Admin-Info

· Skripte, die über Benutzer-Gruppenrichtlinien (Benutzerkonfiguration - Windows-Einstellungen - Skripts) aufgerufen werden, laufen im normalen Security-Kontext des Benutzers (keine Admin-Rechte etc.)

· Skripte, die über Computer-Gruppenrichtlinien (Computerkonfiguration - Windows-Einstellungen - Skripts) aufgerufen werden, laufen im Security-Kontext des Computers (volle Admin-Rechte auf dem Client + evtl. für "Jeder" vergebene Rechte auf Domänen-Ebene)

· ob die Skripte während der Abarbeitung unsichtbar im Hintergrund laufen (= Standard) oder sichtbar im Vordergrund, lässt sich ebenfalls über Gruppenrichtlinien festlegen (Computerkonfiguration - Administrative Vorlagen - System - Anmeldung - Startskripts sichtbar ausführen)

4. Gruppentypen im Active Directory

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/prodtechnol/windows2000serv/deploy/cookbook/cookchp2.asp

Local Groups

Local groups have always existed in Windows NT. They can have members from anywhere in the forest, other trusted forests, and trusted earlier version domains. In terms of resource permission, however, they have only computer-wide scope, in that you can only use them to grant permissions on the computer on which they exist.

A special case for local groups in earlier versions of Windows NT is related to the local groups created on a PDC, which by virtue of replication of the domain SAM amongst BDCs, resulted in the PDC and BDCs sharing these groups. In mixed mode, local groups behave in the same way on Windows NT and Windows 2000; in native mode, local groups on a domain controller become domain local groups (described next).

Typically, local groups are used to grant ad-hoc access to resources on a local computer.

Domain Local Groups

Domain local groups are a new feature of Windows 2000, though similar in concept and use to the local groups created on the PDC in a Windows NT domain (described above).
Domain local groups are available only in native mode domains. They can have members from anywhere in the forest, other trusted forests, and even trusted earlier version domains. Domain local groups have only domain-wide scope in terms of resource permission, so you can only use them to grant permissions within the domain in which they exist. They differ from local groups in that you can use them on any computer running Windows NT within the domain in which they were created.
Typically, domain local groups are used to gather security principals from across the forest to control access to resources in the domain.

Global Groups

Windows 2000 global groups are effectively the same as Windows NT global groups. In terms of membership, they have domain-wide scope, but can be granted permissions in any domain, even in other forests and earlier version domains as long as a trust relationship exists.

Universal Groups

Universal groups can contain members from any Windows 2000 domain in the forest, but cannot contain members from outside the forest.
You can grant universal groups permissions in any domain, even in other forests, as long as a trust relationship exists.
Although universal groups can have members from mixed mode domains in the same forest, the universal group will not be added to the access token of these members because universal groups are not available in mixed mode.
You can add users to a universal group, but it is recommended that you restrict universal group membership to global groups.
Universal groups are available only in native mode domains.

Use of Universal Groups

Universal groups have a number of important characteristics. You can use universal groups to build groups that perform a common function within an enterprise. One example might be virtual teams. The membership of such teams in a large company would probably be nationwide or even worldwide, and almost certainly forest-wide, with the team resources being similarly distributed. Universal groups could be used as a container in these circumstances to hold global groups from each subsidiary or department, with a single access control entry (ACE) for the universal group to protect the team resources.

In using universal groups, an important factor to consider is that while global and domain local groups are listed in the global catalog (GC), their members are not, whereas universal groups and their members are listed, a fact that has implications for GC replication traffic. Exercise care in the use of universal groups. As a guide, if your entire network has high-speed connectivity, you can simply use universal groups for all of your groups and benefit from not having to bother with managing global groups and domain local groups. If, however, your network spans wide area networks (WANs), you can improve performance in several ways by using global groups and domain local groups.

If you use global groups and domain local groups, you can also designate any widely used groups that are seldom changed as universal groups.

Universal Groups and Access Tokens

The previous discussion of universal group membership touched on the fact that universal groups can contain members from mixed mode domains, but that such members will not have the universal group's SID in their access token. This is a consequence of the way access tokens are created in Windows 2000.

When a user logs on to a Windows 2000 native mode domain and has been authenticated, the Local Security Authority (LSA) on the domain controller where the user was authenticated retrieves the user's global group memberships. The LSA then passes this information down to the workstation, where it is used to build the user's access token. At the same time, the LSA queries the GC for the user's universal group memberships, which it also passes to the workstation.

If a user is a member of a universal group, the SID of that group is included in the access token on the workstation, and is added to the authorization data in the TGT issued by the KDC.

Universal groups are not added to access tokens at any other time—for example, when impersonation tokens are created at member servers. As a consequence, if the universal group SID is not available when the user logs on—for example, where the user is logging on to a mixed mode domain—it will not be added subsequently.

Nesting Groups

It is recommended that you do not create groups with more than 5,000 members. This guideline is based on the fact that updates to the Active Directory store have to be capable of being made in a single transaction. Because group memberships are stored in a single multivalue attribute, a change to the membership would result in the whole attribute—in other words, the whole membership list—having to be updated in a single transaction. Microsoft has tested and supports group memberships of up to 5,000 members.

You can get around this limitation by nesting groups to increase the effective number of members. A further consequence is that you also reduce the replication traffic caused by replication of group membership changes.

Your nesting options depend on whether the domain is in native mode or mixed mode. The following list describes what can be contained in a group that exists in a native mode domain. These rules are determined by the scope of the group.

Universal groups can contain user accounts, computer accounts, other universal groups, and global groups from any domain.

Global groups can contain user accounts from the same domain and other global groups from the same domain.

Domain local groups can contain user accounts, universal groups, and global groups from any domain. They also can contain other domain local groups from within the same domain.

This list describes what security groups in a mixed mode domain can contain:

Local groups can contain global groups and user accounts from trusted domains.

Global groups can contain only user accounts.

Multimaster Replication and Group Administration

Because group memberships are stored in a single attribute, you should exercise special care when adding and removing members where you have a number of users with administrative rights in the domain. The reason for this relates to replication latency and conflict resolution in Active Directory.

If you have two administrators making changes to the same group on different directory replicas at the same time, you could have a situation where, for instance, administrator A makes changes to group A, removing user A and adding user B, while administrator B is making changes to the same group, this time adding user C. The outcome of these simultaneous operations would depend on Active Directory conflict resolution, which takes the last update as authoritative.

To avoid this situation, you should consider delegating administration of specific groups to specific administrators.

Effects of Upgrade on Groups

Upgrading a PDC to Windows 2000 has no immediate effect on groups. Windows NT local groups become Windows 2000 local groups and Windows NT global groups become Windows 2000 global groups. The real change occurs when the domain is switched to native mode, at which point local groups on the PDC become domain local groups.

As stated earlier, when a user has been authenticated, an access token is created for the user containing the user's primary SID, together with the SIDs of any groups the user belong to. Local groups on the PDC are a special case in Windows NT. This is reflected in the way the access token looks when it is created after interactive logon on the workstation of a user who is a member of such a group, or when it is created at a domain controller for the purpose of impersonating that user to grant access to resources. Because the PDC local groups have no scope beyond the domain's PDC and BDCs, the user's access token on the workstation does not contain the SID for that group. When the user attempts to access resources on a domain controller, however, the impersonation token created for the user at the domain controller does contain the SIDs of any of the PDC local groups to which the user belongs.

When the domain is switched to native mode, the SIDs of any domain local groups of which the user is a member are added to the user's access token, even when the user is logging on interactively at a workstation. This is because domain local groups have domain-wide scope.

Groups and Domain Mode

Group type	Membership	Scope	Available in mixed mode?
Local	Members from: Same forest Other trusted forests Trusted earlier version domains	Machinewide	Yes
Global	Members from the local domain	Any trusted domain	Yes
Domain local	Members from: Same forest Other trusted forests Trusted earlier version domains	The local domain	No
Universal	Members from the same forest	Any trusted native mode domain	No

NetBIOS and WINS in Windows 2000

Network basic input/output system (NetBIOS) is a high-level network-programming interface used in Microsoft networking components from the late 1980s onwards. Network resources are identified in the NetBIOS namespace by unique NetBIOS names. Windows Internet Name Service (WINS) is a service supplied as part of Windows NT Server to support registration of dynamic mappings of NetBIOS names to Internet Protocol (IP) addresses, and to provide NetBIOS name resolution.

With the release of Windows 2000, support for the NetBIOS naming interface is no longer required for networking computers. This, along with the tight coupling of the Active Directory and Domain Name System (DNS), will result in a decline in the use of NetBIOS over time. In the meantime, upgrading your domain to Windows 2000 does not dispense with the need for NetBIOS support on your network or affect the degree of support you currently have.

After upgrading, you can discontinue the use of NetBIOS and WINS if the following conditions are met:

No clients such as Windows for Workgroups, Windows 9x, or Windows NT 4.0, and no servers running Windows NT 4.0 use NetBIOS. NetBIOS names can still be required on your network to provide basic file and print services and support for many legacy applications used on client computers running under earlier versions of Windows operating systems.

You have assessed the impact of earlier applications and services in your testing plan.

You have a pure Windows 2000 network and are sure that all computers and applications on your network are able to function using another naming service such as DNS. Network naming is a vital service for locating computers and resources throughout your network, even where NetBIOS names are not required.

You only have a single Windows 2000 forest or you do not need trust between multiple forests. Trusts between multiple Windows 2000 forests can only be established as explicit LAN Manager trusts. This type of trust still requires NetBIOS.

The Windows 2000 WINS client caches resolved names locally. It uses a component called the Caching Resolver to look in this cache before submitting a query to DNS. The host file is cached as soon as the client starts and any updates to the host file are reflected in the cache immediately. The name resolution sequence is as follows:

Attempt name resolution from the client cache.

If resolution from the client cache fails, the client attempts name resolution through DNS.

If DNS name resolution fails, the client attempts resolution through WINS.

As a result, assuming that you have implemented sufficient change control over your new clients as you have upgraded them, and once all earlier conditions have been removed, the switch away from NetBIOS and WINS should be seamless.

1. Microsoft Management Konsole (MMC)

Aufrufparameter:

· Aufruf der Microsoft Management Konsole bzw. einzelner SnapIns über Befehlszeile:
mmc c:\winnt\system32\compmgmt.msc "/computer:R1157"

· /a = MMC im Autorenmodus starten

· mmc sms.msc /SMS:nodeinfo=1
Wer die das Kontextmenü im SMS Admin Snap-In mit eigenen Programmen erweitern will, steht oft vor der Herausforderung, den zugehörigen Nodetype der jeweiligen Objekte ermitteln zu müssen, damit in der Registry die korrekten Einträge erstellt werden können... Wenn man das SMS Snapin mit einem Parameter aufruft, dann bekommt man diese Informationen über "Eigenschaften", "Knoteninformationen" frei Haus

Dateinamen der wichtigsten MMC-SnapIns

(vgl. http://www.tips-ol.de/workshop/mmc.html)

Dateiname	Beschreibung
Certmgr.msc	Zertifikate für Benutzer, Computer oder Dienste verwaltet.
Ciadv.msc	Übersicht über den Indexdienst
Compmgmt.msc	Verwaltung von lokalen Computern oder Remotecomputern
Devmgmt.msc	Der Geräte-Manager stellt die auf Ihrem Computer installierte Hardware in einer grafischen Übersicht dar
Dfrg.msc	Defragmentierungsprogramm
diskmgmt.msc	Datenträgerverwaltung ist ein grafisches Dienstprogramm für die Verwaltung von Datenträgern. Sie ersetzt den Festplatten-Manager
eventvwr.msc	Mit der Faxdienstverwaltung können Sie Faxe auf dem lokalen Computer oder auf anderen Computern im Netzwerk verwalten
faxserv.msc	Übersicht über freigegebene Ordner
gpedit.msc	Mit der Gruppenrichtlinieneinstellungen werden die verschiedenen Komponenten der Desktopumgebung definiert
ias.msc	Internetauthentifizierungsdienst
lusrmgr.msc	Übersicht über Lokale Benutzer und Gruppen
ntmsmgr.msc	Übersicht über Wechselmedien
ntmsoprq.msc	Übersicht über Wechselmedien
perfmon.msc	Mit dem Systemmonitor können Sie sich Informationen über die Hardwarenutzung und Aktivität von Systemdiensten auf den verwalteten lokalen Computern oder Remotecomputern in Echtzeit anzeigen lassen
secpol.msc	Übersicht über Sicherheitseinstellungen
services.msc	Mit diesen Programm können Sie die Dienste auf einem lokalen oder Remotecomputer starten, beenden, anhalten oder fortsetzen sowie Start- und Wiederherstellungsoptionen konfigurieren
wmimgmt.msc	Die WMI-Steuerung (Windows Management Instrumentation Control) ist ein Instrument zur Konfiguration der WMI-Einstellungen auf einem Remotecomputer oder lokalen Computer.
comexp.msc	unter System32\Com Mit dem Verwaltungsprogramm für Komponentendienste können Sie COM-Komponenten und COM+Anwendungen konfigurieren und verwalten

2. Mail-Formate beim Versenden von Mails ...

· ... unter Outlook: Mail-Format je nach Outlook-Voreinstellung (Ausnahme: falls RTF oder HTML gewählt wurde, aber nur reiner ASCII-Text (ohne Formatierungen) + Anlagen verwendet wurden, erfolgt der Versand trotzdem als "Nur Text")

· ... unter Word über Funktion "Senden an Mailempfänger" - Mail-Format = HTML (nicht RTF !)

· ... unter Word über Funktion "Senden an Mailempfänger (als Anlage)" = normaler Mail-Versand über eigenes Outlook-Fenster (siehe oben)

3. Office 2000 - Feststellen, welches Service Pack installiert ist

· SP2 ist installiert, wenn die Office-Anwendungen die folgenden Versionsnummern anzeigen (siehe http://support.microsoft.com:80/support/kb/articles/Q278/2/69.ASP&NoWebContent=1):

Office Program Version in "About" Dialog Box

-------------------------------------------------------

Microsoft Access (9.0.4402 SR-1)

Microsoft Excel (9.0.4402 SR-1)

Microsoft FrontPage 4.0.2.4426

Microsoft Outlook (9.0.0.4527)

Microsoft PowerPoint (9.0.4527)

Microsoft Word (9.0.4402 SR-1)

4. Outlook 2000 Tastaturkürzel

Go to the Inbox	CTRL+SHIFT+I
Go to the Outbox	CTRL+SHIFT+O
Check for New Mail F5 or	CTRL+M
Start a New E-mail message	CTRL+SHIFT+M
Open the address book	CTRL+SHIFT+B
Start a New appointment	CTRL+SHIFT+A
Start a New contact	CTRL+SHIFT+C
Start a New meeting request	CTRL+SHIFT+Q
Start a New a task	CTRL+SHIFT+K
Make the Find a Contact box active F11
Open the Advanced Find dialog box	CTRL+SHIFT+F
Mark an e-mail message as read	CTRL+Q
Delete an e-mail message, contact, calendar item, or task	CTRL+D

5. Google-Tipps

· Wildcards: Suche in Anführungszeichen auch mit "*" möglich

· CACHE - Suche in Google-Archiv möglich, z.B. "cache:www.microsoft.com suchbegriff1 suchbegriff2"

· FILETYPE: Suche auf Dateitypen beschränken - "filetype:xls" sucht nur in Exceltabellen (z.B. folgende Typen möglich: XLS, DOC, PDF, RTF, ANS/TXT, PPT, PS u.a.)

· SITE: Suche auf Website beschränken, z.B. "site:cnn.com Bush"

· INURL: Suche nach Seiten, in deren URL ein Wort vorkommt

· ALLINURL: Suche nach Seiten, in deren URL mehrer Wörter vorkommen

· LINK: Suche nach Seiten, die einen Link auf eine bestimmte Seite enthalten, z.B. "link:www.bayern.de"

· INANCHOR: Suche nach Seiten mit Links, die ein bestimmtes Wort enthalten, z.B. "inanchor:bayern"

· ALLINANCHOR: Suche nach Seiten mit Links, die mehrere bestimmte Wörter enthalten, z.B. "allinanchor:bayern gesundheit"

· INTITLE: Durchsuchen von Seitentiteln

· INTEXT: Durchsuchen von Seitentexten (ohne Titel, Schlüsselwörter, etc.)

· Suchen nach (engl.) Nachrichten: http://news.google.com (Beta-Version)

· Suche nach Abkürzungen: http://labs.google.com/glossary (Beta)

· Google-Steuerung über Tastatur: http://labs.google.com/keys (Beta)

· bei Seiten über 100 KB Dateigröße werden auch nur die ersten 100 KB indiziert; bei PDF-Dateien liegt die Grenze bei 120 KB! (==> Suchbegriffe, die weiter hinten stehen, werden nicht gefunden)

· Google Sets: ähnliche Suchbegriffe finden
unter http://labs.google.com/sets 2 Begriffe eingeben + google liefert weitere Wörter, die dazu passen

· unter http://www.myvasco.com/daterange.htm lässt sich mit dem Befehl 'daterange' eine Google-Suche auf Zeiträume einzugrenzen, in denen Google neue Websites in den Index aufgenommen hat

· Suche auf Synonyme des Suchbegriffs erweitern, z.B. nach "~manual" ==> findet auch "tutorial"

· Rechnen mit Google - z.B. "5 * (37+3)" - siehe http://www.google.com/help/calculator.html

· Maßeinheiten umrechnen, z.B. "50 feet in meter" eingeben, um "50 Fuß" in Meter umzurechnen

6. Virenschutz / VirusScan / McAfee

· Testvirus erzeugen:
Zeichenfolge "X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*" in eine Textdatei kopieren und diese unter dem Namen EICAR.COM speichern
(siehe auch http://vil.nai.com/vil/content/v_98616.htm)
oder: Download von www.eicar.org

7. Excel-Tipps

· Werte aus mehreren Tabellen in Formel verwenden:
=Summe(Tabelle1:Tabelle10!D4)

· beliebige Datenreihe per Doppelklick einfügen:

Geben Sie in die Zellen B2 bis B10 beliebige Werte ein. Wir nehmen einmal an, dass es sich dabei um verschiedene Nettopreise handelt, zu denen Sie den Bruttopreis ermitteln möchten.

Klicken Sie in die Celle C2 und geben Sie ein:

= B2*1,16

Bei markierter Zelle C2 führen Sie nun einen Doppelklick auf das Ausfüllkästchen aus. Excel füllt dann automatisch den Bereich C3 bis C10 mit der gewünschten Formel aus.

· verhindern, dass Nullwerte angezeigt werden

Eine weitere Alternative wäre die Anpassung des Zahlenformats. Dazu muss man wissen, dass sich jedes Zahlenformat in Excel in vier Bereiche teilt:

Um Nullwerte auszublenden, müssen Sie lediglich dafür sorgen, dass der Abschnitt für Nullwerte leer ist. Dazu löschen Sie zum Beispiel die komplette Definition hinter dem zweiten Semikolon:

_-* #.##0 DM_-;-* #.##0 DM_-;;_-@_-

Sind in dem Zahlenformat nur Formate für positive und negative Werte vorhanden, reicht es, ein zweites Semikolon ohne weitere Zeichen an das Ende der Definition zu hängen:

#.##0 DM;-#.##0 DM;

8. Manuelle Ausdrucke beidseitig (Duplex - z.B. für PDF-Dateien)

1. ungerade Seiten mit Option „Seiten umkehren“ drucken

2. falls Gesamt-Seitenzahl ungerade, letzte (= oberste) Seite entfernen

3. bedruckte Seiten (ggf. ohne letzte Seite) wieder einlegen

4. gerade Seiten mit Option „Seiten umkehren“ drucken

9. Verbinden mit Netzwerkdruckern

a) über Explorer-Adressleiste (z.B. Eingabe von "\\servername\a18-br2460")

b) über Explorer-Netzwerkumgebung (Netzwerkumgebung - Gesamtes Netzwerk - Microsoft Windows-Netzwerk - <Domäne> - <Servername> - Drucker + rechter Mausklick auf entsprechenden Drucker - Verbinden)

c) über Systemsteuerung (Start - Einstellungen - Drucker - Neuer Drucker - Netzwerkdrucker - Im Verzeichnis suchen - In: <Domäne> - Jetzt suchen + Doppelklick auf entsprechenden Drucker

d) evtl. über DOS-Box / Befehl "NET USE ..."?

10. Sonstiges

· Explorer-Sortierung nach Datum fest einstellen (v.a. für Aufruf über Windows-Taste + "e"):

- Windows Explorer wie gewünscht konfigurieren, nach Datum sortieren etc.; ggf. Option "Ansichtoptionen für jeden Ordner speichern" deaktivieren

- "Arbeitsplatz" auswählen (!) + dann Explorer beenden
==> die aktuelle Konfiguration wird dauerhaft als Voreinstellung gespeichert

· per Batch feststellen, ob aktive Anmeldung über (Microsoft-) Terminalservice-Client läuft: Inhalt der Variablen "SESSIONNAME" (z.B. mit dem Wert "RDP-Tcp#22") und "CLIENTNAME" (z.B. mit dem Wert "R1173") überprüfen (evtl. auch bei Citrix-Client ?)

· per Batch feststellen, ob der Benutzer an einem Laptop oder einer Workstation arbeitet:

Registry-Key HKEY_LOCAL_MACHINE/System/CurrentControlSet/Services/PCMCIA\Start überprüfen (DWORD-Wert):

0 = Laptop / 04 = Workstation

· USB-Standards:

USB 2.0 ist abwärtskompatibel zur Vorgängerversion USB 1.1, damit am schnelleren Bus auch langsamere Geräte arbeiten können. Und so unterstützt USB 2.0 neben der maximalen Datenübertragungsrate von 60 MB/s ("Hi-Speed"), auch die beiden Transfermodi von USB 1.1. Das sind "Low-Speed" mit knapp 0,2 MB/s für Eingabegeräte und "Full-Speed" mit 1,5 MB/s für flottere USB-Geräte wie Drucker, Scanner und Digitalkameras.

Tipp: Geräte, die das maximale USB-2.0- Tempo meistern, erkennen Sie am Hi-Speed-Logo.

·        Aufrufparameter innerhalb eines Registry-Schlüssels übergeben:
notepad %1          ===> übergibt den kurzen 8.3-Dateinamen
notepad %L          ===> übergibt den langen Dateinamen

· Bildvorschau (image preview) aus Windows XP über Befehlszeile aufrufen:
rundll32.exe %SystemRoot%\system32\shimgvw.dll,ImageView_Fullscreen IMG_0041.JPG

· Erläuterung der TCP/IP-Ports: http://www.networksorcery.com/enp/protocol/ip/ports00000.htm

· Deaktivieren von Exchange-Postfächern:
- Option "Nicht im Adressbuch anzeigen" verhindert nicht das Empfangen von Mails (egal ob über SMTP-Adresse oder über Verteiler)
- ??? zum Deaktivieren eines Postfachs evtl. 1. SMTP-Adresse löschen + 2. Postfach aus allen Verteilerlisten entfernen