Windows-Client in der Domäne

Aus Xinux Wiki
Version vom 18. Oktober 2026, 16:46 Uhr von Thomas.will (Diskussion | Beiträge) (Neue Seite (Kurs Linux - Samba))
(Unterschied) ← Nächstältere Version | Aktuelle Version (Unterschied) | Nächstjüngere Version → (Unterschied)
Zur Navigation springen Zur Suche springen
Kurs Lab Rechner Domäne
Linux - Samba Linux - Samba Lab win11 · 172.26.2XX.100 ad.it2XX.int oder samba.it2XX.int

Einfach erklärt

  • Beim Beitritt bekommt der Rechner ein eigenes Konto in der Domäne, ein Maschinenkonto mit eigenem Passwort.
  • Danach können sich alle Benutzer der Domäne an diesem Rechner anmelden, und er bekommt Gruppenrichtlinien.
  • Für Windows ist es egal, ob der DC ein Windows Server oder Samba ist. Der Beitritt ist derselbe.
  • Mit den RSAT-Werkzeugen wird der Client zum Verwaltungsrechner für die Domäne.

Das Wichtigste

  • Voraussetzung ist DNS: Der Client muss den DC als DNS-Server haben.
  • Beitreten darf jeder Domänenbenutzer bis zu zehn Rechner, Administratoren beliebig viele.
  • Nach dem Beitritt ist ein Neustart nötig.
  • Lokale Anmeldung danach mit .\benutzer, Domänenanmeldung mit AD\benutzer oder benutzer@ad.it2XX.int.

Vorher prüfen

  • PowerShell als Administrator:
ipconfig /all
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.ad.it201.int
nltest /dsgetdc:ad.it201.int
  • nltest /dsgetdc muss einen DC finden. Wenn nicht, stimmt das DNS nicht.

Beitreten

Add-Computer -DomainName ad.it201.int -Credential AD\Administrator -Restart
  • Gleich in die richtige OU:
Add-Computer -DomainName ad.it201.int -OUPath "OU=Rechner,OU=Firma,DC=ad,DC=it201,DC=int" -Credential AD\Administrator -Restart
  • In der Oberfläche: Einstellungen, System, Info, Domäne oder Arbeitsgruppe.

Nach dem Beitritt

  • Als Domänenbenutzer anmelden: AD\max
whoami
whoami /upn
whoami /groups
echo %LOGONSERVER%
klist
gpresult /r
Befehl Zeigt
whoami /upn den Anmeldenamen max@ad.it201.int
echo %LOGONSERVER% welcher DC die Anmeldung angenommen hat
klist die Kerberos-Tickets, mindestens krbtgt/AD.IT201.INT
gpresult /r welche Gruppenrichtlinien angewendet wurden
nltest /sc_verify:ad.it201.int ob die Vertrauensstellung zum DC in Ordnung ist

RSAT: Verwaltung vom Client aus

  • RSAT sind die Verwaltungsprogramme eines Servers für den Client. Bei Windows 11 sind sie optionale Features:
Add-WindowsCapability -Online -Name Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0
Add-WindowsCapability -Online -Name Rsat.GroupPolicy.Management.Tools~~~~0.0.1.0
Add-WindowsCapability -Online -Name Rsat.Dns.Tools~~~~0.0.1.0
Get-WindowsCapability -Online -Name Rsat* | Format-Table Name, State
  • Danach im Startmenü unter Windows-Tools: Active Directory-Benutzer und -Computer, Gruppenrichtlinienverwaltung, DNS.
  • Dieselben Werkzeuge verwalten auch eine Samba-Domäne.

Stolperfallen

  • DNS zeigt auf die Firewall: „Ein Active Directory-Domänencontroller für die Domäne konnte nicht kontaktiert werden.“
  • Uhrzeit weicht ab: Die Anmeldung scheitert mit einer Fehlermeldung zur Zeit oder einfach „Benutzername oder Kennwort falsch“.
  • Geklonte Windows-VM: Zwei Rechner mit derselben SID machen Ärger. Windows-Klone vorher mit sysprep vorbereiten.
  • Rechnername doppelt: Ein anderer Rechner mit demselben Namen verliert seinen Beitritt.

Übungen

Grundübungen

  1. Prüfen Sie auf win11 mit nltest /dsgetdc, ob die Domäne gefunden wird.
  2. Treten Sie mit Add-Computer der Domäne bei, gleich in die OU Rechner.
  3. Melden Sie sich als max an und prüfen Sie whoami /upn, %LOGONSERVER% und klist.
  4. Installieren Sie RSAT und legen Sie in „Active Directory-Benutzer und -Computer“ einen Benutzer an.
  5. Suchen Sie auf win-dc das Maschinenkonto von win11. Wo liegt es?

Vertiefung

  1. Schauen Sie sich mit klist die Tickets an, nachdem Sie \\win-dc\sysvol geöffnet haben. Welches Ticket ist dazugekommen?
  2. Setzen Sie das Maschinenkonto von win11 auf win-dc zurück. Was passiert bei der nächsten Anmeldung? Reparieren mit Test-ComputerSecureChannel -Repair
  3. Treten Sie win11 später der Domäne samba.it2XX.int bei. Was ist anders?

Fehlersuche

1. Beitritt scheitert
Der Domänencontroller konnte nicht kontaktiert werden

win11 nutzt nicht den DC als DNS-Server. ipconfig /all prüfen, bei DHCP die Option DNS-Server im Bereich korrigieren.

2. Anmeldung als AD\max meldet
Die Vertrauensstellung zwischen dieser Arbeitsstation und der primären Domäne konnte nicht hergestellt werden

Das Maschinenkonto passt nicht mehr, z.B. nach dem Zurücksetzen einer VM auf einen alten Snapshot. Lokal anmelden und Test-ComputerSecureChannel -Repair -Credential AD\Administrator

3. klist zeigt nach der Anmeldung keine Tickets

Die Anmeldung lief über NTLM, z.B. weil die Zeit abweicht oder der DC per IP angesprochen wurde. w32tm /query /status und das Ereignisprotokoll System prüfen.

Vertiefung

Weiter

Abgerufen von „https://www.xinux.net/index.php?title=Windows-Client_in_der_Domäne&oldid=73798“