Ich sprach auf der CIMLingen 2015 über die finale Version der “Windows PowerShell Desired State Configuration for Linux” (WPSDSCLinux). Vielen Dank an die Organisatoren und Kollegen/innen für eine tolle Veranstaltung.
Sie finden unter den nachfolgenden Links sowohl die Präsentation als auch die Bespielskripte als Textdateien. Die Sessions wurden aufgezeichnet, sobald verfügbar finden Sie hier auch den Link zum Video.
Die 3. deutsche PoSh-Community-Konferenz fand vom 21.-23.4.2015 in Essen statt. Ich war auf der Agenda mit einer Session über OMI, WPSDSCLinux und SSH vertreten: “Administration von Linux & Co mit PowerShell”
Die Folien inkl. weiter führender Beispiele können von der Konferenzwebseite und auch hier heruntergeladen werden:
Einige weitere Bilder befinden sich auf Google+.
Ich verwende häufig den Datenimport aus einer Exceltabelle für das einfache Erstellen von Benutzerkonten im Active Directory. Zu Ehren der vierten Weltmeisterschaft der deutschen Nationalmannschaft habe ich diese Arbeitsmappe aktualisiert. Zusammen mit zwei PowerShell-Scripts kann man diese Daten recht gut zur Demonstration bzw. zu Testzwecken verwenden.
Das Downlaodarchiv enthält drei Dateien:
Die hier beschriebenen Seminare richten sich primär an meine Kooperationspartner. Sie können die Seminare bei verschiedenen Anbietern in D/CH buchen. Wenn Sie interessiert sind teilzunehmen, lassen Sie mir eine Nachricht zukommen, ich sende Ihnen die nächsten Termine gerne zu. Wenn Sie selber Anbieter sind, können Sie die Konzepte gerne übernehmen. Kontaktieren Sie mich rechtzeitig für verfübare Termine.
Dieses fünftägige Seminar vermittelt praxisorientiert die Neuerungen des Windows Server 2012 und Windows Server 2012 R2. Im Mittelpunkt des Workshops stehen die runderneuerten Verwaltungswerkzeuge, allen voran der multimaschinenfähige ServerManager, das erweiterte Active Directory Administrative Center, und die PowerShell v4.
Die Schulung führt in die Techniken zur effektiven Administration von Server Core, Minimal Server Interface und Full Server ein und zeigt Tricks für die Praxis zum Umgang mit der neu eingeführten Modern UI (“Metro”). Ein besonderes Augenmerk liegt auf den wegweisenden Neuerungen in den Bereichen Storage, File Services und Hyper-V ein sowie dem Zusammenspiel verschiedener Windows-Generationen von Windows Server 2003 bis 2012 R2.
Weiterlesen:
[[For an ENGLISH version, click this line!]]
Die Idee zu diesem Miniskript kam mir beim Lesen von Tweets in der Bahn; der Kollege Nils Kaczenski beklagte sich (zu Recht), wie leicht es in vielen Fällen doch sei, als Standardbenutzer ein komplettes Intranet lahm zu legen. Als ein in einem weiteren Tweet gefragt wurde, wie das ginge, war ich versucht die nachfolgenden Zeilen direkt zu twittern, aber das war mir dann angesichts der 140 Zeichenbegrenzung und der vielen Sonderzeichen doch ein wenig zu umständlich. Kommen wir nun also zum Kochrezept und bitte NICHT in der Produktivumgebung einsetzen!
$domain = (Get-ADDomain).Name
$dc = (Get-ADDomainController | Select-Object -First 1).Name
$me = $env:username
$t = (Get-ADDefaultDomainPasswordPolicy).LockoutThreshold
Get-ADUser -Filter { samaccountname -notlike $me } | % {
$user = $_.SamAccountName
0..$t | % { net use \\$dc /user:$domain\$user TEST }
}
Erklärung erforderlich? Eigentlich alles ganz einfach: Ich unterstelle, dass Nils Aussage auf die populäre Technik der Kontensperrungsrichtlinie abhebt. Von vielen als Sicherheitsfunktion betrachtet, hat dies leider den Seiteneffekt, dass jeder Anwender einen beliebigen anderen Anwender aussperren kann. Einfach den Benutzernamen des Kollegen oder der Kollegin eingeben und mehrfach ein falsches Passwort übergeben. Das kann jeder, der sich in irgendeiner Form mit einem Computer der AD-Domäne verbinden kann. Die Lösung des Problems ist also ebenfalls offensichtlich: einfach keine Kennwortsperrung konfigurieren.
Die Codezeilen können interaktiv in der Windows PowerShell (ab v2) mit geladenem Active Directory-Modul ausgeführt werden:
Zeile 1: Wir holen uns den Domänennamen, zB “contoso”.
Zeile 2: Wir holen uns den Namen eines einzelnen DC, zB “dc1”
Zeile 3: Wir holen uns den eigenen Anmeldenamen, zB “DoeJ”
Zeile 4: Wir holen uns den “LockoutThreshold”, zB “5”.
Zeile 5-8: Wir holen uns alle AD-Benutzerkonten, außer dem eigenen und verbinden uns dann mit jedem einzelnen Benutzer so oft gegen einen (grundsätzlich beliebigen) Server, dass die Konten gesperrt werden.
Abschließender Hinweis: Es ist nicht erforderlich von “0..$t” zu laufen, es reicht “1..$t”. Die eine Bonusrunde habe ich eingebaut, damit man den Effekt auch unmittelbar beobachten kann, wie man im nachfolgenden Bildschirmfoto sieht.
Kontensperrung erfolgt nach mehrfach fehlerfaften Anmeldeversuchen
[For an ENGLISH version, click this line!]
Seit Microsoft mit Vista die Benutzerkontensteurung (“User account control”) einführte, stellte diese sicherheitsrelevante Neuerung Administratoren vor Herausforderungen. Besonders fragwürdig erscheint es, dass sich der Windows Explorer nur dem ersten Anschein nach mit erweiterten Rechten starten lässt. In der Grundkonfiguration erscheint zwar der Erweiterungsdialog (“Elevation prompt”), die Rechte des Anwenders werden aber nicht erweitert. Gleiches gilt unabhängig davon, ob der Anwender mit einem administrativen Konto angemeldet ist (als “Protected Admin”) oder sich impersonifiziert. Das System unterscheidet auch nicht zwischen “Run as administrator” und “Run as different user”.
Gut versteckt im Betriebssystem findet sich ein Registry-Key, der es erlaubt, den Explorer.exe-Prozess mit erweiterten Rechten zu starten:
HKEY_CLASSES_ROOT\AppID\{CDCBCFCA-3CDC-436f-A4E2-0E02075250C2}\RunAs
Löscht oder ändert man den o.g. Schlüssel (zum Beispiel in “RunA_”) lässt sich der Explorer mit erweiterten Rechten starten.
Es lauern aber weitere Fallen: Der Schlüssel ist vor leichtfertigen Änderungen dadurch geschützt, dass der “Trusted Installer” als Eigentümer eingetragen ist. Will man den Schlüssel modifizieren, muss man zunächst den Besitz übernehmen. Leider kenne ich kein Bordmittel, um diese Änderung script-gesteuert vorzunehmen: “regini.exe” kann keine Besitzrechte übernehmen, das PowerShell-Cmdlet “Set-ACL” scheitert an den vorgegebenen Zugriffsrechten (es sei denn man impersonifiziert sich zuvor als “SYSTEM”-Benutzer, was ebenfalls Zusatzwerkzeuge erfordert).
Ein Workaround bietet Helge Kleins Freeware-Werkzeug “setacl.exe”; diese populäre Werkzeug meistert, was die Bordmittel nicht schaffen.
Das vorliegende PowerShell-DemoScript “Enable-ExplorerRunAs.ps1” lädt Helges Werkzeug herunter, führt die nötigen Änderungen durch und löscht die temporären Dateien schließlich. Das Script benötigt lokale Adminrechte, die Änderungen greifen unmittelbar.
Ein abschließender Tipp noch für Windows 8/Windows Server 2012: Das Kontextemenü bietet standardmäßig keine Erweiterungsdialoge. Legt man jedoch eine Verknüpfung für “explorer.exe” neu an, so sind die nötigen Kontexteinträge sichtbar.
Download als Textdatei “Enable-ExplorerRunAs.ps1“ oder Vorschau auf GitHub
Ein Artikel des Kollegen Helge Klein erinnerte mich an dieses Demoscript, das ich schon vor einiger Zeit veröffentlichen wollte. Helges lesenswerter Artikel über die Unzulänglichkeiten des Windows Explorer findet sich hier:
Für alle Freunde/Fanboys und sonstige Anhänger von W8/WS2012 und TIFKAM (“The Interface formerly known as metro“) gibt es nun das endgültige Hintergrundbild, besonders “Lock Screen“-geeignet.
1024×768 1140×990 1280×800 1280×960 1280×1024 1366×768 1600×1200 1680×1050 1900×1200
Die oben verlinkten Fotos stehen unter einer Creative Commons Namensnennung – Weitergabe unter gleichen Bedingungen 3.0 Unported Lizenz.
Windows 8 ist seit dem 14./15. August via Technet und MSDN in der finalen Version verfügbar. Obgleich Windows Server 2012 auf der gleichen Codebasis beruht und ebenfalls geRTMed wurde, hat Microsoft den Server nicht zur gleichen Zeit verfügbar gemacht. Für alle die einen Blick auf die finale Version werfen wollen, gibt es jedoch eine kostenfreie (und legale) Möglichkeit an die Bits zu gelangen, nämlich Azure.
Azure bietet ein VM-Management und dort steht mittlerweile auch der finale WS2012 bereit. Die Registrierung für einen dreimonativen Testzugang ist kostenfrei, erfordert aber einen echten Microsoft Account sowie eine Kreditkarte.
Die Registrierung startet hier: http://aka.ms/WindowsAzureFreePreview
Die wesentlichen Schritte habe ich in diesem Bilderbuch dokumentiert.
Die dort verfügbare RTM-Version des Windows Server 2012 trägt, wie Windows 8, die Build-Nummer:
6.2.9200.16384.amd64fre.win8_rtm.120725-1247
Die hier beschriebenen Seminare richten sich primär an meine Kooperationspartner. Sie können die Seminare bei verschiedenen Anbietern in D/CH buchen. Wenn Sie interessiert sind teilzunehmen, lassen Sie mir eine Nachricht zukommen, ich sende Ihnen die nächsten Termine gerne zu. Wenn Sie selber Anbieter sind, können Sie die Konzepte gerne übernehmen. Kontaktieren Sie mich rechtzeitig für verfübare Termine.
Dieses viertägige Seminar vermittelt praxisorientiert die Neuerungen des Windows Server 2012. Im Mittelpunkt des Workshops stehen die runderneuerten Verwaltungswerkzeuge, allen voran der multimaschinenfähige ServerManager, das erweiterte Active Directory Administrative Center, und die PowerShell v3.
Die Schulung zeigt Techniken zur effektiven Administration von Server Core, Minimal Server Interface und Full Server und führt in die Neuerungen in den Bereichen Storage und Hyper-V ein. Ein besonderes Augenmerk liegt auf dem Zusammenspiel verschiedener Windows-Generationen von Windows Server 2003 bis 2012.
Weiterlesen:
Die hier beschriebenen Seminare richten sich primär an meine Kooperationspartner. Sie können die Seminare bei verschiedenen Anbietern in D/CH buchen. Wenn Sie interessiert sind teilzunehmen, lassen Sie mir eine Nachricht zukommen, ich sende Ihnen die nächsten Termine gerne zu. Wenn Sie selber Anbieter sind, können Sie die Konzepte gerne übernehmen. Kontaktieren Sie mich rechtzeitig für verfübare Termine.
Dieses viertägige Seminar führt praxisorientiert in die Grundlagen der Windows PowerShell ein. Im ersten Teil des Workshops stehen die Grundlagen im Mittelpunkt: der Umgang mit dem Dateisystem, Diensten, Prozessen und anderem wird an Praxisbeispielen erprobt.
Im zweiten Teil richtet sich das Hauptaugenmerk auf die Verwaltung des Active Directory, Remoting-Funktionen und die Unterschiede zwischen den PowerShell Versionen 1,2 und 3. Es wird aufgezeigt, welche Versionen im Zusammenspiel verschiedener Windows-Generationen und PowerShell-Versionen harmonieren – und welche Funktionen ggf. nicht zur Verfügung stehen.
Weiterlesen:
