Thomas.will: Neue Seite (Kurs Linux - Samba)

2026-10-18T16:46:19Z

Neue Seite (Kurs Linux - Samba)

Neue Seite

[[Kategorie:Samba]]

{| class="wikitable"
! Kurs !! Lab !! Rechner !! Domäne
|-
| [[Linux - Samba]] || [[Linux - Samba Lab]] || win11 · 172.26.2XX.100 || ad.it2XX.int oder samba.it2XX.int
|}

=Einfach erklärt=
*Beim '''Beitritt''' bekommt der Rechner ein eigenes Konto in der Domäne, ein '''Maschinenkonto''' mit eigenem Passwort.
*Danach können sich alle Benutzer der Domäne an diesem Rechner anmelden, und er bekommt Gruppenrichtlinien.
*Für Windows ist es egal, ob der DC ein Windows Server oder Samba ist. Der Beitritt ist derselbe.
*Mit den '''RSAT'''-Werkzeugen wird der Client zum Verwaltungsrechner für die Domäne.

=Das Wichtigste=
*Voraussetzung ist DNS: Der Client muss den DC als DNS-Server haben.
*Beitreten darf jeder Domänenbenutzer bis zu zehn Rechner, Administratoren beliebig viele.
*Nach dem Beitritt ist ein Neustart nötig.
*Lokale Anmeldung danach mit '''.\benutzer''', Domänenanmeldung mit '''AD\benutzer''' oder '''benutzer@ad.it2XX.int'''.

=Vorher prüfen=
*PowerShell als Administrator:
<pre>
ipconfig /all
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.it201.int
nltest /dsgetdc:ad.it201.int
</pre>
*'''nltest /dsgetdc''' muss einen DC finden. Wenn nicht, stimmt das DNS nicht.

=Beitreten=
<pre>
Add-Computer -DomainName ad.it201.int -Credential AD\Administrator -Restart
</pre>
*Gleich in die richtige OU:
<pre>
Add-Computer -DomainName ad.it201.int -OUPath "OU=Rechner,OU=Firma,DC=ad,DC=it201,DC=int" -Credential AD\Administrator -Restart
</pre>
*In der Oberfläche: Einstellungen, System, Info, '''Domäne oder Arbeitsgruppe'''.

=Nach dem Beitritt=
*Als Domänenbenutzer anmelden: '''AD\max'''
<pre>
whoami
whoami /upn
whoami /groups
echo %LOGONSERVER%
klist
gpresult /r
</pre>
{| class="wikitable"
! Befehl !! Zeigt
|-
| whoami /upn || den Anmeldenamen max@ad.it201.int
|-
| echo %LOGONSERVER% || welcher DC die Anmeldung angenommen hat
|-
| klist || die Kerberos-Tickets, mindestens krbtgt/AD.IT201.INT
|-
| gpresult /r || welche Gruppenrichtlinien angewendet wurden
|-
| nltest /sc_verify:ad.it201.int || ob die Vertrauensstellung zum DC in Ordnung ist
|}

=RSAT: Verwaltung vom Client aus=
*RSAT sind die Verwaltungsprogramme eines Servers für den Client. Bei Windows 11 sind sie optionale Features:
<pre>
Add-WindowsCapability -Online -Name Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0
Add-WindowsCapability -Online -Name Rsat.GroupPolicy.Management.Tools~~~~0.0.1.0
Add-WindowsCapability -Online -Name Rsat.Dns.Tools~~~~0.0.1.0
Get-WindowsCapability -Online -Name Rsat* | Format-Table Name, State
</pre>
*Danach im Startmenü unter Windows-Tools: Active Directory-Benutzer und -Computer, Gruppenrichtlinienverwaltung, DNS.
*Dieselben Werkzeuge verwalten auch eine Samba-Domäne.

=Stolperfallen=
*'''DNS zeigt auf die Firewall''': „Ein Active Directory-Domänencontroller für die Domäne konnte nicht kontaktiert werden.“
*'''Uhrzeit weicht ab''': Die Anmeldung scheitert mit einer Fehlermeldung zur Zeit oder einfach „Benutzername oder Kennwort falsch“.
*'''Geklonte Windows-VM''': Zwei Rechner mit derselben SID machen Ärger. Windows-Klone vorher mit sysprep vorbereiten.
*'''Rechnername doppelt''': Ein anderer Rechner mit demselben Namen verliert seinen Beitritt.

=Übungen=
==Grundübungen==
#Prüfen Sie auf win11 mit nltest /dsgetdc, ob die Domäne gefunden wird.
#Treten Sie mit Add-Computer der Domäne bei, gleich in die OU Rechner.
#Melden Sie sich als max an und prüfen Sie whoami /upn, %LOGONSERVER% und klist.
#Installieren Sie RSAT und legen Sie in „Active Directory-Benutzer und -Computer“ einen Benutzer an.
#Suchen Sie auf win-dc das Maschinenkonto von win11. Wo liegt es?
==Vertiefung==
#Schauen Sie sich mit klist die Tickets an, nachdem Sie \\win-dc\sysvol geöffnet haben. Welches Ticket ist dazugekommen?
#Setzen Sie das Maschinenkonto von win11 auf win-dc zurück. Was passiert bei der nächsten Anmeldung? Reparieren mit Test-ComputerSecureChannel -Repair
#Treten Sie win11 später der Domäne samba.it2XX.int bei. Was ist anders?
==Fehlersuche==
;1. Beitritt scheitert: Der Domänencontroller konnte nicht kontaktiert werden
<div class="mw-collapsible mw-collapsed">
win11 nutzt nicht den DC als DNS-Server. ipconfig /all prüfen, bei DHCP die Option DNS-Server im Bereich korrigieren.
</div>
;2. Anmeldung als AD\max meldet: Die Vertrauensstellung zwischen dieser Arbeitsstation und der primären Domäne konnte nicht hergestellt werden
<div class="mw-collapsible mw-collapsed">
Das Maschinenkonto passt nicht mehr, z.B. nach dem Zurücksetzen einer VM auf einen alten Snapshot. Lokal anmelden und Test-ComputerSecureChannel -Repair -Credential AD\Administrator
</div>
;3. klist zeigt nach der Anmeldung keine Tickets
<div class="mw-collapsible mw-collapsed">
Die Anmeldung lief über NTLM, z.B. weil die Zeit abweicht oder der DC per IP angesprochen wurde. w32tm /query /status und das Ereignisprotokoll System prüfen.
</div>

=Vertiefung=
*[[RSAT]] · [[RSAT Windows11]] · [[Kerberos Befehle Windows]]

=Weiter=
*[[Samba Mitgliedsserver]] · [[Linux-Client in der Domäne]]
*[[Linux - Samba|Zurück zur Kursseite]]

Windows-Client in der Domäne - Versionsgeschichte

Thomas.will: Neue Seite (Kurs Linux - Samba)