Andy's Blog - Linux, Mac, Windows

Windows: Probleme mit doppelter SID erkennen und beheben

andy — Wed, 16 May 2012 08:05:36 +0000

Bei diesem Artikel handelt es sich um einen Bericht über einen kürzlich zugetragenen realen Fall.

Im Rahmen eines Kundenprojekts wurden unter anderem neue PCs von einem namhaften Hersteller angeschafft. Der Name wird bewusst nicht genannt, um niemanden unnötig in Misskredit zu bringen, zumal der Autor bislang keine Probleme mit dem Hersteller hatte. Salopp könnte man ausdrücken, das irgendwann immer das erste Mal ist.

Ein wenig Hintergrund

Pro Windows-Netzwerk darf jede SID nur einmal vorkommen. Die SID dient dazu, einen Computer, Benutzer oder eine Gruppe eindeutig zu identifizieren. In diesem Fall ging es um die Computer-SID.

Das eigentliche Problem

Hat man nun mehrere Computer mit der gleichen SID im Netzwerk, so kann das Active Directory nicht eindeutig feststellen, ob der Computer oder der dort angemeldete Benutzer nun zugriffsberechtigt ist oder nicht.

Nahezu ein Klassiker, wie man indirekt feststellen kann, ob man mehrere gleiche Computer-SIDs im Netzwerk hat besteht in einem Blick in den WSUS, sofern man Diesen einsetzt.

Dort zeigt sich dann ein wechselndes Bild. Man sieht niemals alle vorhandenen Computer gleichzeitig und kann beobachten, die z.B. PC01 nach einer Aktualisierung der Ansicht zu PC02 wird.

SIDs auslesen

Im Paket der PsTools gibt es ein kleines Programm namens PsGetSid, mit dessen Hilfe man die Computer- oder auch Benutzer-SID auslesen kann. Startet man das Tool ohne weitere Parameter wird immer die lokale Computer-SID ausgegeben.

Wie kam es (vermutlich) dazu

Da dem Autor die genauen Abläufe beim Hersteller nicht bekannt sind, kann an dieser Stelle nur gemutmaßt werden.

Vermutlich wurde bei der Erstellung des Master-Abbilds mittels Sysprep schlicht vergessen, den Haken bei “Verallgemeinern” zu setzen.

Folglich hat das Master-Abbild, nach wie vor eine eindeutige SID die dann z.B. auf eine komplette Serie oder Charge von Computern übertragen wird. Auf diese Weise kann man ganz schnell 100 oder mehr Computer mit der gleichen SID erhalten. Fügt man dann mehrere dieser Maschinen dem Netzwerk hinzu, kommt es zu Problemen.

Mögliche Lösungswege

Die sauberste Lösung besteht darin, die betroffenen Systeme sofort Offline zu nehmen, vollständig neu von einem reinen, nicht gebrandeten OEM-Medium zu installieren, da in einem solchen Fall mitunter die Abbilder auf Recovery-Medien (CD, DVD, Partition) ebenfalls die “falsche” SID enthalten könnten.

Alternativ kann man versuchen, nachträglich Sysprep auszuführen und eine Verallgemeinerung bzw. neue, eindeutige SID generieren zu lassen. Dieser Weg ist allerdings in Abhängigkeit der möglicherweise bereits installierten Software nicht möglich. Windows und Office haben damit erfahrungsgemäß kein Problem. Ob man das allerdings auf jede andere Anwendung umsetzen kann, muss von Fall zu Fall geklärt werden.

Ähnliche Artikel:

VMware: Dateien zwischen zwei ESXi-Hosts kopieren

andy — Wed, 16 May 2012 07:42:00 +0000

Es kommt mitunter vor, das man einzelne Dateien, wie z.B. ISO-Abbilder oder gar komplette virtuelle Maschinen zwischen zwei oder mehreren ESXi-Hosts kopieren möchte. Diese Aufgabe lässt sich mit geringer Vorarbeit mit den Bordmitteln ohne Probleme durchführen. Zum Einsatz kommt dabei Linux-typisch der Befehl scp.

Damit das Vorhaben direkt zwischen den Hosts Daten kopieren zu können gelingt, muss zunächst der SSH-Dienst gestartet und der SSH-Client in der Firewall freigeschaltet werden. Beides lässt sich im VMware vSphere Client erledigen.

Der Einfachheit halber und damit alle Hosts fern verwaltet werden können, den SSH-Dienst starten:

Den VMware vSphere Client ausführen.
Am Host anmelden.
Zur Registerkarte “Konfiguration” wechseln.
Im Abschnitt “Software” auf “Sicherheitsprofil” klicken.
Im Bereich “Dienste” “Eigenschaften” anklicken.
“SSH” auswählen und auf “Optionen…” klicken.
Nun kann man den Dienst manuell starten oder so konfigurieren, das er automatisch ausgeführt wird.

Ab jetzt ist es möglich, mit einem SSH-Client wie z.B. PuTTY, eine Verbindung zu den ESXi-Hosts aufzubauen.

Auf dem Host, der die Daten versendet muss der ESXi-eigene SSH-Client in der Firewall freigegeben werden:

Den VMware vSphere Client ausführen.
Am Host anmelden.
Zur Registerkarte “Konfiguration” wechseln.
Im Abschnitt “Software” auf “Sicherheitsprofil” klicken.
Im Bereich “Firewall” auf “Eigenschaften” klicken.
“SSH-Client” aktivieren und auf “OK” klicken.

Nun kann der SSH-Client Verbindungen nach außen aufbauen.

Der eigentlich Kopiervorgang ist dann mittels SSH und des Befehls scp schnell gestartet. In diesem Beispiel wurde eine Verbindung von einem Windows-PC aus mittels PuTTY zum ESXi-Host aufgebaut, der die zu kopierenden Daten enthielt und die dort vorhandenen ISO-Abbilder auf einen anderen ESXi-Host kopiert:

scp -r /vmfs/volumes/datastore1/ISOs root@IP-DES-ANDEREN-ESXi-HOST:/vmfs/volumes/datastore1

Passt man die Pfade an, kann man entsprechend auch von anderen Datastores aus kopieren oder virtuelle Maschinen umkopieren.

Kopiert man virtuelle Maschinen, so ist auf der “Empfängerseite” ein weiterer Schritt notwendig, damit Diese dann ausgeführt werden kann. Siehe dazu

WindowsPro: Virtuelle Maschine im vSphere Client importieren

Ähnliche Artikel:

OpenMediaVault: Update 0.3.0.7 Beta erschienen

andy — Wed, 09 May 2012 21:10:10 +0000

Für die aktuelle Beta von OpenMediaVault, als auch für die Plugins LVM und NUT gibt’s neue Updates.

Offizielle Meldung

Apache OpenOffice 3.4 – OpenOffice lebt

andy — Wed, 09 May 2012 19:45:33 +0000

Kaum zu Glauben, aber OpenOffice lebt! Die Apache Software Foundation hat nach langer Inkubation die finale Version 3.4 der Office-Suite veröffentlicht. Updates bestehender OpenOffice.org 3.3-Installationen sind problemlos möglich.

In wie weit sich nun OpenOffice Anteile gegenüber LibreOffice und weiterer Forks zurückholen kann, bleibt abzuwarten. Von Vorteil dürfte neben dem etablierten Namen auch die Internetadresse sein, da openoffice.org nach wie vor die Heimat der Office-Suite ist.

Download

Man darf sich nicht irritieren lassen, die Downloadseite ist derzeit noch in Englisch, man erhält aber die deutsche Version. Auch verläuft das Setup in gewohnter Art und Weise.

Cloud-Dienste und Rechts-Sicherheit

andy — Wed, 09 May 2012 09:18:13 +0000

Viele Nutzen in irgendeiner Form diverse Cloud-Dienste, das fängt meist mit E-Mail in Form eines Webmail-Anbieters an, geht über Spamfilter wie z.B. antispameurope und Endet (vorläufig) bei den cloud-basierten Speicherdiensten.

Gerade zu letzterem findet sich aktuell ein Interessanter Beitrag auf e-recht24.de. Absolut lesenswert und man sollte mal darüber nachdenken, ganz gleich ob man Dropbox und co. privat oder geschäftlich nutzt. Ferner sollte man auch an seinen selbstgehosteten Speicherdienst in Form von z.B. ownCloud denken.

Ähnliche Artikel:

Windows: VSS-Fehler mit Drive Snapshot vermeiden

andy — Tue, 08 May 2012 14:48:58 +0000

Nutzt man für die Datensicherung Drive Snapshot von Tom Ehlert, so kann es unter Umständen passieren, das einem folgende Fehler in Verbindung mit den Schattenkopien (VSS) begegnen. Die Lösungen sind dabei schnell und einfach:

VSS-Fehler mit der Partition HD1:1

Die Partition HD1:1, also die Boot-Partition von Windows Vista und neuer unterstützt kein VSS. Daher macht es in der Grundeinstellung von Drive Snapshot keinen Sinn, diese Partition mit VSS sichern zu wollen.

Belässt man die Einstellung auf dem Standard, so stellt dies keineswegs ein Problem dar, denn das Programm versucht zunächst via VSS zu sichern, gelingt das nicht, wird der Hersteller-eigene Treiber verwendet. Eine Sicherung wird also in jedem Fall erstellt. Möchte man allerdings die Datensicherung sauber lösen, so sollte HD1:1 mit der Option “–novss” gesichert werden.

VSS-Fehler auf Windows Server 2008 und neuer

In Abhängigkeit welche Rollen auf einem Windows Server 2008 oder neuer installiert sind, kann es vorkommen, das VSS-Fehler z.B. in Verbindung mit dem TsGateway auftreten. Dabei handelt es sich um ein Problem mit den Zugriffsberechtigungen. Die Lösung:

“Start – Verwaltung – Komponentendienste” anklicken.
Im “Konsolenstamm – Komponentendienste – Computer” erweitern.
Mit der rechten Maustaste “Arbeitsplatz” anklicken und “Eigenschaften” auswählen.
Zur Registerkarte “COM-Sicherheit” wechseln und im Abschnitt “Zugriffsberechtigungen” “Standard bearbeiten…” anklicken.
Die Benutzergruppe “Netzwerkdienst” hinzufügen und die Berechtigung “Lokaler Zugriff” zulassen.

Ähnliche Artikel:

Windows: CAPI2-Fehler im Ereignisprotokoll beheben

andy — Tue, 08 May 2012 14:30:50 +0000

Finden sich im Ereignisprotokoll von Windows Fehler mit den Event-IDs 4107 oder 11 der Quelle CAPI2, weisst dies keineswegs auf ein ISDN-Problem hin, wie der Quellennamen zunächst vermuten lässt, sondern gemeint ist vielmehr, das Windows keine Verbindung zu Windows Update oder einem WSUS-Server herstellen kann.

Mitunter liegt gar kein reales Problem vor, sondern es könnte sich um eine Falschmeldung handelt, die unter anderem dadurch zustande kommt, wenn der Computer zunächst direkt von Microsoft und später von einem WSUS-Server die Updates bezieht.

Die Lösung ist im Knowledge Base-Artikel 2328240 beschrieben. Erfahrungsgemäss genügt es es die Ordner

%windir%\System32\config\systemprofile\AppData\LocalLow\Microsoft\CryptnetUrlCache\Content
%windir%\System32\config\systemprofile\AppData\LocalLow\Microsoft\CryptnetUrlCache\MetaData

zu bereinigen. Ein Neustart von bestimmten Diensten oder des Computers ist nicht notwendig.

Ähnliche Artikel:

Windows: “Strg + Alt + Ent” zur Anmeldung via UltraVNC erlauben

andy — Tue, 08 May 2012 14:23:10 +0000

Unter Windows 7 funktioniert von Haus aus die Anmeldung mit der Tastenkombination “Strg + Alt + Ent” über UltraVNC nicht. Damit diese Tastenkombination zugelassen wird muss folgende Gruppenrichtlinie konfiguriert werden:

Computerkonfiguration – Administrative Vorlagen – Windows-Komponenten – Windows-Anmeldeoptionen - Software-SAS deaktivieren oder aktivieren

Diese muss aktiviert und auf “Dienste” eingestellt werden. Sobald die geänderte Richtlinie greift, ist eine Anmeldung über UltraVNC möglich.

Ähnliche Artikel:

Windows: Keine gespeicherte Anmeldedaten bei Remotedesktopverbindung

andy — Tue, 08 May 2012 14:16:04 +0000

Möchte man die Anmeldedaten (Benutzernamen und Kennwort) für eine Remotedesktopverbindung speichern bzw. hat Diese bereits gespeichert, aber Diese greifen nicht zur automatischen Anmeldung an einen Terminalserver, so kann das an der Gruppenrichtlinie

Computerkonfiguration - Administrative Vorlagen - System - Delegierung von von Anmeldeinformationen - Delegierung von gespeicherten Anmeldeinformationen mit reiner NTLM-Serverauthentifizierung zulassen

liegen. Diese muss auf “Aktiviert” und entweder der betroffene Terminalserver (“TERMSRV/HOST”) oder eine entsprechende Wildcard (“TERMSRV/*”) konfiguriert werden.

Sobald die geänderte Richtlinie greift, funktionieren die gespeicherten Anmeldedaten.

Hintergrund

In diesem konkreten Fall war es gewünscht, die Daten zu speichern und auf einen Terminalserver, der nicht Mitglied der Domäne ist, zuzugreifen. Unter Windows XP war das problemlos möglich, unter Windows 7 allerdings erst nachdem die oben genannte Richtlinie konfiguriert war.

Ähnliche Artikel:

Tine 2.0: Artikel in freiesMagazin

andy — Sun, 06 May 2012 16:20:33 +0000

Mal eine Meldung zu Tine 2.0 in eigener Sache:

Ich habe mich getraut, einen Artikel für freiesMagazin zu schreiben. In der aktuellen Ausgabe 05/2012 ist unter anderem ein Artikel über Tine 2.0 mit dabei, der aus meiner Feder oder besser gesagt aus meiner Tastatur stammt, mit dabei.

Ich muss gestehen, Bloggen und richtigen Artikel schreiben ist ein Unterschied. Zum einen sind die redaktionellen Vorgaben zu beachten, zum anderen der Schreibstil. Nach meiner persönlichen Meinung sind die Regeln von freiesMagazin nicht so schlimm/streng wie gemeinhin erzählt wird. Zum anderen wird man entsprechend darauf hingewiesen, wenn etwas nicht so toll ist. Alles in allem eine feine Sache.

Übrigens: Das Magazin suchst immer Autoren und Themen, guckst du hier.

Ähnliche Artikel: