Huu-Duc LE's Blog

Gestion des GPO avec PowerShell

Bonjour,

L’article suivant permet de créer des GPO sous 2008 et 2008 R2 avec PowerShell.

Pour faire cela, on appelle l’objet COM GPMgmt.GPM

$gpobj = New-Object -ComObject GPMgmt.GPM

Afin de s’assurer que l’objet COM est bien appelé, on affiche les détails de la variable $gpobj :

$gpobj | gm

Ces méthodes sont décrites dans ce lien :

http://msdn.microsoft.com/en-us/library/aa814177(VS.85).aspx

On appelle ensuite la méthode constants() et on précise le domaine dans lequel on va créer la GPO.

$gpmConstants = $gpobj.GetConstants()

HRESULT GetDomain(

[in] BSTR bstrDomain,

[in] BSTR bstrDomainController,

[in] long lDCFlags,

[out] IGPMDomain **plIGPMDomain);

Huble.com : domain name

UseAnyDC est le flag de l’argument.

Voir http://msdn.microsoft.com/en-us/library/aa814309(VS.85).aspx

IGPM::GetDomain Method

Creates and returns a GPMDomain object that corresponds to the specified domain.

$gpmDomain =$gpobj.GetDomain(“huble.com”, “”, $gpmConstants.UseAnyDC)

Maintenant, si on veut voir les méthodes de GetDomain(), on utilise gm (pour get-member):

$gpmDomain | gm

La méthode CreateGpo() permet de créer un GPO dans huble.com

$gpmNewGpo = $gpmDomain.CreateGPO()

On donne un nom à cette nouvelle GPO.

$gpmNewGpo.DisplayName = “This GPO is created by PowerShell"

$gpmNewGpo.Description = “This is a description of the GPO created by PowerShell"

Pour vérifier que c’est bien créé, on utilise la MMC “Group Policy Management”

. Création d’un lien entre cette nouvelle GPO avec une OU existante, par exemple avec l’OU1 :

Pour cela, on va appeler les méthodes GetSOM() et CreateGPOLink() :

$som.CreateGPOLink(1,$gpmNewGPO)

Et enfin, utiliser GPMC pour vérifier la résultat de la création.

by HuuDucLe | 0 Comments

Comment voir quels membres appartenant a quels groupes de replication dans DFSR ?

Bonjour,

Avec DFSR, vous pouvez avoir plusieurs machines membres appartenant à un groupe de réplication DFSR, ou bien une machine membre peut appartenir à plusieurs groupes de réplication (RG) DFSR.

Pour pouvoir s’y repérer, vous avez la commande DFSRADMIN. Voici quelques exemples de commande dfsradmin :

Exemple 1 : voir les répertoires répliqués par DFSR comprenant la taille, les GUID des RG (replication group) et les GUID des RF (replication folder)

dfsradmin membership list /computer:huble\2008R2 /Attr:StagingPath,StagingSize,MembershipGuid,RgGuid,RfGuid

Exemple 2 : Pour voir les répertoires membres d’un groupe de réplication nommé ‘ReplicationGroup1’, voici la commande :

dfsradmin membership list /rgname:replicationgroup1

On peut voir que pour le répertoire ‘dfsrfolder2’, les membres qui participent à sa réplication sont 2008R2 et 2008R2-1

Pour voir si les répertoires sont en Read-Only ou non dans DFSR

Exemple 3 : avec l’option RO comme attribut dans la commande DFSRADMIN

dfsradmin membership list /rgname:replicationgroup1 /Attr:MemName,RfName,IsPrimary,RO

On peut voir que les répertoires dfsrfolder et dfsrfolder2 sur 2008R2-1 sont en READ ONLY.

by HuuDucLe | 0 Comments

Comment activer l’option “recycle bin” avec PowerShell dans 2008 R2

Comme vous le savez sans doute, l’option “recycle bin” de 2008 R2 permet de récupérer les objets supprimés de l’Active Directory, sans être obligé d’utiliser un jeu de sauvegarde.

Cet article va vous donner les détails pour activer cette fonctionnalité via PowerShell.

Tout d’abord on importe le nouveau module disponible dans PowerShell de 2008 R2. avec la commande suivante :

import-module activedirectory

Vérifier si le module en question est bien importé avec : get-module

Vérifier si le feature de l’AD est actif avec : get-ADOptionFeature –filter {name –like “*”}

Maintenant on active le “recycle bin” avec la commande :

enable-ADOptionFeature “recycle bin feature” –scope forest -target “huble.com”

Choisir Y pour confirmer l’activation du “recycle bin”.

Vérifier s’il y a des objets supprimés qui sont présents dans la corbeille (recycle bin) :

get-ADObject –searchBase “CN=deleted objects,dc=huble,dc=com” –ldapfilter “(objectclass=*)” –IncludeDeletedObjects

Utiliser l’outil DSA.msc pour supprimer un objet, dans cet exemple on va supprimer le groupe “AZS” pour tenter de la récupérer :

Vérifier ensuite si le groupe AZS est désormais dans la corbeille avec la commande suivante :

get-ADObject –searchBase “CN=deleted objects,dc=huble,dc=com” –ldapfilter “(objectclass=*)” –IncludeDeletedObjects

On utilise ensuite cette commande pour voir les détails du groupe AZS, avec l’option FORMAT-LIST :

get-ADObject –searchBase “CN=deleted objects,dc=huble,dc=com” –ldapfilter “(objectclass=*)” –IncludeDeletedObjects | format-list

l’option –searchbase précise l’endroit où l’on va faire des recherches

l’option –IncludeDeletedObjects précise que la recherche comprend les objets supprimés, sinon la recherche ne va pas inclure les objets supprimés

Dans l’écran suivant, on voit que l’objet supprimé est dans “CN=Deleted Objects”

Le CN de l’objet AZS comprend la chaine de caractères 0ADEL signifiant que l’objet est virtuellement supprimé de l’AD.

Maintenant, on va restaurer l’objet AZS qu’on a supprimé avec PowerShell

restore-ADobject –identity GUID_of_Object

Vérifier que AZS est bien restauré avec la commande ci-dessous

by HuuDucLe | 0 Comments

Les nouveautés Kerberos dans Windows 2008 R2 et Windows 7

Bonjour, Windows 2008 R2 et Windows 7 sont sorties avec des nouveautés, notamment au niveau du fonctionnement du protocole Kerberos.

Parmi ces nouveautés, il y a la nouvelle GPO Kerberos “Use Forest Search Order”, cette GPO permet de définir une liste des forêts ayant les trusts avec celle-ci, elle permet au service KDC d’envoyer des requêtes dans l’ordre des forêts définies dans cette liste, afin de trouver le SPN en contactant les Global Catalog. Si la recherche est positive, alors un ticket Referral lui est retourné.

Si cette GPO n’est pas utilisée, alors le KDC ne va pas chercher les forêts listées pour résoudre le SPN, si la recherche du SPN échoue, alors NTLM sera utilisé.

Voici les captures d’écran des GPO Kerberos 2008 R2.

Quand la GPO est appliquée, les clefs de registre ForestSearchList et UseForestSearch sont créées.

Client Kerberos GPO.

En plus de cette GO, une nouvelle GPO Kerberos permet de faire le mappage de nom avec d’autres Realm kerberos.

La GPO ci-dessous permet d’utiliser l’algorithme d’encryption AES dès la requête AS (authentication service)

Restreindre l’utilisation du protocole NTLM.

A partir de 2008 R2 et Windows 7, vous avez la possibilité de restreindre l’utilsation du protocole NTLM, ceci peut se faire via des GPO qui sont décrites ci-dessous dans :

Computer Configuration --> Windows Settings --> Security Settings --> Local Policies --> Security Options

Network security: Restrict NTLM: Add remote server exceptions for NTLM authentication

Network security: Restrict NTLM: Add server exceptions in this domain

Network security: Restrict NTLM: Audit Incoming NTLM Traffic

Network security: Restrict NTLM: Audit NTLM authentication in this domain

Network security: Restrict NTLM: Incoming NTLM traffic

Network security: Restrict NTLM: NTLM authentication in this domain

Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers

Lê Huu Duc

by HuuDucLe | 0 Comments

Comment exporter les objets AD dans ADLDS se trouvant dans un DMZ.

Si pour des raisons de sécurité, vous ne voulez pas avoir de communication entre un AD et un ADLDS, mais vous voulez néanmoins exporter des objets de l’AD vers ADLDS, il existe un moyen qui est l’outil LDIFDE.

A partir de l’article technique suivant, vous pouvez faire cet export :

http://support.microsoft.com/kb/237677

Exemple:

Je veux exporter les OU de l'AD dans un fichier .LDF et les importer dans ADLDS.

Mon AD a l'architecture suivante :

Mon ADAM a l'architecture suivante :

. J'utilise la commande suivante pour exporter les OU de mon AD dans le fichier expAD.ldf

ldifde -f expAD.ldf -d "dc=lhorn,dc=com" -p subtree -r "(objectCategory=organizationalUnit)" -l "cn,objectclass,ou"

. Voici le fichier expAD.ldf

dn: OU=Domain Controllers,DC=lhorn,DC=com

changetype: add

objectClass: top

objectClass: organizationalUnit

ou: Domain Controllers

dn: OU=OU1,DC=lhorn,DC=com

changetype: add

objectClass: top

objectClass: organizationalUnit

ou: OU1

dn: OU=OU2,DC=lhorn,DC=com

changetype: add

objectClass: top

objectClass: organizationalUnit

ou: OU2

dn: OU=OU21,OU=OU2,DC=lhorn,DC=com

changetype: add

objectClass: top

objectClass: organizationalUnit

ou: OU21

. J'ouvre le fichier expAD.LDF et j'utilise l'option "replace all" pour remplacer  DC=lhorn,DC=com par O=milkyway,C=com

. Voici le résultat du remplacement, que je vais sauvegarder dans le fichier impADAM.ldf

dn: OU=Domain Controllers,o=milkyway,c=com

changetype: add

objectClass: top

objectClass: organizationalUnit

ou: Domain Controllers

dn: OU=OU1,o=milkyway,c=com

changetype: add

objectClass: top

objectClass: organizationalUnit

ou: OU1

dn: OU=OU2,o=milkyway,c=com

changetype: add

objectClass: top

objectClass: organizationalUnit

ou: OU2

dn: OU=OU21,OU=OU2,o=milkyway,c=com

changetype: add

objectClass: top

objectClass: organizationalUnit

ou: OU21

. J'exécute la commande suivante pour importer dans ADLDS

ldifde -i -f impADAM.ldf -s localhost:50000

Connecting to "localhost:50000"

Logging in as current user using SSPI

Importing directory from file "impADAM.ldf"

Loading entries.....

4 entries modified successfully.

The command has completed successfully

. Voici le résultat de l'export dans ADAM

. Comme vous pouvez le voir, les OU "Domain Controllers", OU1, OU2 et OU21 ont bien été importés dans ADLDS.

by HuuDucLe | 0 Comments

Comment monitorer les fichiers repliques par DFSR provenant des partenaires

Bonjour,

A partir de 2008 R2, il existe un moyen de voir les fichiers répliqués par DFSR du point de vue du ‘receiver’. En effet, il est toujours intéressant de voir en temps réel les fichiers arrivés des partenaires de réplication.

Pour cela vous avez la commande suivante qui permet de faire le monitoring :

dfsrdiag replstate /a

Cette commande donne les informations suivantes :

Active inbound connection: 1

  Connection GUID: 981194B2-CF54-4749-A40B-8C58B49D7F28

Sending member: 2008R2

  Number of updates: 12

  Updates being processed:

      [1] Update name: edbres00002 - Copy.jrs          (Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v116

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v116

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [2] Update name: edbres00002 (2).jrs             (Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v113

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v113

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [3] Update name: edbres00002 (3) - Copy - Copy.jrs(Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v112

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v112

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [4] Update name: edbres00002.jrs                 (Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v107

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v107

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [5] Update name: edbres00002 (5) - Copy.jrs      (Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v108

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v108

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [6] Update name: edbres00002 (2) - Copy - Copy.jrs(Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v115

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v115

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [7] Update name: edbres00002 (2) - Copy.jrs      (Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v114

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v114

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [8] Update name: edbres00002 (3) - Copy.jrs      (Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v111

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v111

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [9] Update name: edbres00002 - Copy - Copy.jrs   (Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v106

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v106

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [10] Update name: edbres00002 (4) - Copy.jrs      (Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v109

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v109

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [11] Update name: edbres00002 (3).jrs             (Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v110

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v110

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

      [12] Update name: edbres00002 - Copy (2).jrs      (Downloading)

        UID                 : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v117

        GVSN                : {596F2556-EAC8-4C8C-9BE8-7824298669FA}-v117

        Parent UID          : {833E852A-64F4-432C-A0D4-D70A7CFBB2EE}-v1

        Replicated folder   : 833E852A-64F4-432C-A0D4-D70A7CFBB2EE

  Total number of inbound updates being processed: 12

  Total number of inbound updates scheduled: 0

Summary

  Active inbound connections: 1

  Updates received: 12

  Active outbound connections: 0

  Updates sent out: 0

Operation Succeeded

Avec la commande ci-dessous, on peut convertir le GUID de ‘Replicated Folder’ pour obtenir le nom du répertoire :

dfsradmin rf list /rgname:replicationgroup1 /attr:rfname,rfguid

RfName                RfGuid

dfsrfolder          2f9d6caf-192a-4007-ba14-d26d8621dc22

folderdfsr2           833e852a-64f4-432c-a0d4-d70a7cfbb2ee

folderdfsr3         f577b71c-a773-4cb8-a42d-6d757250c941

Si on veut voir les fichiers restants à répliquer aux partenaires du point de vue du ‘sender’, alors c’est avec l’option BACKLOG :

dfsrdiag backlog /SendingMember:2008R2 /ReceivingMember:2008R2-1 /rgname:replicationGroup1 /rfname:dfsrfolder

by HuuDucLe | 0 Comments

DFS-R et les filtres

Bonjour,

Aujourd’hui, je vais vous parler des filtres qui sont prédéfinis dans DFS-R, ces filtres contiennent une liste de suffix de fichiers (ou extensions) qui empêche DFS-R de répliquer ces types de fichiers car très souvent ils ne sont pas utiles à être répliqués.

Les raisons pour lesquelles ces fichiers ne sont pas répliqués sont nombreuses :

- parce que ce sont des fichiers temporaires (comme les fichiers .tmp)

- parce que ce sont des fichiers créés par des applications qui ont pour but de faire des sauvegardes temporaires des travaux en cours (les fichiers commençant par ~ par exemple)

- parce que ce sont des fichiers d’une version précédente (.bak par exemple)

Afin d’optimiser la réplication faite par DFS-R, une liste a été faite et qui est utilisée par le filtre DFS-R afin de ne pas répliquer ces fichiers inutilement.

Néanmoins, il se trouve qu’il existe des applications qui créent des fichiers dont les extensions sont comprises dans la liste et qui ont besoin que ces fichiers soient répliqués afin de pouvoir fonctionner correctement.

Pour cela, vous avez 2 possibilités pour résoudre ce problème :

1) Modifier l’application en question afin que les fichiers créés par celle-ci n’aient pas une extension qui est comprise dans la liste des fichiers fitrés.

2) Ou bien, changer le filtre de DFS-R afin de permettre aux fichiers ayant cette extension de pouvoir être répliqués.

Pour changer le filtre par défaut proposé dans DFS-R, veuillez suivre les étapes décrites dans les articles suivantes :

- Aller dans ReplicationGroup.
- Cliquer sur votre groupe de  replication.
- Aller sur l’onglet Replicated Folder .
- Cliquer sur le répertoire répliqué et il y a une page sur les propriétés.

Dans le champ “File Filter”, vous pouvez changer les filtres par défaut.

Dans le champ “Subfolder filter”, vous pouvez filtrer les sous-répertoires pour qu’ils ne soient pas répliqués.

- File and subfolder filters

http://technet.microsoft.com/en-us/library/cc757726(WS.10).aspx

by HuuDucLe | 0 Comments

Des nouveautes dans DFSR de Windows Server 2008 R2

Bonjour,

Aujourd’hui, je vais vous parler des nouveautés de DFSR 2008 R2.

. La première nouveauté est le répertoire de réplication en mode lecture seule (read only) dans DFSR 2008 R2.

Pour faire cela, utilisez l'interface dfsmgmt.msc pour créer des répertoires à répliquer en lecture seule. Lorsqu’une création en lecture seule est créée et répliquée par DFSR, vous ne pouvez ni déposer ni modifier directement le contenu de ce répertoire.

Voici une procédure de création de ce type de répertoire :

Dans dfsmgmt.msc, choisissez le ‘primary member’

Ensuite choisissez un répertoire à répliquer, sinon créez en un.

Laissez les permissions NTFS par défaut.

Choisissez un membre qui va recevoir le répertoire à répliquer par DFSR en lecture seule, puis choisissez un répertoire existant, sinon créez un.

Choisissez l’option 'Make the selected replicated folder on this member read-only'.

Assurez-vous que dans 'Membership Status' vous avez le status 'Enabled (read-only)'.

Si tout est OK dans la fenêtre “review settings”, alors terminez la procédure de création.

Dans l’onglet Memberships , vérifiez si le répertoire en lecture seule est affiché correctement comme ci-dessous.

Maintenant pour tester le répertoire en lecture seule, allez dans le répertoire dfsrfolder3-2008R2-1 de 2008R2-1 et tentez de créer un fichier.

La création va échouer avec le message d’erreur ci-dessus.

Allez ensuite dans le répertoire FolderDfsr3 de la machine 2008R2, essayez de créer un fichier. La création se déroule bien et on voit le fichier créé se répliquer sur le serveur 2008R2-1

Dans dfsrxxxx.log se trouvant de la répertoire windows\debug, on peut voir les informations suivantes durant la création.

20090608 17:23:32.936 1668 LDBX 4104 Ldb::Insert Inserting contentSetRecord:

+ contentSetId: {F577B71C-A773-4CB8-A42D-6D757250C941}

+ memberId: {E630A3A4-CC13-4131-8B9A-3E9BBF479E94}

+ state: InitialBuilding

+ startVersion: 0xv14

+ authRebuilding: 0

+ stageVolumeSerialNumber: 0x0

+ stageFid: 0x0

+ birthUsn: 0x1006370

+ isTombstone: 0

+ readOnlySince: 20090608 15:23:32.936

+ beingDeleted: 0

+ dbLossRecover: 0

+

20090608 17:23:32.999 1668 STAG 2594 Staging::ScanStagingDirectory Staging space usage is: 0

20090608 17:23:32.999 1668 STAG 6300 StagingManager::RegisterContentSetsOnPath {F577B71C-A773-4CB8-A42D-6D757250C941} added to the replicated folder list.

20090608 17:23:33.014 1668 LDBX 4139 Ldb::Update Updating contentSetRecord:

+ contentSetId: {F577B71C-A773-4CB8-A42D-6D757250C941}

+ memberId: {E630A3A4-CC13-4131-8B9A-3E9BBF479E94}

+ state: InitialBuilding

+ startVersion: 0xv14

+ authRebuilding: 0

+ stageVolumeSerialNumber: 0x44bb8a13

+ stageFid: 0x9000000004C09

+ birthUsn: 0x1006370

+ isTombstone: 0

+ readOnlySince: 20090608 15:23:32.936

+ beingDeleted: 0

+ dbLossRecover: 0

+

20090608 17:23:33.030 1668 CSMG 6914 ContentSetManager::Initialize Walk replica set to initialize or fix up database. csId:{F577B71C-A773-4CB8-A42D-6D757250C941} csName:folderdfsr3

20090608 17:23:33.030 1668 DIRW 576 DirWalkerTask::QueueMoveinJob Queuing move-in. uid:{F577B71C-A773-4CB8-A42D-6D757250C941}-v1 fid:0x2E000000004B85 name:dfsrfolder3-2008R2-1

20090608 17:23:33.030 1672 DIRW 316 DirWalkerTask::Run Start walking directory.

20090608 17:23:33.030 1672 DIRW 1024 DirWalkerTask::MoveinStep Starting to process move-in job. uid:{F577B71C-A773-4CB8-A42D-6D757250C941}-v1

20090608 17:23:33.030 1672 DIRW 101 DirWalkerTask::Job::Finish MoveIn csId:{F577B71C-A773-4CB8-A42D-6D757250C941} uid:{F577B71C-A773-4CB8-A42D-6D757250C941}-v1

20090608 17:23:33.030 1672 DIRW 872 DirWalkerTask::RemoveJob Removing job type:1 uid:{F577B71C-A773-4CB8-A42D-6D757250C941}-v1

20090608 17:23:33.030 1672 LDBX 4472 Ldb::DeleteWalkerJob Deleting dirWalkerJob. uid:{F577B71C-A773-4CB8-A42D-6D757250C941}-v1

20090608 17:23:33.046 1672 EVNT 1185 EventLog::Report Logging eventId:4102 parameterCount:6

20090608 17:23:33.046 1672 EVNT 1205 EventLog::Report eventId:4102 parameter1:F577B71C-A773-4CB8-A42D-6D757250C941

20090608 17:23:33.046 1672 EVNT 1205 EventLog::Report eventId:4102 parameter2:C:\temp\dfsrfolder3-2008R2-1

20090608 17:23:33.046 1672 EVNT 1205 EventLog::Report eventId:4102 parameter3:folderdfsr3

20090608 17:23:33.046 1672 EVNT 1205 EventLog::Report eventId:4102 parameter4:ReplicationGroup1

20090608 17:23:33.046 1672 EVNT 1205 EventLog::Report eventId:4102 parameter5:0E67CE5C-935E-46DE-8356-1C09D55FB376

20090608 17:23:33.046 1672 EVNT 1205 EventLog::Report eventId:4102 parameter6:E630A3A4-CC13-4131-8B9A-3E9BBF479E94

20090608 17:23:33.046 1672 CSMG 4517 ContentSetManager::SetContentSetState Set content set state. csId:{F577B71C-A773-4CB8-A42D-6D757250C941} newState:InitialSync(Sync) (auth:0)

20090608 17:23:33.046 1672 LDBX 4139 Ldb::Update Updating contentSetRecord:

+ contentSetId: {F577B71C-A773-4CB8-A42D-6D757250C941}

+ memberId: {E630A3A4-CC13-4131-8B9A-3E9BBF479E94}

+ state: InitialSync(Sync)

+ startVersion: 0xv14

+ authRebuilding: 0

+ stageVolumeSerialNumber: 0x44bb8a13

+ stageFid: 0x9000000004C09

+ birthUsn: 0x1006370

+ isTombstone: 0

+ readOnlySince: 20090608 15:23:32.936

+ beingDeleted: 0

+ dbLossRecover: 0

+

L’événement 4102 décrit dans DFSRxxxx.log est aussi loggé dans le journal d’événements DFSR.

Après cela, vous avez l’événement 4104 prouvant que la configuration s’est bien déroulée.

. La deuxième nouveauté est que la commande DFSRDIAG possède une nouvelle option qui est ‘replicationState’

Pour plus d’information, tapez la commande :

dfsrdiag replicationState /?

Huu-Duc

by HuuDucLe | 0 Comments

Document de migration SYSVOL vers DFS-R

Bonjour,

Je vous informe que le docuement "Migrating SYSVOL to DFS Replication" est désormais disponible.

Vous pouvez le télécharger à partir de ce lien :

http://www.microsoft.com/downloads/details.aspx?FamilyID=DF8E5E84-C6C6-4CEF-9DAB-304C92299804&displaylang=en

Huu-Duc LÊ

by HuuDucLe | 0 Comments

Analyse des logs DFS-R de 2008R2.

Bonjour,

Aujourd'hui, je vais vous parler de DFS-R de 2008R2. Cet article consiste à faire une première analyse du contenu des logs DFSR se trouvant dans le répertoire %windir%\debug

Chaque fois que DFS-R démarre et fait de la synchronisation des répertoires, il met des informations dans les fichiers DFSRxxxx.log

Il y a deux outils qui sont utils pour diagnostiquer DFS-R : DRSDIAG et DFSRADMIN.

L'exemple ci-dessous montre un scénario de création d'un répertoire sur un partenaire DFS-R, et on veut savoir qui l'a créé et répliqué.

Dans DFSRxxxx.log, repérer la ligne de création du répertoire TestFolder, cette création provient de la réplication DFS-R et on veut savoir qui est à l'origine de la création du répertoire TestFolder.

Dans la ligne contenant "file:TestFolder", on peut voir le paramètre connID contenant un GUID, c'est le GUID de connexion avec un partenaire.

Mais auparavant, affichons les connexions DFS-R avec leur GUID associé avec la commande DFSADMIN.

dfsradmin conn list /rgname:replication_group_name / attr:sendmem,recvmem,connguid

Remplacer replication_group_name par le nom du group de réplication, ceci peut être vu dans la mmc DFSMGMT.msc

exemple :

Comme on peut le voir ci-dessus, le GUID {9811 ...... 7F28} est vu dans le résultat de la commande dfsradmin, ce GUID correspond à la connexion entre les serveur 2008R2 (l'originateur) et 2008R2-1 (le destinataire).

On peut donc conclure que le répertoire TestFolder a été créé sur 2008R2 et est répliqué vers 2008R2-1 via DFS-R.

by HuuDucLe | 0 Comments

Les attributs confidentiels qu'on ne veut pas mettre sur les RODC (read only DC)

Les RODC sont les DC 2008 en mode lecture seule, ils sont destinés à déployer dans un site et ne nécessite pas forcément une administration quotidienne.

Il se peut que certains attributs de l'AD que l'on juge 'confidentiels' qu'on ne veut pas forcément qu'ils se trouvent sur les RODC. Pour cela, on peut les empêcher de se propager des RWDC vers les RODC en utilisant la notion de FAS (Filtered Attribute Set).

Un attribut marqué comme "confidentiel" ne peut pas être propagé des RWDC vers les RODC.

Pour cela, on met la valeur 0x080 (128) au 7 ème bit de l'attribut SearchFlag.

L'avantage de marquer les attributs en confidentiels est qu'en cas de perte ou de vol du RODC, ces attributs ne sont pas présents sur le RODC.

Les attributs suivants sont par défaut dans la liste des attributs FAS (filtered attribute set).

ms-PKI-DPAPIMasterKeys

ms-PkI-AccountCredentials

ms-PKI-RoamingTimeStamp

ms-FVE-KeyPackage

ms-FVE-RecoveryInformation

ms-FVE-RecoveryPassword

ms-FVE-VolumeGuid

ms-TPM-OwnerInformation

Voici un exemple de la valeur de l'attribut SearchFlags de ms-PKI-AccoundCredentials

Ceci correspond à la valeur 640 (en décimal)

Pour plus d'information, veuillez voir le lien suivant :

Adding Attributes to the RODC Filtered Attribute Set

http://technet.microsoft.com/en-us/library/cc754794.aspx

by HuuDucLe | 0 Comments

Comment creer des comptes et des groupes avec PowerShell

Bonjour,

Voici un script très simple qui vous permet de créer des comptes utilisateurs et des groupes avec PowerShell.

. Le scénario est le suivant :

Un fichier contenant les utilisateurs Names.txt

Un fichier contenant les groupes Groups.txt

Le script powershell CreateGroup.ps1 crée des groupes dans OU1

Le script powershell CreateUserFromList.ps1 crée des utilisateur dans OU1

Le script AddMemberInGroup.ps1 permet d'ajouter les users dans des groupes.

Dans names.txt

account1

Julia

John

Roxanna

Kim

Huu-Duc

Dans groups.txt

group1

group2

group3

group4

group5

Script CreateUserFromList.ps1

$InputUsers = Get-Content .\names.txt
$GroupsOU = [ADSI] 'LDAP://localhost:389/OU=OU1,DC=lhorn,DC=com'
Foreach ($Line in $InputUsers)
{
    $User = $GroupsOU.create('User','CN=' + $Line)
    $User.SetInfo()
    $User.Put('DisplayName', $Line)
    $User.SetInfo()
}

Script powershell CreateGroup.ps1

$InputGroups = Get-Content .\groups.txt

$GroupsOU = [ADSI] 'LDAP://localhost:389/OU=OU1,DC=lhorn,DC=com'

Foreach ($Line in $InputGroups)

{

$User = $GroupsOU.Create('Group','CN=' + $Line)

$User.SetInfo()

$User.Put('displayname', $Line)

$User.SetInfo()

}

Contenu de AddMemberInGroup.ps1

$InputUser = Get-Content .\names.txt

$objContainer = [ADSI] "LDAP//localhost:389/OU=OU1,DC=lhorn,DC=com"

Foreach ($Line in $InputUser)

{

$group = [ADSI]'LDAP://localhost:389/CN=group1,OU=OU1,DC=lhorn,DC=com'

$group.Member.Add('CN=' + $Line + ',OU=OU1,DC=lhorn,DC=com')

$group.SetInfo()

}

Exécution des scripts

PS C:\temp> .\createUserFromList.ps1

PS C:\temp> .\CreateGroup.ps1

PS C:\temp> .\AddMemberInGroup.ps1

0

1

2

3

4

5

On peut voir que dans Group1, on a des comptes utilisateurs en question.

by HuuDucLe | 0 Comments

Recommandations pour installer les RODC (Read Only DC)

Il n'est pas conseillé d'installer les RODC sur le même site que les DC normaux. En effet, si le RODC se trouve dans le même site que les RWDC (read write DC), et si le RODC est compromis alors les RWDC du même site risquent d'être compromis parce que le RODC utilise un compte krbtgt (qui est différent de celui d'un RWDC), qui est utilisé pour encrypter ou signer les TGT, si le RWDC se trouve dans le même site que le RODC, alors le krbtgt peut être utilisé pour encrypter de décrypter les TGT permettant d'accéder au RWDC du même site que lui.

Le fait d'avoir des RODC sur des site isolés, ceci fournit une méthode d'isolation de la cryptographie entre les KDC qui tournent sur les RODC des différents sites.

D'où la recommandation de mettre les RODC dans des sites où il n'y a pas de RWDC.

. Que ce passe t-il quand la liaison entre le site avec le RODC et le site contenant les RWDC est rompue ?

Si les credentials des utilisateurs ne sont pas mis en cache sur les RODC, alors les utilisateurs du même site que le RODC ne peuvent pas être authentifiés.

En effet, si les credentials ne sont pas dans le cache du RODC, à chaque requête d'authentification, le RODC transferre la requête au RWDC.

Même problème lors des demandes de changement de mot de passe ou de déverrouillage de compte, le RODC doit contacter le RWDC pour ces opérations.

by HuuDucLe | 0 Comments

Comment investiguer sur les problemes CLM ?

CLM (Certificate Lifecycle Management) est un module du produit ILM (Identity Lifecycle Management).

CLM a pour objectif de gérer les certificats d'une entreprise. Si vous rencontrez des problèmes d'installation ou de performance en utilisant CLM (exemple : problème de lenteur lors de l'affichage des informations d'un compte dans CLM), veuillez vous référer au lien suivant pour faire des opérations de troubleshooting de CLM :

Troubleshooting CLM 2007

http://technet.microsoft.com/en-us/library/cc720663.aspx

Sur ce lien, vous allez trouver des sections pour chaque type de problème dans CLM :

Introduction to Troubleshooting CLM 2007
A-Z List of Problem Topics for CLM 2007
Things to Check Before Troubleshooting CLM 2007
Quick Fixes for CLM 2007
Troubleshooting CLM 2007 Problems
Troubleshooting CLM 2007 Performance Problems
Troubleshooting CLM 2007 Security Problems
Troubleshooting CLM 2007 Using Advanced Techniques and Tools
Troubleshooting CLM 2007 Language and Localization Issues
Additional Resources

Dans ce lien, le fichier web.config est mentionné, il s'agit di fichier web.conf se trouvant dans le répertoire c:\Program Files\Microsoft Certificate Lifecycle Manager\web

Voici un aperçu du fichier web.config.

by HuuDucLe | 0 Comments

Comment resoudre les problemes de lenteur au logon dans une ferme Citrix

Si vous rencontrez des problèmes de lenteur au logon (aléatoire ou non) dans une session Citrix à partir d'une machine membre du domaine, voici les différents conseils pour identifier la ou les causes du problème :

1. Tout d'abord, voyez si la lenteur disparait si la connexion ICA se fait localement sur la ferme Citrix, si oui alors le problème proviendrait soit du réseau, soit du client.

2. Ensuite, testez la connexion à la ferme via une connexion RDP, c'est à dire via une session Terminal Server. Le but est de voir si le problème de lenteur provient de la connexion ICA ou elle est globale.

3. Si vous rencontrez la même lenteur avec Terminal Serveur, cela voudrait dire que la lenteur est globale (soit au niveau des machines, soit au niveau du réseau).

4. Au niveau du client, assurez-vous qu'il n'existe pas de script de logon, s'il existe des scripts de logon, alors supprimez temporairement ces scripts de logon. Si la lenteur disparait, alors il y a des optimisations à faire au niveau des scripts de logon.

5. L'optimisation des scripts de logon peut se faire en éliminant les commandes qui ne sont plus d'actualité, ou bien certaines commandes sollicites des ressources réseaux qui causent le phénomène de lenteur, si c'est le cas faire une trace réseau durant l'exécution du script de logon afin de voir les détails sur les accès aux ressources réseaux.

6. Si la désactivation du script de logon n'a pas amélioré la situation, alors il y a 3 axes d'investigation possibles.

- l'axe performance du serveur Citrix (matériels ou logiciels)

- l'axe réseau

- l'axe performance du client

7. L'axe performance du serveur Citrix :

. Assurez-vous que vous avez le dernier service pack windows,les derniers hotfixes Citrix, est ce que le problème se produit en dehors de la virtualisation ?

. Veuillez lire l'article suivant du site de Citrix :

Troubleshooting Slow Logons

http://support.citrix.com/article/CTX101705

. Utilisez 'performance monitor' afin de voir s'il n'y a pas de problème au niveau de la CPU, mémoire, accès disque.

. Consultez les journaux d'événements afin de voir s'il n'y a pas d'événements relatifs aux allocations des ressources. Si oui, alors ajoutez la mémoire, la CPU en fonction des compteurs de performance et des événements.

8. L'axe réseau :

affectuez une trace réseau côté client et une trace réseau côté serveur de manière simultanée afin de voir s'il y a des problèmes de rejet de paquets, des erreurs dans les traces (ports bloqués, firewall, TCP chimney/offload à désactiver)

9. L'axe performance du client :

. Activez userenv.log pour voir les détails au logon

. Veuillez lire l'article suivant du site de Citrix :

Troubleshooting Slow Logons

http://support.citrix.com/article/CTX101705

. Utilisez 'performance monitor' afin de voir s'il n'y a pas de problème au niveau de la CPU, mémoire, accès disque.

. Consultez les journaux d'événements afin de voir s'il n'y a pas d'événements relatifs aux allocations des ressources. Si oui, alors ajoutez la mémoire, la CPU en fonction des compteurs de performance et des événements.

. Changez de client afin de voir si le problème de performance disparait.

by HuuDucLe | 0 Comments