SelfADSI Tutorial

LEX - The LDAP Explorer : Neue Version 1.5.003 basiert auf .NET Framework 4.x

Fri, 07 May 2016 20:00:00 GMT

Die neue Version 1.5.003 des LDAP Browsers / LDAP Admin Tools LEX - The LDAP Explorer ist ab sofort verfügbar. Diese Version bringt einiges an Fehlerbereinigungen und setzt außßerdem auf der .NET Framework Version 4.x auf. Damit ist LEX ohne weitere Zusatzinstallation einer Laufzeitumgebung sofort auf Windows 8.1, Windows 10 und Windows Server 2012 R2 lauffähig.

Neuer SelfADSI Tutorial Artikel: AD Berechtigungen - Der AdminSDHolder Mechanismus

Thu, 23 Jan 2014 20:00:00 GMT

Ein neuer Artikel im SelfADSI Tutorial widmet sich dem seltsamen Effekt, dass bei manchen Objekten im Active Directory plötzlich die Berechtigung zu fehlen scheinen. Die Vererbung der Brechtigungen fehlt und wird immer wieder automatisch deaktiviert, auch wenn man versucht, dies von Hand zu korrigieren. Der Grund: Der AdminSDHolder-Mechanimus versucht, so genannte Protected Objekts vor Veränderungen zu schützen. SelfADSI erklärt alles Wichtige zu diesem Mechanismus und gibt ein Script-Beispiel, um Objekte mit entsprechend deaktivierter Rechte-Vererbung im Verzeichnis zu finden.

Ein neues LEX Tutorial Bildschirm-Video: Wie man Werte von einem Attribut in ein anderes überträgt für viele Objekte

Sat, 10 Nov 2012 20:00:00 GMT

Ein neues LEX Tutorial Video ist fertig: Es demonstriert die Verwendung des Multi-Objekt-Editors, mit dem LEX - The LDAP Explorer viele Objekte gleichzeitig bearbeiten kann. In unserem Beispiel muss der Inhalt eines LDAP-Attributes in ein anderes Attribut übertragen werden - und das Ganze dann für sehr viele Objekte. Ein Aufgabe, die man nicht mehr manuell ausführen kann. Mit LEX einfach durchzuführen ohne ein Script schreiben zu müssen.

LEX - The LDAP Explorer : Brandneue Version 1.4.000 verfügbar

Mon, 08 Oct 2012 20:00:00 GMT

Die neue Version 1.4.000 des LDAP Browsers / LDAP Admin Tools LEX - The LDAP Explorer ist ab sofort verfügbar. LEX enthält nun eine Möglichkeit, in Echtzeit ein Objekt auf mehreren LDAP Servern zu beobachten. Dies ist z.B. sehr nützlich, wenn Sie den Ablauf einer Replikation beobachten möchten. Sie können dann ein Objekt bzw. wichtige Attribute eines Objektes in der Observation Factory so überwachen, dass Sie genau sehen, wann und wo die entsprechenden Änderungen an den Verzeichnisdaten vorgenommen wurden. In der Observation Factory können Sie z.B. untersuchen, ob einer Ihrer AD Domänencontroller nicht korrekt mit den anderen repliziert. Oder Sie könnten beobachten, in welchem Zeitabstand und mit welcher Reihenfolge Objekte bei der Synchronisation zwischen verschiedenen Meta-Directories verändert werden.

Neuer SelfADSI Tutorial Artikel: Scriptbeispiele zum Setzen von Berechtigungen im Active Directory

Thu, 27 Sep 2012 20:00:00 GMT

Nachdem im letzten SelfADSI Tutorial-Artikel der Aufbau von NT Security Descriptoren beschrieben wurde, kommt nun eine praktische Demontration, wie man mit Objektrechten im Active Directory umgeht. In verschiedenen VB Scripts wird gezeigt, wie man für AD Accounts die Option "Benutzer kann Kennwort nicht ändern" setzt bzw. löscht. Denn diese Option wird nicht über ein Attribut gesteuert, sondern direkt über die Berechtigungen des Benutzers.

Ein neues LEX Tutorial Bildschirm-Video: Wie man mit Attribut-Spalten in LDAP Objektlisten umgeht

Tue, 12 Juni 2012 20:00:00 GMT

Das erste LEX Tutorial Video ist fertig: Es demonstriert die Verwendung von Attribut-Spalten in den LDAP Objektlisten, wenn man mit dem LDAP-Browser LEX ein Verzeichnis durchsucht. Attribut-Spalten können einen sehr schnellen Überblick über Objekteigenschaften geben und erlauben eine sehr bequeme Sortierung nach den einzelnen Attributen

LEX - The LDAP Explorer : Neue Version 1.3.006 verfügbar

Wed, 02 May 2012 20:00:00 GMT

Die neue Version 1.3.006 des LDAP Browsers / LDAP Admin Tools LEX - The LDAP Explorer ist ab sofort verfügbar. Diese Version erlaubt das Starten und Konfigurieren einer LDAP-Verbindung von der Commandline aus.

Neuer SelfADSI Tutorial Artikel über Microsoft Security Descriptors und AD Berechtigungen

Wed, 25 Apr 2012 20:00:00 GMT

Dieser neue Artikel im SelfADSI Tutorial beschreibt den Aufbau von Microsoft Security Descriptor Werten. Ein Beispiel für einen solchen Wert ist das AD Attribut "ntSecurityDescriptor". Hier können die komplexen Berechtigungen auf AD Objekte gesetzt oder ausgewertet werden - jedoch nur, wenn man die genauen Details des Security Descriptors, der darin enthaltenen ACLs (Access Control List) und ACEs (Access Controls Entries) kennt. Der Artikel zeigt in Beispielscripts, wie man Berechtigungen ausliest, setzt oder löscht. Natrülich beinhaltet dies auch die Behandlung von Extended Rights und Property Sets!

LEX - The LDAP Explorer : Neue Version 1.3.005 verfügbar

Sun, 29 May 2011 14:00:00 GMT

Die neue Version 1.3.005 des LDAP Browsers / LDAP Admin Tools LEX - The LDAP Explorer ist ab sofort verfügbar. In dieser Version neue Konvertierungs-Tools für LDAP Syntax- und Datentypen eingeführt - außerdem gibt es Verbesserungen in der allgemeinen Performance und Stabilität

Neuer SelfADSI Tutorial Artikel über das pwdLastSet Attribut

Sun, 20 Feb 2011 08:00:00 GMT

Dieser neue Artikel im SelfADSI Tutorial beschreibt das LDAP-Attribut pwdLastSet. Hier wird der exakte Zeitpunkt der letzten Passwortänderung für ein Active Directory Konto gespeichert. Da es sich um einen Microsoft Integer-8 Wert handelt (100-Nanosekunden-Schritte seit 1.1.1600...), ist es etwas aufwändig, in Scripts mit diesem Attribut umzugehen. Der Artikel zeigt in Beispielscripts, wie man solche Werte lesbar umwandelt oder wie man z.B. nach Benutzern sucht, deren Passwort sich an seit einem bestimmten Zeitraum nicht geändert hat.

LUMAX v1.0 - Ein kostenloses Tool die Active Directory User Maintenance

Sun, 09 Jan 2011 15:00:00 GMT

Heute wurde die erste Version von LUMAX zur Verfügung gestellt, meinem neuen kostenlosen grafischen Tool für Active Directory Benutzer- und Account Maintenance. Mit LUMAX können sehr einfach Reports von wichtigen AD Konteninformationen erstellt werden wie z.B. dem tatsächlichen Zeitpunkt der letzten Anmeldung, dem Lockout Status, dem Erzeugungsdatum, dem Passwort-Ablaufdatum, Dem Status bzgl. Fine-Grained Paswword Policies und vieles mehr... Zusätzlich dazu gibt es bequeme Möglichkeiten, diese Informationen für ganze Domänen Markiert hervorzuheben, Konten danach zu filtern, und die Daten zu exportieren. LUMAX kommt mit vordefinierten Account Filtern wie z.B: diese hier:

zeige nur deaktivierte Accounts
zeige nur Accounts, die momentan gesperrt sind
zeige nur Accounts, die sich angemeldet haben in der letzten Stunde, dem letzen Tag, der letzten Woche usw.
zeige nur Accounts, die sich NICHT angemeldet haben seit einer Stunde, einer Woche, sechs Monaten, einem Jahr usw.
zeige nur Accounts, die sich noch nie angemeldet haben
zeige nur Accounts, deren Passwort noch nie geändert wurde / seit 2 Wochen (1 Monat / 6 Monaten...) nicht geändert wurde
zeige nur Accounts, die einer Fine-Frained Password Policy unterliegen
zeige nur Accounts, deren Passwort heute ablaufen wird / in den nächsten 2 Tagen / bereits abgelaufen ist / niemals ablaufen wird

...und vieles mehr. Das Tool erlaubt es Ihnen auch, sich mit LDAP/LDAP SSL zu jeder beliebigen Domäne mit expliziten Anmeldedaten zu verbinden.

LUMAX ist ein kostenloser Ableger in der Entwicklung des kommerziellen LDAP Browsers 'LEX The LDAP Explorer'..

Neue Version für LAZARUS, dem kostenlosen Tool für Active Directory Deleted Object Recovery

Wed, 01 Dec 2010 17:00:00 GMT

Ich habe eine neue Version von LAZARUS ist zum Download zur Verfügung gestellt, meinem kostenlosen Tool für den Zugriff auf den Deleted Objects Container und der Wiederherstellung von gelöschten Objekten im AD. Das aktuelle Release ist nun 1.6. Die neue Version beseitigt einige kleinere Fehler im Umgang mit AD LDS Verzeichnissen. Ein weiterer Grund: LAZARUS ist ein Ableger von LEX - The LDAP Explorer (meinem kommerziellen LDAP Browser und Admin Tool). Falls LAZARUS auf dem gleichen Rechner installiert wird wie LEX, dann kann LAZARUS die Verbindungsprofile und den Verzeichnis-Cache von LEX mit benutzen. Die neue LAZARUS Version wird notwendig, damit die Zusammenarbeit mit der neuesten LEX Version 1.3.002 reibungsfrei gelingt.

Wie man versteckte Empfänger in einer Exchange-Umgebung sucht und findet

Sun, 05 Dec 2010 18:00:00 GMT

Dies ist ein neuer Artikel im Bereich 'LDAP Search Werkstatt' des SelfADSI Tutorials. Er enthält entsprechende Script-Beispiele, die die Suche nach versteckten Exchange Mail-Empfängern demonstrieren.

Neue Version für LIZA, dem kostenlosen Tool für die Active Directory Security, Permission und ACL Analyse

Sat, 13 Nov 2010 09:00:00 GMT

Ich habe eine neue Version von LIZA ist zum Download zur Verfügung gestellt, meinem kostenlosen Tool für die Anzeige und Analyse von AD Objektrechten. Das aktuelle Release ist nun 1.4. Die neue Version beseitigt einnige kleinere Fehler im Umgang mit AD LDS Verzeichnissen. Ein weiterer Grund: LIZA ist ein Ableger von LEX - The LDAP Explorer (meinem kommerziellen LDAP Browser und Admin Tool). Falls LIZA auf dem gleichen Rechner installiert wird wie LEX, dann kann LIZA die Verbindungsprofile und den Verzeichnis-Cache von LEX mit benutzen. Die neue LIZA Version wird notwendig, damit die Zusammenarbeit mit der neuesten LEX Version 1.3.002 reibungsfrei gelingt.

Attribute zur Steuerung der AD Replikation: uSNCreated und uSNChanged

Mon, 01 Nov 2010 08:00:00 GMT

Ein neuer Tutorial Artikel beschreibt die beiden Objekt-Attribute uSNCreated und uSNChanged. Es handelt sich dabei um die lokalen Update Sequenz Nummern (USN) des jeweiligen Domänencontrollers zum Zeitpunkt des Entstehens oder der letzten Änderung eines Objektes. Zum besseren Verständnis der Bedeutung der USN-Werte in der Active Directory Replikation habe ich ein paar Videos angefertigt, die die Abläufe in der AD Replikation anschaulich darstellen.

LEX - The LDAP Explorer : Neue Version 1.3.002 verfügbar

Sun, 24 Oct 2010 14:00:00 GMT

Die neue Version 1.3.002 des LDAP Browsers / LDAP Admin Tools LEX - The LDAP Explorer ist ab sofort verfügbar. In dieser Version wurden viele Verbesserungen im Umgang mit LDAP Filtern und Suchvorgängen im Verzeichnis eingeführt. LEX kann nun z.B. aus einer Liste mit Namen, Mail-Adressen oder anderen Attributen ganz unkompliziert einen passenden LDAP-Filter für die Anzeige der betreffenden Objekte bauen. Einfach die Liste in die Zwischenablage kopieren (auch aus einer Excel-Tabelle heraus) und im Suchdialog oder in der LEX Pipe Factory einfügen...

Benutzer Accounts im Active Directory suchen und finden

Sun, 26 Sep 2010 09:00:00 GMT

In den meisten Fällen, in denen ich Beispielscripte für die LDAP-Suche nach Active Directory Benutzern sehe, wird dort folgender LDAP Filter verwendet: (&(objectClass=user)(objectCategory=person)). Dies ist jedoch nicht die optimale Methode, um User Accounts zu suchen. Der Filter ist so gebaut, dass intern unnötig viel Server-Leistung verbraucht wird. Dieser Tutorial Artikel zeigt einen effizienteren LDAP Filter für die Suche nach User Objekten - und stellt verschiedene Script Beispiele für Suche zur Verfügung (Alle Benutzer der eigenen Domäne, des eigenen Forests usw.)

Alle Mitglieder einer Active Directory Gruppe finden

Sat, 11 Sep 2010 12:00:00 GMT

In Active Directory Scripts werden Mitglieder einer Gruppe oft gesucht, indem man sich mit dem Gruppenobekt verbindet und dessen API-Eigenschaft members bzw. LDAP Attribut member auswertet, oder auf der Gegenseite das Attribut memberOf des Benutzers. Dies ist allerdings nicht ganz exakt, denn Gruppenmitgliedschaften werden nicht nur über dieses Attributpaar realisiert, sondern auch in Form der "Primären Gruppe", diese steht bei einem Benutzer im Attribut primaryGroupID. Die tatsächliche Gruppenmitgliedschaft setzt sich bei einem Verzeichnisobjekt also stets aus zwei Attributen zusammen!

Standardmäßig wird bei neuen Benutzern die primäre Gruppe auf "Domänenbenutzer" gesetzt, deswegen fällt es nicht besonders auf, dass diese Gruppenmitgliedschaft bei der schnellen Auswertung des member-Values fehlt. Falls jedoch andere Gruppen als primäre Gruppen eingetragen sind, ist dieser herkömmliche Weg der Mitgliedschafts-Auswertung nicht exakt genug! Deswegen wird in diesem Artikel neben der Quick-and-Dirty Methode auch beschrieben, wie man eine komplette Liste der Mitglieder einer Gruppe ermittelt.

Beschreibung der LDAP Attribute für Active Directory Kontakt-Objekte

Thu, 19 Aug 2010 12:00:00 GMT

Heute habe ich die Beschreibung der Attribute für Active Diectory Kontakte zum SelfADSI Tutorial hinzugefügt. Schon seit längerem gehören die korrespondierenden Artikel für die LDAP Attribute von AD Usern und die LDAP Attribute für AD Gruppen zu den beliebtesten Seiten des Tutorials, also war es nur logisch diese Reihe zu vervollständigen. Wieder einmal habe ich hier versucht, die LDAP-Attributnamen für alle Eingabefelder der grafischen Admin-Utilities zu zeigen:

Windows 2008 AD Users and Computers	Windows 2000 / Windows 2003 AD Users and Computers	Exchange 2003 AD Users and Computers	Exchange 2007 Exchange Management Console

LEX - The LDAP Explorer : Neue Version 1.3.000 verfügbar

Wed, 21 Jul 2010 20:00:00 GMT

Die neue Version 1.3.000 meines LDAP Browsers / LDAP Admin Tools LEX - The LDAP Explorer ist ab sofort verfügbar. Neue Funktionen in dieser Version:

Die neue Pipe Factory ist nun integriert: Starten Sie beliebige Applikationen oder Scripts direkt aus dem Kontextmenu eines Objektes heraus und übergeben Sie den Distinguished Name dabei als Kommandozeilenparameter: So können Sie eigene Plug-Ins für das Handling von Verzeichnisobjekten bauen.
LEX kann nun mit Linked Attributes umgehen - vom Prinzip her genau wie es ein OpenLDP "memberOf" Overlay machen würde: Wenn Sie den Wert eines verlinkten Attributes ändern (wie z.B. "member" oder "memberOf"), so ändert LEX automatisch den passenden Wert für das entsprechende Attribut des betreffenden Backlink/Referenz-Objektes. Funktioniert auch für geschützte Backlink-Attribute, die normalerweise nur vom System selbst geändert werden dürfen: Sie können nun z.B. das "memberOf" Attribut in Active Directory Umgebungen genauso ändern, als wenn es ein ganz normales Attribut wäre.
...und viele kleinere Verbesserungen, wie z.B. ein Eidot für GUID Attribute.

Name Translation : Wie man den LDAP Pfad eines Benutzers ermittelt

Sat, 17 Jul 2010 14:00:00 GMT

... wenn man nur den Anmeldenamen kennt. Ein Tutorial für die Verwendung des IADsNameTranslate Interfaces aus VBScripts heraus. Damit lassen sich NetBIOS-Anmeldenamen (SamAccountName) oder UPNs (User Principal Name) ganz einfach in den kompletten LDAP Pfad des betreffenden User-Accounts umwandeln - diesen LDAP Pfad (Distinguished Name) benötigt man für den Zugriff auf das Verzeichnisobjekt.

Script-Beispiel: Ist dieser Domänencontroller ein Globaler Catalog?

Thu, 15 Jul 2010 22:00:00 GMT

Ein kleines Beispielscript, mit dem man bei einem gegebenen Domänencontroller prüfen kann, ob es sich dabei um einen Globalen Katalog Server im Active Directory handelt. Dazu werden in einem LDAP-Script die spezifischen Server-Optionen in der Configuration Partition abgefragt.

LDAP Suche im AD Global Catalog per Script

Sat, 10 Jul 2010 14:00:00 GMT

Ein neuer Artikel im SelfADSI Tutorial: Es wird gezeigt wie man einen LDAP Suchvorgang im Globalen Katalog durchführt. So können Objekte im gesamten Active Directory Forest nach diversen Kriterien gefunden werden. Mit detailierten Beispielscripts für verschiedene Situationen (Suche mit oder ohne Anmeldedaten, Suche über SSL-Verbindungen zum GC, und GC-Suchvorgänge, wenn der eigene Domänen-/Forest-Name unbekannt ist).

Wie man sich per Script mit Objekten im Globalen Katalog verbindet

Tue, 22 Jun 2010 15:00:00 GMT

Ein neuer Artikel im SelfADSI Tutorial: Es wird gezeigt wie man einen LDAP BIND Vorgang mit irgendeinem Objekt in einem Global Catalog durchführt. Dies ist notwendig, wenn man per Script auf den Active Directory GC zugreifen will. Mit detailierten Beispielscripts für verschiedene Situationen (Bind mit oder ohne Anmeldedaten, Serverless Binding, SSL-Verbindungen zum GC, und GC-Verbindungen, wenn der eigene Domänen-/Forest-Name unbekannt ist).

Wie man den Namen der eigenen Active Directory Domäne ermittelt

Tue, 15 Jun 2010 21:00:00 GMT

Dieser kurze Artikel zeigt, wie man per Script die verschiedenen Namen der Domäne ermitteln kann, in der Benutzer angemeldet ist, der das betreffende Script ausführt: LDAP Pfadname der Domäne, NetBIOS-Domänenname und voll qualifizierter DNS-Domänenname.

Wie man deaktivierte Active Directory Benutzer sucht und findet

Sun, 13 Jun 2010 18:00:00 GMT

Dies ist ein neuer Artikel im Bereich 'LDAP Search Werkstatt' des SelfADSI Tutorials. Er enthält entsprechende Script-Beispiele, die die Suche nach deaktivierten AD Usern demonstrieren.

Scripting mit dem Globalen Katalog

Sun, 06 Jun 2010 20:00:00 GMT

Ein neuer Abschnitt des SelfADSI Tutorials beschreibt das Scripting mit dem globalen Katalog in Active Directory Umgebungen. Vorerst sind zwei Unterkapitel fertig:

Wie man gesperrte Active Directory Benutzer sucht und findet

Wed, 26 May 2010 20:00:00 GMT

Dies ist ein neuer Artikel im Bereich 'LDAP Search Werkstatt' des SelfADSI Tutorials. Er zeigt interessante Script Beispiele für die LDAP Suche nach gesperrten AD User Accounts ud wie man die verbleibende Sperrdauer für jeden Benutzer ausrechnet. Es gibt einen Haufen interessanter Attribute und Eigenschaften bezüglich des Lockout Mechanismus: lockoutDuration, lockoutTime, msDS-User-Account-Control-Computed, IsAccountLocked... Es ist einfach das Meiste aus diesen herauszuholen wenn man weiß, wie!

Neue Version für LAZARUS, dem kostenlosen Tool für AD Deleted Objects Recovery

Tue, 25 May 2010 20:00:00 GMT

Heute ich eine neue Version von LAZARUS zum Download zur Verfügung gestellt, meinem Tool für den Zugriff auf den "Deleted Objects" Container und die Wiederherstellung von Objekten und Strukturen. Das aktelle Release ist nun 1.5. Ich habe ein paar Änderungen vorgenommen, die LAZARUS helfen, besser mit AD LDS (ADAM) Umgebungen zurechtzukommen. Ja - auch gelöschte Objekte in AD LDS Verzeichnissen können von LAZARUS gerettet werden! :) Einfach den "Connection"-Button benutzen, Server-Adresse, LDAP-Port der betreffenden Instanz und Anmeldedaten angeben, und los geht's...

Suchen und Finden von Active Directory Domänencontrollern

Sat, 22 May 2010 14:00:00 GMT

Als erstes Kapitel meiner neuen Tutorial-Unterabteilung "LDAP Search Factory" ist die Website mit VBScript Beispielen für das Auffinden aller Domänencontroller online. Ich habe viel Wert darauf gelegt zu zeigen, wie man eine allgemeine Suche in der eigenen Domäne startet, wobei der Name dieser Domäen zuerst automatisch ermittelt wird. Eine anderes Beispiel zeigt die Suche in einer beliebigen anderen Domäne oder OU - gegebenenfalls auch mit anderen Credentials. Zu guter Letzt noch ein Beispiel, dass automatisch alle DCs des gesamten AD Forests sucht - eine Demonstration einer LDAP-Suche im globalen Catalog.

Neue Attribut-Beschreibungen für Active Directory-Benutzer

Sat, 22 May 2010 13:00:00 GMT

Nach und nach vervollständige ich die Liste der wichtigen LDAP-Attribute für Active Directory Benutzer-Accoutns. Neu hinzugekommen sind Bescheibungen für description und info. Zugegeben: Nicht die interessantesten Attribute. Aber die Liste wird langsam voller, und ich plane als nächstes die viel interessanteren Atttribute uSNCreated, usnChanged, pwdLastSet uind lockOutTime zu beschreiben...

Das userAccountControl Attribut für Active Directory Benutzer

Mon, 10 May 2010 23:00:00 GMT

Ein Tutorial Artikel über das userAccountControl Attribut von Active Directory Benutzern. Dieser Wert bietet eine Menge wichtiger Informationen und Status Configurationen bezüglich des betreffenden Accounts. Es werden detaillierte Beschreibungen jedes einzelnen Flags gegeben sowie Beispiele, wie man diese Flags in eigenen Scripts setzt oder löscht.

Neue Version von LIZA, dem kostenlosen Tool für die Active Directory Security, Permission und ACL Analyse

Sun, 25 Apr 2010 20:00:00 GMT

Heute ich eine neue Version von LIZA zum Download zur Verfügung gestellt, meinem Tool für die Anzeige und Analyse von AD Objektrechten. Die aktuelle Version ist nun v1.1. Die neue LIZA kann nich nur Brrechtigungen für Container-Objekte darstellen und analysieren, sondern bei Bedarf auch für jedes einzelne Objekt in beliebigen Active Directory Verzeichnissen.

Scripting Novell ZENworks : Distribution Rules für Application Objecte

Mon, 19 Apr 2010 23:00:00 GMT

Distribution Rules sind bei der Software-Verteilung in Novell ZENWorks-Umgebungen sehr wichtig, da durch sie gesteuert werden kann, das ZEN-Applikationen nur dann auf einer Maschine installiert werden oder verfügbar sind, wenn dort ganz bestimmte Voraussetzungen gegeben sind. Es handelt sich dabei um die LDAP Attribute 'zenAppInventory', 'zenAppInventoryTree' und 'zenAppInventoryApplication' für Application-Objekte. Dies sind Binärfelder, deren Inhalt und Zusammenhang untereinander leider nicht intuitiv klar ist. Ich mußte für ein Migrationsprojekt die Distribution Rules sehr vieler ZEN Appliationsobjekte per Script ändern, aber es gibt keine öffentlich zugängliche Dokumentation der interne Struktur! Also habe ich alte Beziehungen spielen lassen (ich habe mal als Entwickler für NetWare Server FDDI-Treiber gearbeitet...) und durch ein paar Brocken Original-Sourcecode und ein bisschen Reverse Engineering habe ich versucht etwas Licht in den ZENWorks Dschungel zu bringen: Dieser Artikel ist das Ergebnis.

LIZA v1.0 - Ein kostenloses Tool für die Active Directory Security, Permission und ACL Analyse

Mon, 05 Apr 2010 20:00:00 GMT

Heute habe ich die erste öffentliche Version von LIZA zum Download zur Verfügung gestellt, meinem neuen Tool für die Anzeige und Analyse von AD Objektrechten. Ich habe die Möglichkeiten schon immer für ziemlich unhandlich und komplex gehalten, die Windows von Haus aus zur Untersuchung von Objektberechtigungen in einer Active Directory Umgebung bietet. Also habe ich ein Tool entwickelt, das eine schnelle und übersichtliche Anzeige von Objekt-Berechtigungen und Audit-Konfigurationen im Active Directory ermöglicht. Außerdem habe ich noch eine Analysefunktion hinzugefügt: Wo in der Verzeichnishierarchie hat ein Account (zusammen mit seinen Gruppenmitgliedschaften) Zugriffsrechte?

Microsoft SIDs und wie man in LDAP Scripts mit ihnen umgeht

Wed, 10 Mar 2010 20:00:00 GMT

Ein Tutorial Artikel über Active Directory SID Attribute, in dem die Struktur dieser Security Identifier detailliert besprochen wird. Außerdem wird gezeigt, wie man aus einem VBScript heraus die SID eines AD Accounts auslesen kann, wie man sie in eine lesbare SDDL Form (S-1-5-21-.....) umwandelt. Es gibt Beispiel-Scripts für LDAP-Filter, mit denen man nach Objekten mit bestimmten SIDs suchen kann (->Auswertung des 'tokenGroups'-Attributes!!) und wie man sich mittels einer SID mit einem Account Objekt verbindet.

LEX - The LDAP Explorer : Neue Version 1.2.004 verfügbar

Mon, 01 Mar 2010 21:00:00 GMT

Die neue Version meines kommerziellen LDAP Browser / LDAP Admin Tools ist seit heute verfügbar. Neue Features in dieser Version: LEX kann nun Passwörter für AD Accounts setzen. Beim Editieren von Objektrechten ist die Übernahme der Ownership für AD-Objekte nun möglich. Viele neue spezifische Editoren und Funktionen für Attribute wurden hinzugefügt, die Bitfelder/Flags darstellen: userAccountControl, dsHeuristics, systemFlags, searchFlags, groupType, sAMAccountType. Zugegeben, dies waren eine Menge Neuerungen speziell für AD Umgebungen. Neue Funktionen für andere LDAP Verzeichnis-Server oder neue allgemeine LDAP Browser Funktionen gibt es in der nächsten Version ;)

Löschen von LDAP Objekten mit ADSI und VBScript

Sun, 07 Feb 2010 13:00:00 GMT

Ein Tutorial Artikel über das Löschen von LDAP Objekten. Enthält auch Beispiele, wie man ganze LDAP Subtrees löscht.

Wie sucht man nach AD Benutzern, deren Passwort nie abläuft _oder_ die kein Passwort benötigen?

Fri, 05 Feb 2010 17:00:00 GMT

Der LDAP Filter Artikel des Tutorials wurde überarbeitet. Im Teil, der sich mit Filtersuche für Bitfelder beschäftigt, wurden neue Erklärungen und Beispiele für Filter mit logischer ODER - Suche eingefügt (LDAP_MATCHING_RULE_BIT_OR 1.2.840.113556.1.4.804).

Wie man per Script gesperrte Active Directory Benutzerkonten entsperrt

Sun, 24 Jan 2010 17:00:00 GMT

Dieser Artikel zeigt wie man Benutzerkonten entsperrt, die vom Active Directory Intruder Account Lockout Meachnismus gesperrt wurden. Dazu können wir die API-Property 'IsAccountLocked' benutzen (old school) oder wir könnten das Integer8-Attribute 'lockoutTime' verwenden, was eleganter wäre.

LAZARUS v1.0 - Ein kostenloses Tool für die Active Directory Widerherstellung von gelöschten Objekten

Wed, 13 Jan 2010 22:00:00 GMT

Gestern habe ich die erst öffentliche Version von LAZARUS zum Download zur Verfügung gestellt, meinem neuen Tool für den Zugriff auf den versteckten Active Directory container "Deleted Objects". Dort speichert ein Domänencontroller (oder ADAM/AD LDS Server) für eine Weile die gelöschten Verzeichnisobjekte, bevor sie entgültig physikalisch aus der Active Directory Datenbank gelöscht werden. LAZARUS kann diese Tombstones reanimieren - wenn Sie deas neue AD Recycle Bin feature in Ihrer Umgebung aktiviert haben, dann kann LAZARUS die Objekte mit Ihrer vollen referentiellen Integrität wieder herstellen (keine verlorenen Gruppenmitgliedschaften mehr!). LAZARUS ist ein Sub-Projekt innerhalb der Entwicklung meines LDAP-Browsers "LEX - The LDAP Explorer".

The lastLogonTimeStamp attribute für Active Directory User

Wed, 06 Jan 2010 22:00:00 GMT

Das lastLogonTimestamp Attribut zeigt, wann sich ein Benutzer zum letzten Mal in der Domäne angemeldet hat. Es wird auf alle Domänencontroller repliziert, jedoch erst nach ca. 2 Wochen. Der Wert lastLogonTimestamp ist es also eher dazu geeignet, inaktive Konten ausfindig zu machen, die sich schon lange Zeit nicht mehr in der Domäne angemeldet haben. Mit diesem Artikel können Sie ohne Aufwand einen LDAP Filter erzeugen, der z.B. folgende Objekte sucht: "Welche Benutzer haben sich in den letzten 6 Monaten nicht in der Domäne angemeldet?".

Das lastLogon Attribut für Active Directory User

Fri, 25 Dec 2009 13:00:00 GMT

Den Zeitpunkt der letzten Anmeldung im Script ausgeben und die entsprechenden Werte verarbeiten.

Konvertierung von AD Large Integer / Integer8 Werten in Datum und Uhrzeit

Thu, 10 Dec 2009 20:00:00 GMT

Script Tutorial für die Handhanbung von solch wichtigen Active Directory Attributen wie lastLogon, lastLogonTimestamp, pwdLastSet, lockOutDuration, ... und viele mehr.

LDAP Objekt-Attribute schreiben

Wed, 11 Nov 2009 20:00:00 GMT

Attribute von Verzeichnisobjekten innerhalb eines ADSI Scripts schreiben

Provider Specific Attribute

Sun, 08 Nov 2009 20:00:00 GMT

Wie man mit Provider Specific Attribute in ADSI LDAP-Scripts umgeht

LDAP Objekt Attribute vom Typ "Octet String"

Sun, 25 Oct 2009 20:00:00 GMT

LDAP-Attribute mit Binärdaten in Scripts lesen und schreiben

LDAP Verzeichnisobjekte umbenennen

Sun, 27 Sep 2009 20:00:00 GMT

LDAP Verzeichnisobjekte umbenennen

LDAP Objekt-Attribute lesen

Sat, 12 Sep 2009 20:00:00 GMT

Attribute von Verzeichnisobjekten innerhalb eines ADSI Scripts auslesen