ISSN 1614-2888

Sonderheft II/2019
€ 29,90
it-administrator.de

Windows Server 2019

und Exchange 2019
Administration, Sicherheit
und Cloudanbindung
 «Relevante Daten im
Blick statt Datenberge
auf dem Fileserver»
EFFIZIENTES ARBEITEN MIT DEM FILESERVER

Transparenz durch Archivierung Folder

Analysetools neu gedacht Self Service
 




Mit Data Retention eine 


bestimmen Exitstrategie für 



Ihre Daten einführen

m i g Rave n.c o m/s t a r t e n

21 Tage kostenlos testen, wenn gewünscht inkl. Support
EDITORIAL Sichere Zukunft

IT-Verantwortliche haben zu Recht immer ein mulmiges Gefühl im Bauch,

wenn eine für das Unternehmen sehr wichtige Software in eine unsichere Zu-
kunft blickt. Schließlich soll beispielsweise die große Investition in eine neue
CAD-Software nicht nach einem Jahr zum Abschreibungsobjekt werden, weil
der Anbieter insolvent ist und keinen Support mehr leisten kann.

Spielten bei Produkten wie Windows Server oder Exchange solche Überlegungen
bislang kaum eine Rolle, macht sich bei Administratoren nun doch eine gewisse
Unsicherheit breit. Gewiss nicht, weil die Meinung um sich greift, Microsoft ver-
schwinde in absehbarer Zeit als Anbieter vom Markt. Vielmehr fragen sich IT-
Verantwortliche zunehmend, wie sich Redmond zukünftige Installationen seiner
beiden wichtigsten Serverprodukte vorstellt. Offensichtlich ist es das Bestreben
in Redmond, alles in Cloud zu bringen. Doch schon dort beginnt die Unsicherheit
vieler IT-Profis, die sich aktuell nicht in der Lage sehen, ihren kompletten Ap-
plikationszoo in die Cloud zu migrieren – sei es aus funktionalen oder aus recht-
lichen Gründen. Lokal weiter zu machen, wäre ja prinzipiell kein Problem, wenn
Microsoft die neuen On-Premises-Varianten seiner Server nicht so spärlich mit
neuen Features ausstatten würde. Nicht ohne Grund präsentieren wir Ihnen die
aktuellen Varianten von Windows Server und Exchange anders als in den ver-
gangenen Jahren diesmal in einem gemeinsamen Sonderheft.

Und so kommt die Frage nach der Zukunftssicherheit der Investition plötzlich
wieder auf den Tisch: Werden kommende Microsoft-Server die Anforderungen
des Unternehmens erfüllen, wenn weiter lokal IT betreiben werden soll? Oder
muss die IT-Organisation irgendwann auf ein anderes Betriebssystem umschu-
len? Diese Fragestellung wird auch nicht weniger komplex, wenn der Gang in
Cloud beschlossen wird. Denn selbst am Ende des zweiten Jahrzehnts des 21.
Jahrhunderts müssen sich Unternehmen in bestimmten Regionen trotz welt-
weitem 5G-Rollout fragen, wie performant und stabil ihre Internetverbindung
ist, über die sich dann jeden Morgen einige hundert oder tausend User bei
einem Azure-basierten Domaincontroller anmelden. Mag sich die Bandbreite
in absehbarer Zeit auch verbessern, bleiben neben der bekannten rechtlichen
Unsicherheit dennoch Fragen. Beispielsweise wie sich im Sinne von Industrie
4.0 lokal vernetzte Maschinen mit einer Cloud-IT verbinden lassen. Zukunfts-
sicher in Sachen Windows Server 2019 und Exchange Server 2019 macht Sie
auf jeden Fall dieses Sonderheft – viel Spaß beim Lesen wünschen

Daniel Richey John Pardey

Janek Müller Lars Nitsch

www.it-administrator.de Sonderheft II/2019 3

Inhalt Sonderheft Windows Server 2019 und Exchange 2019

WINDOWS SERVER 2019

8 Windows Server 2019 lizenzieren: Rechnungswesen
12 Windows Admin Center in der Praxis: Auf der Brücke
18 Active Directory unter Windows Server 2019: Verzeichnispflege
28 Cluster in Windows Server 2019: Einer für alle, alle für einen!
38 Mit Remotedesktopdiensten Anwendungen virtualisieren: Aufpolierter Klassiker
46 Sicherheit in Windows Server 2019: Mehrfachschutz
52 Leistungsüberwachung von Windows Server 2019: Bestwerte
57 Tools für Windows-Server-Troubleshooting: Detektivarbeit
62 Windows Subsystem for Linux: Pinguin an Bord
66 Windows Server 2019 mit Windows Server Systems Insights überwachen: Moderne Schaltzentrale
68 PowerShell in Windows Server 2019: Eine wahre Perle

Quelle: Monsit Jangariyawong – 123RF

VIRTUALISIERUNG
75 Hyper-V unter Windows Server 2019: Verschachtelt
89 Software-defined Networking für verschlüsselte Netzwerke und Virtual Network Peering:
In Verbindung
94 Windows 2019 hyperkonvergent betreiben: Alles unter einem Dach
96 Windows Server Container, Docker und Hyper-V-Container: Zu Gast
102 Snapshots von VMs erstellen: VM-Selfie
108 Security mit Shielded-VMs und Host Guardian Service: Abschirmung

4 Sonderheft II/2019 www.it-administrator.de

 STORAGE

115 Replikation mit Storage Replica: Identisch

120 Storage Migration Services: Beweglich

EXCHANGE SERVER 2019

124 Exchange 2019 auf physischem Server einrichten: Handarbeit

132 Migration zu Exchange 2019: Umsteigen

137 Exchange 2019 Preferred Architecture: Gut geplant

141 Exchange Server virtualisieren: Stolperfallen vermeiden

144 Hochverfügbarkeit für Exchange Server 2019: Robust

147 E-Mail-Sicherheit in Exchange Server 2019: Ungebetene Gäste

150 Exchange 2019 MetaCache Database: Höhere Drehzahlen

153 Sicherheit im E-Mail-Verkehr: Genau geprüft

156 TLS 1.2 mit Exchange nutzen: Sicherer Transport

160 Migration zu Office 365: Neue Postfächer

164 Hybrid Agent für Exchange: Einfache Übung

168 Lokales Exchange mit Exchange Online Protection verbinden:

Schutzschild

171 E-Mail-Versand für Kopierer und Anwendungen über Office 365:

Zusatzqualifikation

174 Exchange mit der PowerShell: Abwesenheitsmanagement

RUBRIKEN

3 Editorial

4 Inhalt und Autoren

178 Vorschau, Impressum, Inserentenverzeichnis

www.it-administrator.de Sonderheft II/2019 5

Die Autoren dieses Sonderhefts

THOMAS JOOS
Thomas Joos beschäftigt sich sein ganzes Berufsleben mit der IT.
Nach dem Abitur und Informatik-Studium war er als IT-Administrator,
IT-Leiter und als selbständiger Consultant tätig. Mittlerweile arbeitet er
als Autor für IT-Themen für diverse Verlage, Zeitschriften und Online-
Portale. Neben Microsoft-Produkten und der Sicherheit in Netzwerken,
setzt er sich intensiv mit Smartphones und Tablets sowie verschiedenen
Cloud-Themen auseinander. Auch der parallele Betrieb von Microsoft-
Systemen mit Linux, macOS und Open-Source-Lösungen steht im
Zentrum seines Interesses, genauso wie die Virtualisierung mit vSphere.

CHRISTIAN SCHULENBURG
Christian Schulenburg ist seit über 15 Jahren in der IT tätig und
war langjähriger MVP für Exchange. Nach dem Start als Fachin-
formatiker für Systemintegration und einem Studium als Diplom-
Wirtschafts-informatiker (FH) war er unter anderem technischer
Leiter für die IT eines internationalen Pharmaunternehmens
sowie als IT-Referent beim DVZ Datenverarbeitungszentrum
Mecklenburg-Vorpommern GmbH für die interne IT verantwortlich.
Aktuell arbeitet er als CTO bei FERRO PHARMA in Hamburg, wo er die
internen Abläuft mit einer starken Cloudausrichtung digitalisiert. Seine
Tätigkeitsschwerpunkte liegen darüber hinaus bei Salesforce sowie bei
Microsoft-Technologien und dabei insbesondere auf Exchange.

6 Sonderheft II/2019 www.it-administrator.de

 Praxis-Know-how zum Vorbestellen:
Das IT-Administrator Sonderheft I/2020

Erfahren Sie auf 180 Seiten

alles rund um das Thema:

Clientmanagement
Stationäre und mobile Rechner
administrieren und absichern

Bestellen Sie jetzt zum Abonnenten-

Vorzugspreis* von nur 24,90 €!
Erhältlich
M ä r z 2 020
ab
Abo- und Leserservice
IT-Administrator
vertriebsunion meynen Tel: 06123/9238-251 * IT-Administrator Abonnenten erhalten das Sonderheft I/2020 für 24,90 €. Nichtabonnenten zahlen 29,90 €.
IT-Administrator All-Inclusive Abonnenten "zahlen" für Sonderhefte nur 16,00 € - diese sind im Abonnement
Herr Stephan Orgel Fax: 06123/9238-252
dann automatisch enthalten. Alle Preise verstehen sich inklusive Versandkosten und Mehrwertsteuer.
D-65341 Eltville leserservice@it-administrator.de

shop.heinemann-verlag.de
Windows Server 2019 lizenzieren

Rechnungs-
wesen
von Thomas Joos

Eines ändert sich auch mit Windows Server 2019 nicht: Die
Komplexität der Lizenzierung. Es gibt zahlreiche Verträge
und viele Möglichkeiten, das Serverbetriebssystem zu lizen-
zieren. IT-Verantwortliche müssen stets darüber informiert
sein, welche Lizenzverträge und Optionen es gibt. Generell
ist davon auszugehen, dass der Einsatz von Windows Ser-
ver 2019 teurer wird, auch wenn die CALs zum gleichen
Preis zu haben sind. Doch auch für KMUs wichtige Features
finden sich nur noch in den großen Lizenzen.
Quelle: Viktor Gladkov – 123RF

D ie erhältlichen Windows-Server-
Varianten bieten für Unternehmen
verschiedene Möglichkeiten und Aus-
wahlkriterien. Die Editionen Standard
und Datacenter verfügen fast über den
gleichen Funktionsumfang wie die Vor-
gänger, eine Enterprise- oder Webserver-
Edition gibt es nicht mehr.
Und leider beherrscht Windows Server
2019 Standard nicht alle Technologien,
die die Datacenter-Edition bietet. Daher
müssen mit der neuen Windows-Version
auch kleinere Unternehmen häufig auf
die teurere Edition setzen, damit sie alle
sinnvollen Funktionen nutzen können.
Erfreulich ist dagegen, dass die wichtigs-
ten Neuerungen in Windows Server 2019
auch in der kleineren Standard-Edition
enthalten sind.
Editionen und
Lizenzen im Vergleich
Microsoft hat mit Windows Server 2019
Unterschiede in den Storage-Funktionen
integriert. So unterstützt nur die Data-
center-Edition alle Möglichkeiten. In der
Standard-Edition gibt es weder Storage
Spaces Direct noch alle Funktionen in
Storage Replica, vielmehr erlaubt Win-
dows Server 2019 nur die Replikation ein-
zelner Volumes mit einzelnen Zielen auch
in der Standard-Edition. Auch Shielded
Virtual Machines fehlen in der Standard-
Edition. Andere Funktionen wie zum Bei-
spiel die Container-Technologie und die
Nano-Images hat Microsoft auch in der
Standard-Edition integriert.
Allerdings müssen Sie beim Einsatz der
Hyper-V-Container darauf achten, dass
eine Lizenz der Standard-Edition auch
nur zwei Container zulässt, da nur zwei
VMs erlaubt sind. Die Lizenzierung erfolgt
auf Basis der CPU-Kerne. In Hyper-V wer-
den die logischen Prozessoren lizenziert,
da diese das Pendant zu den physischen
Prozessorkernen darstellen. Alle Unter-
scheide der Editionen sind auf der Web-
seite [1] zu finden.
Beide Editionen decken immer nur zwei
Prozessorkerne des Hosts oder zwei lo-
gische CPUs ab. Die erforderliche Min-
destanzahl von Betriebssystemlizenzen
für jeden Server wird durch die Anzahl
der physischen Prozessorkerne des Hosts
sowie die Anzahl an virtuellen Servern
bestimmt, die Sie auf dem Hyper-V-Host
installieren. Setzen Sie also Server mit
mehreren Prozessoren ein, ist pro Kern-
Paar eine Lizenz notwendig, egal welche
Edition im Einsatz ist.
Beispielsweise müssen Sie für jeden Ser-
ver mit acht Kernen mindestens vier Li-
zenzen erwerben. Setzen Sie einen Dual-
Prozessor mit je acht Kernen ein, müssen
Sie also acht Lizenzen für diese 16 Kerne
erwerben. Für jeden Kern mehr müssen
Sie zudem ein Core-Pack kaufen, damit
alle Kerne lizenziert sind. In Windows
Server 2019 Standard dürfen Sie pro Li-
zenz zwei VMs installieren, Windows
Server 2019 Datacenter kennt kein Limit.
Hier müssen Sie lediglich alle Prozessor-
kerne des Servers lizenzieren. Die Lizen-
zen sind immer direkt an die physische
Hardware gebunden.
Shielded Virtual Machines fehlen in der
Standard-Edition. Das heißt, es lassen
sich keine hochsicheren Virtualisierungs-
infrastrukturen erstellen. Das Feature zur
Host-Überwachungsunterstützung für
Hyper-V ist kein Bestandteil von Win-
dows Server 2019 Standard. Wer im Netz-
werk auf Software-defined Networking
setzen will, kommt um den Einsatz der
Datacenter-Edition nicht herum. Leider

8 Sonderheft II/2019 www.it-administrator.de


kennt die Standard-Edition die entspre-
chenden Funktionen nicht.
Nicht immer ist es notwendig, auf die
teure Datacenter-Lizenz von Windows
Server 2019 zu setzen. Auch im Rechen-
zentrum kann im Einzelfall die Stan-
dard-Edition ausreichen. Die Editionen
Standard und Datacenter verfügen über
fast den gleichen Funktionsumfang. Mi-
crosoft gibt als Open-NL-ERP-Preise für
die Datacenter-Edition 6155 US-Dollar,
für Standard 972 US-Dollar und für die
Essentials-Edition 500 US-Dollar an. Es
lohnt sich also zu vergleichen, ob immer
Datacenter zum Einsatz kommen soll.
Weiterhin gibt es die Essentials-Variante
des Servers. Windows Server 2019 Es-
sentials erlaubt die Anbindung von bis
zu 25 Benutzern ohne CALs. Setzen Sie
noch Windows Server 2012 Foundation
ein, bedingt eine Migration den Wechsel
zur Standard- oder zur Essentials-Edi-
tion von Server 2019. Allerdings bietet
Windows Server 2019 Essentials nicht
mehr die gewohnte spezielle Oberfläche
(Dashboard).
Vertriebskanäle für
Windows-Server verstehen
Microsoft bietet seine Windows-Server-
Systeme über zwei Kanäle an. Die Long
Term Servicing Channel (LTSC) stellen
die Hauptversionen von Windows-Server
Bild 2: Der Einsatz von Geräte- und Benutzerlizenzen ist nach individuellen
Bedürfnissen des Unternehmens abzuwägen.
www.it-administrator.de
Windows Server 2019 lizenzieren
Bild 1: Auch Hyper-V und VMs müssen richtig lizenziert werden.
dar. Diese erscheinen in regelmäßigen
Abständen von zwei bis drei Jahren. Mit
dem Semi-Annual Channel (SAC) bringt
Microsoft alle sechs Monate eine neue
Serverversion heraus, wie zum Beispiel
Windows Server 1809 oder 1903. SAC-
Versionen enthalten zwar neue Funktio-
nen, verfügen aber über keine grafische
Oberfläche.
Die Neuerungen der Semi-Annual-
Channel-Versionen baut Microsoft in
die nächste Hauptversion ein, aber nicht
in den Server, auf dem sie aufbauen –
Windows Server 2019
in diesem Fall Windows Server 2019.
Updates für Windows Server 2019 ent-
halten also keine neuen Features, son-
dern lediglich Sicherheits-, Leistungs-
sowie Stabilitätsverbesserungen. Erst der
Nachfolger von Windows Server 2019
liefert die Neuerungen der SAC-Versio-
nen aus.
Microsoft macht die Versionen aus den
Kanälen auch mit der Namensgebung
kenntlich. Die LTSC-Versionen erhalten
als Namen die Jahreszahl der Erschei-
nung, also zum Beispiel Windows Ser-
ver 2016 oder 2019. Die SAC-Versionen
erhalten als Bezeichnung das Jahr der
Erscheinung sowie den Monat, also in
diesem Fall Windows Server 1809 oder
Windows Server 1903.
Mit dem Long Term Servicing Channel
erhalten Unternehmen fünf Jahre grund-
legenden und fünf Jahre erweiterten Sup-
port. Außerdem lassen sich optional zu-
sätzlich sechs Jahre Premium Assurance
dazu buchen. Neue Funktionen werden
in dieser Zeit aber nicht in die Serverver-
sion integriert. Semi-Annual-Channel-
Versionen bieten neue Funktionen und
werden zweimal pro Jahr aktualisiert. Mi-
crosoft plant als Veröffentlichung jeweils
das Frühjahr und den Herbst. SAC-Server
werden als Volumenlizenz zur Verfügung
gestellt, aber auch über Software Assu-
rance und Microsoft Azure stehen die
Sonderheft II/2019 9
Windows Server 2019 Windows Server 2019 lizenzieren
Zwischenversionen zur Verfügung. An-
dere Cloud-Hoster bieten diese Versionen
inzwischen ebenfalls an.
Clientzugriffslizenzen
beachten
Für die Editionen Standard und Datacen-
ter benötigen Sie weiterhin Clientzugriff-
Lizenzen (CALs). Auch in Win-dows Ser-
ver 2019 können Sie diese benutzerbasiert
oder pro Gerät erwerben, dürfen diese
aber nicht aufsplitten. CALs und Remo-
tedesktop-Clientzugrifflizenzen (RDCALs)
sowie Lizenzen für die Active-Directory-
Rechteverwaltung (ADRMS) sind auch
in Windows Server 2019 weiterhin not-
wendig, aber nur in den Editionen Stan-
dard und Datacenter. Auch hier gibt es
zukünftig Gerätelizenzen oder Benutzer-
lizenzen für den Zugriff. Sie müssen be-
reits vor der Bestellung Ihrer Lizenzen
planen, welchen Windows-Server-Lizenz-
typ Sie einsetzen wollen.
Sie können die verschiedenen Lizenzen
miteinander mischen. Es ist jedoch nicht
erlaubt, die einzeln erhältlichen Lizenz-
pakete in Geräte- und Benutzerlizenzen
aufzusplitten. Sie dürfen also ein 5er-Pa-
ket Gerätelizenzen und ein 5er-Paket Be-
nutzerlizenzen für einen Server kaufen
und lizenzieren. Es ist aber nicht erlaubt,
diese Pakete aufzusplitten und zum Bei-
spiel als 2er-Gerätelizenz und
8er-Benutzerlizenz zu verwen-
den. Auch ist nicht zulässig,
mit CALs von Vorgängerver-
sionen auf Server mit Windows
Server 2019 zuzugreifen.
Lizenzieren Sie mit Geräte-
CALs, müssen Sie für jeden PC,
der auf diesen Server zugreift,
eine Lizenz kaufen, unabhängig
davon, wie viele Benutzer an
diesem PC arbeiten. Betreiben
Sie zum Beispiel im Schichtbe-
trieb PCs, an denen zu unter-
schiedlichen Zeiten unter-
schiedliche Benutzer arbeiten,
benötigen Sie für diese PCs nur
jeweils eine Geräte-CAL. Im
umgekehrten Fall, wenn also
ein Benutzer mit mehreren PCs,
Notebooks oder Smartphones
auf den Server zugreift, benö- Bild 3: Zwischen Editionen von Windows Server 2019 ist ein Wechsel möglich.
10 Sonderheft II/2019
tigen Sie für diesen Benutzer mehrere
Geräte-CALs, da dieser Benutzer mit
mehreren PCs auf den Server zugreift.
Alternativ können Sie eine Benutzer-
CAL kaufen.
Jeder Benutzer mit einer Benutzer-CAL
kann an beliebig vielen PCs eine Verbin-
dung mit einem Server aufbauen. Die
CALs müssen eindeutig zugewiesen sein.
Sie können daher nicht nur so viele CALs
kaufen, wie gleichzeitig Benutzer arbeiten,
sondern müssen die Gesamtzahl Ihrer
Arbeitsstationen, Smartphones und sons-
tiger Geräte lizenzieren, wenn Sie Gerä-
telizenzen kaufen.
Bei Benutzerlizenzen müssen diese genau
der Anzahl der Benutzer zugewiesen wer-
den, die insgesamt mit dem Server arbei-
ten. Es ist nicht erlaubt auf einem Server
Lizenzen von Standard und Datacenter
zu mischen. Sie dürfen eine Lizenz auch
nicht auf mehrere Server aufsplitten.
In Ihrem Unternehmen sind beispiels-
weise 100 Mitarbeiter beschäftigt, von
denen jedoch lediglich 63 mit PCs am
Server arbeiten. Erwerben Sie Geräte-
CALs, wird jede gekaufte Lizenz einem
bestimmten PC zugeordnet. Mit diesen
PCs können sich jetzt beliebig viele Mit-
arbeiter mit Servern verbinden, wenn
sich diese zum Beispiel PCs im Schicht-
betrieb teilen. Kommen neue PCs hinzu,
müssen Sie für diese PCs weitere Gerä-
telizenzen kaufen.
Im nächsten Beispiel gehen wir von einer
IT-Firma aus, in der 40 Mitarbeiter be-
schäftigt sind. Von diesen 40 Mitarbei-
tern arbeiten 25 mit der Windows-Do-
mäne. Jeder dieser Mitarbeiter hat einen
PC und ein Notebook, mit denen er am
Server arbeitet. Obwohl in diesem Un-
ternehmen nur 40 Mitarbeiter beschäf-
tigt sind, verbinden sich 50 PCs mit dem
Server. Es müssen in diesem Beispiel da-
her 50 Gerätelizenzen erworben werden.
Wenn das Unternehmen seine Lizenzen
jedoch als Benutzerlizenz erwirbt, wer-
den lediglich 25 Lizenzen benötigt, da
nur 25 Benutzer mit Server arbeiten.
Windows Server 2019
für kleine Unternehmen
Für kleine Unternehmen bietet Microsoft
Windows Server 2019 Essentials an. Diese
Version erlaubt die Anbindung von ma-
ximal 25 Benutzern und 50 PCs sowie die
Nutzung von maximal zwei CPUs. Zu den
Geräten zählt aber auch der Zugriff mit
Smartphones und Tablets.
Sind mehr Geräte im Einsatz, müssen
Unternehmen auf die Standard-Lizenz
wechseln. CALs sind für die
Benutzer in Essentials nicht
notwendig. Mit Server 2019
hat Microsoft zudem die Op-
tion entfernt, die Essentials-
Funktionalitäten auch als Ser-
verdienst in den Editionen
Datacenter und Standard zu
installieren. Benötigt das Un-
ternehmen Microsoft Ex-
change, das früher mit dem
SBS kam, muss es auf Office
365 setzen oder Exchange auf
einer eigenen Servermaschine
getrennt lizenzieren.
Ebenfalls verschwunden ist das
aus Windows Server 2016 Es-
sentials bekannte Dashboard
zur zentralen Verwaltung von
Clientcomputern und Benut-
zern auch ohne IT-Kenntnisse.
Hier empfiehlt Microsoft den
www.it-administrator.de

Einsatz des Windows Admin Centers,
das für alle Editionen kostenlos zur Ver-
fügung steht.
Funktional kommt 2019 Essentials mit
allen Neuerungen von Windows Server
2019 Standard. Allerdings lässt sich Win-
dows Server 2019 Essentials nicht als
Core-Server installieren, jede Installation
spielt automatisch die grafische Ober-
fläche ein.
Kostenloser
Hyper-V-Server
Microsoft stellt auch mit Windows Server
2019 die Hyper-V-Serverrolle als eigen-
ständigen Server kostenlos zum Downlo-
ad bereit. Das Produkt verfügt über alle
Funktionen im Bereich Hyper-V, die auch
in Windows Server 2019 verfügbar sind.
Lohnenswert ist der Einsatz zum Beispiel
für Unternehmen, die Windows Server
2012/2012 R2 lizenziert haben und ein-
setzen, aber nicht zu Windows Server
2019 wechseln wollen.
Durch den kostenlosen Server profitieren
Sie von allen Funktionen, die Server 2019
im Bereich Hyper-V bietet, ohne zusätz-
liche Lizenzen kaufen zu müssen. Noch
sinnvoller ist der Einsatz von Hyper-V Ser-
ver 2019 in Unternehmen, die auf ältere
Windows-Versionen setzen oder die
Schneller Wechsel
Um die aktuelle Windows-Server-2019-Editi-
on anzuzeigen, die auf dem Computer instal-
liert ist, nutzen Sie in der Befehlszeile
dism /online /Get-CurrentEdition
Im Fenster erscheint die Edition und weitere
Information zur Installation. Um herauszufin-
den, zu welchen Editionen die installierte Ver-
sion aktualisiert werden kann, dient Ihnen
der Befehl
dism /online /Get-TargetEditions
Um etwa die Aktualisierung von Standard zu
Datacenter durchzuführen tippen Sie
dism /Online /Set-Edition:ServerDatacenter
/AcceptEula /ProductKey:xxxxx-[…]
ein. Als "ProductKey" ist die Seriennummer
der Datacenter-Edition gefragt. Nach der
Aktualisierung muss der Server neu ge-
startet werden.
Link-Codes eingeben auf www.it-administrator.de
Windows Server 2019 lizenzieren
Windows derzeit noch nicht einsetzen und
auf Linux-Server bauen. Da Hyper-V Ser-
ver 2019 auch dynamischen Arbeitsspei-
cher und virtualisierte Linux-Gäste unter-
stützt, lassen sich Linux-Server sehr gut
virtuell betreiben.
Hyper-V-Server 2019 kann nicht nur
Windows Server ab Version 2008 R2 vir-
tualisieren, sondern auch Linux und
Unix. Das heißt, Unternehmen können
weiterhin produktiv ihre aktuellen Server
einsetzen, aber die neuen Technologien
kostenlos nutzen. Verwalten können Sie
Hyper-V-Server 2019 über den Hyper-V-
Manager von einer Arbeitsstation oder
einem anderen Server mit Windows Ser-
ver 2019.
Auch die Verwaltung über die Power-
Shell oder mit System Center Virtual
Machine Manager sowie mit System
Center Configuration Manager ist mög-
lich. Das neue Windows Admin Center
steht ebenfalls kostenlos zur Verfügung
und kann auch Server mit Hyper-V-Ser-
ver 2019 anbinden.
Server per Telefon
oder Internet aktivieren
Nach der Installation eines Windows-
Servers müssen Sie dessen Aktivierung
durchführen. Das gilt für alle Editionen
von Windows Server 2019. Mehr Infor-
mationen erhalten Sie auch, wenn Sie im
Startmenü nach "slui" suchen. Sie können
Windows Server 2019 entweder über das
Internet aktivieren oder per Telefon. Bei
der Aktivierung per Telefon werden Sie
mit einem automatischen Telefonsystem
verbunden. Sollten Sie Probleme bei der
Aktivierung bekommen, überprüfen Sie
die Uhrzeit und die Zeitzone Ihres Ser-
vers. Sind die entsprechenden Einstellun-
gen nicht korrekt, können Sie Windows
nicht aktivieren.
Der Befehl slui 3 öffnet ein Dialogfeld, in
dem Sie einen neuen Produktschlüssel
eingeben. Starten Sie das Tool über die
Suchfunktion des Startmenüs mit Admi-
nistratorrechten über das Kontextmenü.
In diesem Bereich aktivieren Sie Windows
Server 2019 dann mit dem neuen Key.
Der Befehl slui 4 öffnet die Auswahl der
Aktivierungshotlines.
Windows Server 2019
Für die Verwaltung und die Abfrage von
Lizenzinformationen auf Windows Ser-
ver 2019 stellt Microsoft ein Skript na-
mens "slmgr.vbs" bereit, das Sie über die
Eingabeaufforderung oder das Dialogfeld
"Ausführen" aufrufen. Auch in Windows
Server 2019 Essentials ist dieses Skript
verfügbar. Das Tool kennt verschiedene
Optionen:
- /ato: Windows online aktivieren.
- /dli: Zeigt die aktuellen Lizenzinforma-
tionen an.
- /dlv: Zeigt noch mehr Lizenzdetails an.
- /dlv all: Zeigt detaillierte Infos für alle
installierten Lizenzen an.
Möchten Sie den Status der Aktivierung
von Windows Server 2019 Essentials an-
zeigen, geben Sie in der Befehlszeile den
Befehl slmgr.vbs /dli ein. Anschließend
sehen Sie auf dem Bildschirm die Namen
und die Beschreibung des Betriebssys-
tems, aber auch einen Teil des Product
Keys und den Lizenzstatus.
Haben Sie den Produktschlüssel einge-
tragen, führen Sie die Aktivierung über
die beschriebenen Wege durch. Verfügt
der Computer über eine Internetverbin-
dung, stößt der Assistent die Aktivierung
automatisch an, sobald der korrekte Pro-
duct Key eingegeben wurde. Sie können
den Status der Aktivierung anschließend
direkt einsehen, indem Sie im Startmenü
slui eingeben. Hier wird auch das Datum
der Aktivierung angezeigt.
Fazit
Die korrekte Lizenzierung von Windows
Server 2019 ist nicht einfach. Das wird
beim Einsatz von virtuellen Infrastruk-
turen und hybriden Clouds deutlich: Mi-
crosoft bietet verschiedene Lizenzmodelle
und -programme an, die sich auch mit-
einander kombinieren lassen. Es lohnt
sich vor dem Kauf oder der Miete größe-
rer Lizenzpakete einen Vergleich durch-
zuführen und sich von Lizenzspezialisten
genau beraten zu lassen. (jp)
Link-Codes
[1] Windows Server 2019
Editions Comparison
js2a9
Sonderheft II/2019 11
Windows Admin Center in der Praxis

Quelle: Валерий Качаев – 123RF

Auf der
Brücke
von Thomas Joos

Das Windows Admin Center ist die neue Zentrale für Administratoren. Hier lassen sich webbasiert
Server und Clients lokal und in der Cloud verwalten. Zwar kann das Center den Server-Manager
aktuell noch nicht vollwertig ersetzen, doch Microsoft erweitert die Funktionen ständig.
Wir zeigen die Inbetriebnahme und Arbeit mit dem neuen Server-Kontrollraum.

D
as Windows Admin Center (WAC)
funktioniert derzeit mit Google
Chrome und Microsoft Edge, andere
Browser unterstützen die Funktionen in
der Verwaltungslösung derzeit noch nicht
ausreichend. Mit dem Internet Explorer
kann das Admin Center nicht genutzt wer-
den. Das heißt, auf einem Server können
Sie das WAC nur dann direkt öffnen, wenn
Chrome oder Edge installiert sind. Das ist
natürlich für den Gateway-Endpunkt nicht
notwendig, denn der Browser wird nur auf
dem zugreifenden Client benötigt.
Auch PowerShell-Sitzungen und Remote-
desktopverbindungen lassen sich direkt
über das WAC aufrufen. Dazu kommen
Funktionen zur Verwaltung von Windows-
10-Arbeitsstationen, Clustern und Hyper-
converged-Clustern. Nicht zuletzt lassen
sich VMs in Azure verwalten und mit lo-
kalen Rechnern synchronisieren.
Stetige Weiterentwicklung
Microsoft erweitert die Möglichkeiten des
Windows Admin Centers, indem es halb-
jährlich eine neue Version zur Verfügung
stellt. Diese ist schnell integriert, da le-
diglich die MSI-Datei der aktuellsten Ver-
sion auf dem Computer installiert werden
muss, auf dem das WAC-Gateway instal-
liert ist. Das Gateway kann mit dieser
MSI-Datei natürlich auch jederzeit neu
installiert werden.
Mit jeder neuen Version fügt Microsoft
neue Funktionen hinzu, die meistens zu-
erst als Beta-Version über ein Plug-in ein-
geführt werden und erst in einer späteren
Version komplett integriert sind. Um die
neuen Funktionen zu nutzen, reicht es je-
weils aus, auf dem Server, der das WAC-
Gateway bereitstellt, die neue Version zu
installieren. Stellt Microsoft neue Funk-
tionen über Erweiterungen zur Verfü-
gung, lassen sich diese innerhalb des
WAC aktualisieren. Dazu muss lediglich
eine Verbindung zum Internet zur Ver-
fügung stehen. Welche WAC-Version in-
stalliert ist, bringen Sie nach der Verbin-
dung über das Fragezeichen-Symbol oben
rechts in Erfahrung.
WAC-Gateway installieren
und aktualisieren
Die Verbindung zwischen Windows Ad-
min Center und einem Server erfolgt mit
einem Zwischenschritt über das Gateway.
Das heißt, alle Server kommunizieren mit
dem Gateway und die Administratoren
über den Webbrowser ebenfalls mit dem
Gateway. Dieses kommuniziert wiederum
per WinRM, Remote-PowerShell oder
WMI mit dem jeweiligen Server. Damit
die Remoteverbindung zwischen den Ser-
vern funktioniert, müssen die Remote-
verwaltungen auf den beteiligten Servern
aktiviert sein.
Das Gateway kann auf Servern mit gra-
fischer Oberfläche, aber auch auf Core-
Servern installiert werden. Es läuft ab
Windows Server 2012 R2 und auf Ar-
beitsstationen mit Windows 10 ab Version
1709. Die Installation des Gateways be-
steht aus der Bestätigung weniger Fenster,
in denen Sie unter anderem Zertifikate
und Ports steuern. Erscheint eine neue
WAC-Version, können Sie diese auf dem

12 Sonderheft II/2019 www.it-administrator.de


Gateway installieren. Dadurch wird die
alte Version aktualisiert und Sie können
die neuen Funktionen nutzen. Das WAC-
Gateway kann nicht auf Domänencon-
trollern installiert werden.
Im Rahmen der Installation legen Sie wie
gesagt auch einen Port und das Zertifikat
fest, das die Verbindung über SSL absi-
chert. Geben Sie bei der Installation kein
Zertifikat an, verwendet das WAC ein
selbstsigniertes Zertifikat. In diesem Fall
erhalten Administratoren bei der Anmel-
dung am Gateway eine Zertifikatwarnung.
Die Installation des WAC kann auch über
die Befehlszeile erfolgen. Das ist zum Bei-
spiel sinnvoll, wenn das Gateway auf ei-
nem Core-Server laufen soll. Die notwen-
digen Befehle lauten:
msiexec /i InstallerName.msi /qn
/L*v log.txt SME_PORT=Port
SSL_CERTIFICATE_OPTION=generate
Mit einem selbstsignierten Zertifikat sieht
das zum Beispiel so aus:
msiexec /i WindowsAdminCenter1704.
msi /qn /L*v log.txt SME_PORT=6516
SSL_CERTIFICATE_OPTION=generate
Läuft das WAC auf dem Core-Server, erfolgt
auch hier der Zugriff über das Netzwerk
mit einem Webbrowser. Um Core-Server
wiederum mit dem WAC zu verwalten,
muss auf dem entsprechenden Server die
Remoteverwaltung aktiviert sein.
Server anbinden
oder importieren
Sobald der Gateway-Endpunkt für das
Windows Admin Center installiert ist,
ist es unter der URL "https://Gateway-
Endpunkt:Port" erreichbar. Im Fenster
zur Anmeldung müssen Sie Ihren Benut-
zernamen (als Administrator) eingeben.
Das Windows Admin Center nutzt zur
Authentifizierung das Active Directory.
Im WAC lassen sich alle aktuellen Win-
dows-Server ab 2012 im Netzwerk an-
binden sowie komplette Cluster und ein-
zelne Arbeitsstationen.
Funktioniert eine Verbindung nicht, kann
es helfen, auf dem entsprechenden Server
www.it-administrator.de
Windows Admin Center
Bild 1: Das Installieren des WAC-Gateways klappt mit einem selbstsignierten oder einem SSL-Zertifikat.
mit winrm quickconfig die Remotever-
waltung zu aktivieren. Nach erfolgreicher
Verbindung lässt sich der Server per WAC
verwalten. Das Hinzufügen von Servern
erfolgt über den Link "Hinzufügen" und
die anschließende Auswahl des entspre-
chenden Objekts.
Beim ersten Aufruf des WAC erscheinen
diverse Hinweise zu dessen Funktionali-
tät. Ist die Einrichtung abgeschlossen,
zeigt der Browser das Startfenster des
Windows Admin Centers an und der Ser-
ver, auf dem der Gateway-Endpunkt in-
stalliert ist, wird automatisch hinzugefügt.
Um weitere Server anzubinden, etablieren
Sie zunächst über "Hinzufügen" im WAC-
Hauptfenster eine neue Serververbindung.
Anschließend legen Sie fest, ob ein her-
kömmlicher Server ("Verbindung Server
hinzufügen"), ein PC ("Verbindung
Windows-PC hinzufügen", ein Cluster
("Verbindung Failovercluster hinzufügen")
oder ein Hyperconverged-Cluster ("Ver-
bindung Hyperkonvergenter Cluster hin-
zufügen") integriert werden soll.
Für die Anbindung weiterer Server, die mit
Windows Admin Center verwaltet werden
sollen, können Sie im Fenster entweder den
Server-FQDN eingeben oder Sie impor-
tieren eine Liste von Servern aus einer kom-
magetrennten Textdatei. Beides ist schnell
Windows Server 2019
und unkompliziert möglich und erlaubt
das Hinzufügen von Tags (Markierungen).
So lassen sich zum Beispiel alle Hyper-V-
Hosts mit dem Tag "Hyper-V-Host" mar-
kieren. Notwendig ist noch, Namen und
Anmeldedaten des anzubindenden Servers
zu hinterlegen. Windows Admin Center
ermöglicht also die Anbindung von ver-
schiedenen Servern mit unterschiedlichen
Berechtigungen.
Server im WAC
verwalten
Durch einen Klick auf den Server, der im
WAC bereits verbunden ist, öffnet sich die
Hauptseite des Admin Centers. Hier sehen
Sie auf der linken Seite zunächst die für
alle Server verfügbaren Verwaltungsauf-
gaben. Im oberen Bereich können Sie zwi-
schen dem webbasierten Server-Manager,
dem Failovercluster-Manager, dem Hyper-
converged-Cluster-Manager und der Com-
puterverwaltung von PCs umschalten. Die
Mitte des Fensters zeigt weitere Befehle
und Informationen zum jeweiligen Server
oder PC an. Hier sind im oberen Bereich
verschiedene Befehle zu sehen und im un-
teren Bereich Informationen und Optio-
nen zum Server.
Klicken Sie einen Server im Fenster an,
wird eine Verbindung aufgebaut und der
Zeitpunkt des letzten Zugriffs im Win-
Sonderheft II/2019 13
Windows Server 2019 Windows Admin Center
Bild 2: Neue Objekte lassen sich per einfachen Klick ins Windows Admin Center integrieren.
dows Admin Center angezeigt. In diesem
Zusammenhang ist der Benachrichti-
gungsbereich hilfreich, den Sie durch einen
Klick auf das Icon mit der Glocke oben
rechts öffnen und der Ihnen alle durch-
geführten Aktionen und Infos dazu liefert.
Für die Administration eines Rechners
können Sie über "Verwalten als" ein alter-
natives Benutzerkonto auswählen, mit dem
Sie zugreifen. Auch die Bearbeitung der
Tags ist auf der WAC-Startseite möglich.
Nun stehen Ihnen zur Serveradministra-
tion die Befehle am linken Rand zur Ver-
fügung. Hier lassen sich Serverrollen
installieren, die Windows-Firewall anpas-
sen, die Registry öffnen und vieles mehr.
Auf der Übersichtsseite können Sie den
Server neu starten oder herunterfahren.
Auch das Ändern des Servernamens in-
klusive Domänenmitgliedschaft erfolgt
dann über "Computer-ID bearbeiten"
Durch einen Klick auf einen Menüpunkt,
zum Beispiel "Rollen und Funktionen"
oder "Firewall", erscheinen auf der rechten
Seite weitere Befehle und Informationen.
Auf diesem Weg lassen sich über das Netz-
werk zahlreiche Einstellungen auf Servern
vornehmen, bis hin zur Installation von
Serverrollen und der Verwaltung von
Windows-Updates. Für Hyper-V-Hosts las-
sen sich über den Server-Manager auch
die virtuellen Switches konfigurieren. Auch
Warnungen und Fehler werden hier an-
gezeigt und lassen sich korrigieren.
Um mit dem WAC Rollen zu installieren,
navigieren Sie zum Menüpunkt "Rollen
und Funktionen". Danach zeigt das Fens-
ter in der Mitte alle verfügbaren Server-
rollen und bei "Status", welche Rollen be-
reits installiert sind. Durch einen Klick
auf eine Serverrolle installieren (oder
deinstallieren) Sie diese. Auch einzelne
14 Sonderheft II/2019
Rollendienste lassen sich an dieser Stelle
installieren oder deinstallieren.
Mit Markierungen arbeiten
und Objekte suchen
Sie können im Windows Admin Center
den einzelnen Objekten und Servern wie
erwähnt Markierungen (Tags) zuweisen.
Das geht beim Hinzufügen eines Servers,
aber auch jederzeit nachträglich. Markie-
rungen finden Sie in der Übersicht des
WAC in der Spalte "Tags". Über den Me-
nüpunkt "Tags bearbeiten" weisen Sie Ser-
vern eine oder mehrere Markierungen
zu, zum Beispiel "dc", "Dateiserver" oder
"Rechenzentrum1".
Auf der ganz rechten Seite können Sie
mehrere Server auf einmal markieren und
über "Tags bearbeiten" gleichzeitig ein
Tag zuweisen. Einmal erstellte Tags zeigt
das WAC an und sie müssen nicht neu
eingetippt werden. Sie sehen die Tags
nicht nur im WAC in der Spalte "Tags",
sondern können auch nach Markierungen
im Suchfeld suchen.
Tiefer Zugriff
auf entfernte Server
Neben der Verwaltung von Serverrollen
und -einstellungen greifen Sie per WAC
auch auf das Dateisystem des Servers zu
und führen Dateiaktionen auf dem jewei-
ligen Server durch. So lassen sich Dateien
von dem PC, der mit dem WAC verbunden
ist, hoch- und herunterladen, Informatio-
nen zu Dateien anzeigen, Ordner erstellen
sowie Daten löschen und umbenennen.
Der webbasierte Datei-Explorer ist über
den Menüpunkt "Dateien" zu finden.
Über den Menüpunkt "Registrierung" öff-
nen Sie den webbasierten Registry-Editor
auf dem Server. Neben dem Lesen von
Einträgen in der Registry können Sie Ein-
träge exportieren und importieren und
natürlich Schlüssel und Werte bearbeiten
oder neu erstellen. Zusätzlich bietet Ihnen
"PowerShell" eine PowerShell-Sitzung im
Webbrowser, über die Sie Befehle auf dem
remotegesteuerten Server ausführen. Und
mit "Remotedesktop" bauen Sie Browser
eine Remotedesktopverbindung zum je-
weiligen Server auf.
Rollenbasierte
Zugriffsteuerung nutzen
Um festzulegen, welche Administratoren
Zugriff auf das WAC erhalten und welche
Server sie verwalten dürfen, steht die rol-
lenbasierte Zugriffssteuerung zur Verfü-
gung. Die Rechtevergabe wird dabei über
eine Gruppenmitgliedschaft gesteuert.
Die rollenbasierte Zugriffssteuerung er-
reichen Sie über "Active Directory-Be-
nutzer und -Gruppen". Generell unter-
scheidet das Windows Admin Center drei
Benutzertypen:
- Windows Admin Center Administra-
tors: Erhalten umfassende Rechte.
- Windows Admin Center Hyper-V Ad-
ministrators: Dürfen virtuelle Compu-
ter und Switches verwalten. Die ande-
ren Tools lassen sich zum Lesen nutzen,
erlauben aber keine Änderungen.
- Windows Admin Center Readers: Dür-
fen Einstellungen anzeigen, aber nicht
ändern.
Sobald Sie das Feature aktivieren, sind
die entsprechenden Rechten verfügbar,
die Sie am besten über Gruppen im Acti-
ve Directory nutzen. Die rollenbasierte
Zugriffsteuerung aktivieren Sie für die
einzelnen Server, wenn Sie sich mit die-
sen verbunden haben. Im unteren Be-
reich finden Sie den Menüpunkt "Ein-
stellungen". Klicken Sie auf diesen,
erreichen Sie mit "Rollenbasierte Zu-
griffssteuerung" die Einrichtung der Be-
rechtigungen für den jeweiligen Server.
Hier können Sie zunächst die Berechti-
gungen generell aktivieren, was Sie per
Klick auf "Übernehmen" auf dem ent-
sprechenden Server erledigen. Hierzu
werden auf dem Server auch neue Grup-
pen angelegt. Über die Mitgliedschaft in
diesen Gruppen steuern Sie anschlie-
ßend die WAC-Berechtigungen, die Ad-
ministratoren auf dem Server erhalten.
www.it-administrator.de
 Windows Admin Center Windows Server 2019

Zertifikate im WAC verwenden

Beim dauerhaft produktiven Einsatz des
WAC sollten Sie ein ordentliches Zertifi-
kat verwenden, wobei Sie auch die Acti-
ve-Directory-Zertifikatsdienste einsetzen
können. Grundsätzlich müssen Sie dem
Server, auf dem das WAC-Gateway läuft,
zunächst ein Zertifikat zuweisen. Dazu
rufen Sie certlm.msc auf, wo Sie die not-
wendigen Werkzeuge finden. Hier kann
beispielsweise das Abrufen von neuen
Zertifikaten erfolgen.

In den Eigenschaften eines Zertifikats ru-

fen Sie anschließend den Fingerabdruck
auf der Registerkarte "Details" ab. Diesen
hinterlegen Sie danach im Windows Ad-
min Center. Dazu öffnen Sie das Instal-
lationsprogramm und klicken die Option
"Ändern" an. Auch bei einer Neuinstal-
lation mit Zertifikat hinterlegen Sie üb-
rigens im entsprechenden Feld den Fin-
gerabdruck des Zertifikats. Anschließend
nutzt das Windows Admin Center das
Zertifikat in Zukunft für Verbindungen
der Administratoren.
WAC erweiterm
Sie finden ganz oben rechts im Windows
Admin Center dessen Optionen. Hier
können Sie Erweiterungen installieren
und die Verbindung zu Microsoft Azure
herstellen. Mit diesen Erweiterungen in-
tegrieren Angebote von Drittherstellern,
aber auch erweiterte Funktionen von Win-
dows-Servern, wie zum Beispiel den "Win-
dows Server Storage Migration-Assistent"
von Server 2019.
Microsoft bietet auch eine API, mit der
sich Erweiterungen für das WAC pro-
grammieren lassen. Diese können direkt
im Windows Admin Center hinzugefügt
werden. Dazu steht ein eigener Menü-
punkt zur Verfügung.
Azure-Funktionen
im WAC nutzen
Verbinden Sie das WAC mit Azure, kön-
nen Sie nicht nur Azure-VMs im WAC
verwalten, sondern darüber hinaus Server
im lokalen Netzwerk mit Azure Backup
sichern, VMs mit Azure Site Recovery in
Azure hochverfügbar replizieren und an-
dere Funktionen von Microsoft Azure
einsetzen.
Bild 3: Die Übersichtsseite eines Servers im Windows Admin Center
zeigt unter anderem die CPU-Auslastung.
Um das Windows Admin Center mit Mi-
crosoft Azure zu verbinden, müssen Sie
die entsprechende Konfiguration nur auf
dem Server vornehmen, auf dem das
WAC-Gateway läuft. Sobald die Anbin-
dung einmal erfolgt ist, erhalten Admi-
nistratoren, die mit dem Browser auf das
Gateway zugreifen, auch Zugriff auf die
Azure-Funktionen.
Zur Anbindung rufen Sie über das Zahn-
radsymbol die Einstellungen auf. Über
den Menüpunkt "Azure" starten Sie mit
"Registrieren" den Vorgang. Danach er-
scheint auf der rechten Seite ein Code,
den Sie für die Anmeldung benötigen.
Kopieren Sie den Code in die Zwischen-
ablage. Klicken Sie auf den Link "Gerä-
teanmeldung", melden Sie sich mit Ihrem
Azure-Konto an und fügen Sie den Code
im Fenster ein. Danach ist das Windows
Admin Center mit dem entsprechenden
Azure-Abonnement verbunden.
Als Nächstes müssen Sie im Azure-Portal
die WAC-Berechtigungen steuern. Ist das
WAC in Azure registriert, erhalten Sie ei-
nen Überblick der entsprechenden Be-
rechtigungen. Dort können Sie diese auch
wieder entfernen. Im Azure-Portal müs-
sen Sie noch die WAC-Berechtigungen
freischalten, was Sie im Windows Admin
Center in den Einstellungen bei Azure
mit "In Azure anzeigen" erledigen. Kli-
cken Sie im Azure-Portal bei der regis-
trierten App auf "Einstellungen", dann
auf "Erforderliche Berechtigungen" und
schließlich "Berechtigungen erteilen".
Mit dem Menüpunkt "Speicherreplikat"
steuern Sie die Replikatseinstellungen von
Windows-Servern in der Standard- und
Datacenter-Edition, sogar die Installation
der dazu notwendigen Serverrollen und
-Features ist vorgesehen. Über den Me-
nüpunkt "Sichern" binden Sie den Server
an Azure Backup an. Hierüber lassen sich
Server in Azure sichern. Wenn auf einem
Server Hyper-V installiert ist, lässt sich
per WAC auch die Replikation von VMs
über Microsoft Azure verwalten.
Wird das WAC lokal installiert und mit
Microsoft Azure verbunden, können da-
mit nicht nur Azure-VMs verwaltet wer-
den, auch eine Interaktion mit Azure-
Diensten im lokalen Rechenzentrum ist
möglich. So lassen sich zum Beispiel Ser-
ver im lokalen Netzwerk mit Azure Back-
up in die Cloud sichern, VMs mit Azure

www.it-administrator.de Sonderheft II/2019 15

Windows Server 2019 Windows Admin Center
Bild 4: Die Verwaltung von Hyper-V-Clustern erfolgt im Windows Admin Center.
Site Recovery hochverfügbar replizieren
und andere Azure-Funktionen nutzen.
Hyper-V mit
dem WAC verwalten
Über das WAC können Sie auf einem
Windows-2019-Server Hyper-V installie-
ren und verwalten – wie gewohnt über
"Rollen und Funktionen". Hier sehen Sie
zunächst, ob auf einem Server bereits Hy-
per-V installiert ist. Ist das nicht der Fall,
kann die Installation über den Web-
browser erfolgen.
Nach der Installation sind auf dem Server
die beiden Menüpunkte "Virtuelle Com-
puter" und "Virtuelle Switches" zu finden,
worüber Sie die entsprechenden Elemen-
te auf dem ausgewählten Hyper-V-Host
administrieren. Mit dem Menüpunkt "In-
ventar" erhalten Sie Zugriff auf die VMs
des Servers und können diese über die
Option "Mehr" verwalten.
Über "Einstellungen" ganz unten links
lassen sich serverspezifische Einstellun-
gen im Windows Admin Center vorneh-
men, wie zum Beispiel die Hyper-V-Kon-
figuration eines Hosts.
Im Windows Admin Center ist auch die
neue Funktion "Windows Server System
Insights" über den Menüpunkt "System-
daten" integriert. Hier kann über einen
Assistenten zum maschinellen Lernen ein
Hyper-V-Host überwacht werden. Dazu
kann Insights auch Prognosen erstellen,
wann es zum Beispiel auf einem Server
zu Engpässen kommen kann.
16 Sonderheft II/2019
Active Directory verwalten
Seit der Version 1904 des Windows Ad-
min Center erlaubt dieses die Verwaltung
von Active Directory, DNS und DHCP.
Zur Installation müssen Sie über das
Zahnradsymbol oben rechts die Einstel-
lungen aufrufen, wo Sie bei "Erweiterun-
gen" die zusätzlichen Funktionen sehen.
Der Menüpunkt "Installierte Erweiterun-
gen" zeigt Ihnen die Erweiterungen, die
bereits integriert sind. Über diesen Me-
nüpunkt lassen sich die Erweiterungen
auch aktualisieren. Dazu blendet WAC
einen Hinweis, wenn für eine Erweiterung
eine neue Version zur Verfügung steht.
Sind auf einem Server Active Directory
sowie DNS und DHCP installiert ist,
blendet das WAC den entsprechenden
Menüpunkt, zum Beispiel "Active Di-
rectory", ein. Aktuell lassen sich bereits
Bild 5: Das Windows Admin Center erlaubt die Verbindung zu Azure.
Benutzer verwalten und Kennwörter zu-
rücksetzen. Das ist vor allem für Support-
Abteilungen interessant.
Windows-Firewall im Griff
Über den Menüpunkt "Firewall" sehen
Sie bei "Übersicht" zunächst, für welche
Netzwerkprofile die Firewall aktiv ist und
was die Standardeinstellung für unbe-
kannten ein- und ausgehenden Verkehr
ist. Über die Menüpunkte "Regeln für ein-
gehende Verbindungen" und "Regeln für
ausgehende Verbindungen" lassen sich
die jeweils hinterlegten Firewallregeln an-
zeigen und bei Bedarf auch anpassen, lö-
schen oder deaktivieren. Auch das Akti-
vieren von Firewallregeln ist an dieser
Stelle möglich.
Mit den beiden Menüpunkten "Prozesse"
und "Dienste" lassen sich die Prozesse
und Systemdienste des Servers überwa-
chen, aber auch steuern. Mit "Spalten aus-
wählen" legen Sie im WAC fest, welche
Informationen erscheinen, wenn Sie Pro-
zesse verwalten.
Fazit
Das Windows Admin Center bietet eine
effektive Möglichkeit, verschiedene Ser-
ver im Netzwerk zu verwalten. Es lohnt
sich für Unternehmen, das kostenlose
Werkzeug zumindest zu testen. Da sich
mit dem Windows Admin Center auch
ältere Windows-Server und deren Funk-
tionen über Webbrowser verwalten las-
sen, bietet das kostenlose Tool einen ech-
ten Mehrwert. (jp)
www.it-administrator.de
 Kompetentes
Schnupperabo
sucht neugierige
Administratoren
Sie wissen, wie man Systeme
und Netzwerke am Laufen hält.
Und das Magazin IT-Administrator weiß,
wie es Sie dabei perfekt unterstützt:

Mit praxisnahen Workshops, aktuellen

Produkttests und nützlichen Tipps und
Tricks für den beruflichen Alltag.

Damit Sie sich Zeit,

Nerven und Kosten sparen.

e n S i e j e t z t
Test
A u s g a b e n zum
sechs i !
i s v o n d r e
Pre

Abo- und Leserservice IT-Administrator

shop.heinemann-verlag.de
vertriebsunion meynen Tel: 06123/9238-251
Herr Stephan Orgel Fax: 06123/9238-252
D-65341 Eltville leserservice@it-administrator.de
Active Directory unter Windows Server 2019

Quelle: senkaya – 123RF

Verzeichnispflege
von Thomas Joos

Das Active Directory ist der Dreh- und Angelpunkt in Windows-Netz-

werken. Daher sind der richtige Aufbau und die Pflege des Verzeich-
nisdienstes elementar, denn Fehler lassen sich später nicht immer
leicht korrigieren. Dieser Workshop zeigt die Installation, Verwal-
tung und Fehlerbehebung in Sachen Active Directory sowie der
zugehörigen Domaincontroller unter Windows Server 2019.

I
m Bereich Active Directory verhält
sich Windows Server 2019 wie
Windows Server 2016. In diesem Beitrag
geben wir einige Hinweise und Tipps zum
Umgang mit dem Active Directory in
Windows Server 2019.
PowerShell für das AD
Natürlich lässt sich der Verzeichnisdienst
in Windows Server 2019 umfassend in der
PowerShell verwalten. Dazu hat Microsoft
einige Cmdlets integriert. Mit dem Cmdlet
Install-ADDSDomainController installieren
Sie in einer bestehenden Domäne zum
Beispiel einen neuen Domänencontroller.
Mit Install-ADDSDomain installieren Sie
eine neue Domäne, mit Install-ADDSForest
eine neue Gesamtstruktur.
Um einen Domänencontroller herab-
zustufen, verwenden Sie das Cmdlet Un-
install-ADDSDomainController. Die
Cmdlets fragen alle notwendigen Optio-
nen an und starten den Server neu. Kon-
figurationen wie DNS-Server und den
globalen Katalog nehmen Sie anschlie-
ßend vor. Diese Aufgaben müssen Sie
nicht mehr im Assistenten zur Installation
vorgeben. Auch Cmdlets, um die Instal-
lation und Betrieb von Active Directory
zu überprüfen, hat Microsoft integriert.
Dazu gibt es die neuen Befehle
- Test-ADDSDomainControllerInstal-
lation
- Test-ADDSDomainControllerUninstal-
lation
- Test-ADDSDomainInstallation
- Test-ADDSForestInstallation und
- Test-ADDSReadOnlyDomainControl-
lerUninstallation.
- Test-ADDSReadOnlyDomainControl-
lerAccountCreation
Das Cmdlet Test-ADDSDomainControl-
lerInstallation ermöglicht das Abklopfen
der Voraussetzungen für die Installation
eines DCs. Die Voraussetzungen für
schreibgeschützte Domänencontroller
überprüfen Sie mit Test-ADDSReadOn-
lyDomainControllerAccountCreation. Das
Cmdlet Test-ADDSDomainControllerUn-
installation testet die Voraussetzungen
für die Deinstallation eines Domänen-
controllers. Das Tool bereitet die Aus-
führung des Cmdlets Uninstall-ADDS-
DomainController vor.
Mit Test-ADDSDomainInstallation be-
leuchten Sie die Voraussetzungen für die
Installation einer neuen Domäne im Acti-
ve Directory, Test-ADDSForestInstallation
prüft das gleiche für eine neue Gesamt-
struktur auf Basis von Windows Server
2019. Damit Sie die Tests ausführen kön-
nen, müssen Sie an verschiedenen Stellen
noch Kennwörter eingeben. Diese akzep-
tiert das entsprechende Cmdlet aber nur
als sichere Eingabe. Ein Beispiel für den
Befehl ist:
Test-ADDSDomainControllerInstallation
-DomainName DNS-Name der Domäne
-SafeModeAdministratorPassword
(Read-Host -Prompt Kennwort
-AsSecureString)
Um AD-Objekte abzurufen, stellt Mi-
crosoft zahlreiche neue Cmdlets zur Ver-
fügung. Eine Liste erhalten Sie über den
Befehl Get-Command Get-Ad*. Um neue
Objekte zu erstellen, gibt es ebenfalls

18 Sonderheft II/2019 www.it-administrator.de


Bild 1: Das Starten der AD-Installation auf einem Server-Manager erfolgt via Assistent.
zahlreiche neue Befehle. Die Liste dazu
erhalten Sie durch die Eingabe von Get-
Command New-Ad*. Eine Aufstellung
mit Kommandos zum Löschen von Ob-
jekten zeigt die PowerShell mit Get-Com-
mand Remove-Ad*. Änderungen an AD-
Objekten nehmen Sie mit "Set"-Cmdlets
vor. Eine Liste dieser erhalten Sie über
Get-Command Set-Ad*.
In Remote-PowerShell-Sitzungen verwen-
den Sie übrigens die gleichen Cmdlets wie
auf den lokalen Servern. Allerdings er-
lauben nicht alle Cmdlets eine Remote-
verwaltung. Sie sehen die kompatiblen
Cmdlets am schnellsten, indem Sie über-
prüfen, ob das Cmdlet die Option "-Com-
puterName" unterstützt. Mit dem Befehl
Get-Help * -Parameter ComputerName
lassen Sie sich eine Liste all dieser Cmdlets
anzeigen.
Migration auf
Windows Server 2019
Möchten Sie Domänencontroller auf
Windows Server 2019 aktualisieren, müs-
sen Sie zunächst das Schema der Gesamt-
struktur erweitern. Dazu führen Sie den
Befehl adprep /forestprep auf einem DC
aus. Sie finden das Tool im Ordner "sup-
port/adprep" auf der Windows-Server-
2019-DVD. Damit Sie das Schema erwei-
tern können, bestätigen Sie zuvor noch
die Erweiterung mit "c".
Diese Maßnahmen lassen sich nicht
mehr rückgängig machen. Nach der Ak-
tualisierung des Schemas sollten Sie mit
adprep /domainprep noch die einzelnen
Domänen aktualisieren. Installieren Sie
neue Domänencontroller, lassen sich die-
se problemlos ins AD aufnehmen. Auch
Mitgliedsserver mit Windows Server
www.it-administrator.de
2019 können Sie in bestehende Domä-
nen integrieren.
Bei Migrationen können Sie Betriebs-
masterrollen von Vorgängerversionen
auf die neuen Domänencontroller mit
Windows Server 2019 übernehmen. Die
Vorgänge dazu sind identisch mit der
Übernahme in Windows Server 2008 R2
sowie Windows Server 2012 (R2).
Neue Domäne installieren
In diesem Abschnitt zeigen wir Ihnen,
wie das AD grundsätzlich aufgebaut ist
und wie Sie eine Umgebung mit einer
neuen Domäne installieren. Sie können
Domänencontroller mit Windows Server
2019 auch in Gesamtstrukturen im Be-
triebsmodus Windows Server 2012 (R2)
oder 2016 betreiben. Wählen Sie die Rolle
"Active Directory-Domänendienste" aus,
um das AD zu installieren und bestätigen
Sie dann die Schaltfläche "Features hin-
zufügen", um dem Server die notwendi-
gen Erweiterungen mitzugeben. Nach der
Installation klicken Sie im Server-Mana-
ger auf "AD DS" und dann im oberen Be-
reich bei "Konfiguration ist für Active
Directory-Domänendienste […] erfor-
derlich" auf den Link "Details". Wählen
Sie dort den Punkt "Server zu einem Do-
mänencontroller heraufstufen".
Aktivieren Sie dann die Option "Neue
Gesamtstruktur hinzufügen" und geben
Sie den DNS-Namen der Domäne an,
zum Beispiel "testdom.int". Auf der nächs-
ten Seite belassen Sie die Standardeinstel-
lungen und legen die Funktionsebene für
Gesamtstruktur und Domäne fest. Geben
Sie ein Kennwort für den Wiederherstel-
lungsmodus ein. Der erste Domänencon-
troller muss globaler Katalog sein und
Active Directory Windows Server 2019
darf nicht schreibgeschützt betrieben wer-
den. Daher sind die Optionen bereits vor-
gewählt und lassen sich nicht ändern.
Bestätigen Sie das nächste Fenster "DNS-
Optionen". Dieses besagt, dass noch kein
DNS-Server für die Gesamtstruktur vor-
handen ist und daher keine Delegierung
eingerichtet werden kann, da noch keine
DNS-Zone existiert. Geben Sie danach
den NetBIOS-Namen der Domäne an. Die
nächsten Fenster müssen Sie nur bestäti-
gen. Auf der Seite "Optionen prüfen" kön-
nen Sie mit dem Punkt "Skript anzeigen"
die Befehle anzeigen lassen, um den glei-
chen Vorgang in der PowerShell durch-
zuführen. Bestätigen Sie die restlichen
Fenster und klicken Sie auf "Installieren".
Der Einrichtungsassistent überprüft vor
der Einrichtung des AD, ob Probleme
beim Heraufstufen zu erwarten sind. Sie
erhalten daraufhin Warnungen und Feh-
lerhinweise, bevor der Assistent startet.
Nach der Installation finden Sie im Tools-
Menü des Server-Managers die verschie-
denen Verwaltungswerkzeuge für das
Active Directory aufgelistet, zum Beispiel
das Active-Directory-Verwaltungscenter.
Im Bereich "AD DS" des Server-Managers
sind die Domänencontroller und deren
Warnungen und Fehler zu sehen. Über
das Kontextmenü des Servers im Bereich
AD DS sind ebenfalls die Befehle für das
AD zu erreichen.
Um das Active Directory zu überprüfen,
starten Sie eine Eingabeaufforderung und
geben dcdiag ein. Mit nltest /dclist:Net-
BIOS-Domänennamen lassen Sie sich den
Namen des Domänencontrollers anzei-
gen, mit nslookup Vollständiger Name des
DC muss der Name und die IP-Adresse
verfügbar sein.
Verwalten der
Betriebsmasterrollen von DCs
Im Active Directory sind zunächst alle
DCs gleichberechtigt. Allerdings gibt es
fünf unterschiedliche Rollen, die ein DC
annehmen kann und die dessen zentrale
Aufgabe im AD steuern. Die verschiede-
nen Rollen werden als Flexible Single
Master Operations (FSMOs) bezeichnet.
Jede dieser Rollen ist entweder einmalig
pro Domäne (PDC-Emulator, Infrastruk-
Sonderheft II/2019 19
Windows Server 2019 Active Directory
turmaster, RID-Master) oder einmalig
pro Gesamtstruktur (Schemamaster, Do-
mänennamenmaster) möglich. Fällt eine
dieser Rollen aus, kommt es im Active
Directory zu Fehlfunktionen. Möchten
Sie die Anzeige von Domänencontrollern
in der PowerShell filtern, zum Beispiel
um die PDC-Master anzeigen zu lassen,
verwenden Sie:
Get-ADDomainController -Filter
{OperationMaster-Roles -like "PDC*"}
Möchten Sie nur die Namen und die in-
stallierten Betriebsmaster anzeigen, ergän-
zen Sie das Cmdlet noch um die Option
"|fl Hostname, OperationMasterroles".
Die Rolle des PDC-Emulators gibt es in je-
der Domäne ein Mal. Der erste installierte
Domänencontroller einer Domäne be-
kommt diese Rolle automatisch zugewie-
sen. Er ist für die Anwendung und Verwal-
tung der Gruppenrichtlinien zuständig.
Steht der DC, der diese Rolle hat, nicht
mehr zur Verfügung, werden Gruppen-
richtlinien fehlerhaft angewendet. Sie lassen
sich zudem nicht mehr verwalten, da spe-
zielle Verwaltungskonsolen wie die Grup-
penrichtlinien-Verwaltungskonsole die Ver-
bindung zum PDC-Emulator aufbauen.
Der PDC-Emulator ist darüber hinaus
für Kennwortänderungen bei Benutzern
verantwortlich. Er steuert auch die exter-
nen Vertrauensstellungen einer Domäne.
Der PDC-Master ist auch beim Klonen
virtueller Domänencontroller beteiligt.
Ihn selbst können Sie nicht klonen, an-
dere DC schon. Außerdem ist der PDC-
Emulator der Zeitserver einer Domäne.
Alle hier beschriebenen Funktionen sind
gestört, wenn der PDC-Emulator nicht
mehr zur Verfügung steht.
Wollen Sie überprüfen, welcher Domä-
nencontroller die Rolle des PDC-Emula-
tors in der Domäne verwaltet, öffnen Sie
das Snap-in "Active Directory-Benutzer
und -Computer" im Server-Manager oder
über dsa.msc auf der Startseite. Mit einem
Klick mit der rechten Maustaste auf die
Domäne im Snap-in und die Auswahl
von "Betriebsmaster" im Kontextmenü
öffnet sich ein neues Fenster. Hier sind
die FSMOs der Domäne zu sehen.
20 Sonderheft II/2019
Auf der Registerkarte "PDC" sehen Sie
den aktuellen PDC-Emulator der Domä-
ne. Sie können sich den aktuellen PDC-
Emulator auch mit Hilfe des Befehls
dsquery server -hasfsmo pdc in der Ein-
gabeaufforderung anzeigen lassen oder
den PDC-Master mit dem folgenden
Cmdlet:
Get-ADComputer(Get-ADDomainControl-
ler -Discover -Service "Prima-
ryDC").Name -Property * | Format-
List DNSHostname,OperatingSystem,
OperatingSystemVersion
Sie können in der PowerShell auch Daten
einzelner Domänen abfragen. Dazu ver-
wenden Sie das Cmdlet Get-ADDomain.
Das Cmdlet Get-ADForest zeigt Informa-
tionen zu Gesamtstrukturen an. Auch
hier können Sie nach den Spalten auf
dem gleichen Wegen filtern, wie bei Get-
ADDomainController. Sinnvoll ist das
Cmdlet, wenn die FSMO-Rollen pro Do-
mäne angezeigt werden sollen. In jeder
Domäne gibt es die drei FSMO-Rollen,
die Sie mit folgendem Befehl ermitteln:
Get-ADDomain | Select Infrastructu-
reMaster, RID-Master, PDCEmulator
Schemamaster und Domänennamen-
master gibt es nur einmal pro Gesamt-
struktur. Diese Informationen bringen
Sie wiederum mit dem Cmdlet Get-AD-
Forest auf den Bildschirm:
Get-ADForest | Select-Object
DomainNamingMaster, SchemaMaster
Auch die Rolle des RID-Masters erhält
der erste installierte DC einer Domäne
automatisch. Den RID-Master gibt es
ebenfalls einmal in jeder Domäne einer
Gesamtstruktur. Die Aufgabe des RID-
Masters ist es, den anderen Domänen-
controllern einer Domäne relative Be-
zeichner (Relative Identifiers, RIDs)
zuzuweisen. Erstellen Sie ein neues Objekt
in der Domäne, also ein Computerkonto,
einen Benutzer oder eine Gruppe, erhält
dieses Objekt eine eindeutige Sicherheits-
ID (SID) zugewiesen. Diese SID erstellt
der DC aus einer domänenspezifischen
SID in Verbindung mit einer RID aus sei-
nem RID-Pool. Die SID von Rechnern
ist in Domänen immer einzigartig und
ein wichtiger Punkt bei der Bereitstellung
von Windows beziehungsweise dem
Überprüfen von Rechten. In manchen
Fällen, vor allem beim Klonen, kann es
übrigens passieren, dass doppelte SIDs
im Netzwerk vorhanden sind.
Ist der RID-Pool eines Domänencontrol-
lers aufgebraucht, werden ihm vom RID-
Master neue RIDs zugewiesen. Steht der
RID-Master nicht mehr zur Verfügung
und bekommen die DCs damit keine
RIDs mehr, lassen sich keine neuen Ob-
jekte mehr in dieser Domäne erstellen,
bis der RID-Master wieder einem DC zur
Verfügung steht. Der Befehl dsquery ser-
ver -hasfsmo rid zeigt Ihnen den Master
in der Eingabeaufforderung an. Außer-
dem können Sie sich die erfolgreiche Ver-
bindung und den Status des RID-Pools
bestätigen lassen. Geben Sie in der Ein-
gabeaufforderung den Befehl dcdiag /v
/test:ridmanager ein. Suchen Sie dann den
Bereich "Starting test: RidManager". Hier
sehen Sie, ob der Domänencontroller feh-
lerfrei eine Verbindung zum RID-Master
aufbauen kann. Tritt an dieser Stelle ein
Fehler auf, sollten Sie am besten den RID-
Master auf einen anderen Server transfe-
rieren oder verschieben.
Auch den Infrastrukturmaster gibt es in
jeder Domäne einer Gesamtstruktur ein-
mal. Diese Rolle erhält ebenfalls wieder
der erste installierte Domänencontroller
einer Domäne. In einer Gesamtstruktur
mit nur einer Domäne spielt dieser Be-
triebsmaster keine Rolle. Seine Bedeutung
steigt jedoch beim Einsatz mehrerer Do-
mänen oder Strukturen. Er hat in einer
Domäne die Aufgabe, die Berechtigungen
für die Benutzer zu steuern, die aus un-
terschiedlichen Domänen kommen.
Da die Berechtigungsanfragen sonst sehr
lange dauern würden, wenn zum Beispiel
in den Berechtigungen einer Ressource
Benutzerkonten oder Gruppen aus un-
terschiedlichen Domänen gesetzt sind,
dient der Infrastrukturmaster einer Do-
mäne sozusagen als Cache für diese Zu-
griffe, um die Abfrage der Berechtigungen
zu beschleunigen. Clients in der Domäne
haben möglicherweise Schwierigkeiten
dabei, Objekte in anderen Domänen zu
www.it-administrator.de

finden, wenn die Rolle nicht mehr funk-
tioniert. Der Infrastrukturmaster sollte
nicht auf einem globalen Katalog posi-
tioniert werden.
Er wird außerdem für die Auflösung von
Verteilergruppen verwendet, wenn Un-
ternehmen Exchange Server einsetzen,
da auch an dieser Stelle eine Gruppe Mit-
glieder aus verschiedenen Domänen der
Gesamtstruktur enthalten kann. Auf der
Registerkarte "Infrastruktur" ist dieser zu
sehen oder in der Eingabeaufforderung
mit dsquery server -hasfsmo infr.
AD-Schema meistern
Das Active Directory verfügt über ein er-
weiterbares Schema. Es bietet die Mög-
lichkeit, zusätzliche Informationen im Ord-
ner flexibel zu speichern. Diese Funktion
nutzt beispielsweise Exchange. Alle not-
wendigen Informationen zu einem E-Mail-
Postfach liegen im Active Directory. Bei
der Installation von Exchange wird das
AD-Schema um die notwendigen Attribute
und Klassen erweitert.
Damit das Schema erweitert werden
kann, ist der Schemamaster nötig. In jeder
Gesamtstruktur gibt es nur einen Sche-
mamaster. Steht der Schemamaster nicht
mehr zur Verfügung, können auch keine
Erweiterungen des Schemas stattfinden
und die Installation von Exchange schlägt
fehl. Der erste installierte Domänencon-
troller der ersten Domäne und Struktur
einer Gesamtstruktur erhält die Rolle des
Schemamasters. Der Schemamaster hat
ansonsten keine Auswirkungen auf den
laufenden Betrieb.
Damit der Schemamaster angezeigt wer-
den kann, müssen Administratoren zu-
nächst das Snap-in registrieren, das das
Schema anzeigt. Aus Sicherheitsgründen
wird dieses Snap-in zwar installiert, je-
doch nicht angezeigt. Die Eingabe des Be-
fehls regsvr32 schmmgmt.dll in der Ein-
gabeaufforderung macht die Konsole
verfügbar. Im Anschluss können Sie das
Snap-in Active Directory-Schema in eine
MMC über "Datei/Snap-in hinzufügen"
integrieren. Mit einem Klick mit der rech-
ten Maustaste auf das Menü "Active Di-
rectory-Schema" und die Auswahl von
"Betriebsmaster" öffnet sich ein neues
www.it-administrator.de
Fenster, in dem der Betriebsmaster ange-
zeigt wird. Sie können mit Hilfe dieses
Fensters später den Betriebsmaster auch
auf einen anderen DC verschieben. Dazu
müssen Sie sich über das Kontextmenü
des Active-Directory-Schemas mit dem
Domänencontroller verbinden, auf den
Sie die Rolle übertragen möchten. Auch
den Schemamaster können Sie sich in der
Eingabeaufforderung mit dsquery server
-hasfsmo schema anzeigen lassen.
Der Domänennamenmaster ist für die
Erweiterung der Gesamtstruktur um neue
Domänen oder Strukturen verantwort-
lich. In jeder Gesamtstruktur gibt es einen
Domänennamenmaster. Diese Rolle wird
automatisch dem ersten installierten DC
einer neuen Gesamtstruktur zugewiesen.
Immer wenn ein Server zum Domänen-
controller hochgestuft wird und eine neue
Domäne erstellt werden soll, wird eine
Verbindung zum Domänennamenmaster
aufgebaut. Steht der Master nicht zur Ver-
fügung oder kann keine Verbindung auf-
gebaut werden, besteht auch nicht die
Möglichkeit, eine neue Domäne zur Ge-
samtstruktur hinzuzufügen.
Der Domänennamenmaster wird nur be-
nötigt, wenn Sie eine neue Domäne in der
Gesamtstruktur erstellen. Um sich den Do-
mänennamenmaster anzeigen zu lassen,
benötigen Sie das Snap-in "Active Directo-
ry-Domänen und -Vertrauensstellungen".
Klicken Sie mit der rechten Maustaste di-
rekt auf das Snap-in und wählen im Kon-
textmenü den Eintrag "Betriebsmaster"
aus, öffnet sich ein neues Fenster, in dem
der Domänennamenmaster dieser Ge-
samtstruktur erscheint. Auch den Domä-
nennamenmaster können Sie sich in der
Eingabeaufforderung mit dsquery server
-hasfsmo name anzeigen lassen.
Globalen Katalog-Server
aufsetzen
An jedem Standort in Active Directory
sollte ein globaler Katalog-Server instal-
liert sein. Der globale Katalog ist eine wei-
tere Rolle, die ein Domänencontroller
einnehmen kann. Im Gegensatz zu den
beschriebenen FSMO-Rollen kann (und
sollte auch) die Funktion des globalen
Katalogs mehreren Domänencontrollern
zugewiesen werden.
Active Directory Windows Server 2019
Dem globalen Katalog kommt in einer
Domäne eine besondere Bedeutung zu.
Er enthält einen Index aller Domänen ei-
ner Gesamtstruktur. Aus diesem Grund
wird er von Serverdiensten wie Exchange
Server und Suchanfragen verwendet,
wenn Objekte aus anderen Domänen Zu-
griff auf eine Ressource der lokalen Do-
mäne erhalten. Der globale Katalog spielt
darüber hinaus eine wesentliche Rolle bei
der Anmeldung von Benutzern. Steht der
globale Katalog in einer Domäne nicht
mehr zur Verfügung, können sich diese
nur deutlich langsamer anmelden, sofern
keine speziellen Vorbereitungen getroffen
worden sind.
Ein Domänencontroller mit der Funktion
des globalen Katalogs repliziert sich nicht
nur mit den DCs seiner Domäne, sondern
enthält eine Teilmenge aller Domänen in
der Gesamtstruktur. Der erste installierte
Domänencontroller einer Gesamtstruktur
ist automatisch ein globaler Katalog. Alle
weiteren globalen Kataloge müssen hin-
gegen manuell hinzugefügt werden. Der
globale Katalog dient auch zur Auflösung
von universalen Gruppen.
Sie sollten aber nicht alle DCs zu globalen
Katalogen machen, da dadurch der Re-
plikationsverkehr zu diesen Domänen-
controllern stark zunimmt. In jedem
Standort sollten zwei bis drei DCs diese
Aufgabe übernehmen. Während der He-
raufstufung zum Domänencontroller
können Sie diese Auswahl bereits treffen.
Aber auch nachträglich können Sie einen
DC zum globalen Katalog konfigurieren:
1. Um einen DC als globalen Katalog zu
konfigurieren, benötigen Sie das Snap-
in "Active Directory-Standorte und -
Dienste" aus dem Menü "Tools" im Ser-
ver-Manager. Sie starten das Tool auch
mit "dssite.msc".
2. Öffnen Sie dieses Snap-in und rufen
Sie die Eigenschaften der Option
NTDS-Settings über "Sites / Name des
Standortes / Servers / Servername" auf.
3. Auf der Registerkarte "Allgemein" ak-
tivieren Sie das Kontrollkästchen "Glo-
baler Katalog".
Haben Sie diese Konfiguration vorge-
nommen, repliziert sich der Server zu-
künftig mit weiteren Domänencontrol-
Sonderheft II/2019 21
Windows Server 2019 Active Directory

lern und enthält nicht nur Informationen

seiner Domäne, sondern einen Index der
Gesamtstruktur.

Um sich die globalen Katalogserver an-

zeigen zu lassen, öffnen Sie das Snap-in
"DNS" und navigieren zu der DNS-Zone
der Root-Domäne in der Gesamtstruktur.
Klicken Sie mit der Maus auf die "_tcp-
Zone". In dieser Zone werden Ihnen alle
globalen Katalogserver angezeigt. Die
SRV-Records dieser Server verweisen auf
den Port 3268.

Verwaltung und Verteilung

der Betriebsmaster
Um sich einen Überblick über alle Be-
triebsmaster einer Gesamtstruktur zu
verschaffen, können Sie den Befehl net-
dom query fsmo in der Eingabeauffor-
derung nutzen. Zur optimalen Vertei-
lung der FSMO-Rollen gibt es folgende
Empfehlungen:
- Der Infrastrukturmaster sollte nicht auf
einem globalen Katalog liegen, da an-
sonsten Probleme bei der Auflösung
von Gruppen, die Mitglieder aus ver-
schiedenen Domänen haben, auftreten
können.
- Domänennamenmaster und Schema-
master sollten auf einem gemeinsamen
Domänencontroller liegen, der auch
globaler Katalog ist.
- PDC-Emulator und RID-Master kom-
munizieren viel miteinander und soll-
ten daher auf einem gemeinsamen Do-
mänencontroller liegen, der auch
globaler Katalog ist.
Auf Basis dieser Empfehlungen sollten
Sie daher nach der Installation die Be-
triebsmaster entsprechend auf die einzel-
nen DCs der Domänen oder der Gesamt-
struktur aufteilen. Betriebsmasterrollen
können ohne weiteres im laufenden Be-
trieb von einem auf den anderen DC
übertragen werden.
Wie Sie gesehen haben, werden die drei
Betriebsmaster einer Domäne auf ver-
schiedenen Registerkarten an der gleichen
Stelle angezeigt. An dieser Stelle übertra-
gen Sie die einzelnen FSMO-Rollen auch:
1. Klicken Sie mit der rechten Maustaste
im Snap-in "Active Directory-Benutzer
und -Computer" auf die Domäne und
Bild 2: Das Festlegen eines globalen Katalogs erfolgt im Snap-in
"Active Directory-Standorte und -Dienste".
wählen Sie im Kontextmenü den Ein-
trag "Domänencontroller ändern" aus.
2. Wählen Sie im nächsten Fenster den
Domänencontroller aus, auf den Sie die
Rolle übertragen wollen, und bestätigen
Sie die Eingabe.
3. Klicken Sie dann wieder mit der rech-
ten Maustaste auf die Domäne und
wählen Sie dieses Mal im Kontextmenü
den Eintrag "Betriebsmaster" aus.
4. Auf den drei Registerkarten "PDC",
"RID" und "Infrastruktur" wird der ak-
tuelle Betriebsmaster und im unteren
Feld der Domänencontroller, mit dem
Sie sich verbunden haben, angezeigt.
5. Klicken Sie auf der Registerkarte, deren
Betriebsmaster Sie verschieben wollen,
auf die Schaltfläche "Ändern". Sie kön-
nen hier auch mehrere Betriebsmaster
verschieben.
6. Es erscheint eine Warnung, die Sie be-
stätigen müssen. Nach dieser Warnung
erscheint die Meldung, dass der Be-
triebsmaster erfolgreich übertragen
wurde.
7. Auf dieselbe Weise gehen Sie bei der
Übertragung der Schemamaster und
Domänennamenmaster vor. Diese bei-
den Betriebsmaster werden in der be-
kannten jeweiligen Verwaltungskonsole
übertragen.
Betriebsmasterrollen lassen sich in der
PowerShell auf andere Domänencontrol-
ler verschieben. Das passende Cmdlet
dazu lautet Move-ADDirectoryServerOpe-
rationMasterRole. Mit get-help Move-AD-
DirectoryServerOperationMasterRole las-
sen Sie sich die umfassende Syntax und
einige Beispiele für das Cmdlet anzeigen.
Überprüfung der
DNS-Einstellungen
Bevor Sie das Active Directory auf dem
Server installieren, sollten Sie sicherstellen,
dass alle DNS-Einstellungen korrekt vor-
genommen sind. Überprüfen Sie, ob sich
der Server sowohl in der Forward- als auch
in der Reverse-Lookupzone korrekt ein-
getragen hat. Öffnen Sie danach eine Ein-
gabeaufforderung und geben Sie den Be-
fehl nslookup ein. Die Eingabe des Befehls
darf keinerlei Fehlermeldungen verursa-
chen. Es muss der richtige FQDN des
DNS-Servers und seine IP-Adresse ange-
zeigt werden. Suchen Sie in Nslookup noch
nach der IP-Adresse, muss diese nach dem
Servernamen aufgelöst werden.

22 Sonderheft II/2019 www.it-administrator.de


Sollte das nicht der Fall sein, gehen Sie
Schritt für Schritt vor, um das Problem
einzugrenzen. Sollte ein Fehler erschei-
nen, versuchen Sie es einmal mit dem Be-
fehl ipconfig /registerdns in der Eingabe-
aufforderung. Überprüfen Sie, ob sich
der Server in die Zone eingetragen hat.
Sollte der Fehler weiterhin auftreten,
überprüfen Sie, ob das primäre DNS-Suf-
fix auf dem Server mit dem Zonennamen
übereinstimmt.
Stellen Sie als Nächstes fest, ob die IP-
Adresse des Servers stimmt und der Ein-
trag des bevorzugten DNS-Servers auf
die IP-Adresse des Servers zeigt. Über-
prüfen Sie zudem in den Eigenschaften
der Zone, ob die dynamische Aktualisie-
rung zugelassen wird und ändern Sie ge-
gebenenfalls die Einstellung, damit die
Aktualisierung stattfinden kann. Die Ei-
genschaften der Zonen erreichen Sie,
wenn Sie mit der rechten Maustaste auf
die Zone klicken und die Eigenschaften
auswählen. Treten keine Fehler auf, kön-
nen Sie mit dem Erstellen des Active Di-
rectory auf diesem Server beginnen.
Haben Sie das Active Directory installiert,
stehen auch in Windows Server 2019 die
bekannten Tools Dcdiag, Repadmin und
Co. zur Analyse zur Verfügung. Für die
Namensauflösung können Sie weiterhin
Nslookup verwenden oder die neuen
Cmdlets zur Verwaltung von DNS, zum
Beispiel "Resolve-DnsName".
Geben Sie in der Eingabeaufforderung
den Befehl nltest /dclist:NetBIOS-DOMÄ-
NENNAME ein, zum Beispiel nltest
/dclist:Joos. Alle DCs sollten dann mit ih-
ren vollständigen Domänennamen aus-
gegeben werden. Werden einzelne DCs
nur mit ihrem NetBIOS-Namen ange-
zeigt, überprüfen Sie deren DNS-Regis-
trierung auf den DNS-Servern.
Starten Sie im Problemfall mit net stop
netlogon und dann net start netlogon den
Anmeldedienst auf dem Domänencon-
troller neu, versucht der Dienst, die Da-
ten der Datei "netlogon.dns" aus dem
Ordner \Windows\System32\config\
netlogon.dns" erneut im DNS zu regis-
trieren. Gibt es hierbei Probleme, finden
sich im Ereignisprotokoll unter "System"
www.it-administrator.de
Einträge des Diensts, die bei der Pro-
blemlösung weiterhelfen.
Auch der Befehl nltest /dsregdns hilft oft
bei Problemen bei der DNS-Registrie-
rung. Funktioniert die erneute Registrie-
rung durch Neustart des Anmeldediensts
nicht, löschen Sie die DNS-Zone "_msdcs"
und die erstellte Delegierung. Beim
nächsten Start des Anmeldediensts liest
dieser die Daten von "netlogon.dns" ein,
erstellt die Zone "_msdcs" neu und
schreibt die Einträge wieder in die Zone.
Mit Dcdiag lassen sich danach die Pro-
bleme erneut diagnostizieren.
Active Directory vom
Installationsmedium einspielen
Soll ein Domänencontroller nach der In-
stallation seine Replikationsdaten nicht
über das Netzwerk beziehen, sondern ei-
nen Datenträger verwenden, den Sie auf
Basis der aktuellen AD-Daten erstellt ha-
ben, müssen Sie zuvor einige Vorberei-
tungen treffen. Für die Installation eines
DCs in Niederlassungen oder bereits aus-
gelasteten Netzwerken bietet es sich an,
auf einem Quell-Domänencontroller zu-
nächst Daten aus dem AD zu exportieren,
auf einen Datenträger zu kopieren und
zur Niederlassung zu senden. Bei der He-
raufstufung eines DCs kann dieses Me-
dium verwendet werden. So muss der
Domänencontroller in der Niederlassung
nur noch das Delta zwischen Medium
und aktuellen Daten mit seinen Replika-
tionspartnern synchronisieren, was deut-
lich Netzwerklast spart.
Um ein Installationsmedium vorzuberei-
ten, melden Sie sich an einem Domänen-
controller mit Admin-Rechten an. Gehen
Sie im Anschluss folgendermaßen vor:
1. Öffnen Sie eine Eingabeaufforderung
und geben Sie ntdsutil ein.
2. Geben Sie als nächstes den Befehl acti-
vate instance ntds ein und bestätigen
Sie, gefolgt von ifm.
4. Verwenden Sie nun create rodc c:\temp,
um ein Installationsmedium für einen
RODC (schreibgeschützter Domänen-
controller) zu erstellen. Um einen voll-
wertigen DC mit dem Installationsme-
dium zu erstellen, geben Sie create full
c:\temp ein. Soll der SYSVOL-Ordner
nicht mit eingeschlossen werden, ver-
Active Directory Windows Server 2019
wenden Sie einen der beiden Befehle
create nosysvol rodc c:\temp oder create
nosysvol full c:\temp. Den Ordner kön-
nen Sie natürlich beliebig ändern.
5. Beenden Sie Ntdsutil mit der wieder-
holten Eingabe von quit.
6. Überprüfen Sie schließlich, ob der Ord-
ner erstellt wurde und die Daten darin
enthalten sind.
Kopieren Sie die Daten auf ein Medium
und legen dieses in den Server ein, den
Sie mit diesem Medium installieren wol-
len. Soll die Installation unbeaufsichtigt
ablaufen, verwenden Sie die Variable "/Re-
plicationSourcePath". Nutzen Sie den As-
sistenten in der grafischen Oberfläche,
aktivieren Sie auf der Seite "Installieren
von Medium" die Option "Daten von Me-
dien an folgendem Speicherort replizie-
ren" und wählen Sie den lokalen Ordner
aus, in dem die Daten abgelegt wurden.
Active Directory mit
PowerShell installieren
Auch Core-Server können Sie als Domä-
nencontroller verwenden. Die Installation
des Active Directory nehmen Sie in diesem
Fall zum Beispiel über die PowerShell vor.
Das funktioniert natürlich auch auf her-
kömmlichen Domänencontrollern. Mit
dem Cmdlet Install-ADDSDomainCon-
troller installieren Sie in einer bestehenden
Domäne einen neuen Domänencontroller.
Mit Install-ADDSDomain installieren Sie
eine neue Domäne, mit Install-ADDSForest
eine neue Gesamtstruktur.
Um einen Domänencontroller herabzu-
stufen, verwenden Sie das Cmdlet Un-
install-ADDSDomainController. Die
Cmdlets fragen alle notwendigen Optio-
nen an und startet den Server neu, wenn
Sie die Optionen nicht bereits mit dem
Cmdlet konfiguriert haben. Konfigura-
tionen wie DNS-Server und globaler Ka-
talog nehmen Sie anschließend vor. Diese
Aufgaben müssen Sie nicht mehr im As-
sistenten zur Installation vorgeben.
Bevor Sie einen Core-Server als Domä-
nencontroller installieren, nehmen Sie die
IP-Einstellungen auf dem Server vor. Um
das Active Directory mit der PowerShell
zu installieren, spielen Sie im ersten
Schritt mit Install-WindowsFeature AD-
Sonderheft II/2019 23
Windows Server 2019 Active Directory
Domain-services -IncludeManagement-
Tools die Domänendienste auf dem Server
ein. Anschließend stehen die bereits ge-
nannten Cmdlets zur Verfügung. Geben
Sie keine Optionen für die Cmdlets ein,
fragt der Assistent die notwendigen Daten
ab. Sie können sich die Befehle auch an-
zeigen lassen, wenn Sie den Assistenten
auf einem Server durchlaufen und sich
am Ende das Skript anzeigen lassen. Hier
sehen Sie die Befehle und Optionen, die
Sie für die PowerShell benötigen.
Um zum Beispiel einen neuen DC zu in-
stallieren, verwenden Sie das Cmdlet "In-
stall-ADDSDomainController". Damit der
Befehl funktioniert, geben Sie den Namen
der Domäne mit und konfigurieren das
Kennwort für den Verzeichnisdienst-Wie-
derherstellungsmodus als SecureString.
Dazu nutzen Sie den Befehl:
Install-ADDSDomainController
-DomainName DNS-Name der Domäne
-SafeModeAdministratorPassword
(Read-Host -Prompt Kennwort
-AsSecureString)
Der Befehl fragt nach dem Kennwort für
den Verzeichnisdienst-Wiederherstel-
lungsmodus und speichert es als sichere
Zeichenfolge ab.
Eine neue Gesamtstruktur installieren Sie
mit Install-ADDSForest -Domainname
DNS-Name. Ein Beispiel:
Install-ADDSForest -DomainName
corp.contoso.com -CreateDNSDelega-
tion -DomainMode Win2016 -Forest-
Mode Win2016 -DatabasePath d:\NTDS
-SYSVOLPath d:\SYSVOL
-LogPath e:\Logs
Um eine Domäne im Betriebsmodus
Windows Server 2016 in einer Gesamt-
struktur zu installieren, verwenden Sie:
Install-ADDSDomain -SafeModeAdminis-
tratorPassword -Credential (Get-
Credential corp\EnterpriseAdmin1)
-NewDomainName child -ParentDo-
mainName corp.contoso.com
-InstallDNS -CreateDNSDelegation
-DomainMode Win2016 -Replication-
SourceDC DC1.corp.contoso.com
24 Sonderheft II/2019
-SiteName Houston -DatabasePath
d:\NTDS -SYSVOLPath d:\SYSVOL
-LogPath e:\Logs -Confirm:$False
Um in dieser Domäne dann wiederum
einen weiteren Domänencontroller zu in-
stallieren, greift der Befehl
Install-ADDSDomainController
-Credential (Get-Credential
corp\administrator) -DomainName
corp.contoso.com
Ist der entsprechende Server bereits Mit-
glied der Domäne und haben Sie sich mit
einem Domänenadministrator angemel-
det, können Sie auch den Befehl Install-
ADDSDomainController -DomainName
corp.contoso.com verwenden. Ein weiteres
Beispiel für die Installation eines neuen
Domänencontrollers ist:
Install-ADDSDomainController
-Credential (Get-Credential conto-
so\EnterpriseAdmin1) -CreateDNSDe-
legation -DomainName corp.conto-
so.com -SiteName Boston
-InstallationMediaPath "c:\ADDS
IFM" -DatabasePath "d:\NTDS"
-SYSVOLPath "d:\SYSVOL" -LogPath
"e:\Logs"
Objekte schützen
und wiederherstellen
In Windows Server 2019 sind AD-Ob-
jekte vor dem versehentlichen Löschen
geschützt. Dieser Schutz ist standardmä-
ßig aktiviert. Nachdem Sie über das Menü
"Ansicht" in "Active Directory-Benutzer
und -Computer" die erweiterte Ansicht
aktiviert haben, finden Sie auf der Regis-
terkarte "Objekt" das Kontrollkästchen
"Objekt vor zufälligem Löschen schützen"
vor. Diese Option steuert die Berechti-
gungen auf der Registerkarte "Sicherheit".
Der Gruppe "Jeder" wird der Eintrag "Lö-
schen" verweigert. Dies äußert sich darin,
dass ein Administrator vor dem Löschen
eines solchen geschützten Objektes zu-
nächst das Kontrollkästchen zu dieser
Option deaktivieren muss, bevor er das
Objekt entfernen kann.
Den Papierkorb für gelöschte Objekte ver-
walten Sie in Windows Server 2019 im
Active-Directory-Verwaltungscenter.
Grundlage ist der Papierkorb des AD, den
Sie zunächst für die Gesamtstruktur ak-
tivieren müssen. Diesen Vorgang nehmen
Sie über das Kontextmenü der Gesamt-
struktur auf der linken Seite der Konsole
im Verwaltungscenter vor. Sie können
den Papierkorb nur dann aktivieren,
wenn die Funktionsebene der Gesamt-
struktur mindestens auf Windows Server
2008 R2 gesetzt ist.
Um gelöschte Objekte wiederherzustellen,
verwenden Sie am besten das Active Di-
rectory Administration Center in Win-
dows Server 2019. Das bietet den Vorteil,
dass Ihnen eine grafische Oberfläche zur
Verfügung steht. Nachdem Sie den Pa-
pierkorb aktiviert und das Verwaltung-
scenter neu gestartet haben, gibt es für die
entsprechende Gesamtstruktur einen neu-
en Ordner "Deleted Objects".
Rufen Sie die Eigenschaften von Organi-
sationseinheiten in der Verwaltungskonsole
"Active Directory-Benutzer und -Compu-
ter" auf, stehen nicht alle Optionen zur Ver-
fügung. Es fehlen zum Beispiel die Einstel-
lungen für die Sicherheit von Objekten. In
der Konsole können Sie jedoch über den
Menüpunkt "Ansicht" die Option "Erwei-
terte Features" aktivieren. Ab diesem Mo-
ment werden die Eigenschaften erweitert
und mehr Einstellungen angezeigt.
Um Objekte davor zu schützen, von einem
Administrator versehentlich gelöscht zu
werden, aktivieren Sie die Option "Objekt
vor zufälligem Löschen schützen" auf der
Registerkarte "Objekt". Dadurch wird ver-
hindert, dass ein Objekt löschbar ist. Ver-
sucht nun jemand, ein Objekt zu löschen,
erscheint eine Fehlermeldung, dass die Be-
rechtigungen dazu fehlen oder dass das
Objekt vor dem zufälligen Löschen ge-
schützt ist. Um das Objekt löschen zu kön-
nen, reicht es aus, den Haken zu entfernen.
Es ist sinnvoll, den Schutz auch für unter-
geordnete Objekte zu aktivieren und zu
kontrollieren, ob er auch aktiviert wurde.
Beim Anlegen von Organisationseinheiten
können Sie den Schutz aber auch deakti-
vieren. In diesem Fall entfernen Sie beim
Erstellen einfach den entsprechenden Ha-
ken. Beim Anlegen anderer Objekte wie
zum Beispiel Gruppen oder Benutzer er-
www.it-administrator.de

scheint die Option nicht. Hier müssen Sie
den Schutz nachträglich aktivieren.
Neben der Verwaltungskonsole "Active Di-
rectory-Benutzer und -Computer" lassen
sich Objekte auch in anderen Konsolen si-
chern. So schützen Sie zum Beispiel auch
die Objekte in "Active Directory-Standorte
und -Dienste" vor dem versehentlichen Lö-
schen. Auch hier gibt es die Registerkarte
"Objekte" und die Option "Objekt vor dem
versehentlichen Löschen schützen". Für die
Anzeige der Option müssen Sie die erwei-
terte Ansicht aber nicht deaktivieren.
Neben der Möglichkeit, die Einstellungen
in der grafischen Oberfläche vorzunehmen,
kann der Löschschutz auch in der Power-
Shell abgefragt und gesetzt werden. Um
den Löschschutz für ein Objekt abzufragen,
nutzen Sie den folgenden Befehl:
Get-ADObject DN des Objekts
-Properties ProtectedFromAcciden-
talDeletion
Aktivieren lässt sich der Löschschutz mit:
Set-ADObject DN des Objekts -Pro-
tectedFromAccidentalDeletion $true
Soll der Löschschutz deaktiviert werden,
können Sie wiederum die Option "$false"
setzen. Um keine Objekte zu schützen,
sondern Organisationseinheiten, verwen-
den Sie die Cmdlets Get-ADOrganizatio-
nalUnit und Set-ADOrganizationalUnit.
Active-Directory-Replikation
Die Replikation zwischen verschiedenen
Standorten im Active Directory läuft weit-
gehend automatisiert ab. Damit die Re-
plikation aber stattfinden kann, müssen
Sie zunächst die notwendige Routingto-
pologie erstellen. Dabei fallen hauptsäch-
lich folgende Aufgaben an:
- Erstellen von Standorten imAD.
- Anlegen von IP-Subnetzen und Zuwei-
sen an die Standorte.
- Erstellen von Standortverknüpfungen
für die AD-Replikation.
- Konfiguration von Zeitplänen für die
optimale Standortreplikation.
Damit Sie die standortübergreifende Re-
plikation des Active Directory verwenden
www.it-administrator.de
können, sollten Sie in jedem Standort,
an dem später ein DC angeschlossen ist,
ein unabhängiges IP-Subnetz verwenden.
Dieses IP-Subnetz hinterlegen Sie in der
Active-Directory-Verwaltung und es
dient fortan zur Unterscheidung der AD-
Standorte.
Das wichtigste Verwaltungswerkzeug,
um Standorte im AD zu verwalten, ist
das Snap-in "Active Directory-Standorte
und -Dienste". Um neue Standorte zu er-
stellen, müssen Sie Mitglied der Gruppe
Organisations-Administratoren sein.
Standardmäßig überprüft der "Knowled-
ge Consistency Checker" (KCC) automa-
tisch alle 15 Minuten die Funktionalität
der Routingtopologie.
Fehler bei der
Replikation beheben
Eine häufige Fehlerursache in ADs mit
vielen Niederlassungen und zahlreichen
Domänencontrollern ist die Replikation
zwischen diesen Standorten. Beim Einsatz
eines einzelnen Standorts werden nur sel-
ten Probleme auftreten. Bei der Fehler-
suche bezüglich der Replikation sollten
Sie zunächst die beteiligten Domänen-
controller überprüfen und testen, ob diese
innerhalb ihres Standorts funktionieren.
Der nächste Schritt sollte der Blick in die
Ereignisanzeige und das Protokoll "Ver-
zeichnisdienst" sein. Achten Sie vor allem
auf Fehler von "NTDS KCC", "NTDS Re-
plication" oder "NTDS General". Bereits
mit Hilfe dieser Fehlermeldungen können
Sie auf den Internetseiten [1,2,3] eine Lö-
sung für das Problem finden. Bevor Sie
mit Tools die Replikation genauer unter-
suchen, sollten Sie zunächst die gravie-
rendsten und häufigsten Fehlerursachen
ausschließen:
- Liegt auf dem Domänencontroller, der
sich nicht mehr replizieren kann, ein
generelles Problem vor, das sich mit
Dcdiag herausfinden lässt? Liegen also
die Probleme überhaupt nicht in der
Replikation, sondern hat der DC eine
Funktionsstörung?
- Wurde auf dem Domänencontroller ei-
ne Software installiert, die die Replika-
tion stören kann, wie etwa Sicherheits-
software, Virenscanner, Firewall oder
ähnliches?
Active Directory Windows Server 2019
- Ist auf dem DC, mit dem die Replika-
tion nicht mehr stattfinden kann, die
Hardware ausgefallen?
- Liegt vielleicht nur ein Leitungs-, Router-
oder Firewallproblem vor?
- Lassen sich der entsprechende Domä-
nencontroller noch pingen und der
DNS-Name des Servers auflösen?
- Gibt es generelle Probleme mit der Au-
thentifizierung zwischen den DCs, die
sich durch Zugriff-verweigert-Meldun-
gen äußern?
- Sind die Replikationsintervalle zwi-
schen Standorten so kurz eingestellt,
dass die vorherige Replikation noch
nicht abgeschlossen ist und die nächste
bereits beginnt?
- Wurden Änderungen an der Routing-
topologie vorgenommen, die eine Re-
plikation verhindern können?
Im Falle von Replikationsproblemen
sollten Sie auch sicherstellen, dass die
problematischen Domänencontroller
für den richtigen Standort konfiguriert
sind. Zu diesem Zweck geben Sie in der
Eingabeaufforderung das Kommando
nltest /dsgetsite ein.
Das wichtigste Tool, um die Replikation
in Active Directory zu überprüfen, ist
derweil Repadmin. Geben Sie in der Ein-
gabeaufforderung den Befehl repadmin
/showreps ein, erhalten Sie alle durchge-
führten Replikationsvorgänge des Active
Directory sowie etwaige Fehler angezeigt,
die auf die möglichen Ursachen für eine
nicht funktionierende Replikation hin-
weisen. Sie können sich die Anzeige mit
repadmin /showreps >c:\repl.txt auch in
eine Datei umleiten lassen.
Das wichtigste Werkzeug für die Diagnose
von Domänencontrollern ist hingegen
Dcdiag. Sie können das Tool in der Ein-
gabeaufforderung mit Administratorrech-
ten aufrufen, indem Sie dcdiag eingeben.
Eine ausführliche Diagnose erhalten Sie
durch dcdiag /v. Möchten Sie eine aus-
führlichere Diagnose durchführen, sollten
Sie die Ausgabe in eine Datei umleiten,
da Sie dadurch das Ergebnis besser durch-
lesen und eventuell auch an einen Spe-
zialisten weitergeben können. Die pas-
sende Eingabe könnte dann zum Beispiel
dcdiag/v >c:\dcdiag.txt lauten. Für die ers-
Sonderheft II/2019 25
Windows Server 2019 Active Directory

te Überprüfung reicht die nor- Die Ausführung kann auf Win-

male Diagnose mit Dcdiag je- dows-Arbeitsstationen genauso
doch vollkommen aus. Fehler erfolgen wie auf Domänencon-
sollten Sie in einer Suchmaschi- trollern. In diesem Beispiel tes-
ne recherchieren und beheben. ten wir die Domäne "joos.int".
Im idealen Fall sollte Dcdiag Anschließend erstellt das Tool
keine Fehler zeigen. eine HTML-Datei, die Sie mit
einem Browser öffnen können.
Mit dcdiag /a überprüfen Sie alle Aus dieser wird ersichtlich, wo
Domänencontroller am glei- Sicherheitsgefahren lauern, die
chen AD-Standort, dcdiag /e tes- behoben werden können. Be-
tet alle Server in der Gesamt- standteil des Tools ist auch eine
struktur. Um sich nur die Fehler PDF-Datei, die weitere Infor-
und keine Informationen anzei- mationen zu den anderen Op-
gen zu lassen, verwenden Sie tionen bietet.
dcdiag /q. Die Option dcdiag
/s:Domänencontroller ermög- Bild 3: Mit dem "SolarWinds Permission Analyzer for Active Directory" Der "Netwrix Account Lockout
licht den Test eines Servers über lesen Sie Berechtigungen aus. Examiner" [6] ermöglicht Ihnen,
das Netzwerk. in Echtzeit Warnungen per E-
Lücken aufweisen. Mit kostenlosen Tools Mail über Kontosperrungen zu erhalten.
LDAP-Zugriff lassen sich Sicherheitslücken und Proble- Über das Tool lassen sich auch Kennwörter
auf DCs überwachen me im AD finden und beheben. Kombi- zurücksetzen und Konten entsperren. Der
Damit AD-abhängige Dienste schnell und nieren Sie mehrere Tools miteinander, Zugriff funktioniert auf Servern sogar per
effizient Daten aus dem Verzeichnis ab- identifizieren Sie Lücken bei der Sicher- Smartphone und Tablet über eine webba-
rufen können, muss der globale Katalog heit recht schnell. sierten Oberfläche. Das Werkzeug stellt si-
schnell antworten und darf nicht über- cher, dass keine unbefugten Anwender ver-
lastet sein. Um diese Auslastung zu über- Mit "SolarWinds Permission Analyzer for suchen, sich mit Kennwörtern anzumelden.
prüfen, können Sie die Leistungsüberwa- Active Directory" [4] etwa lesen Sie Be-
chung verwenden und nutzen den Punkt rechtigungen für Benutzer aus. Hierfür Über das PowerShell-Skript "Active Di-
"Datensammlersätze / System / Active Di- wählen Sie lediglich einen Benutzerna- rectory Recon" [7] erhalten Sie einen Be-
rectory Diagnostics". Klicken Sie anschlie- men oder den Name einer Gruppe und richt über den aktuellen Zustand des Ver-
ßend auf das grüne Dreieck in der Sym- ein Verzeichnis oder eine Freigabe aus. zeichnisses. Der Vorteil besteht darin,
bolleiste, um den Sammlungssatz zu Danach erhalten Sie die effektiven Be- dass es auf Bordmittel und die PowerShell
starten. Hat ein Server Leistungsproble- rechtigungen für diesen Benutzer ange- setzt. Es sind weder Installationen noch
me, starten Sie den Sammlungssatz und zeigt. Geben Sie nur einen Teil des Na- Konfigurationsänderungen notwendig.
lassen die Abfragen messen. Nach einiger mens ein, zeigt das Tool alle vorhandenen Das Skript gibt CSV-Dateien aus, die sich
Zeit beenden Sie die Messung über das Gruppen oder Benutzer an und Sie kön- anschließend mit Excel analysieren lassen.
Kontextmenü des Sammlungssatzes oder nen den passenden Benutzer auswählen. Mit der Option "-genExcel" erstellt das
die Symbolleiste. Danach scannt die Software das Verzeich- Skript eine XLSX-Datei, die Sie mit Excel
nis und zeigt die Gruppen an. bearbeiten können.
Anschließend lassen Sie sich über "Be-
richte / System / Active Directory Diag- Zusammen mit Werkzeugen wie "Ping- Bereinigung des
nostics" die Daten der letzten Messung Castle" [5] stellen Sie so schnell fest, ob Active Directory
anzeigen. In verschiedenen Bereichen Benutzergruppen für bestimmte Ver- In manchen Fällen ist der Aufwand einer
sehen Sie alle durchgeführten Aufgaben zeichnisse und Freigaben zu viele Berech- Fehlerbehebung viel größer, als einfach
und deren Daten und Zugriffsgeschwin- tigungen haben. Mit PingCastle finden den betroffenen Domänencontroller neu
digkeiten. Auf diesem Weg erkennen Sie Sie nämlich Sicherheitslücken im Active zu installieren und wieder in das Active
schnell, wo Probleme auf dem Server Directory. Dazu entpacken Sie das Archiv Directory zu integrieren. Durch die er-
vorliegen. des Tools und öffnen eine Befehlszeile. neute Integration erhält der DC wieder
Um einen ersten Check der Umgebung die Daten von den anderen Domänen-
Mit Tools für mehr durchzuführen, geben Sie den folgenden controllern der Domäne. Möchten Sie ei-
Sicherheit sorgen Befehl ein, wobei Sie natürlich Ihre Do- nen DC aus dem Active Directory ent-
Verwenden Unternehmen das Active Di- mäne am Ende angeben: fernen, gibt es grundsätzlich folgende
rectory, sollte regelmäßig überprüft wer- Möglichkeiten:
den, ob die verschiedenen Sicherheitsbe- PingCastle --healthcheck - Der Domänencontroller soll zu einem
reiche korrekt konfiguriert sind und keine --server joos.int Mitgliedsserver heruntergestuft werden,

26 Sonderheft II/2019 www.it-administrator.de


wenn zum Beispiel auf einem Server
Exchange und DC zusammen Proble-
me bereiten, aber der Server noch Ver-
bindung zum Active Directory hat.
- Der Domänencontroller läuft zwar noch
und verwaltet installierte Applikationen,
hat aber seine Verbindung zum Active
Directory verloren. Er soll herunterge-
stuft werden, ohne Verbindung zum
Active Directory zu haben oder neu in-
stalliert zu werden. Das AD muss dazu
nachträglich bereinigt werden.
- Der Domänencontroller ist komplett
ausgefallen und funktioniert nicht
mehr. Dem Active Directory muss mit-
geteilt werden, dass der DC nicht mehr
verfügbar ist.
Entfernen Sie einen Domänencontroller
aus dem Active Directory, sollten Sie einige
Vorbereitungen treffen, damit die Anwen-
der durch den Ausfall nicht betroffen sind:
- Stellen Sie sicher, dass der Domänen-
controller nicht als bevorzugter oder
alternativer DNS-Server von einem an-
deren Rechner der Domäne verwendet
wird (auch nicht als DNS-Weiterlei-
tungsserver).
- Übertragen Sie alle FSMO-Rollen auf
andere Domänencontroller.
- Entfernen Sie falls möglich vor der He-
rabstufung DNS von diesem Domänen-
controller. Haben Sie DNS entfernt, über-
prüfen Sie auf einem anderen DNS-
Server in den Eigenschaften der DNS-
Zone, dass der Server auf der Register-
karte Namenserver nicht mehr aufge-
führt wird. Entfernen Sie aber nicht den
Hosteintrag des Servers, da dieser für die
Herabstufung noch benötigt wird.
- Stellen Sie sicher, dass der DC nicht an
irgendeiner Stelle als Domänencontrol-
ler explizit eingetragen ist, zum Beispiel
auf einem Linux-Server oder einem Ex-
change-Server.
- Entfernen Sie alle vom Active Directory
abhängigen Dienste wie VPN, Zertifi-
katstelle oder andere Programme, die
nach der Herabstufung nicht mehr
funktionieren werden.
Handelt es sich bei diesem Server um ei-
nen globalen Katalog, konfigurieren Sie
einen anderen Server als globalen Katalog
und entfernen Sie im Snap-in "Active Di-
rectory-Standorte- und -Dienste" unter
Link-Codes eingeben auf www.it-administrator.de
"Sites / Standort des Servers / Servername /
Eigenschaften" der NTDS-Settings den
Haken bei "Globaler Katalog".
Um einen DC herunterzustufen, verwen-
den Sie am besten die PowerShell und
Uninstall-ADDSDomainController. Sie
müssen noch das lokale Kennwort des
Administrators über den Befehl festlegen.
Dieses definieren Sie als SecureString in
der PowerShell:
Uninstall-ADDSDomainController
-LocalAdministratorPassword
(Read-Host -Prompt "Kennwort"
-AsSecureString)
Mit Get-Help Uninstall-ADDSDomainCon-
troller erhalten Sie mehr Informationen zu
dem Befehl. Um zuvor den Vorgang zu
testen, verwenden Sie Test-ADDSDomain-
ControllerUninstallation. Ausführliche In-
formationen erhalten Sie mit
Test-ADDSDomainControllerUninstalla-
tion | select -expandproperty
message
Wenn es sich bei dem Domänencontrol-
ler, den Sie herabstufen wollen, um ei-
nen globalen Katalog handelt, werden
Sie darüber mit einer Meldung infor-
miert. Mit der Option "-LastDomain-
ControllerInDomain" wählen Sie aus,
ob es sich bei diesem Domänencontrol-
ler um den letzten seiner Domäne han-
delt. In diesem Fall würde nicht nur der
DC aus der Gesamtstruktur entfernt,
sondern die ganze Domäne. Haben Sie
Ihre Auswahl getroffen, beginnt der As-
sistent mit der Herabstufung des DCs.
Sobald Sie das Active Directory vom Ser-
ver entfernt haben, können Sie diesen neu
starten. Nach der Herabstufung eines DCs
wird dieser als Mitgliedsserver in die Do-
mäne aufgenommen. Waren auf dem Ser-
ver Applikationen installiert, zum Beispiel
Exchange, stehen diese nach dem Neu-
start weiterhin zur Verfügung. Auch wenn
ein herabgestufter Domänencontroller
im Anschluss noch als Mitgliedsserver
verwendet werden kann, sollten Sie si-
cherheitshalber das Computerkonto aus
der Domäne entfernen und das Betriebs-
system neu auf dem Server installieren,
Active Directory Windows Server 2019
um Altlasten zu entsorgen. Auch den Ser-
vernamen sollten Sie ändern, wenn aus
dem Namen hervorgeht, dass es sich um
einen Domänencontroller gehandelt hat.
Möchten Sie einen Domänencontroller, der
die Verbindung mit dem Active Directory
verloren hat, nicht neu installieren, können
Sie das Active Directory trotz fehlender
Verbindung entfernen. Verwenden Sie in
diesem Fall die Option "-force". Nach dem
erzwungenen Entfernen des Active Directo-
ry ist der DC allerdings kein Mitgliedsser-
ver mehr, sondern ein alleinstehender Ser-
ver. Sie können sich daher an diesem Server
nicht mehr bei der Domäne anmelden.
Möchten Sie danach noch die Binärdateien
des AD entfernen, verwenden Sie entweder
den Server-Manager, das Windows Admin
Center oder die PowerShell:
Uninstall-WindowsFeature
AD-Domain-Services
Fazit
Im Active Directory hat sich bei Windows
Server 2019 wenig geändert. Es gibt auch
keinen eigenen Betriebsmodus für Ge-
samtstruktur und Domänen. Das AD pro-
fitiert in Windows Server 2019 allerdings
von der hohen Stabilität des Betriebssys-
tems. Tools zur Verwaltung und Diagnose,
die Unternehmen für Windows Server
2016 eingesetzt haben, lassen sich auch in
Windows Server 2019 weiterhin nutzen.
Auch die Vorgehensweisen für Installation,
Verwaltung, Betrieb, Replikation und Feh-
lerbehebung sind identisch. (dr)
Link-Codes
[1] EventID
cs1f1
[2] Experts Exchange
cs1f2
[3] Microsoft Support
ds1s3
[4] SolarWinds Permission Analyzer
for Active Directory
js2h4
[5] PingCastle
js2h5
[6] Netwrix Account Lockout Examiner
js2h6
[7] Active Directory Recon
js2h7
Sonderheft II/2019 27
 Cluster in Windows Server 2019

Einer für alle,

alle für einen!
von Thomas Joos

Da Cluster heutzutage viel öfter auf virtuellen Maschinen als auf

redundanter Hardware aufsetzen, überrascht es wenig,
dass die umfangreichsten Neuerungen für die Hochver-
fügbarkeitsoption die Cloud und im speziellen Azure
betreffen. Microsoft will auch im Cluster-Umfeld
Infrastrukturen fördern, die die Cloud nutzen.
Wir zeigen, wie ein Cluster unter Windows
Server 2019 lokal oder hybrid entsteht.
Quelle: scyther5 – 123RF

N
eben den technischen Neuerungen
der Cluster, denen wir uns im An-
schluss zuwenden, ist eine der wichtigsten
Neuheiten das Windows Admin Center
(WAC) als Administrationswerkzeug. Wir
beschreiben das kostenlos verfügbare Cen-
ter ausführlich ab Seite 12. Wichtig ist an
dieser Stelle, dass Sie die Cluster-Admi-
nistration nunmehr auch im WAC vor-
nehmen können. Dort finden Sie alle not-
wendigen Verwaltungsoptionen im Fail-
overcluster-Manager.
Neue Cluster-Funktionen in
Windows Server 2019
Bisher war es nicht möglich, die Domä-
nenmitgliedschaft eines Clusters ohne
weiteres zu ändern. Gemischte Domä-
nen-Cluster, also Cluster-Knoten als Mit-
glied in verschiedenen Domänen, werden
in Windows nicht unterstützt. Um die
Domänenmitgliedschaft zu ändern, muss-
te der Cluster bisher neu aufgebaut wer-
den. Mit Windows Server 2019 können
Cluster-Administratoren Knoten und
Cluster zwischen Active-Directory-Do-
mänen verschieben. Auch Cluster, in de-
nen die Knoten Mitglied verschiedener
Domänen sind, werden unterstützt.
Die Cluster-Shared-Volumes-Laufwerke
(CSV) ermöglichen es Cluster-Knoten,
gleichzeitig und koordiniert auf eine frei-
gegebene Festplatte zuzugreifen. CSV war
bisher für virtuelle Maschinen in einem
Cluster-Knoten, für SQL-Datenbanken
und Scale-Out-File-Server verfügbar,
Windows Server 2019 bringt für die
Funktion die Rolle "Microsoft Distributed
Transaction Coordinator" (MSDTC). Da-
durch wird es für MSDTC ermöglicht,
Storage Spaces Direct (S2D) zusammen
mit Anwendungen wie SQL Server zu
nutzen. Zusätzlich wird in Windows Ser-
ver 2019 der CSV-Cache automatisch ak-
tiviert, was den Zugriff und die Verwen-
dung von Cluster-Ressourcen deutlich
beschleunigen kann.
Windows Server 2019 kann die Hochver-
fügbarkeit durch neue Technologien wie
den Zeugenserver verbessern. Dieser be-
findet sich außerhalb des AD und hilft,
Probleme bei der Datenverarbeitung zu
vermeiden, wenn die Cluster-Knoten
nicht mehr miteinander kommunizieren
können. Wenn die Cluster-Knoten die
Verbindung untereinander verlieren, kann
es zu Problemen bei der Abstimmung des
Quorums kommen.
In einem Cluster mit einer geraden An-
zahl von Knoten und damit Stimmen im
Quorum kann eine Netzwerk-Dateifrei-
gabe eine Stimme erhalten. Die Freigabe
ist nicht im Cluster integriert und hilft
dabei, ein Unentschieden zu verhindern.
Diese Technik mit der Bezeichnung "File
Share Witness" (FSW) ist auch in Win-
dows Server 2016 im Einsatz. In großen
Netzwerken ist das kein Problem, aber in
kleinen Unternehmen, die zum Beispiel
einen Zwei-Knoten-Cluster einsetzen, ist
neben dem Cluster ein weiterer Server
im Netzwerk notwendig, der die Datei-
freigabe bereitstellt.
In Windows Server 2019 kann Failover
Clustering auch ein USB-Gerät nutzen,
das mit dem Netzwerk verbunden ist.
Das erleichtert die Bereitstellung von
kleinen Clustern für Abteilungen oder
in kleinen Netzwerken. Zusätzlich zu die-
sem "USB File Share Witness" kann FSW
unter schlechten Netzwerkverbindungen
eingebunden werden. Das gibt dem FSW
die Möglichkeit, in Clustern ohne Do-
mänen, gemischten Domänen oder in ei-
ner DMZ ohne Zugriff auf einen Domä-
nencontroller abzustimmen. Das erhöht
die Sicherheit und verbessert die Stabilität
des Clusters.
Durch "Cluster Compute Resiliency" und
"Cluster Quarantine" verschiebt ein Win-
dows-Cluster seine Cluster-Ressourcen

28 Sonderheft II/2019 www.it-administrator.de


Bild 1: Im neuen Windows Admin Center lassen sich auch Cluster aufbauen und administrieren.
nicht mehr unnötig zwischen Knoten,
wenn ein Cluster-Knoten Probleme hat.
Diese Technik wurde bereits mit Win-
dows Server 2016 eingeführt und mit
Version 2019 deutlich verbessert. Win-
dows versetzt einen Knoten in Isolation,
wenn das Betriebssystem erkennt, dass
der Knoten nicht mehr stabil funktio-
niert. Alle Ressourcen werden vom Kno-
ten verschoben und die Administratoren
informiert. Der Network Controller in
Windows Server 2019 erkennt in diesem
Zusammenhang auch fehlerhafte physi-
sche und virtuelle Netzwerke und kann
entsprechend eingreifen.
Cluster-Knoten aktualisieren
Die mit Windows Server 2016 eingeführ-
te Funktion "Cluster Operating System
Rolling Upgrade" erlaubt die Aktualisie-
rung von Cluster-Knoten zu Windows
Server 2019, ohne dass Serverdienste im
Cluster ausfallen. Sie können Cluster-
Knoten mit Windows Server 2019 in-
stallieren und in bestehende Cluster mit
Windows Server 2016 integrieren. Auch
das Verschieben von Cluster-Ressourcen
und virtuellen Maschinen zwischen den
Cluster-Knoten ist möglich. Wenn alle
Knoten auf Windows Server 2019 aktua-
lisiert sind, wird die Cluster-Konfigura-
tion auf die neue Version gesetzt und
www.it-administrator.de
unterstützt ab dann Vorgängerversionen
wie Windows 2016 nicht mehr. Betrei-
ben Sie noch Systeme unter Windows
Server 2012 R2, müssen Sie vor der Nut-
zung des Cluster Operating System Rol-
ling Upgrade zunächst zu Windows Ser-
ver 2016 und von dort zur 2019-Variante
aktualisieren.
Zum Upgrade eines Clusters zu Windows
Server 2019 steht das Update-Cluster-
FunctionalLevel-Cmdlet zur Verfügung.
Der Ablauf bei dieser Migration ist fol-
gender: Sie halten den Cluster-Knoten
an. Alle virtuellen Maschinen oder an-
dere Ressourcen, die auf diesem Knoten
ausgeführt werden, erkennt der Cluster.
Wählen Sie im Kontextmenü des Knotens
"Anhalten / Rollen ausgleichen" oder nut-
zen Sie in der PowerShell
Suspend-ClusterNode Name des Knotens
-drain
Die VMs und die anderen Cluster-Work-
loads wandern so zu einem anderen Kno-
ten, der noch in Produktion ist.
Nun gilt es, das vorhandene Betriebssys-
tem zu entfernen und eine Neuinstallation
von Windows Server 2019 durchzufüh-
ren. Entfernen Sie dazu den Knoten aus
Cluster Windows Server 2019
dem Cluster – entweder im Failoverclus-
ter-Manager oder per PowerShell mir Re-
move-ClusterNode Knoten. Danach instal-
lieren Sie Windows Server 2019 neu auf
dem Server. Eine Aktualisierung des Be-
triebssystems ist in diesem Fall nicht zu
empfehlen. Um von Windows Server
2012 R2 auf Windows Server 2019 zu ak-
tualisieren, ist wie erwähnt der Zwischen-
schritt Server 2016 notwendig.
Nachdem Sie das Betriebssystem instal-
liert haben, müssen Sie das System für
die Aufnahme in den Cluster vorberei-
ten. Installieren Sie alle Updates und
notwendigen Treiber und nehmen Sie
den Server wieder in das Active Di-
rectory auf. Sie können hier auch den
gleichen Servernamen verwenden. An
diesem Punkt läuft der Cluster im ge-
mischten Modus, da die restlichen Clus-
ter-Knoten noch auf Windows Server
2012 R2/2016 basieren.
Zur Integration des neuen Servers in den
Cluster nutzen Sie die GUI oder die
PowerShell:
Add-ClusterNode -Cluster Name des
Clusters
Die funktionelle Cluster-Ebene bleibt
aktuell noch auf Windows Server 2012
R2/2016. Überprüfen Sie, ob alle Clus-
ter-Knoten funktionieren. Auch dazu
können Sie die PowerShell verwenden
(Get-ClusterNode).
Haben Sie alle Cluster-Knoten aktuali-
siert, heben Sie die Cluster-Funktions-
ebene für Windows Server 2019 mit dem
PowerShell-Cmdlet Update-Cluster-
FunctionalLevel an. Ab jetzt können Sie
dem Cluster aber keine Knoten mehr mit
Windows Server 2012 R2/2016 hinzufü-
gen. Die Version des Clusters erfahren
Sie über
Get-Cluster | Select
UpdateFunctionalLevel
Betreiben Sie einen Cluster mit Knoten
auf Basis von Windows Server 2012 R2,
erhalten Sie über diesen Befehl den Clus-
ter-Level "8". Cluster mit Windows Server
2016, ohne Knoten mit Windows Server
Sonderheft II/2019 29
Windows Server 2019 Cluster
Bild 2: Um einen Cluster-Knoten zu aktualisieren, lässt er sich zeitweise und geplant anhalten.
2012 R2, können auf Level 9 gesetzt wer-
den. Cluster, die nur auf Windows Server
2019 aufbauen, werden auf Level 10 ge-
setzt. Hier lassen sich keine Knoten mehr
mit Windows Server 2012 R2 oder Win-
dows Server 2016 betreiben.
Cluster-Sets nutzen
In Windows Server 2019 lassen sich Clus-
ter in Gruppen, den Cluster-Sets, zusam-
menfassen, sodass beispielsweise Ressour-
cen zwischen den Clustern verschoben
und migriert werden können, wie etwa
VMs im Live-Betrieb. Microsoft hat die
Technologie eingeführt, da die meisten
Unternehmen nicht die maximale Anzahl
von Cluster-Knoten nutzen, sondern eher
kleinere Cluster betreiben.
Cluster-Sets ermöglichen es dabei, Clus-
ter in einem Netzwerk zu einem einzigen
logischen Management-Set für mehr
Ausfallsicherheit und Flexibilität zusam-
menzufassen. Dazu gehören das Clus-
ter- übergreifende Failover und eine ein-
fachere Live-Migration zwischen den
Clustern für Wartungsarbeiten sowie ef-
fektivere Lastausgleiche. Ein neuer ver-
teilter Namensraum auf einem Scale-
Out-Fileserver lässt sich ebenfalls über
alle Cluster verteilen. Dies erleichtert die
Bereitstellung von VMs im Netzwerk.
Zusammenarbeit mit Azure
Windows Server 2019 erlaubt den Be-
trieb von Zeugenservern (Witness) in
Azure, was für global verteilte Cluster
und Rechenzentren die Effizienz von
Clustern erheblich verbessern und die
Verwaltung erleichtern kann. Grundlage
für Cloud Witness in einem Cluster mit
30 Sonderheft II/2019
Windows Server 2019 ist die Vorberei-
tung des passenden Microsoft-Azure-
Storage-Accounts (Speicherkonto). Unter
diesem Konto wird das Blob-File gespei-
chert, das die Zeugendaten für den Clus-
ter aufbewahrt.
Dazu legen Sie im Azure-Portal über den
Assistenten zum Hinzufügen von neuen
Ressourcen ein neues Speicherkonto an.
Wählen Sie im Bereich "Replikation" die
Option "Lokal redundanter Speicher
(LRS)" aus. Das Erstellen eines Speicher-
kontos nimmt etwas Zeit in Anspruch.
Wichtig zur Anbindung Ihrer Cluster-
Knoten sind die Zugriffsschlüssel des
Speicherkontos, die Sie im Azure-Portal
abrufen, um diese auf den Cluster-Kno-
ten zu verwenden. Die beiden Schlüssel
finden Sie über den Menüpunkt "Zu-
griffsschlüssel" in der Verwaltung des
Speicherkontos. Erstellen Sie ein Spei-
cherkonto, dann erzeugt Azure auch
eine URL für den externen Zugriff im
Format "https://Storage Account Name.
Storage Type.Endpoint".
Sobald Sie das Speicherkonto erstellt ha-
ben, können Sie das Quorum des Clusters
anpassen. Am schnellsten geht das, wenn
Sie im Failovercluster-Manager im Kon-
textmenü des Clusters die Option "Wei-
tere Aktionen / Clusterquorumeinstel-
lungen konfigurieren" auswählen. Hier
können Sie über einen Assistenten die
Quorum-Konfiguration anpassen.
Für die Anbindung an Microsoft Azure
verwenden Sie "Erweiterte Quorumkon-
figuration" und klicken auf "Weiter", bis
Sie auf der Seite "Quorumzeuge auswäh-
len" sind. Hier wählen Sie die Option
"Cloudzeugen konfigurieren".
Im nächsten Fenster geben Sie den Na-
men des Speicherkontos, das als Cloud-
zeuge verwendet soll, und den Zugriffs-
schlüssel ein. Danach schließt der Assis-
tent die Anbindung an Microsoft Azure
ab. Sie können den Vorgang auch mit der
PowerShell durchführen:
Set-ClusterQuorum
-CloudWitness
-AccountName StorageAccountName
-AccessKey StorageAccountAccessKey
Lassen sich die Cluster-Knoten nicht di-
rekt anbinden, können Sie auch testweise
eine Anbindung über einen Proxy durch-
führen. Allerdings ist das nicht immer so
einfach und funktioniert leider auch nicht
sehr stabil. Eine Anleitung dazu finden
Sie im MSDN [1]. Sie können die erfolg-
reiche Verknüpfung auch im Azure-Portal
überprüfen. Klicken Sie auf das Speicher-
konto und dann auf "Blobs", sehen Sie
den neuen Container "msft-cloud-wit-
ness". Dabei handelt es sich um den Con-
tainer für die Blob-Datei des Clusters.
Klicken Sie auf den Container, sehen Sie
die Zeugendatei. Der Name der Datei ist
die GUID des Clusters.
Im Failovercluster-Manager klicken Sie
auf den Cluster und sehen dann in der
Mitte des Fensters bei "Hauptressourcen
des Clusters" den Cloudzeugen. Dieser
muss als aktiv gekennzeichnet sein. Per
Doppelklick auf die Ressourcen rufen
Sie deren Eigenschaften auf. Hier muss
der "Status" die Option "Online" anzei-
gen. In der PowerShell überprüfen Sie
die Konfiguration mit Get-Clusterquo-
rum. Die wichtigsten Befehle zur Ver-
waltung eines Clusters finden Sie in der
gleichnamigen Tabelle.
Besteht ein Failover-Cluster aus virtuellen
Maschinen, wird er als "Gast-Cluster" be-
zeichnet. Gast-Cluster dienen dazu, einer
Serveranwendung innerhalb einer VM –
zum Beispiel einem virtuellen SQL Server
– eine hohe Verfügbarkeit zu bieten. Da
Gast-Cluster vor allem in der Cloud zum
Einsatz kommen, vereinfacht Windows
Server 2019 es, einen Gast-Cluster in
www.it-administrator.de

Azure zu erstellen. Es ist zum Beispiel
nicht mehr notwendig, die Konfiguration
eines Loadbalancers durchzuführen.
Gast-Cluster erkennen, wenn sie in Azure
positioniert sind und vermeiden Ausfall-
zeiten wegen geplanten Wartungsarbei-
ten. Auch verschieben Gast-Cluster die
virtuellen Maschinen des Clusters wäh-
rend eines Patchvorgangs automatisch
zwischen Hosts in Azure.
Lastenausgleich per
Node Fairness aktivieren
Wenn Sie einen Cluster mit Windows
Server 2019 betreiben, steht Ihnen der
automatische Lastenausgleich zur Ver-
fügung. Nach dessen Aktivierung kann
Hyper-V VMs automatisch zu weniger
ausgelasteten Cluster-Knoten verschie-
ben. Dazu nutzt Windows Server 2019
die Live-Migration. Die bestehenden
Server bleiben dabei gestartet. Die Funk-
tion wurde in Windows Server 2016 ein-
geführt und mit Windows Server 2019
verbessert.
Die sogenannte Node Fairness misst da-
zu die Auslastung des Arbeitsspeichers
und der CPU im Cluster. Die
Aktivierung dieser Funktion
nehmen Sie im Failovercluster-
Manager vor oder über die
PowerShell. Im Failovercluster-
Manager finden Sie die Einstel-
lung in den Eigenschaften des
Clusters auf der Registerkarte
"Ausgleichsmodul".
Auf Basis der Node-Fairness-
Informationen kann der Cluster
einzelne VMs oder ganze Grup-
pen auf andere, weniger ausge-
lastete Hosts verteilen. Dazu
sind keine Zusatzprodukte wie
System Center Virtual Machine
Manager (SCVMM) notwendig.
Liegt die Auslastung von CPU
oder Arbeitsspeicher über ei-
nem bestimmten Bereich, mi-
griert der Cluster über die Live-
Migration die VMs automatisch
auf weniger stark ausgelastete
Knoten.
Node Fairness und die dynami- Bild 3: Windows Server 2019 hat ein eigenes
sche Optimierung von SCVMM Lastenausgleichsmodul an Bord.
www.it-administrator.de
lassen sich nicht parallel nutzen. Das gilt
auch beim Einsatz von Windows Server
2019 mit SCVMM 2019. Allerdings stellt
Node Fairness nur eine eingeschränkte
Möglichkeit dar, die Last im Cluster op-
timal zu verteilen. Die dynamische Op-
timierung in SCVMM bietet hier mehr.
Unternehmen, die auf SCVMM zusam-
men mit Windows Server 2019 setzen,
sollten daher die dynamische Optimie-
rung verwenden. Ohne den Einsatz von
SCVMM ist Node Fairness aber durch-
aus sinnvoll. In der PowerShell lässt sich
die Funktion mit dem nachfolgenden
Cmdlet steuern:
(Get-Cluster).AutoBalancerMode = 1
oder 2
Startreihenfolge
der VMs anpassen
In Windows Server 2019 legen Sie darü-
ber hinaus auch ohne SCVMM die Start-
reihenfolge von VMs im Cluster fest.
Dazu klicken Sie die VMs im Failover-
cluster-Manager mit der rechten Maus-
taste an und wählen die Option "Start-
priorität ändern". Sie sehen die Priorität
Cluster Windows Server 2019
auch im Failovercluster-Manager in der
Spalte "Priorität".
Sie können die Einstellungen dazu auch
in der PowerShell anpassen. Alle zur Ver-
fügung stehenden Cmdlets dazu erhalten
Sie über den Befehl Get-Command
*ClusterGroup*. Hier haben Sie auch die
Möglichkeit, VMs zu gruppieren und
dadurch zu einem Verbund zusammen-
zufassen. Außerdem können Sie über die
Cmdlets Abhängigkeiten der Gruppen
definieren, zum Beispiel die Abhängig-
keit der Gruppe der Anwendungsserver
von der Gruppe der SQL-Server. Dazu
verwenden Sie das Cmdlet Add-Cluster-
GroupSetDependency.
Ausfallsicherheit
im Cluster steuern
Windows Server 2019 lässt im Cluster ef-
fizientere Steuerungen bezüglich der Ver-
fügbarkeit zu. Denn nicht immer ist das
sofortige Verschieben von VMs zu einem
anderen Cluster-Knoten ideal, nur weil
ein Knoten kurzzeitig Probleme hat.
Selbst wenn ein Verschieben mit der Live-
Migration erfolgt, ist ein Failback teilweise
ebenfalls nicht sinnvoll, wenn
der ursprüngliche Knoten noch
Probleme hat, zum Beispiel bei
kurzzeitigen Netzwerkproble-
men in einem Cluster.
Erkennt ein Cluster mit Win-
dows Server 2019, dass ein Kno-
ten kurzzeitig nicht mehr rea-
giert, erhält dieser den Status
"Isoliert". Hat ein Knoten über
mehrere Stunden häufiger mit
Ausfällen zu kämpfen, wird er in
Quarantäne versetzt. Win-dows
Server 2019 verschiebt dann die
VMs des Knotens mit der Live-
Migration auf andere Knoten.
Um diese Quarantäne mit der
PowerShell manuell zu been-
den, verwenden Sie
Start-ClusterNode -Clear-
Quarantine
Die aktuellen Einstellungen des
Clusters sehen Sie in der Power-
Shell mit dem Befehl
Sonderheft II/2019 31
Windows Server 2019 Cluster
Get-Cluster | fl Res*
Der Wert "ResiliencyDefaultPeriod" de-
finiert dabei, wie lange VMs in Sekun-
den isoliert laufen dürfen, "Resiliency-
Level" legt das Verhalten des Clusters
fest und der Standardwert "AlwaysIso-
late" zeigt an, dass Knoten immer erst
isoliert werden, bevor der Cluster alle
VMs isoliert.
Failoverclustering mit
Server 2019 planen
Windows Server 2019 unterstützt den
Betrieb als Geo-Cluster. In einer solchen
Umgebung laufen Cluster-Knoten in ver-
schiedenen Ländern und synchronisie-
ren ihre Daten. Microsoft hat dazu die
Replikation der Daten zwischen Clus-
ter-Knoten verbessert. Storage-Pools
lassen sich auf verschiedene Server aus-
dehnen und die Daten synchron und
asynchron replizieren.
Durch den Betrieb von drei Knoten in
einem Cluster, bei drei identisch ge-
wählten Servern, können die beiden an-
deren Knoten den Ausfall eines Knotens
verkraften. In diesem Fall haben die
Knoten im Cluster eine Leistung von
66 Prozent, die restlichen 34 Prozent
dienen dem Ausfallschutz, wenn einer
der Knoten schlapp macht. Insgesamt
lassen sich bis zu 64 Knoten in einem
Cluster zusammenfassen. Nachdem Sie
Ihre benötigte Leistung ermittelt haben,
sollte dieser Wert in die Planung der
Knoten einfließen.
Cluster in Windows Server 2019 beherr-
schen Dynamic I/O: Fällt die Datenver-
bindung eines Knotens aus, kann der
Cluster den Datenverkehr, der für die
Kommunikation zu den virtuellen Com-
putern im SAN notwendig ist, automa-
tisch über die Leitungen des zweiten Kno-
tens routen, ohne dazu ein Failover
durchführen zu müssen.
Seit Windows Server 2016 ist es nicht
mehr notwendig, dass die einzelnen
Knoten eines Windows-Clusters phy-
sisch mit dem Datenträger verbunden
sind. Daher lassen sich jetzt auch ver-
schiedene Systeme und Festplattenstan-
dards miteinander vermischen. Die Ver-
32 Sonderheft II/2019
bindung erfolgt dann über Storage Spa-
ces Direct zwischen den angebundenen
Datenspeichern.
Um S2D in produktiven Umgebungen
zu verwenden, benötigen Unternehmen
spezielle Hardware – vor allem kompa-
tible Netzwerkkarten, die RDMA be-
herrschen. In Testumgebungen lassen
sich aber auch virtuelle Server, virtuelle
Festplatten und virtuelle Netzwerkkar-
ten ohne besondere Hardware nutzen.
Das ist für den produktiven Einsatz na-
türlich nicht zu empfehlen.
Hyper-V-Cluster mit
Windows Server 2019
Windows Server 2019 erlaubt wie seine
Vorgänger, auch mit der Standard-Edi-
tion einen Cluster aufzubauen. Sie kön-
nen weiterhin für Cluster auf gemein-
same Datenträger setzen, auch wenn Sie
einen virtuellen Cluster betreiben. Da-
rüber hinaus haben Sie die Möglichkeit,
auf einem Server VHDX-Festplatten als
gemeinsamen Datenspeicher für Cluster
auf Basis eines iSCSI-Ziels zu definieren.
Seit Windows Server 2012 R2 können
Sie auch VHDX-Festplatten als iSCSI-
Ziel definieren. Vorteil von iSCSI-Zielen
als gemeinsamer Datenträger ist, dass
Sie physische Cluster anbinden können,
während die gemeinsamen VHDX-Fest-
platten (Shared-VHDX) nur virtuelle
Cluster unterstützen. Außerdem muss
beim Einsatz von Shared-VHDX der vir-
tuelle Server zwingend auf einem Clus-
ter betrieben werden.
Sie können in Windows Server 2019 Hy-
per-V im Cluster betreiben und virtuelle
Server als Cluster-Ressourcen nutzen.
Die Verwaltung erfolgt dann entweder
über die PowerShell, die Cluster-Verwal-
tung oder das Windows Admin Center.
Um mit Hyper-V virtualisierte Server
mit Hochverfügbarkeit zu versorgen, ist
die Live-Migration im Cluster ein pro-
bates Mittel. Die Live-Migration können
Sie mit einem gemeinsamen physischen
Datenträger, mit iSCSI-Zielen aber auch
mit Storage Spaces Direct einrichten. Die
gemeinsamen Festplatten auf Basis von
Shared-VHDX unterstützen keine Clus-
ter für die Live-Migration in Hyper-V.
Dazu kommt, dass Shared-VHDX-Disks
auf einem gemeinsamen Datenträger in
einem physischen Cluster gespeichert
sein müssen.
Betreiben Sie Hyper-V in einem Cluster,
können Sie sicherstellen, dass beim Aus-
fall eines physischen Hosts alle virtuellen
Server durch einen weiteren Host auto-
matisch übernommen werden. Dazu
betreiben Sie die virtuellen Server als
Cluster-Ressourcen. Beim Einsatz von
virtuellen Clustern können Sie Fehler in
Servern ebenfalls abfangen, allerdings kei-
ne Fehler der Hardware, da der Cluster
virtuell abgebildet ist.
Natürlich lassen sich die virtuellen Clus-
ter-Knoten auch auf physischen Clustern
betreiben. In diesem Fall sind die VMs
vor einem Ausfall der Hardware geschützt
und die virtuellen Cluster-Dienste, zum
Beispiel ein Dateiserver, vor dem Ausfall
des virtuellen Betriebssystems auf einem
virtuellen Cluster-Knoten.
iSCSI-Ziele über virtuelle Fest-
platten zur Verfügung stellen
Windows Server 2019 kann virtuelle Fest-
platten auf Basis von VHDX-Dateien als
iSCSI-Ziel im Netzwerk zur Verfügung
stellen, das sich als gemeinsamer Daten-
träger für Cluster nutzen lässt. Sie konfi-
gurieren dies im Server-Manager über
"Verwalten / Rollen und Features hinzu-
fügen", indem Sie den Rollendienst
"iSCSI-Zielserver über Datei- und Spei-
cherdienste/Datei- und iSCSI-Dienste"
installieren. Anschließen legen Sie über
den Server-Manager und die Auswahl
von Datei-/Speicherdienste / iSCSI" vir-
tuelle Festplatten an und machen diese
als iSCSI-Ziel im Netzwerk verfügbar.
Im Rahmen der Einrichtung legen Sie die
Größe und den Speicherort der VHD(X)-
Datei fest. Außerdem steuern Sie über
den Assistenten, welche Server im Netz-
werk auf das iSCSI-Ziel zugreifen dürfen.
Wollen Sie die Festplatten als Cluster-Da-
tenträger nutzen, können Sie hier den Zu-
griff einschränken. Mit einem einzelnen
SCSI-Ziel können Sie auch mehrere vir-
tuelle iSCSI-Festplatten auf einem Server
zur Verfügung stellen. Dazu starten Sie
den Assistenten einfach neu und wählen
ein bereits vorhandenes Ziel aus.
www.it-administrator.de

Haben Sie die einzelnen virtuellen Fest-
platten erstellt und dem oder den entspre-
chenden iSCSI-Ziel(en) zugewiesen, ver-
binden Sie diese auf den Cluster-Knoten.
Die virtuellen Festplatten werden anschlie-
ßend in der lokalen Datenträgerverwal-
tung des Servers als normale Laufwerke
angezeigt und entsprechend verwaltet.
Um auf Cluster-Knoten die virtuellen
iSCSI-Laufwerke zu verbinden, verwen-
den Sie den iSCSI-Initiator, der zu den
Bordmitteln von Windows Server 2019
gehört. Suchen Sie nach "iscsi" im Start-
menü und starten Sie das Tool. Beim ers-
ten Aufruf müssen Sie den Start des ent-
sprechenden Systemdiensts bestätigen
und die Blockierung durch die Windows-
Firewall aufheben.
Im ersten Schritt wechseln Sie zur Regis-
terkarte "Suche", klicken auf "Portal er-
mitteln" und geben die IP-Adresse oder
den Namen des Servers ein, auf dem Sie
die virtuellen Festplatten zur Verfügung
stellen. Wechseln Sie dann zur Register-
karte "Ziele". Hier zeigt Windows das
iSCSI-Ziel auf dem Server an. Anschlie-
ßend können Sie das Ziel mit den hinter-
legten Laufwerken verbinden, die Sie auf
dem Ziel-Server mit dem iSCSI-Ziel ein-
gerichtet haben.
Dazu klicken Sie auf die Schaltfläche
"Verbinden". Damit baut der Server eine
Verbindung mit dem Server und den er-
stellten virtuellen Festplatten auf. Jetzt
aktivieren Sie das Kontrollkästchen
"Diese Verbindung der Liste der bevor-
zugten Ziele hinzufügen". Diese Option
muss für alle Laufwerke eingestellt wer-
den. Bestätigen Sie dann alle Fenster mit
Bild 4: Alle Cluster-Dienste lassen sich unter Windows Server 2019 auch in der PowerShell verwalten.
www.it-administrator.de
"OK". Wenn Sie einen Cluster mit iSCSI
erstellen, verbinden Sie das Ziel auch
auf dem zweiten Server, und allen wei-
teren Cluster-Knoten, die Sie in den
Cluster einbinden wollen.
Cluster mit Windows
Server 2019 installieren
Ein Cluster benötigt in Windows Server
2019 – abhängig von der Konfiguration –
ein Quorum, also einen gemeinsamen Da-
tenträger, auf den alle Cluster-Knoten zu-
greifen können. Es gibt auch Wege, die
lokalen Datenträger des Clusters zu ver-
wenden – dazu später mehr. Sie brauchen
auch einen Namen für den Cluster. Dieser
Name erhält kein Computerkonto, wird
aber für die Administration des Clusters
verwendet. Jeder Knoten des Clusters erhält
ein Computerkonto in derselben Domäne.
Daher benötigt jeder physische Knoten ei-
nen entsprechenden Rechnernamen.
Sie brauchen für den Cluster mehrere IP-
Adressen: Jeder physische Knoten ver-
wendet je eine IP-Adresse, der Cluster als
Ganzes erhält eine IP-Adresse und die
Netzwerkkarten für die private Kommu-
nikation des Clusters erhalten – und dies
ist besonders wichtig – je eine IP-Adresse
in einem getrennten Subnetz. In Testum-
gebungen können Sie auch mit einer ein-
zelnen Netzwerkumgebung arbeiten. Die-
se übernimmt die Kommunikation mit
dem Netzwerk und die interne Kommu-
nikation im Cluster und Sie müssen
nichts anpassen.
Um Hyper-V oder andere Dienste in ei-
nem Cluster zu betreiben, installieren
Sie zunächst einen herkömmlichen
Cluster mit Windows Server 2019. Dies
Cluster Windows Server 2019
erfolgt als Feature über den Server-Ma-
nager, die PowerShell oder im WAC.
Während der Installation nehmen Sie
keine Einstellungen vor. Achten Sie da-
rauf, dass die gemeinsamen Datenträger
auf allen Knoten verbunden und mit
dem gleichen Laufwerksbuchstaben ver-
sehen sind. Um die notwendigen Fea-
tures für einen Hyper-V-Cluster über
die PowerShell zu installieren, geben Sie
die folgenden Cmdlets ein:
Install-WindowsFeature Hyper-V
Install-WindowsFeature Failover-
Clustering -IncludeManagementTools
Install-WindowsFeature Multipath-IO
Alle PowerShell-Befehle für Cluster finden
Sie in der Tabelle auf Seite 36. Starten Sie
nach der Installation der notwendigen Fea-
tures auf dem ersten Cluster-Knoten die
Failovercluster-Verwaltung durch Eingabe
von failover im Startmenü. Das gleiche er-
reichen Sie über die Cluster-Verwaltung
und über den Server-Manager im Menü
"Tools". Klicken Sie in der Failovercluster-
Verwaltung auf den Link "Konfiguration
überprüfen". Sie wählen im Fenster zu-
nächst die potenziellen Cluster-Knoten aus
und legen fest, welche Tests das Tool durch-
führen soll. Für Testzwecke kann ein Clus-
ter auch nur aus einem einzelnen Knoten
bestehen. Das Testen der Server für die
Clusterinstallation ist der erste Schritt zum
Erstellen eines Clusters.
Nachdem der Assistent alle wichtigen
Punkte erfolgreich getestet hat, erstellen
Sie den Cluster. In der PowerShell lautet
die Syntax dazu:
Sonderheft II/2019 33
Windows Server 2019 Cluster

New-Cluster -Name Cluster- die derzeit aktuellen Knoten so-

Name -StaticAddress IP- wie der Knoten, der die Clus-
Adresse des Clusters -Node ter-Ressourcen aktiv verwaltet
Knoten 1, Knoten 2 dargestellt. Der zweite Knoten
steht offline zur Verfügung,
Beim Erstellen des Clusters ge- wenn Sie das entsprechend kon-
ben Sie zunächst dessen Namen figuriert haben. Hier fügen Sie
sowie die IP-Adresse ein. Der dem Cluster auch neue Daten-
Name des Clusters wird zur träger hinzu oder schalten vor-
Verwaltung genutzt und mit der handene Ressourcen offline.
IP-Adresse greifen Sie auf den
Cluster zu. In einer Produktivumgebung
sollten Sie auf jeden Fall den
Cluster Shared Konsoleneintrag "Netzwerke"
Volumes aktivieren aufrufen, in dem Sie Sie die öf-
Bei der Live-Migration und fentlichen und privaten Verbin-
dem Betrieb von Hyper-V im dungen des Clusters verwalten.
Cluster sorgen Cluster Shared In den Eigenschaften der Ver-
Volumes dafür, dass mehrere bindungen ist eingestellt, ob
Server gleichzeitig auf einen ge- diese den Clients zum Verbin-
meinsamen Datenträger zugrei- dungsaufbau, nur für den He-
fen können. Um Hyper-V mit artbeat oder für beides zur Ver-
Live-Migration in einem Clus- fügung stehen. Über die private
ter zu betreiben, aktivieren Sie Verbindung soll der Heartbeat
daher Cluster Shared Volumes. Bild 5: Über die Eigenschaften eines Clusters lassen sich des Clusters laufen.
Windows legt dann auf der Be- die zur Verfügung stehenden Ressourcen steuern.
triebssystempartition im Ord- Markieren Sie dazu erst die Pri-
ner "ClusterStorage" Daten ab. Diese tungen des zweiten Knotens routen, oh- vate-, dann die Public-Verbindung und
liegen aber nicht tatsächlich auf der C- ne dazu ein Failover durchführen zu rufen Sie die Eigenschaften auf. Achten
Festplatte des Knotens, sondern auf dem müssen. Sie können einen Cluster so Sie darauf, dass bei der privaten Verbin-
gemeinsamen Datenträger, dessen Abruf konfigurieren, dass die Cluster-Knoten dung nur die Option "Netzwerkkommu-
auf den Ordner "C:\ClusterStorage" um- den Netzwerkverkehr zwischen den nikation für Cluster in diesem Netzwerk
geleitet ist. Die VHD(X)-Dateien der VMs Knoten und zu den CSV priorisiert. zulassen" aktiviert ist. Dadurch ist sicher-
liegen in diesem Ordner und sind daher gestellt, dass dem Heartbeat ein privater
von allen Knoten gleichzeitig zugreifbar. Erste Verwaltungsaufgaben Kanal im Netzwerk zur Verfügung steht.
Fällt eine Netzwerkverbindung zum SAN im Cluster
von einem Knoten aus, verwendet der Klicken Sie den Namen des Clusters in Bei den Eigenschaften der Public-Ver-
Knoten alternative Strecken über andere der grafischen Verwaltungsoberfläche der bindung sollten Sie die Option "Netz-
Knoten. Die virtuellen Maschinen, deren Cluster-Verwaltung mit der rechten Maus- werkkommunikation für Cluster in die-
Dateien im CSV liegen, laufen uneinge- taste an, können Sie die Eigenschaften sem Netzwerk zulassen" und die Option
schränkt weiter. des Clusters überprüfen und anpassen. "Clients das Herstellen einer Verbindung
Ebenso bietet das Kontextmenü zahlrei- über dieses Netzwerk gestatten" aktivie-
Um CSV für einen Cluster zu aktivieren, che Verwaltungsmöglichkeiten an. Auf ren, damit auf jeden Fall sichergestellt
starten Sie das Verwaltungsprogramm der Registerkarte "Allgemein" in den Ei- ist, dass die Cluster-Verbindung intern
für den Failovercluster. Dort klicken Sie genschaften des Clusters passen Sie bei- funktioniert, auch wenn eine private
mit der rechten Maustaste im Bereich spielsweise den Namen des Clusters an Netzwerkkarte ausfällt. Bei einer fast per-
"Speicher / Datenträger" auf den Daten- und über die Registerkarte "Ressourcen- fekten Ausfallsicherheitskonfiguration
träger, den Sie für Hyper-V nutzen wol- typen" definieren Sie, welche Windows- verfügt jeder Cluster-Knoten über min-
len und wählen "Zu freigegebenen Clus- Ressourcen dem Cluster zur Verfügung destens drei Netzwerkkarten. Eine Karte
tervolumes hinzufügen". Cluster in stehen. Mit der Registerkarte "Clusterbe- dient der internen Kommunikation, eine
Windows Server 2019 beherrschen "Dy- rechtigungen" steuern Sie den adminis- ausschließlich der privaten und die dritte
namic I/O". Fällt die Datenverbindung trativen Zugriff auf den Cluster. garantiert die Ausfallsicherheit und ist
eines Knotens aus, kann der Cluster den für den gemischten Modus aktiviert.
für die Kommunikation zu den virtuel- Über den Menüpunkt "Speicher" im Fai-
len Computern im SAN notwendigen lovercluster-Manager sehen Sie die ge- Um weitere Laufwerke im Cluster zur
Datenverkehr automatisch über die Lei- meinsamen Datenträger. Hier sind auch Verfügung zu stellen, integrieren Sie diese

34 Sonderheft II/2019 www.it-administrator.de


in die Cluster-Verwaltung. Zuvor müssen
Sie die Laufwerke aber auf allen Knoten
verfügbar machen. Bereits integrierte
Laufwerke sehen Sie, wenn Sie den Me-
nübefehl "Speicher / Datenträger" aufru-
fen. Hier zeigt der Failovercluster-Mana-
ger alle bereits integrierten Laufwerke
und deren Status an. Wählen Sie nach ei-
nem Klick mit der rechten Maustaste im
Kontextmenü die Option"Speicher / Da-
tenträger", können Sie mit "Datenträger
hinzufügen" neu installierte Datenträger
in den Cluster integrieren.
Cluster Aware
Update einrichten
Mit "Cluster Aware Update" (CAU) in-
stallieren Sie Updates auf Windows-Clus-
tern, ohne dass Serverdienste ausfallen.
CAU ist ab Windows Server 2012 nutzbar,
unterstützt allerdings alle Cluster-fähigen
Anwendungen. Außerdem können Sie
CAU auch mit System Center Configu-
ration Manager (SCCM) 2012, 2012 R2,
2016 und 2019 verwenden. Sie müssen
allerdings darauf achten, dass sich die
Softwareaktualisierungs-Komponente in
SCCM nicht mit einer CAU-Installation
überschneidet. Sie können bei der Kon-
figuration nur den kompletten zu aktua-
lisierenden Cluster auswählen.
Wollen Sie nur einzelne Knoten aktuali-
sieren, können Sie CAU nicht verwenden.
Hier müssen Sie manuell die Windows-
Update-Funktion über Skripte steuern
und ebenfalls per Skript die aktiven Clus-
ter-Rollen auf andere Knoten verschieben.
Der System Center Virtual Machine Ma-
nager (SCVMM) verfügt ebenfalls über
eine Komponente, um Hyper-V-Cluster
zu aktualisieren. Diese Funktion lässt sich
aber nur mit SCVMM und mit Hyper-V
nutzen, andere Cluster-Dienste können
Sie mit SCVMM nicht automatisch ak-
tualisieren lassen.
Standardmäßig nutzt CAU die API für
den Windows-Update-Agenten. Das
heißt, Sie müssen zusätzlich zur Konfi-
guration von CAU noch festlegen, wie
die Updates installiert werden sollen.
Dazu verwenden Sie am besten eine
WSUS-Infrastruktur und Gruppenricht-
linien. CAU greift auf die entsprechen-
den Updates zu und holt diese zur In-
www.it-administrator.de
stallation von der Quelle, die Sie in den
Gruppenrichtlinien angegeben haben.
Ohne WSUS greift CAU auf die interne
Updatefunktion von Windows Server
2019 zu. Wichtig zu wissen ist noch, dass
CAU nur die Updates automatisiert in-
stallieren kann, die auch über Windows
Update installiert werden können.
Durch die Konfiguration von CAU in ei-
nem Cluster erstellen Sie eine neue Rolle,
die zukünftig Software-Aktualisierungen
vollkommen selbständig durchführen
kann. Diese Serverrolle ist der zentrale
Bestandteil bei der automatisierten Ak-
tualisierung der Cluster-Knoten und
übernimmt auch die Konfiguration des
Wartungsmodus auf den einzelnen Clus-
ter-Knoten, kann Cluster-Knoten neu
starten, Cluster-Rollen wieder auf die kor-
rekten Cluster-Knoten verschieben und
mehr. Das Verschieben von Cluster-Rol-
len auf andere Knoten entspricht einem
geplanten Failover der Rollen.
Vor der Einrichtung von CAU sollten Sie
genau überprüfen, ob einzelne Server-
dienste oder Cluster-Rollen Probleme da-
mit haben, wenn ein Failover ausgelöst
wird. Vor allem beim Betrieb von Hyper-
V-Clustern sollten Sie im Vorfeld die ein-
zelnen VMs auf Kompatibilität mit einem
Failover überprüfen. CAU kann auch nur
die Cluster-Knoten selbst aktualisieren,
nicht aber die einzelnen virtuellen Server
in einem Hyper-V-Cluster. Hier sollten Sie
mit WSUS und Windows-Update-Einstel-
lungen über Gruppenrichtlinien arbeiten.
Erstellen Sie zunächst im Snap-In "Active
Directory-Benutzer und -Computer" ein
neues Computerobjekt. Dieser Vorgang
ist zwar optional, denn das Computerob-
jekt kann später auch der Assistent für
CAU selbst erstellen, es stellt allerdings
die Grundlage für die neue Cluster-Rolle
zur Einrichtung der automatischen Ak-
tualisierung dar. Sie müssen keine Ein-
stellungen für das Objekt vornehmen,
sondern es nur erstellen. Die Konfigura-
tion nehmen Sie später bei der CAU-Ein-
richtung vor. Verwenden Sie als Beispiel
den Namen des Clusters mit der Erwei-
terung CAU, zum Beispiel "Cluster-CAU".
Später wird das Computerobjekt mit dem
Cluster verbunden.
Cluster Windows Server 2019
Zusätzlich müssen Sie auf allen Cluster-
Knoten, die an CAU teilnehmen sollen,
eine eingehende Firewallregel erstellen.
Als Regeltyp verwenden Sie "Vordefiniert /
Remoteherunterfahren". Das Verwal-
tungsprogramm für die Firewall starten
Sie durch Eingabe von wf.msc. Ist die Re-
gel schon vorhanden, können Sie diese
über das Kontextmenü einfach aktivieren.
Der Sinn der Regel soll sein, dass der
CAU-Dienst die einzelnen Cluster-Kno-
ten bei Bedarf auch neu starten kann,
nachdem Updates installiert sind.
Haben Sie diese Einstellung vorgenom-
men, suchen Sie im Startmenü nach dem
Einrichtungsprogramm von "Clusterfähi-
ges Aktualisieren" und starten das Tool.
Mit diesem Programm nehmen Sie die
grundlegenden Settings für CAU vor. Im
ersten Schritt lassen Sie sich mit dem Clus-
ter verbinden, für den Sie CAU aktivieren
wollen. Danach klicken Sie auf den Link
"Vorbereitung auf das Clusterupdate ana-
lysieren". Der Assistent überprüft im An-
schluss, ob Sie CAU im Cluster aktivieren
können und ob alle wichtigen Vorausset-
zungen getroffen sind.
Haben Sie sich mit dem gewünschten
Cluster verbunden und die Analyse
durchgeführt, starten Sie anschließend
die Einrichtung über einen Assistenten.
Diesen rufen Sie mit "Selbstaktualisie-
rungsoptionen des Clusters konfigurie-
ren" auf. Auf der ersten Seite des Assis-
tenten erhalten Sie eine Information, was
der Assistent alles konfiguriert.
Auf der nächsten Seite aktivieren Sie die
Option "Selbstaktualisierungsoptionen
des Clusters konfigurieren". Danach ak-
tivieren Sie die Option "Ich habe das
Computerobjekt für die CAU-Cluster-
rolle vorab bereitgestellt", wenn Sie die-
sen Schritt bereits selbst durchgeführt
haben. Geben Sie im Feld den Namen
des Computerobjekts ein, das Sie im
Vorfeld angelegt haben. Der Assistent
kann das Objekt auch automatisch er-
stellen, was die Konfiguration in Test-
umgebungen vereinfacht. In produkti-
ven Umgebungen ist es jedoch meistens
sinnvoll, solche Aufgaben im Vorfeld zu
erledigen. Oft gibt es auch verschiedene
Administratorengruppen für Cluster
Sonderheft II/2019 35
Windows Server 2019 Cluster

Aktualisierung vom Cluster-Dienst ge-

Befehle zur Cluster-Verwaltung
Aufgabe
Cluster-Eigenschaften anzeigen
Cluster erstellen
Cluster löschen
Cluster-Knoten hinzufügen
Cluster herunterfahren
Cluster-Quorum verwalten
Status von Cluster-Knoten
Cluster-Knoten anhalten
Cluster-Knoten fortsetzen
Cluster-Knoten starten
Cluster-Knoten stoppen
Cluster-Knoten entfernen
Cluster-Informationen nach
dem Löschen bereinigen
Cluster-Gruppen anzeigen
Eigenschaften von
Cluster-Gruppen
Erstellen von Cluster-Gruppen
Cluster-Gruppe löschen
Cluster-Gruppe online/offline
schalten
Cluster-Gruppe auf anderen
Knoten verschieben
Cluster-Ressourcen anzeigen
Erstellen/Löschen
einer Cluster-Ressource
Cluster-Ressource online/
offline schalten
Eingabeaufforderung
cluster /prop
cluster /create
cluster /destroy
cluster /add
cluster /shutdown
cluster /quorum
cluster node /status
cluster node /pause
cluster node /resume
cluster node /start
cluster node /stop
cluster node /evict
cluster node /forcecleanup
cluster group
cluster group /prop
cluster group Name /create
cluster group Name /delete
cluster group Name /online
/offline
cluster group Name move
cluster resource /prop
cluster resource Name /create
/delete
cluster resource Name /online
/offline
startet werden sollen. Über die Skripte
lassen sich zum Beispiel automatisiert E-
PowerShell
Mails versenden oder bestimmte Dienste
Get-Cluster überprüfen. Am besten arbeiten Sie hier
mit PowerShell-Skripten. Ein so inte-
New-Cluster griertes Skript läuft vor dem Update auf
Remove-Cluster jedem einzelnen Cluster-Knoten, bevor
Add-ClusterNode der entsprechende Knoten angehalten
Stop-Cluster und aktualisiert wird.
Get-ClusterQuorum
Set-ClusterQuorum
Das Skript startet nach dem Update auf je-
Get-ClusterNode |fl *
dem einzelnen Cluster-Knoten, nachdem
Suspend-ClusterNode
CAU die Updates installiert hat. Die erwei-
Resume-ClusterNode
terten Einstellungen müssen Sie allerdings
Start-ClusterNode
nicht erst bei der Einrichtung von CAU
Stop-ClusterNode
vornehmen. Der Assistent zum Aktivieren
Remove-ClusterNode
von CAU enthält auch einen Update-Aus-
Clear-Clusternode
führungseditor. Mit diesem bereiten Sie die
Einstellungen vor, speichern diese als XML-
Get-ClusterGroup
Datei und verwenden bei der Einrichtung
Get-ClusterGroup |fl *
von CAU einfach diese XML-Datei.
Add-ClusterGroup
Add-ClusterFileServerRole Auf der nächsten Seite legen Sie fest, wie
Add-ClusterPrintServerRole sich der Cluster-Dienst mit empfohlenen
Add-ClusterVirtualMachineRole
Updates befassen soll und ob diese die glei-
Hilfe über: che Rolle spielen wie wichtige Updates. Sie
können hier gezielt bestimmen, wie die
Get-Help Add-Cluster*role
Installation von Updates erfolgen soll. Im
Remove-ClusterGroup Name
Anschluss erhalten Sie eine Zusammen-
Start-ClusterGroup Name
fassung und der Dienst wird schließlich
Stop ClusterGroup Name
erstellt. Startet CAU ein Update, führt der
Move-ClusterGroup
Dienst ein Failover für die Cluster-Rollen
Get-ClusterResource |fl *
durch. Nachdem ein Knoten aktualisiert
Add-ClusterResource
wurde, werden die Cluster-Rollen durch
Remove-ClusterResource ein Failback wieder auf den ursprünglichen
Start-ClusterResource Cluster-Knoten zurück verschoben.
Stop-ClusterResource

Cluster-Netzwerk verwalten cluster network /prop
und Active Directory. In diesem Fall ist
es ebenfalls sinnvoll, vorher das Objekt
durch berechtigte Administratoren an-
legen zu lassen.
Auf der nächsten Seite legen Sie den
Zeitplan fest, nach dem sich der Cluster
und die einzelnen Knoten automatisiert
aktualisieren sollen. Natürlich hängt die-
se Aktualisierung auch von der Verfüg-
barkeit der Updates ab. Auf der Seite "Er-
weiterte Optionen" können Sie weitere
Einstellungen vornehmen, um CAU in-
dividuell anzupassen – diese sind aber
optional. Sinnvoll ist hier zum Beispiel
die Option, die überprüft, dass die Ak-
Get-ClusterNetwork
tualisierung nur dann gestartet wird,
wenn alle Cluster-Knoten online sind
und zur Verfügung stehen. Das ist vor
allem dann wichtig, um andere War-
tungsarbeiten auszuschließen. Bei der
Installation von Patches muss CAU, die
auf dem Cluster-Knoten betriebenen
Ressourcen auf andere Server im Cluster
verschieben. Idealerweise sollten dann
die anderen Knoten auch zur Verfügung
stehen. Dazu aktivieren Sie die Option
"True" bei "RequireAllNodesOnline".
Skripte hinterlegen
Weitere Möglichkeiten sind das Hinter-
legen von Skripten, die vor oder nach der
CAU in der PowerShell steuern
Neben der Aktualisierung mit der Power-
Shell können Sie CAU auch mit anderen
Cmdlets verwalten. Sie können in der
PowerShell zum Beispiel CAU mit Add-
CauClusterRole einrichten oder einen Be-
richt mit Export-CauReport exportieren.
Alle interessanten Cmdlets inklusive Hilfe,
erhalten Sie über
get-command -module
ClusterAwareupdating
Link-Codes
[1] Netsh.exe and ProxyCfg.exe
Proxy Configuration Tools
h1z31

36 Sonderheft II/2019 Link-Codes eingeben auf www.it-administrator.de

 Cluster Windows Server 2019

Geben Sie in den Eigenschaften des Objekts
dem Cluster-Konto volle Zugriffsrechte auf
das neue CAU-Konto. Alternativ lassen Sie
den Assistenten selbst das Computerobjekt
erstellen. In diesem Fall werden die Rechte
durch den Assistenten gesetzt. Lassen Sie
bei Fehlern einfach die Analyse noch einmal
durchführen und nehmen Sie die gleichen
Einstellungen erneut vor.
Auch bei weiteren Tests sollten keine Fehler
mehr erscheinen. Welche Patches der
Dienst schließlich installiert, steuern Sie
durch Freigabe derselben auf einem WSUS-
Server. Alternativ aktivieren Sie die lokale
Updateverwaltung auf dem Server. Die Lis-
te der Patches, die der Dienst als Nächstes
installiert, erhalten Sie im CAU-Verwal-
tungsprogramm, wenn Sie auf "Vorschau
der Updates für diesen Cluster anzeigen"
klicken. Der Dienst greift dabei auf Win-
dows Update auf dem Server zu. Wenn Sie
mit WSUS arbeiten, werden die Updates
von WSUS heruntergeladen, verwenden
Sie Windows-Update, nutzt diese Funktion
wiederum direkt die Windows-Update-
Funktion im Internet.
Um eine sofortige Aktualisierung nach der
Einrichtung zu starten oder auch nachträg-
lich, wenn Sie zum Beispiel gerade ein festes
Wartungsfenster haben, klicken Sie auf
"Updates auf diesen Cluster anwenden".
Danach beginnt der Dienst sofort mit der
Aktualisierung der einzelnen Cluster-Kno-
ten. Den Status der aktuellen Installationen
sehen im Verwaltungstool von CAU, mit
dem Sie den Dienst bereits eingerichtet ha-
ben. Bei der Aktualisierung wird der ent-
sprechende Knoten in den Wartungszu-
stand versetzt, die Cluster-Ressourcen wie
zum Beispiel die VMs auf andere Knoten
verschoben, danach die Aktualisierung ge-
startet und dann die Ressourcen wieder
zurück übertragen. Danach wird der nächs-
te Knoten aktualisiert und so weiter.
Updates mit CAU planen
CAU unterstützt verschiedene Aktualisie-
rungsmodi zur Planung der Updates. Mit
der Remote-Aktualisierung starten Sie ma-
nuell eine Aktualisierung für den Cluster.
Dazu greifen Sie auf die Benutzeroberfläche
oder das Invoke-CauRun-Cmdlet in der
PowerShell zurück. Die Remote-Aktualisie-
rung ist der Standardaktualisierungsmodus
für CAU. Mit der Aufgabenplanung können
Sie auch das Invoke-CauRun-Cmdlet zu ei-
nem von Ihnen gewünschten Zeitplan star-
ten. Achten Sie aber darauf, hier keinen Clus-
ter-Knoten zu verwenden, sondern einen
Server, der nicht Mitglied eines Clusters ist.
Mit der Selbstaktualisierung kann sich der
Cluster auf Basis eines definierten Profils
und automatisch selbst aktualisieren.
Wenn Sie den Selbstaktualisierungsmodus
aktivieren wollen, müssen Sie dem Cluster
die CAU-Clusterrolle hinzufügen. Das
Selbstaktualisierungsfeature wird wie jeder
andere Cluster-Dienst betrieben und lässt
sich auch für den geplanten und unge-
planten Failover nutzen.
Standardmäßig verwendet CAU als Rei-
henfolge der zu aktualisierenden Knoten
deren Aktivitätsgrad. Die Knoten, auf denen
die wenigsten Cluster-Rollen gehostet wer-
den, aktualisiert der Dienst zuerst. Sie kön-
nen aber in der CAU-Benutzeroberfläche
und den Optionen zur Einstellung eine Rei-
henfolge festlegen. Sie legen hier die Anzahl
von Knoten fest, die offline sein dürfen,
wenn CAU mit der Aktualisierung startet.
CAU bietet außerdem Exportoptionen über
die PowerShell und die Benutzeroberfläche.
Die Befehle in der PowerShell sind meistens
schneller:
Invoke-CauScan | ConvertTo-Xml
Get-CauReport | Export-CauReport
Entsprechende Optionen finden Sie auch
direkt in der grafischen Benutzeroberflä-
che. Die Cmdlets und die grafische Ober-
fläche stehen zur Verfügung, wenn Sie die
Verwaltungstools für Cluster installieren.
Wollen Sie die Updates aus dem Internet
herunterladen lassen, ohne dem Cluster
eine direkte Verbindung in das Web zu
gewähren, nutzen Sie einen Proxy-Server.
Die Einstellungen können Sie auch in der
Befehlszeile mit netsh konfigurieren:
netsh winhttp set proxy Name oder IP-
Adresse des Proxy:Port "*.Domäne,
local"
Sie geben im Befehl also den Namen oder
die IP-Adressen und den Port des Proxys
an. Danach müssen Sie in Anführungszei-
chen die Ausnahmen eintragen, zunächst
Ihre interne Domäne und zusätzlich noch
die Option "local" um alle lokalen Server
als Ausnahme zu konfigurieren.
Fazit
In Windows Server 2019 hat Microsoft die
generelle Aufteilung von Cluster-Knoten
deutlich verbessert und vereinfacht. Clus-
ter-Sets und die Möglichkeit, Cluster-Kno-
ten auf mehrere Domänen aufzuteilen, stel-
len Verbesserungen dar, genauso wie die
erweiterten Funktionen für das Cluster-
Quorum. Verwalten lassen sich Cluster in
Windows Server 2019 auch mit dem Win-
dows Admin Center. (jp)

Lesen Sie den IT-Administrator als E-Paper

Testen Sie kostenlos und unverbindlich die elektronische
IT-Administrator Leseprobe auf www.it-administrator.de.
Wann immer Sie möchten und wo immer Sie sich gerade befinden –
Volltextsuche, Zoomfunktion und alle Verlinkungen inklusive.
Klicken Sie sich ab heute mit dem IT-Administrator einfach
von Seite zu Seite, von Rubrik zu Rubrik! Auch als App
fürs iPad, Android
Infos zu E-Abos, E-Einzelheften und Kombiangeboten finden Sie auf:
und Amazon!
www.it-administrator.de/
magazin/epaper
Windows Server 2019 Remotedesktopdienste
Mit Remotedesktopdiensten Anwendungen virtualisieren
Aufpolierter Klassiker
von Thomas Joos
Da Microsoft immer mehr
Features in die Cloud ausla-
gert, kommt bei vielen Admi-
nistratoren verstärkt die Sor-
ge auf, das Funktionen wie
die Terminaldienste – mittler-
weile Remote Desktop Services
– nicht mehr lokal oder gar nicht
mehr verfügbar sind. Doch diese
wurden in Windows Server 2019 sogar
aufpoliert, mit Neuerungen versehen und sind auch
in Zukunft lokal im Rechenzentrum verfügbar. Unser Workshop
zeigt die neuen Features und die Verwaltung von RDS-Infrastrukturen.
N
eben den Remote Desktop Services
(RDS), die in Windows Server
2019 zur Verfügung stellen, will Microsoft
auch einige RDS-Funktionen in Azure an-
bieten. Der RDS-Broker, das Gateway und
der Webzugriff lassen sich in Zukunft
auch in Microsoft Azure nutzen. Dazu
stellt Microsoft "Remote Desktop Modern
Infrastructure" (RDMI) zur Verfügung,
das verschiedene RDS-Funktionen ganz
oder teilweise in die Cloud integriert.
Auch die Speicherung von Daten ist in
Azure möglich, die Profile für RDS-Um-
gebungen lassen sich in Azure Files und
anderen Speichern in der Cloud ablegen.
Natürlich lassen sich bereits jetzt RDS-
Infrastrukturen in der Cloud zur Verfü-
gung stellen, allerdings bietet eine solche
Umgebung keine nennenswerten Vorteile.
Microsoft strebt an, dass einzelne Dienste
aus RDS in Azure verfügbar sind, ohne
dass die Installation von VMs in Micro-
soft Azure erfolgen muss. Die Authenti-
fizierung erfolgt in diesem Fall über das
Azure Active Directory.
Die generelle Installation von RDS ent-
spricht in Windows Server 2019 noch den
Möglichkeiten in Windows Server 2016.
Wollen Unternehmen Remote Desktop
38 Sonderheft II/2019
modern Infrastructure nutzen, ist das ak-
tuell nur direkt in Azure möglich. Um
hybride Bereitstellungen durchzuführen,
müssen Sie aktuell noch virtuelle Server
in Microsoft Azure installieren. Es ist aber
zu erwarten, dass Microsoft die Dienste
verschmelzen will.
Neue RDS-Funktionen
in Server 2019
Mit Server 2019 ist über Remote Desktop
Web Access (RDWA) ein HTML5-Client
verfügbar. Der Client bietet ähnliche Funk-
tionen wie der Standard-RDP-Client, der
für Windows und andere Betriebssysteme
zur Verfügung steht. Der Vorteil des neuen
HTML5-Clients besteht darin, dass An-
wender nichts installieren müssen. Aktuelle
Browser, die HTML5 kennen, unterstützen
die Anbindung an Remote Desktop Web
Access. Der neue HTML5-Client sowie
der Remotedesktop-Webzugriff verursa-
chen weniger CPU-Last auf dem Client
und dem Server und auch die notwendige
Bandbreite wird reduziert.
Mit Windows 10 können die RDS-Remo-
te-Apps die Benachrichtigungen nutzen,
um Anwender über Aktionen der An-
wendung zu informieren. Dadurch lassen
sich zum Beispiel eingehende E-Mails im
F
3R
12
s–
pu
lu
sex
eu
:d
elle
Qu
Nachrichtencenter von Windows 10 an-
zeigen, wenn Outlook als Remote-App
genutzt wird.
Beim Drucken in RDS 2019 zeigt Win-
dows Server 2019 den Fortschritt eines
Druckvorgangs an. Auch Videokonferen-
zen werden mit RDS 2019 besser: Sind
Geräte für Videokonferenzen an einem
lokalen Rechner angeschlossen, lassen
sich diese auch in RDS-Sitzungen ver-
wenden. Dabei verbessert sich laut Mi-
crosoft auch die Qualität wesentlich.
In Windows Server 2019 führt Microsoft
"GPU Partitioning" ein. Dabei lassen sich
virtuellen Rechnern mit Windows 10 und
Hyper-V deutlich bessere Zugriffe auf die
Grafikadapter zuteilen. Die Technik funk-
tioniert auch mit Remotedesktop-Sit-
zungshosts. Der Vorteil besteht vor allem
darin, dass Grafikanwendungen in Sit-
zungen deutlich besser funktionieren.
Unternehmen, die den Zugriff mit Re-
mote Desktop Web Access nutzen, benö-
tigen nicht unbedingt die Installation ei-
nes RDS-Gateways. Greifen Anwender
nur von intern mit RDWA auf einen
RDS-Sitzungshost zu, ist kein Gateway
mehr erforderlich. Dennoch ist in diesem
www.it-administrator.de

Bild 1: Die Bereitstellung der Remotedesktopdienste erfolgt über einen
Assistenten im Server-Manager.
Fall der HTML5-Client in Windows Ser-
ver 2019 verfügbar. Der Client ist in der
neuen Version direkt in den RDS-Web-
zugriff integriert.
Mit Windows Server 2019 lässt sich end-
lich auch der Lizenzserver in der Remo-
tedesktopumgebung hochverfügbar zur
Verfügung stellen. So kann ein Lizenz-
server seine Daten jetzt in einer SQL-Da-
tenbank speichern, auf die weitere Lizenz-
server zugreifen können. Außerdem
wurde das Zusammenspiel zwischen Li-
zenzserver, Active Directory und RDS-
Host verbessert. Die Benutzerlizenzen
werden vom Lizenzserver an den Sit-
zungs-Host übergeben, der die Lizenzen
dann im Active Directory hinterlegt. Hier
ist zukünftig auch die Anbindung von
mehreren Domänen möglich.
Aktuell hat Microsoft die RDS-Adminis-
tration noch nicht in das Windows Ad-
min Center (WAC) integriert. Das heißt,
die Verwaltung der Dienste erfolgt wei-
terhin mit dem Server-Manager. Es ist
aber zu erwarten, dass Microsoft in neuen
Versionen des Windows Admin Centers
auch RDS integrieren wird.
RDS-Architektur verstehen
Die Installation und Konfiguration der
Remotedesktopdienste erfolgt hingegen
über das Windows Admin Center oder
www.it-administrator.de
Remotedesktopdienste
den Server-Manager. Auch in Windows
Server 2019 handelt es sich bei den Re-
motedesktopdiensten um eine Serverrolle,
die verschiedene Rollendienste umfasst:
- Remotedesktop-Virtualisierungshost:
Der Dienst wird in Hyper-V integriert,
um in einem Pool virtuelle Desktops
mit RemoteApp- und Desktopverbin-
dung bereitzustellen.
- Remotedesktop-Sitzungshost: Remo-
teApp-Programme oder sitzungsbasier-
te Desktops nutzen diesen Dienst. Hier-
bei handelt es sich um den Nachfolger
der Terminaldienste. Er ist die Zentrale
der Umgebung.
- Remotedesktop-Verbindungsbroker: Be-
nutzer können erneut eine Verbindung
mit ihren vorhandenen virtuellen Desk-
tops, RemoteApp-Programmen und sit-
zungsbasierten Desktops herstellen. Die
Verbindungsdaten merkt sich der Broker,
der sich in Server 2019 auch in Microsoft
Azure installieren lässt.
- Web Access für Remotedesktop ermög-
licht Benutzern den Zugriff auf Remo-
teApp- und Desktopverbindung über
einen Webbrowser. Auf diesem Weg
stellen Sie zum Beispiel Remotedesk-
tops im Internet zur Verfügung.
- Die Remotedesktoplizenzierung ver-
waltet die Lizenzen, die für eine Ver-
bindung mit einem Remotedesktop-
Sitzungshostserver oder einem virtu-
ellen Desktop erforderlich sind. Sie
Windows Server 2019
können die RD-Lizenzierung zum In-
stallieren, Ausstellen und Nachverfol-
gen der Verfügbarkeit von Lizenzen
verwenden.
- Der Remotedesktopgateway ermöglicht
es autorisierten Benutzern, von jedem
Gerät mit Internetzugang eine Verbin-
dung mit virtuellen Desktops, Remo-
teApp-Programmen und sitzungsba-
sierten Desktops herzustellen.
Windows Server 2019 bietet Sammlungen
für Sitzungshosts und in Virtual-Desk-
top-Infrastructure-Umgebungen (VDI)
auch für Virtualization-Hosts. Eine Sit-
zungssammlung, früher Farm genannt,
ist eine Gruppe von RD-Sitzungshostser-
vern für eine Sitzung und stellt sitzungs-
basierte Desktops oder RemoteApp-Pro-
gramme zur Verfügung. Installieren Sie
einen Remotedesktop-Sitzungshost, um
Anwendungen und Desktops zur Verfü-
gung zu stellen, müssen Sie nach der In-
stallation der Rollendienste im Server-
Manager eine Sitzungssammlung erstel-
len, also eine Terminalserverfarm. In
Windows Server 2019 können Sie mit den
Remotedesktopdiensten auch virtuelle
Desktops auf Basis von Windows 10 zur
Verfügung stellen.
Installation eines
Remotedesktopservers
Die Installation eines Remotedesktopser-
vers findet über den Server-Manager statt,
indem Sie "Verwalten / Rollen und -Fea-
tures hinzufügen" auswählen. Im Gegen-
satz zu herkömmlichen Rollen installieren
Sie die Remotedesktopdienste über einen
eigenen Assistenten, den Sie direkt vor
der Installation eigentlicher Rollen star-
ten. Um die Serverrollen auf mehreren
Server zu verwalten, müssen Sie diese zu-
vor über "Verwalten / Server hinzufügen"
in den lokalen Server-Manager integrie-
ren. Auf der zweiten Seite wählen Sie aus,
ob Sie eine Standardbereitstellung oder
eine Schnellstartinstallation mit nur ei-
nem einzelnen Server durchführen wol-
len. Mit der Standardinstallation können
Sie eine Serverfarm mit mehreren Remo-
tedesktop-Sitzungshosts installieren.
Über den Assistenten legen Sie danach
fest, ob Sie eine Virtual Desktop Infra-
structure (VDI) installieren wollen – also
Sonderheft II/2019 39
Windows Server 2019 Remotedesktopdienste
Bild 2: Bei der Auswahl des Bereitstellungsszenarios ist festzulegen,
wie die Anwender auf Remote-Apps zugreifen.
virtuelle Computer auf Basis von Hyper-
V – oder eine sitzungsbasierte Bereitstel-
lung, also Server die Anwendungen oder
den Desktop den Anwendern zur Verfü-
gung stellen.
Haben Sie das Szenario ausgewählt, bestä-
tigen Sie die zu installierenden Rollendiens-
te. Auf einem Server in der Sammlung
müssen Sie den Remotedesktop-Verbin-
dungsbroker installieren. Mit diesem Dienst
können Sie Anwender mit ihrer ursprüng-
lichen Sitzung wiederverbinden, wenn Sie
mehrere RDS-Server in einem Loadbalan-
cing-Verbund einsetzen. Der Verbindungs-
broker stellt einen Aggregationspunkt für
RemoteApps im Unternehmen zur Verfü-
gung und verbindet alle installierten Server,
damit Sie diese zentral im Server-Manager
verwalten können. Er sammelt Remote-
Apps der verschiedenen Server ein und
stellt diese im Startmenü der Clientrechner
zur Verfügung. Webzugriffsserver holen
sich dazu die Daten von einem Server mit
dem Verbindungsbroker.
Als Nächstes wählen Sie einen Server mit
Web Access aus, der die RemoteApps der
Farm zentral zur Verfügung stellt. Als
Letztes legen Sie noch den eigentlichen
Server fest, der den Remotedesktop-Sit-
zungshost bereitstellt. Klicken Sie im letz-
ten Fenster auf "Bereitstellen", damit der
Assistent auf den ausgewählten Servern
die entsprechende Funktion installiert.
Einrichten einer
neuen Sitzungssammlung
Installieren Sie einen Remotedesktop-Sit-
zungshost, müssen Sie nach der Installa-
40 Sonderheft II/2019
tion der Rollendienste im Server-Manager
eine Sitzungssammlung erstellen. Dazu
steht die neue Gruppe "Remotedesktop-
dienste zur Verfügung", über die Sie die
Infrastruktur einrichten:
1. Klicken Sie in der linken Seite des Fens-
ters auf "Remotedesktopdienste" und
dann auf "Sammlungen".
2. Wenn Sie jetzt "Aufgaben / Sitzungs-
sammlung erstellen" wählen, startet der
Assistent zum Erstellen einer Sitzungs-
sammlung.
3. Geben Sie im Assistenten zunächst ei-
nen Namen für die Sammlung ein.
4. Wählen Sie auf der nächsten Seite die
Server aus, die der Sitzungssammlung
beitreten sollen.
5. Legen Sie danach fest, welche Gruppe
aus dem Active Directory Zugriff auf
den Server erhalten soll. Hier bietet es
sich an, wie in den Vorgängerversionen,
eigene Gruppen anzulegen. Auf diese
Weise können Sie über die Gruppen-
mitgliedschaft den Zugriff steuern.
6. Übernehmen Sie auf der Seite "Benut-
zergruppen angeben" die Standardaus-
wahl und klicken Sie auf "Weiter".
Sie können über den Assistenten auch ei-
nen Freigabe als Benutzerprofildatenträ-
ger eingeben. RDS-Benutzer erhalten so
ein eigenes Benutzerprofil.
Haben Sie die Sammlung erstellt und
auch den Webzugriff über den Installati-
onsassistenten eingerichtet, können Sie
bereits mit der URL "https://Serverna-
me/rdweb" auf die Webfreigabe zugreifen.
Per Webzugriff haben Sie auch die Mög-
lichkeit, eine Verbindung mit anderen
Servern oder mit PCs herzustellen, auf
denen der Remotedesktop aktiviert ist.
Anwendungen mit
RemoteApps virtualisieren
Wollen Sie nicht nur den Desktop zur
Verfügung stellen, sondern auch einzelne
Programme, die Anwender direkt über
die Weboberfläche starten, klicken Sie
im Server-Manager auf "Remotedesk-
topdienste" und dann auf die Sammlung.
Hier sehen Informationen zur aktuellen
Sammlung und können die verschiede-
nen Bereiche bearbeiten. Dazu klicken
Sie jeweils auf "Aufgaben" und wählen
dann aus, welche Konfiguration Sie an-
passen möchten.
Um eine Anwendung der Liste hinzuzu-
fügen, klicken Sie im Bereich Remote-
App-Programme auf den Link "Remote-
App-Programme veröffentlichen". Im
Anschluss startet der zugehörige Assis-
tent, über den Sie die Anwendungen der
Liste hinzufügen. Wählen Sie entweder
das Programm aus der Liste aus oder kli-
cken Sie auf "Durchsuchen", um die Start-
datei der Anwendung hinzuzufügen. Sie
können an dieser Stelle mehrere Anwen-
dungen auswählen und die Eigenschaften
der Applikationen jederzeit anpassen.
RemoteApps stehen nach der Veröffent-
lichung automatisch für alle Clients über
den Webzugriff zur Verfügung. Diesen
erreichen sie ebenfalls über die URL
"https://Servername/rdweb". Nach der Au-
thentifizierung stehen sofort alle Remote-
Apps zur Verfügung, die Sie veröffentli-
chen – entsprechende Berechtigungen
vorausgesetzt. Sie können im Server-Ma-
nager über diesen Bereich jederzeit weitere
Anwendungen veröffentlichen. Achten Sie
aber darauf, dass die Anwendungen auf
den RDS-Hosts installiert sein müssen,
nicht auf dem Server mit Web Access oder
dem RD-Verbindungsbroker. Um weitere
Anwendungen hinzuzufügen, klicken Sie
im Server-Manager in der Verwaltung der
Remotedesktopdienste auf die entspre-
chende Sammlung. Im Bereich "Aufgaben"
der App-Verwaltung können Sie veröf-
fentlichte Anwendungen auch wieder ent-
fernen. Im Server-Manager sehen Sie die
aktuell verbundenen Benutzer im Bereich
"Verbindungen", wenn Sie auf die Samm-
www.it-administrator.de

lung klicken. An dieser Stelle können Sie
einzelne Verbindungen auch trennen.
RDS-Lizenzierung einrichten
Sie benötigen für jeden Remotedesktop-
server (Remotedesktop-Sitzungshost) eine
Windows-Server-Lizenz. Zusätzlich be-
nötigen Sie für jeden Benutzer, wie bei
normalen Serverzugriffen auf Datei- oder
Druckserver, eine entsprechende Client-
Zugriffslizenz (CAL). Diese CALs sind
bei keinem Betriebssystem integriert, son-
dern müssen immer gesondert erworben
werden. Für Windows Server 2019 kön-
nen Sie keine Benutzer- und RDS-CALs
älterer Versionen verwenden, Sie müssen
diese also neu erwerben. Setzen Sie anders
herum neue RDS-CALs ein, können Sie
diese auch mit Vorgängerversionen von
Windows Server 2019 nutzen.
Bei einem Remotedesktopserver benöti-
gen Sie zusätzlich für jeden Client, der
sich mit dem Remotedesktopserver ver-
bindet, eine spezielle Remotedesktop-
server-Zugriffslizenz (RDS-CAL). Diese
Lizenz wird pro PC oder pro Benutzer
vergeben und gilt nicht pro gleichzeitigen
Zugriff. Das heißt, Sie müssen nicht so
viele Lizenzen kaufen, wie gleichzeitig Be-
nutzer mit dem Remotedesktopserver ver-
bunden sind, sondern so viele Lizenzen,
wie Benutzer insgesamt damit arbeiten.
Microsoft bietet für RD-CALs die gleiche
Lizenzierung wie bei normalen CALs. Es
gibt RD-Geräte-CALs und RD-Benutzer-
CALs. Befindet sich der Remotedesktop-
server im Active Directory, sollten Sie die
RDS-Lizenzierung auf einem Mitglieds-
server installieren. Sie haben 120 Tage
Zeit, bevor Sie den Lizenzierungsdienst
auf einem Server installieren und aktivie-
ren müssen. Ein Remotedesktopserver
Bild 3: Das Veröffentlichen von Anwendungen im Server-Manager stellt diese in den
Remotedesktopdiensten zur Verfügung.
www.it-administrator.de
Remotedesktopdienste
findet Lizenzserver im Active Directory
automatisch.
Bei der Lizenzierung verbindet sich zu-
nächst ein Client mit einem Remotedesk-
topserver. Dieser ruft von einem RDS-Li-
zenzserver eine Lizenz ab. Hierbei muss
es sich nicht um den lokalen RDS handeln,
ein Lizenzserver kann Lizenzen für meh-
rere Remotedesktopserver zur Verfügung
stellen. Für die Verbindung mit einem Ad-
ministratorkonto benötigen Sie auf einem
Remotedesktopserver keine Lizenz, es dür-
fen aber nur zwei Admins gleichzeitige
verbunden sein. Nun stellt der RDS dem
Client die Lizenz bereit.
Lizenzserver in den Remotedesktopdiens-
ten registrieren sich automatisch im Acti-
ve Directory. Installieren Sie einen neuen
Remotedesktopserver, können Sie manu-
ell Lizenzserver zuweisen. So ist sicher-
gestellt, dass einzelne RDS genau mit den
Lizenzservern arbeiten, die Sie als Admi-
nistrator hinterlegen.
Um die RDS-Lizenzierung zu installieren,
wählen Sie im Server-Manager "Remote-
desktopdienste" aus und klicken auf "Über-
sicht". Über den Link "Remotedesktopli-
zenzierung" bestimmen Sie den Server, der
die Lizenzierung steuert. Sie können an
dieser Stelle allerdings nur Server auswäh-
len, die Sie im Server-Manager über "Ver-
walten / Server hinzufügen" integriert ha-
ben. Schließen Sie den Assistenten ab, um
die Lizenzierung zu aktivieren.
Anschließend müssen Sie noch Einstel-
lungen für die Sammlung konfigurieren.
Dazu klicken Sie im Server-Manager bei
"Remotedesktopdienste / Übersicht" bei
"Bereitstellungsübersicht" auf "Aufgaben"
und dann auf "Bereitstellungseigenschaf-
Windows Server 2019
ten bearbeiten". Nun wählen Sie "Remo-
tedesktoplizenzierung" und legen fest,
welche Lizenzierung Sie verwenden wol-
len und welcher Lizenzserver für die
Sammlung zum Einsatz kommt. Klicken
Sie danach auf "Anwenden".
Auf dem RDS-Lizenzierungsserver finden
Sie nach der Installation im Startmenü das
Tool "Remotedesktoplizenzierungs-Ma-
nager" vor oder starten dieses durch Ein-
gabe von licmgr. Haben Sie das Programm
geöffnet, durchsucht es das Netzwerk und
zeigt die gefundenen Lizenzserver an, wo-
bei es nicht aktivierte Lizenzserver ent-
sprechend hervorhebt. Um einen Lizenz-
server zu aktivieren, klicken Sie mit der
rechten Maustaste auf den Servernamen
und wählen im Kontextmenü den Befehl
"Server aktivieren". Anschließend können
Sie den Server entweder direkt über die
Konsole aktivieren, wenn Ihr Lizenzserver
an das Internet angebunden ist, oder Sie
führen die Aktivierung per Telefon durch.
Klicken Sie im Server-Manager auf "Re-
mote Desktop Services" und dann auf
"Remotedesktop-Lizenzierungsdiagnose"
erhalten Sie Meldungen zur Lizenzierung.
Dieses Programm finden Sie im Startme-
nü auf den RD-Sitzungshosts. In diesem
Tool können Sie auch Zertifikate hinter-
legen und das RDS-Gateway anpassen.
Sie sollten in regelmäßigen Abständen ei-
ne Sicherung des Lizenzservers durch-
führen, damit bei einem Serverausfall die
Datenbank mit den ausgestellten Lizenzen
möglichst nicht verloren geht. Um einen
Lizenzserver zu sichern, können Sie die
Windows-Datensicherung verwenden.
Standardmäßig finden sich die zu sichern-
den Daten im Ordner "\Windows\Sys-
tem32\lserver".
Spiegeln von
Remotedesktopsitzungen
Mit Windows Server 2019 können sich
Administratoren mit Sitzungen von An-
wendern verbinden, um bei Problemen
zu helfen. Über das Kontextmenü von Sit-
zungen im Server-Manager spiegeln Sie
auf RD-Sitzungshosts Sitzungen von An-
wendern. Klicken Sie eine Sitzung mit der
rechten Maustaste an, haben Sie verschie-
dene Möglichkeiten, um die Benutzer zu
Sonderheft II/2019 41
Windows Server 2019 Remotedesktopdienste
Bild 4: Jede RDS-Infrastruktur benötigt mindestens einen Lizenzserver,
den Sie im Remotedesktoplizenzierungs-Manager verwalten
verwalten. Mit der Option "Schatten" spie-
geln Sie Sitzungen – es sind dazu keine
weiteren Konfigurationen notwendig. So-
bald Sie eine Sammlung erstellen und Re-
moteApps veröffentlichen, sind die An-
wendungen zur Spiegelung bereit.
Spiegeln können Sie nicht nur Desktop-
Sitzungen, sondern auch RemoteApps,
inklusive deren Steuerelementen. Klicken
Sie die Option zum Spiegeln an ("Schat-
ten"), wählen Sie zunächst aus, ob Sie die
Sitzung nur sehen wollen, ohne selbst
steuern zu können ("Anzeige") oder ob
Sie in der Sitzung auch Eingaben vorneh-
men wollen ("Steuerelement"). Standard-
mäßig ist nach der Installation der RD-
Sitzungshosts beides erlaubt und möglich.
Sie müssen dazu keinerlei Einstellungen
vornehmen.
Außerdem legen Sie fest, ob der Benutzer
die Verbindung bestätigen muss oder ob
die Verbindung ohne Bestätigung statt-
finden soll. Standardmäßig ist in den
Richtlinien von Remotedesktopservern
die Zustimmung der Benutzer hinterlegt.
Wollen Sie sich mit Sitzungen verbinden,
ohne dass Anwender die Verbindung be-
stätigen müssen, sind erst Änderungen
in den Richtlinien der RD-Server not-
wendig. Zu diesen Einstellungen kommen
wir später noch, diese lassen sich auch
über lokale Richtlinien oder mit Grup-
penrichtlinien festlegen.
Aktivieren Sie die Anzeige einer Sitzung
und bestätigt der entsprechende Anwender
die Spiegelung, sehen Sie den Remotedesk-
top oder die geöffnete Remote-App des
42 Sonderheft II/2019
Anwenders. Sie haben allerdings keinen
Zugriff auf den Rechner des Anwenders
oder andere Anwendungen, sondern nur
auf dessen Remotedesktopsitzung. Mit "An-
zeige" lassen sich hier auch keinerlei Ein-
gaben vornehmen, sondern Sie sehen nur
das, was der Benutzer in seiner RemoteApp
oder seinem RDP-Desktop sieht. Auch ist
keine Interaktion wie Unterhaltung, Da-
tenaustausch oder sonstiges mit dem Be-
nutzer möglich. Minimiert der Anwender
die RemoteApp auf seinem Rechner, pas-
siert das gleiche auch in Ihrer Spiegelsitzung
und Sie sehen den Inhalt der Anwendung
nicht mehr. Generell ist für Spiegelungen
festgelegt, dass diese nur die Anwendung
und deren Informationen anzeigt, die auch
in der gespiegelten Sitzung laufen. Alle an-
deren Daten sind für den zugreifenden Ad-
ministrator nicht sichtbar.
Mit den Standardeinstellungen von RD-
Servern erscheint bei den Anwendern
immer eine Meldung auf dem Bild-
schirm, wenn eine Spiegelung erfolgen
soll. Der Anwender kann in dieser Mel-
dung die Spiegelung erlauben oder sie
verweigern. Die Entscheidung des Be-
nutzers kann von Administratoren nicht
überstimmt werden. Nachdem die Spie-
gelung aufgebaut ist, kann der Adminis-
trator diese durch das Schließen des
Fensters beenden, der Anwender hat die-
se Möglichkeit nicht. Der Anwender er-
hält auch keine Information darüber ob
sich der Administrator von der Sitzung
wieder getrennt hat.
Neben der Möglichkeit, die Sitzungen an-
zuzeigen, können Sie Benutzersitzungen
natürlich auch komplett steuern. Dazu
müssen Sie als Option "Steuerelement"
auswählen, wenn Sie die Option "Schat-
ten" für eine Benutzersitzung ausgewählt
haben. Auch hier muss der entsprechende
Benutzer die Verbindung erst genehmi-
gen, wenn Sie mit den Standardeinstel-
lungen arbeiten.
GPO- und Systemeinstellungen
für die Spiegelung
Einstellungen für die Spiegelung nehmen
Sie über lokale Richtlinien oder in den
Gruppenrichtlinien vor, die Sie den Remo-
tedesktop-Sitzungshosts zuweisen. Sie fin-
den die Konfiguration über "Benutzerkon-
figuration / (Richtlinien) / Administrative
Vorlagen / Windows-Komponenten / Re-
motedesktopdienste / Remotedesktopsit-
zungs-Host / Verbindungen". Hier gibt es
die Einstellung "Regeln für Remotesteue-
rung von Remotedesktopdienstebenutzern
festlegen".
Sie können an dieser Stelle entweder eine
Gruppenrichtlinie in der Domäne erstel-
len und den Remotedesktop-Sitzungs-
hosts zuweisen oder Sie nehmen die Ein-
stellung einfach in den lokalen Richtlinien
der einzelnen Remotedesktops-Sitzungs-
hosts vor (gpedit.msc). Ohne weitere Ein-
stellungen dürfen Administratoren nach
der Erstellung einer Sammlung im Ser-
ver-Manager die Spiegelung durchführen.
Es sind keine Zusatzwerkzeuge oder be-
sondere Einstellungen notwendig, Spie-
gelungen funktionieren in Windows Ser-
ver 2019 automatisch. Um Einstellungen
zu ändern, aktivieren Sie also die Richt-
linie und wählen dann aus dem Drop-
down-Menü aus den angezeigten Optio-
nen aus:
- Keine Remoteüberwachung zulassen:
Administratoren können keine Remo-
testeuerung verwenden oder Remote-
benutzersitzungen anzeigen. Eine Spie-
gelung ist daher nicht erlaubt. Wenn
ein Administrator eine Sitzung spiegeln
will, erscheint die Meldung, dass die
Funktion über Richtlinien geblockt ist.
- Vollzugriff mit Erlaubnis des Benutzers:
Erlaubt Administratoren mit der Zu-
stimmung des entsprechenden Benut-
zers die Steuerung einer Sitzung, also
auch die Bedienung. Natürlich ist dann
auch das Anzeigen erlaubt.
www.it-administrator.de

- Vollzugriff ohne Erlaubnis des Benut-
zers: Erlaubt Administratoren auch oh-
ne Zustimmung des Benutzers die
Steuerung der Sitzung. In diesem Fall
können Administratoren beim Spiegeln
auch den Haken bei der Option entfer-
nen, dass der Benutzer gefragt werden
muss. Auch die Anzeige-Funktion ist
mit dieser Einstellung erlaubt.
- Sitzung mit Erlaubnis des Benutzers
anzeigen: Erlaubt Administratoren das
Anzeigen von Sitzungen mit Zustim-
mung des Benutzers. Eine Steuerung
der Sitzungen ist aber nicht erlaubt.
- Sitzung ohne Erlaubnis des Benutzers
anzeigen: Ermöglicht Administratoren
das Anzeigen von Sitzung auch ohne
die Zustimmung des Anwenders.
Deaktivieren Sie diese Richtlinieneinstel-
lung, können Administratoren mit der
Zustimmung des Benutzers in dessen Re-
motedesktopdienste-Sitzung eingreifen
und Sitzungen spiegeln. Das geht auch,
wenn Sie gar nichts konfigurieren.
Loopback-Verarbeitung
von Gruppenrichtlinien
berücksichtigen
Setzen Sie RD-Sitzungshosts zusammen
mit Gruppenrichtlinien ein, bietet es sich
an, die Server in einer eigenen OU abzu-
legen und für diese OUs dann Gruppen-
richtlinien mit den gewünschten Einstel-
lungen zu aktivieren. Für diese Richtlinien
sollten Sie auch den Loopback-Verarbei-
tungsmodus aktivieren. Dabei wendet die
Gruppenrichtlinie auch Einstellungen des
Benutzerbaums an, wenn das Konto der
Anwender nicht in der OU gespeichert
ist in der die Richtlinie definiert ist, son-
dern nur der entsprechende Server. So
erhalten Sie die Möglichkeit, RDS-Benut-
zereinstellungen festzulegen, die nur bei
der Anmeldung der Anwender auf dem
RDS greifen, nicht bei der Anmeldung
an ihren lokalen Computern.
Sie finden diese Einstellung über "Com-
puter / Richtlinien / Administrative Vor-
lagen / System / Gruppenrichtlinie".
Aktivieren Sie die Richtlinie "Loopback-
verarbeitungsmodus für Benutzergrup-
penrichtlinie". Tun Sie dies, können Sie
zwischen "Ersetzen" – hier ersetzt die
Richtlinie Einstellungen, die bereits von
www.it-administrator.de
Remotedesktopdienste
anderen Richtlinien an gleicher Stelle
gesetzt sind – und "Zusammenführen"
wählen. Dabei werden die normalen Richt-
linien des Anwenders und die Einstellun-
gen für den Benutzer in der Remotedesk-
topserver-Richtlinie genutzt. Gibt es hierbei
Konflikte, gewinnt die Richtlinie der Re-
motedesktopserver.
Drucken mit
Remotedesktop-Sitzungshosts
Verbinden sich Clients mit einem RDS-
Host, sind die installierten Drucker der
Clients und die Drucker auf dem Server
verfügbar. Der "Remotedesktop Easy
Print Driver" kann Druckaufträge ver-
schiedener Drucker an den Client um-
leiten. Auch in den Gruppenrichtlinien
hat Micorsoft viele Einstellungen für die
Konfiguration von Druckern integriert.
Um den Easy Print Driver zu verwenden,
müssen Sie den aktuellen RDP-Client ver-
wenden, am besten den Client in Win-
dows 10, notfalls den Treiber in Windows
8.1. Der Treiber unterstützt für die kom-
patiblen Drucker alle Features, nicht nur
die grundlegenden Funktionen. Auch die
Performance bei der Übertragung des
Druckauftrages verbessert der Treiber.
Unterstützen Clients diesen universalen
Druckertreiber nicht, muss auf dem Re-
motedesktopserver ein aktueller Treiber
der Drucker installiert sein. Auf dem Ser-
ver zeigt sich beim Einsatz des Easy Print
Drivers ein Abbild des Druckertreibers
des Clients, dieser wird aber nicht instal-
liert. Druckt ein Anwender in der Sit-
zung, leitet der Treiber den Druck in eine
XPS-Datei um und schickt diese zum
Client, der den Druck schließlich auf
dem Drucker ausgibt.
Der Easy Print Driver benötigt keine
Anpassungen auf dem Server. Die auf
dem Client verfügbaren Drucker über-
nimmt der Server, sofern diese kompa-
tibel sind. Auch die spezifischen Einstel-
lungen des Druckers zeigt der Server an
und leitet diese beim Abrufen wieder
auf den Client zurück. Ob Drucker um-
geleitet werden, müssen Sie im RDP-
Client einstellen und dies auf der Regis-
terkarte "Lokale Ressourcen" auf dem
Client zunächst aktivieren.
Windows Server 2019
Windows Server 2019 erlaubt auch, die
Anbindung von Druckern über Gruppen-
richtlinien zu steuern. Die entsprechenden
Einstellungen finden Sie unter "Compu-
terkonfiguration / Richtlinien / Adminis-
trative Vorlagen / Windows-Komponenten /
Remotedesktopdienste". Die Verwaltung
von Druckern findet über den Unterein-
trag "Remotedesktopsitzungs-Host / Dru-
ckerumleitung statt", wo Sie auch den Easy
Print Driver anpassen. Aktivieren Sie die
Richtlinie "Zuerst Easy Print-Druckertrei-
ber der Remotedesktop verwenden", ver-
sucht ein RD-Server zuerst, diesen Treiber
zu nutzen, bevor ein anderer Treiber in-
stalliert wird. Auch wenn diese Richtlinie
nicht konfiguriert ist, verwendet der Re-
motedesktopserver standardmäßig zuerst
den Easy Print Driver. Überprüfen Sie an
dieser Stelle, ob die Einstellungen korrekt
gesetzt sind. Die Druckerumleitungen
müssen konfiguriert sein und den Stan-
dard-Drucker oder eben den Easy Printer
Driver verwenden.
Unterstützt der Drucker diesen Treiber
nicht, sucht der Remotedesktopserver als
Nächstes lokal nach einem passenden
Treiber. Findet der Server keinen Treiber,
kann der Drucker in der Sitzung nicht
zum Einsatz kommen. Standardmäßig ist
diese Richtlinie nicht konfiguriert. De-
aktivieren Sie diese Einstellung, versucht
der Server zunächst einen Druckertreiber
zu finden, der kompatibel mit dem Dru-
cker ist und verwendet dann erst den Easy
Print Driver. Ob Drucker umgeleitet wer-
den, muss im RDP-Client auf der Regis-
terkarte "Lokale Ressourcen auf dem
Client" aktiviert werden.
Verwaltung eines
Remotedesktop-Sitzungshosts
Bevor Sie sich mit speziellen Funktionen
wie dem Gateway oder Webzugriff ausei-
nandersetzen, sollten Sie zunächst die Stan-
dardverwaltung eines Servers verstehen.
Um Systemeinstellungen für eine Samm-
lung und den enthaltenen RD-Sitzungs-
hosts vorzunehmen, verwenden Sie den
Server-Manager und den Bereich "Remo-
tedesktopdienste". Klicken Sie auf "Samm-
lungen" und dann auf die Sammlung, kön-
nen Sie über "Aufgaben / Eigenschaften
bearbeiten" die wichtigsten Einstellungen
einer Sammlung konfigurieren.
Sonderheft II/2019 43
Windows Server 2019 Remotedesktopdienste
Im Bereich "Verbindungen" einer Samm-
lung sehen Sie in Echtzeit, welche Benutzer
mit einem Server verbunden sind und wel-
che Apps und welche Remotedesktop-Si-
zungshosts zur Verfügung stehen. In die-
sem Bereich können Sie Benutzersitzungen
trennen und getrennte Sitzungen zurück-
setzen. Sie können für jede veröffentliche
App Einstellungen aufrufen und die App
an Ihre Anforderungen anpassen.
Single Sign-On einrichten
Mit Windows Server 2019 und Windows
10 können Sie Szenarien für Single Sign-
On (SSO) erstellen, damit sich Anwender
nur noch einmal authentifizieren müssen,
zum Beispiel an ihrer Arbeitsstation. Der
Zugriff auf weitere Server im Netzwerk,
RemoteApps und veröffentlichten Desktops
erfolgt ohne weitere Authentifizierung.
Dazu müssen Sie clientseitig Windows
8.1 oder 10 zusammen mit Windows Ser-
ver 2019 einsetzen. Außerdem müssen
sich die Systeme in der gleichen Active-
Directory-Gesamtstruktur befinden. Auf
den Arbeitsstationen können Sie entweder
die lokale Richtlinie bearbeiten oder Sie
erstellen eine Gruppenrichtlinie. Navi-
gieren Sie dazu zum Bereich "Computer-
konfiguration / Administrative Vorlagen /
System / Delegierung von Anmeldeinfor-
mationen" und öffnen Sie die Richtlinie
"Delegierung von Standardanmeldeinfor-
mationen zulassen". Anschließend akti-
vieren Sie diese Richtlinie. Nun tragen
Sie in der Serverliste den Eintrag "term-
srv/Servername" ein. Wichtig an dieser
Stelle ist, dass Sie vor den Eintrag des Ser-
vernamens noch "termsrv" stellen. In ei-
ner RDS-Infrastruktur verwenden Sie als
Servernamen den FQDN des RD-Verbin-
dungsbrokers.
Connection Broker für HA
an Azure anbinden
Um den Connection Broker an Microsoft
Azure anzubinden, installieren Sie den
nativen SQL-Client [1]. Dieser wird auch
für einen eigenen Datenbank-Server für
die Hochverfügbarkeit von RDS benötigt.
Anschließend konfigurieren Sie im Ser-
ver-Manager über das Kontextmenü des
Connection Brokers die Hochverfügbar-
keit der Umgebung. Bei der Einrichtung
hilft ein Assistent. Wählen Sie als Option
44 Sonderheft II/2019
"Freigegebener Datenbankserver aus".
Anschließend geben Sie den DNS-Namen
zu Ihrer Datenbank in Microsoft Azure
ein und die kopierte Verbindungszeichen-
folge, inklusive der angepassten Daten
zur Anmeldung.
Nun erfolgt die Anbindung. Ist diese er-
folgreich abgeschlossen, wird die Azure-
SQL-Datenbank verwendet. Binden Sie
weitere Connection Broker an, lassen sich
diese auf dem gleichen Weg integrieren.
Dadurch erreichen Sie eine Hochverfüg-
barkeit für den Connection Broker, ohne
dass Sie dafür eine eigene Datenbank be-
treiben müssen.
Mit Windows 10 auf
RemoteApps zugreifen
RemoteApps stehen nach der Veröffent-
lichung automatisch für alle Clients über
den Webzugriff zur Verfügung. Zwischen
lokalen Anwendungen und RemoteApps
auf dem Server können auch Daten aus-
getauscht werden. So besteht beispielswei-
se die Möglichkeit, über eine ERP-An-
wendung, die remote auf dem RD-Server
ausgeführt wird, Daten über die Zwischen-
ablage in ein lokales Excel zu übernehmen
oder umgekehrt. Die Abläufe erfolgen für
den Anwender komplett transparent, da
er bei der Bedienung der Software keiner-
lei Unterschiede zwischen der lokalen An-
wendung und der Anwendung auf dem
Server feststellen kann.
Um die Anbindung der veröffentlichten
Anwendungen auf Windows-10-Clients
zu testen, melden Sie sich am Client an
und suchen in der Systemsteuerung nach
"RemoteApp". Öffnen Sie die Verwaltung
der RemoteApps und klicken Sie auf "Auf
RemoteApps und Desktops zugreifen".
Geben Sie die URL "https://Webzugriff-
Server/RDWeb/Feed/webfeed.aspx" ein.
Der Webzugriffsserver erhält seine Daten
vom Verbindungsbroker, auf dem Sie als
Quelle wiederum den Remotedesktop-
server eingerichtet haben. Anschließend
lädt der Client alle Daten zu den Remote-
Apps herunter und stellt diese im Start-
menü zur Verfügung. Sie erhalten hierzu
ein Informationsfenster angezeigt. Sie se-
hen den aktuellen Verbindungsstatus auch
über ein Symbol in der Taskleiste. Hier
können Sie die Verbindung zum Server
trennen oder sich die Einstellungen der
Programme und den Status der Verbin-
dung anzeigen lassen.
Anwender können die Applikationen auf-
rufen wie lokal installierte Anwendungen.
Klickt der Nutzer auf eine Verknüpfung,
öffnet sich die Anwendung auf dem Re-
motedesktopserver, aber die Anwender
können mit der Software arbeiten, als ob
diese lokal installiert ist.
RDS-Webzugriff einrichten
Windows Server 2019 bietet einen Web-
zugriff für RDS an. Der Funktionsumfang
ist ähnlich zu Outlook Web Access von
Exchange. Standardmäßig werden die Ap-
plikationen, die Sie als RemoteApps zur
Verfügung stellen, über den RDS-Web-
zugriff veröffentlicht. Fügen Sie der Re-
moteApps-Liste eine neue Anwendung
hinzu, wird diese automatisch im RDS-
Webzugriff angezeigt – Sie müssen an die-
ser Stelle nichts weiter tun.
Der Webzugriff ist ein RDS-Rollendienst,
den Sie entweder bereits bei der Installa-
tion einspielen oder nachträglich. Die
Verwaltungsoptionen dazu finden Sie im
Server-Manager über "Remotedesktop-
dienste / Sammlungen". Klicken Sie bei
der entsprechenden Sammlung auf "Auf-
gaben" und dann auf "Bereitstellungsei-
genschaften bearbeiten".
Erstellen Sie eine neue Sammlung, legen
Sie bereits bei der Einrichtung die Ein-
stellungen für den Webzugriff fest. Die
Rolle sollte auf einem Windows Server
2019 mit installiertem IIS durchgeführt
werden. Beim Server mit Web Access
muss es sich aber nicht unbedingt um ei-
nen Remotedesktop-Sitzungshost handeln.
Greifen Anwender über das Webportal
auf den Remotedesktopserver zu, müssen
diese nicht zuvor den RDP-Client gestartet
haben. Anwendungen, die als RemoteApp
konfiguriert sind, stehen standardmäßig
automatisch auch über den RDS-Webzu-
griff zur Verfügung und lassen sich über
einen einfachen Klick starten.
Standardmäßig arbeitet der Webzugriff
mit einem selbstsignierten Zertifikat. Die-
ses sollten Sie in produktiven Umgebungen
gegen ein Zertifikat einer internen Zerti-
www.it-administrator.de

fizierungsstelle austauschen. Sie finden die
Einstellungen dazu im Server-Manager
über "Remotedesktopdienste / Sammlun-
gen". Klicken Sie die Sammlung an, für die
Sie das Zertifikat anpassen wollen und
wählen Sie "Aufgaben / Bereitstellungsei-
genschaften bearbeiten". Im Bereich "Zer-
tifikate" erstellen Sie ein neues Zertifikat
für die entsprechenden Dienste.
Remotedesktopgateway
installieren
Die Aufgabe des Remotedesktopgateway
besteht darin, Anwendern, die sich über
das Internet mit dem Unternehmen per
HTTPS verbinden, Zugriff auf die inter-
nen RD-Server zu gestatten. Ein RD-
Gateway verbindet das RPD- mit dem
HTTPS-Protokoll, um eine gesicherte
Verbindung zu allen möglichen RD-Ser-
vern auch über RemoteApps zu ermög-
lichen. Gateways ermöglichen den Zugriff
auf RDP-Sitzungen über Firewalls oder
Netzwerkadressübersetzung (Network
Address Translation, NAT) hinweg. Die
Verbindung zwischen Client und Gateway
erfolgt über den Port 443 (SSL), nur die
Verbindung zwischen Gateway und Re-
motedesktopserver läuft über den RDP-
Port (3389). Über Richtlinien legen Sie
fest, wer sich über das Internet auf welche
RD-Server verbinden darf. Auch die Um-
leitung der lokalen Ressourcen wie Dru-
cker, Zwischenablage und Laufwerke steu-
ern Sie so. Neben der herkömmlichen
Authentifizierung, werden auch Smart-
cards unterstützt.
Um ein Gateway zu installieren, klicken
Sie im Server-Manager im Bereich "Re-
motedesktopdienste / Übersicht" auf den
Link "Remotedesktopgateway". Es startet
ein Assistent, über den Sie das Gateway
einrichten. Achten Sie aber darauf, dass
Sie den Server im Server-Manager vorher
über "Verwalten / Server hinzufügen" ver-
binden müssen.
Zertifikate installieren
und einrichten
Viele Sicherheitseinstellungen in den Re-
motedesktopdiensten werden über Zer-
tifikate abgewickelt. Standardmäßig ver-
wendet RDS selbstsignierte Zertifikate.
Darüber hinaus können Sie Zertifikate
von Drittherstellern oder auch die Acti-
Link-Codes eingeben auf www.it-administrator.de
Remotedesktopdienste
ve-Directory-Zertifikatdienste nutzen.
Auch für den Zugriff auf RemoteApps
sind Zertifikate notwendig, vor allem
wenn Sie diese direkt im Startmenü von
Windows 10 einbinden wollen.
Nachdem die PFX-Datei zur Verfügung
steht, binden Sie das Zertifikat in den RDS-
Diensten ein. In der Verwaltung klicken
Sie dazu auf "Vorhandenes Zertifikat aus-
wählen" in den Bereitstellungseigenschaf-
ten, wie zuvor beschrieben. Klicken Sie auf
"Anderes Zertifikat auswählen" und spielen
Sie danach die Zertifikat-Datei ein. Ist auf
dem Server bereits ein Zertifikat installiert,
können Sie auch die Option "Auf dem RD-
Verbindungsbrokerserver gespeichertes
Zertifikat anwenden" auswählen.
Remote Desktop
Web Client nutzen
Microsoft bietet einen neuen RD-Web-
client an, mit dem Anwender über einen
Browser effektiver auf RDS zugreifen kön-
nen. Die Lizenzierung muss dazu auf "pro
Benutzer" eingestellt sein, denn der Client
unterstützt keine Lizenzierung im Modus
pro Gerät. Um den Webclient auf einem
Server zu installieren, müssen zunächst
die entsprechenden Module eingespielt
und Pakete heruntergeladen werden.
Nach der Installation der einzelnen Mo-
dule und Pakete müssen Sie die Power-
Shell neu starten, damit das Modul ver-
fügbar ist:
Install-Module -Name PowerShellGet
-Force
Install-Module -Name
RDWebClientManagement
Install-RDWebClientPackage
Zusätzlich ist das Zertifikat des Connecti-
on-Brokers notwendig:
Import-RDWebClientBrokerCert
CER-Dateipfad
Danach stellen Sie den Client bereit:
Publish-RDWebClientPackage -Type
Production -Latest
Die Verwaltung des Clients erfolgt in der
Windows Server 2019
PowerShell, die entsprechenden Befehle
zeigt Ihnen
Get-Command -Module
RDWebClientManagement
Mit dem Install-RDWebClientPackage-
Cmdlet laden Sie die neue Version he-
runter. Die Deinstallation des Remote
Desktop Web Clients erfolgt mit
Uninstall-Module -Name
RDWebClientManagement
Über
Save-RDWebClientPackage
"C:\WebClient\"
laden Sie Webclient herunter, um ihn da-
nach auf Servern bereitzustellen, die keine
Internetverbindung haben. Auch das ent-
sprechende-Modul kann auf diesem Weg
heruntergeladen und installiert werden:
Find-Module -Name "RDWebClientMana-
gement" -Repository "PSGallery" |
Save-Module -Path "C:\WebClient\"
Das Verzeichnis kopieren Sie auf den RD-
Web-Access-Server. Hier können Sie das
Modul importieren und dann die Instal-
lation durchführen:
Import-Module -Name "C:\WebClient\"
Install-RDWebClientPackage -Source
"C:\WebClient\rdwebclient-
1.0.1.zip"
Fazit
Das Wichtigste an den Remotedesktop-
diensten in Windows Server 2019 ist das
Signal von Microsoft, auch in Zukunft
noch auf die Dienste zu setzen. Diese las-
sen sich lokal sowie hybrid betreiben und
zukünftig wohl auch mit Remote Desktop
Modern Infrastructure. Der Einsatz von
RDS ist also auch in Windows Server
2019 keine Sackgasse. (jp)
Link-Codes
[1] Microsoft ODBC Driver for
SQL Server on Windows
js2a1
Sonderheft II/2019 45

Sicherheit in Windows Server 2019
Mehrfach-
schutz
von Thomas Joos
Microsoft überzieht seine Windows-
Betriebssysteme mit einem gemeinsa-
men Schutzmantel namens Microsoft
Defender. Dieser umfasst mittlerweile
eine ganze Palette von Sicherheits-
werkzeugen, die Angriffe erkennen
und vor Rootkits sowie Ransomware
schützen. Wir stellen die Dienste und
Tools vor, mit denen Sie Windows-
Server und deren Umgebung gegen
bösartige Umtriebe imprägnieren.
P
räventive Sicherheitsmaßnahmen
wie Virenschutz gehören seit Jah-
ren zum Standard in jedem Unternehmen.
Doch wie die Praxis zeigt, reicht "Stan-
dard-IT-Security" heutzutage nicht mehr,
um die Netzwerke zuverlässig abzudich-
ten. Daher wendet sich auch Microsoft
neuen Wegen zu, um seine Kunden zu
unterstützen. Die neuesten Sicherheits-
technologien basieren dabei auf maschi-
nellem Lernen, so auch das erste hier
vorgestellte Werkzeug aus der Windows-
Defender-Box.
Windows Defender Advanced
Threat Protection
Windows Defender Advanced Threat
Protection (ATP) [1] ist ein Cloud-
dienst, der Unternehmen in die Lage
versetzt, Angriffe auf das eigene Netz-
werk zu erkennen. Die Verwaltung er-
folgt über ein webbasiertes Dashboard,
das die Daten der einzelnen angebun-
46 Sonderheft II/2019
denen Firmenrechner anzeigt. ATP er-
kennt, wenn sich Windows-Rechner
verdächtig verhalten und informiert den
Administrator entsprechend. Es sind
daher keine Definitionsdateien notwen-
dig, sondern der Clouddienst überwacht
die Windows-Geräte und zeigt verdäch-
tiges Verhalten an.
Die für ATP notwendigen Techniken zum
Messen und Übertragen von Telemetrie-
daten sind direkt in das Betriebssystem
integriert. Optimal arbeitet ATP mit
Windows 10 Enterprise und Windows
Server 2019 zusammen, da hier alle ATP-
Komponenten bereits integriert sind. Die
Anbindung an ATP erfolgt in diesem Fall
über Gruppenrichtlinien, Skripte oder
mit dem System Center Configuration
Manager (SCCM). Microsoft stellt auch
die entsprechenden Skripte zur Verfügung
ebenso Vorlagen für Gruppenrichtlinien
sowie die Anbindung an SCCM.
Quelle: Dmitriy Shironosov – 123RF
ATP arbeitet mit herkömmlichen Virens-
cannern, die mit Definitionsdateien ar-
beiten, zusammen. Dadurch erhalten Un-
ternehmen einen zusätzlichen Schutz.
ATP hat also nicht die Aufgabe, Firewalls
oder Virenscanner zu ersetzen, sondern
soll die vorhandenen Technologien er-
gänzen, um Netzwerke noch sicherer zu
betreiben. ATP erkennt Angriffe, bei de-
nen Firewall und Virenscanner überfor-
dert sind oder keine Maßnahmen ergrei-
fen können.
Dies bedeutet allerdings nicht, dass Sie
sich nicht mehr um den Schutz der Com-
puter kümmern müssen! Das Installieren
von Windows-Updates, abgesicherte Be-
nutzerkonten und eine geschützte Au-
thentifizierung stehen nach wie vor auf
Ihrer To-do-Liste.
ATP arbeitet mit Machine Learning und
erkennt so, ob sich Rechner im Netzwerk
www.it-administrator.de

Bild 1: Mit dem "Überwachten Ordnerzugriff" liefert Windows Server 2019
einen internen Schutz vor Ransomware.
anders verhalten, als es der Norm ent-
spricht. Die Lösung analysiert dazu nicht
nur einzelne Rechner im Netzwerk, son-
dern nutzt die Daten von allen angebun-
denen Computern. So erkennt die Soft-
ware auch zusammenhängende Angriffe
und kann entsprechende Gegenmaßnah-
men einleiten. Dadurch können im
Netzwerk Rechner geschützt werden, die
überhaupt noch nicht angegriffen wor-
den sind.
ATP läuft als Systemdienst in Windows
10 und Windows Server 2019. Dieser
analysiert die Umgebung und sendet Da-
ten in die Cloud, wo ATP diese analy-
siert. Dazu kann der Dienst auch mit an-
deren Daten arbeiten, die Microsoft zur
Verfügung stellt. Der Vorteil von ATP
besteht in der breiten Datenbasis, die
Microsoft vorliegt sowie den intelligen-
ten Machine-Learning-Algorithmen. Um
ATP zu nutzen, müssen die Rechner
nicht Mitglied einer Active-Directory-
Domäne sein. Das heißt, Unternehmen
www.it-administrator.de
können auch Notebooks von mobilen
Mitarbeitern, aber auch Heimarbeits-
plätze und Kioskrechner einbeziehen.
Das verbreitert die Datenbasis, erleichtert
den Schutz und bietet weitere Sicher-
heitsstufen für besonders gefährdete
Rechner.
Neben der automatisierten Analyse kön-
nen Administratoren auch verschiedene
verdächtige Dateien in die Cloud laden
und analysieren lassen. Microsoft nutzt
dazu Funktionen aus Big Data und In-
dicators of Attacks (IOAs). Auch Ergeb-
nisse von früheren Angriffen auf Basis
von Indicators of Compromises (IOCs)
werden mit einbezogen.
Windows Defender System
Guard für Boot-Schutz
Bei Windows Defender System Guard
(WDSG) handelt es sich um eine zusätz-
liche Schutzebene für Windows Server
2019, die das Betriebssystem bereits beim
Start vor Angreifern schützt. Die zusätz-
Security Windows Server 2019
liche Sicherheitsebene soll Windows Ser-
ver 2019 (wie auch Windows-10-Clients)
vor Bootkits und Rootkits schützen sowie
vor Attacken, die herkömmliche Virens-
canner nicht bereinigen können [2, 3].
Bei WDSG handelt es sich um eine sehr
komplexe und tief in das Betriebssystem
integrierte Sicherheitstechnologie zum
Schutz vor Angreifern.
Bereits beim Start des Betriebssystems
kann WDSG erkennen, ob auf einem
Rechner Bootkits oder Rootkits ihr Un-
wesen treiben. Der System Guard über-
wacht dazu die Treiber und andere Pro-
gramme, die mit dem System starten, auf
korrekte Signatur und erkennt dadurch
nicht erwünschte Bestandteile. Diese las-
sen sich dadurch aussperren. Der Schutz
umfasst nicht nur das Prüfen des Be-
triebssystems, sondern auch der Teile, die
durch Dritthersteller integriert werden,
also in erster Linie Systemtreiber oder Er-
weiterungen des Betriebssystems, wie
zum Beispiel Virenscanner. Auch Exploits
und andere Manipulationen werden er-
kannt und können blockiert werden. Ein-
fach ausgedrückt startet WDSG, bevor
Angreifer aller Art eine Chance, haben
das System zu beeinträchtigen.
Windows Defender
Exploit Guard
Den Schutz von Verzeichnisse auf Com-
putern vor Ransomware und Exploits
übernimmt der Windows Defender Ex-
ploit Guard (WDEG). Die Technologie
arbeitet eng mit Windows Defender Sys-
tem Guard zusammen. Grundlage hierfür
ist der "Überwachte Ordnerzugriff " sowie
Gruppenrichtlinien, mit denen auch Ser-
ver vor Ransomware und Exploits ge-
schützt werden.
Ist WDEG in Windows Server 2019 ak-
tiviert, dürfen nur noch genehmigte Apps
Änderungen an Dateien in den gesicher-
ten Verzeichnissen vornehmen. Die Kon-
figuration lässt sich lokal in den Einstel-
lungen von Windows 10, über das neue
Windows Security Center, in der Power-
Shell oder auch über Gruppenrichtlinien
vornehmen. Dazu müssen Sie allerdings
die ADMX-Dateien importieren, am bes-
ten die Version von Windows 10 Version
1809/1903.
Sonderheft II/2019 47
Windows Server 2019 Security

Die Optionen für den überwachten Ord-

nerzugriff und den Exploit-Schutz stehen
unter "Computerkonfiguration / Richtli-
nien / Administrative Vorlagen / Win-
dows-Komponenten / Windows Defender
Antivirus / Windows Defender Exploit
Guard / Überwachter Ordnerzugriff " zur
Verfügung. Hier legen Sie fest, welche
Ordner das System schützen soll, welche
Anwendungen Änderungen vornehmen
dürfen und ob der überwachte Ordner-
modus die Verzeichnisse nur überwachen
oder Änderungen auch blockieren soll.

In den Exploit-Guard-Richtlinien finden

Sie zudem zahlreiche weitere Einstellun-
gen zum Schutz der Systeme vor Ex-
ploits. Zusätzlich bietet Microsoft mit
dem "Exploit Guard Evaluaton Tool" [4]
ein Paket an, mit dem Sie den überwach-
ten Ordnerzugriff testen und Dateien in
geschützten Ordnern erstellen.

Windows Defender
für den Virenschutz nutzen
Für Malwareschutz in Unternehmen bie-
tet Windows Server 2019 den vorinstal-
lierten Windows Defender, der einen
durchaus soliden Virenschutz bietet, der
sich auch per Gruppenrichtlinie oder
PowerShell steuern lässt. Bereits bei der
Installation ist Windows Defender in Ser-
ver 2019 so lange aktiv, bis Sie eine andere
Lösung installieren.
Sie können über die Einstellungen-App
auf die Konfiguration von Windows De-
fender in Server 2019 zugreifen. Nutzen
Sie keinen externen Virenscanner, sollten
Sie über "Einstellungen / Update" und
"Sicherheit / Windows-Sicherheit" im
Windows Security Center bei "Viren- &
Bedrohungsschutz" überprüfen, ob
die Optionen "Echtzeitschutz", "Cloud-
basierter Schutz" und "Automatische
Übermittlung von Beispielen" aktiviert
sind. Letzteres überträgt lediglich aus-
führbare und DLL-Dateien, jedoch kei-
ne persönlichen Daten wie Word-oder
PDF-Dateien.
Die Aktualisierung der Definitionsdateien
findet über Windows-Updates statt, Sie
müssen diese also manuell oder über
Gruppenrichtlinien aktivieren. Die
Windows-Update-Steuerung erreichen
Bild 2: Windows Defender und andere Schutzfunktionen werden
zentral im Windows Security Center konfiguriert.
Sie in Windows Server 2019 über die Ein-
stellungs-App und dann die Auswahl
"Update" und "Sicherheit / Windows Up-
date", Windows Defender erreichen Sie
wiederum direkt im Menü "Update" und
"Sicherheit / Windows Defender".
Windows Defender schützt das System
im Hintergrund automatisch. Ob der
Dienst problemlos läuft, zeigt Ihnen sc
query Windefend. Der Dienst muss als ge-
startet angezeigt werden und wird durch
die Datei "C:\Program Files \ Windows
Defender \ MsMpEng.exe" ausgeführt.
Grundsätzlich müssen auf dem Server
der Windows-Defender-Dienst (muss ge-
startet sein) und der Windows-Defender-
Netzwerkinspektionsdienst (Windows
Defender Network Inspection Service,
Wdnissvc) vorhanden sein.
Damit der Server zuverlässig geschützt
wird, müssen Sie Windows-Updates ak-
tivieren. Über "Einstellungen verwalten"
gelangen Sie zum Konfigurationsfenster
von Windows Defender. Hier nehmen
Sie alle Einstellungen des Programms vor
und sehen auch die Version der aktuell
installierten Definitionsdateien. Hier
können Sie auch deren Aktualisierung
durchführen.
Windows Defender in der
PowerShell steuern
Es stehen zahlreiche Cmdlets zur Win-
dows-Defender-Verwaltung bereit. Um
beispielsweise den Echtzeitschutz in
Windows Server 2019 zu deaktivieren,
verwenden Sie den Befehl:
Set-MpPreference
-DisableRealtimeMonitoring $true
Die Funktion aktivieren Sie wieder per
Set-MpPreference
-DisableRealtimeMonitoring $false
Ausnahmen der Echtzeitüberprüfung für
bestimmte Pfade legen Sie so an:

48 Sonderheft II/2019 www.it-administrator.de


Bild 3: Das Azure Security Center dient der zentralen Überwachung und Konfiguration der Sicherheit
in Microsoft Azure.
Add-MpPreference -ExclusionPath
"Verzeichnis"
Diese Ausnahmen können Sie aus der
Konfiguration auch wieder löschen:
Remove-MpPreference -ExclusionPath
"Verzeichnis"
Darüber hinaus stehen zum Steuern des
Virenschutzes in Windows Server 2019
weitere Cmdlets zur Verfügung. Mit dem
Add-MpPreference-Cmdlet ändern Sie
die Einstellungen von Windows Defender.
Wollen Sie zum Beispiel einen Pfad zur
Ausnahmeliste hinzufügen, nutzen Sie
Add-MpPreference -ExclusionPath "C:\Temp"
Um die Standardeinstellungen beim Ent-
decken eines Virus anzupassen, verwen-
den Sie das Cmdlet mit der Option
"-ThreatIDDefaultAction_Actions" und
einem der folgenden Werte:
- 1: Clean
- 2: Quarantine
- 3: Remove
- 4: Allow
- 8: UserDefined
- 9: NoAction
- 10: Block
Mit dem Set-MpPreference-Cmdlet kon-
figurieren Sie die Scans. Wollen Sie zum
Beispiel festlegen, dass Defender jeden
Tag nach aktuellen Definitionsdateien
sucht, verwenden Sie
www.it-administrator.de
Set-MpPreference -SignatureSchedule-
Day Everyday
Sie können auch hier Ausnahmen defi-
nieren. Um mehrere Verzeichnisse aus
den Scans auszuschließen, verwenden Sie
beispielsweise
Set-MpPreference
-ExclusionPath
"C:\temp", "C:\VMs",
"C:\NanoServer"
Auch einzelne Prozesse lassen sich als
Ausnahme definieren:
Set-MpPreference -ExclusionProcess
"vmms.exe", "Vmwp.exe".
Grundsätzlich erhalten Sie mit Get-Com-
mand -Module Defender alle Befehle zur
Steuerung des Windows Defender. Fol-
gende Cmdlets sind besonders wichtig:
- Get-MpComputerStatus: Ermittelt den
Status des Virenschutzes.
- Get-MpPreference: Zeigt Einstellungen
der Scans und Updates an.
- Get-MpThreat: Liefert den Verlauf der
gefundenen Angriffe.
- Get-MpThreatCatalog: Alle Angriffe,
die Defender finden kann.
- Get-MpThreatDetection: Zeigt aktuelle
Virenverseuchungen an.
- Remove-MpPreference: Entfernt Aus-
nahmen.
- Remove-MpThreat. Entfernt aktive
Angriffe
Security Windows Server 2019
- Update-MpSignature: Aktualisiert die
Definitionsdateien.
- Start-MpScan: Startet einen Scan.
Azure Security Center
Mit dem Azure Security Center (ASC)
[5] sorgen IT-Verantwortliche dafür, dass
Ressourcen und Dienste in der Cloud und
im lokalen Rechenzentrum sicher sind.
ASC bietet einen zentralen Schutz der
Webdienste und Daten, die in Azure ver-
arbeitet werden. Auch hybride Clouds
profitieren davon. Das heißt, die Sicher-
heit lässt sich in der Cloud und im eige-
nen Rechenzentrum deutlich verbessern.
Im Fokus des Azure Security Center ste-
hen virtuelle Computer, virtuelle Azure-
Netzwerke, Azure-SQL-Dienst, Azure-
Speicherkonto sowie Azure-Web-Apps.
Das ASC überwacht VMs und kann si-
cherstellen, dass VMs nicht mit IP-Adres-
sen kommunizieren, die als potenziell
gefährlich eingestuft werden. Auch Bru-
te-Force-Angriffe oder Malware-Attacken
werden erkannt.
Das Azure Security Center bietet zu-
nächst eine Überwachung von lokalen
Workloads und von Serverdiensten in
der Cloud. Dazu kommen Richtlinien
und das Blockieren von Sicherheitsan-
griffen. Innerhalb des Azure-Portals steht
das ASC über den Menüpunkt "Security
Center" zur Verfügung.
ASC zeigt im Bereich "Übersicht" zu-
nächst genau an, für welche Dienste
Warnungen vorliegen, welche Ereignisse
festgestellt wurden und welche Empfeh-
lungen für die Verbesserung der Sicher-
heit vorliegen. Ergänzend zu diesen Hin-
weisen zur Verbesserung der Sicherheit
führt das System Sie auch durch die ver-
schiedenen Schritte.
Zusätzlich finden Sie über den linken
Bereich weitere Menüpunkte wie zum
Beispiel die Definition der Sicherheits-
richtlinien. Als Einstiegspunkt bietet sich
"Schnellstart" an, wo Sie sich einen ersten
Überblick verschaffen.
Generell steht das Azure Security Center
in zwei Lizenzen zur Verfügung: Der
kostenlose Tarif bietet eine Übersicht
Sonderheft II/2019 49
Windows Server 2019 Security
Bild 4: Die Sicherheitsrichtlinien verbessern die Sicherheit im Azure-Abonnement.
und einen Einblick in die verschiedenen
Azure-Ressourcen ebenso wie einfache
Sicherheitsrichtlinien und Empfehlungen
zur Sicherheit. Die Funktionen sollten
generell für alle Azure-Abonnements ge-
nutzt werden.
Im Standard-Tarif kommen auch erwei-
terte Funktionen zur Bedrohungserken-
nung und Verhaltensana- lysen dazu. Die
Standard-Funktionen lassen sich bis zu
60 Tage kostenlos nutzen, danach müssen
die Funktionen lizenziert werden. Den
Link-Codes
[1] Windows Defender Advanced
Threat Protection
i8p25
[2] Hardening the system and
maintaining integrity with
Windows Defender System Guard
i0z31
[3] Introducing Windows Defender
System Guard runtime attestation
i0z32
[4] Exploit Guard Evaluation Tool
is27a
[5] Azure Security Center
js2a2
[6] Microsoft Security
Compliance Toolkit
hs2a3
50 Sonderheft II/2019
aktuellen Tarif sehen Sie, wenn Sie im Se-
curity Center auf das jeweilige Abonne-
ment und dann auf "Tarif " klicken.
In größeren Umgebungen muss auch auf
die Rechte geachtet werden, wenn Azure
Security Center zum Einsatz kommen
soll. Nur wenn ein Administrator min-
destens das Recht "Lesen" für eine Res-
source hat, kann er Informationen zur
Ressourcen anzeigen.
Damit das Azure Security Center die Si-
cherheit der Ressourcen bewerten kann,
muss es Daten sammeln. Dazu müssen
Sie die Datensammlung für das Abonne-
ment aktivieren. Dies erledigen Sie ent-
weder manuell oder über eine Sicherheits-
richtlinie. Erst wenn die Datensammlung
aktiviert ist, überwacht das Azure Security
Center auch die VMs.
Vorlagen der Security
Configuration Baselines nutzen
Über das "Microsoft Security Compli-
ance Toolkit" [6] stellt Microsoft Vorla-
gen und Tools zur Verfügung, mit denen
Sie Sicherheitseinstellungen für Win -
dows Server 2019 umsetzen – in den
meisten Fällen über Gruppenrichtlinien.
Der Download besteht aus Tools und
ZIP-Dateien für die verschiedenen Win-
Link-Codes eingeben auf www.it-administrator.de
dows-Versionen, Sie finden für Server
2019 ein eigenes File.
Mit dem Policy Analyzer aus dem Tool-
kit analysieren Sie Gruppenrichtlinien
und setzen Empfehlungen um. Das
Werkzeug ist dann sinnvoll, wenn meh-
rere Gruppenrichtlinien im Einsatz sind
und Server sicher betrieben werden sol-
len, da alle Einstellungen parallel über-
prüft werden. Das Tool hilft dabei fest-
zustellen, in welcher Richtlinie Probleme
auftreten und welche Sicherheitseinstel-
lungen umgesetzt werden sollten, damit
diese den Empfehlungen von Microsoft
entsprechen. Der Policy Analyzer liest
die Richtlinien ein und zeigt in einer
Tabelle die zugehörigen Registry-Ein-
stellungen an. Nach dem Download
müssen Sie dazu lediglich die EXE-Datei
des Tools starten.
Microsoft hat im Verzeichnis "Documen-
tation" des ZIP-Archivs die Excel-Tabelle
"MS Security Baseline Windows 10 v1809
and Server 2019.xlsx" integriert. Hier sind
alle Einstellungen aufgelistet, die wieder-
um über die Gruppenrichtlinienvorlagen
umgesetzt werden. Über die Registerkar-
ten im unteren Bereich schalten Sie zwi-
schen den verschiedenen Einstellungen
in der Dokumentation um. "Security
Template" zeigt die Sicherheitseinstel-
lungen an, die mit Gruppenrichtlinien
umgesetzt werden. Die Tabelle zeigt die
Einstellungen für Arbeitsstationen mit
Windows 10 und Mitgliedsserver sowie
Domänencontroller auf Basis von Win-
dows Server 2019 jeweils in eigenen Spal-
ten an. Weiteren Spalten liefern die Ein-
stellungen für lokale Computer und
Server, Windows Defender Firewall und
AppLocker.
Fazit
Microsoft verbessert mit jeder Windows-
Server-Version deutlich die Sicherheit.
Insbesondere mit der Produktfamilie Mi-
crosoft Defender, zuvor als Windows De-
fender bekannt, bietet der Hersteller eine
ganze Reihe moderner Werkzeuge zum
Serverschutz. Die verschiedenen Produk-
te bieten auf mehreren Ebenen Schutz
vor Angreifern. Es lohnt sich also, die
Funktionen zu testen und im Netzwerk
zu implementieren. (jp)
 Win-Win für Admins
Weiterempfehlen lohnt sich!

Werben Sie jetzt einen neuen

All-Inclusive*-Abonnenten und sichern
Retro Popcorn-
Sie sich eine der genialen Prämien** Maschine
Marine Monokular

Internetradio
4K-Action-Cam Fitness-Armband Glas-Wasserkocher
mit WLAN

* enthält 12 IT-Administrator Monatsausgaben, zwei Sonderhefte, Archiv-CD und E-Paper-Zugang.

** Um einen neuen Abonnenten zu werben müssen Sie selbst kein Abonnent sein. Sie dürfen sich jedoch nicht selbst werben. Der neue Leser darf in den letzten drei Monaten kein Abonnent des IT-Administrator gewesen sein und
beide dürfen nicht im selben Haushalt leben. Der Prämienversand erfolgt ca. 4-6 Wochen nach Zahlungseingang des Abonnements. Das Angebot gilt in Deutschland und Österreich und nur solange der Vorrat reicht.

Abo- und Leserservice IT-Administrator

vertriebsunion meynen Tel: 06123/9238-251
Herr Stephan Orgel
D-65341 Eltville
Fax: 06123/9238-252
leserservice@it-administrator.de shop.heinemann-verlag.de
Leistungsüberwachung von Windows Server 2019

Quelle: Andrii Iurlov – 123RF

Bestwerte
von Thomas Joos

Auch unter Windows Server 2019 gibt es Faktoren, die die bestmögliche Leistung des Systems
negativ beeinträchtigen können. So die Zugriffsgeschwindigkeit der physischen Datenträger, die
für alle laufenden Prozesse zur Verfügung stehende Speichermenge, die Prozessorgeschwindigkeit
und der Datendurchsatz der Netzwerkschnittstellen. Bringt Windows hier keine Höchstleistung,
stehen zur Überprüfung passende Bordmittel bereit.

Ü
ber den Eintrag "Leistung" in der
Konsolenstruktur des Server-Ma-
nagers lassen Sie sich die aktuelle System-
leistung des Servers mit verschiedenen
Tools anzeigen. Der Link "Ressourcen-
monitor" öffnet eine detaillierte Ansicht
des aktuellen CPU-Verbrauchs, des Ar-
beitsspeichers, der Datenträger und des
Netzwerkverkehrs. In Windows Server
2019 finden Sie das Programm über den
Menüpunkt "Tools" im Server-Manager.
Alternativ starten Sie das Werkzeug durch
Eingabe von perfom /res.
Der Bereich der Ressourcenübersicht ent-
hält vier animierte Diagramme, die die
Auslastung der CPU-, Datenträger-, Netz-
werk- und Speicherressourcen des lokalen
Computers in Echtzeit anzeigen. Unter
den Diagrammen befinden sich vier er-
weiterbare Bereiche, in denen sich Ein-
zelheiten zur jeweiligen Ressource finden.
Leistungsüberwachung
einrichten
Klicken Sie im Server-Manager auf den
Eintrag "Tools / Leistungsüberwachung"
oder rufen Sie die Leistungsüberwachung
über das Startmenü auf, können Sie den
Server noch genauer überwachen lassen,
indem Sie verschiedene Leistungsindika-
toren hinzufügen. Sie können diese Daten
in Echtzeit oder als Verlaufsdaten anzeigen
lassen und die Leistungsindikatoren ent-
weder per Drag&Drop hinzufügen oder
benutzerdefinierte Datensammlergruppen
(Data Collector Sets, DCS) erstellen. Die
Leistungsüberwachung unterstützt ver-
schiedene Ansichten für die visuelle Über-
prüfung der Daten in Leistungsprotokol-
len. Die Auswahl "Bericht" bietet teilweise
mehr Übersicht als die anderen Optionen
in der Liste, abhängig vom Einsatzgebiet.
Außerdem sind Sie in der Lage, benutzer-
definierte Ansichten in Form von Daten-
sammlergruppen für Leistungs- und Pro-
tokollfunktionen zu exportieren.
Die Leistungsüberwachung arbeitet mit
Objekten. Für jedes Objekt, zum Beispiel
den Prozessor, existieren eine Reihe von
Leistungsindikatoren wie "Prozessorzeit"
oder "Interrupts/s". Für einzelne Objekte
gibt es mehrere Instanzen. Das ist etwa
beim Prozessor der Fall, wenn Sie mit ei-
nem Multiprozessorsystem arbeiten. Beim
Objekt "Prozesse" wird eine Instanz für
jeden aktiven Prozess definiert.
Über das grüne Pluszeichen in der Sym-
bolleiste blenden Sie weitere Leistungs-
indikatoren ein. Für Serveranwendungen,
wie zum Beispiel Microsoft SQL Server,
gibt es einige solcher Indikatoren. Das
"SQLServer:Databases"-Objekt in SQL
Server stellt Indikatoren zum Überwa-
chen von Transaktionsprotokollaktivitäten
zur Verfügung. Wählen Sie zunächst den
entsprechenden Indikator aus und klicken
Sie auf "Hinzufügen". Sie sehen die ver-
fügbaren Indikatoren einer Gruppe, in-
dem Sie auf den Abwärtspfeil rechts ne-
ben dem Gruppennamen klicken. Zum
Hinzufügen einer ganzen Indikatoren-
gruppe markieren Sie den Gruppenna-
men und klicken auf die Schaltfläche
"Hinzufügen". Markieren Sie einen Grup-
pennamen, haben Sie Zugriff auf die ent-
haltenen Leistungsindikatoren. Wählen
Sie nur einen Indikator aus der Liste, be-
vor Sie auf "Hinzufügen" klicken, wird
nur dieser Indikator berücksichtigt.
Um nur eine bestimmte Instanz eines In-
dikators hinzuzufügen, markieren Sie ei-
nen Gruppennamen in der Liste, wählen
den gewünschten Prozess im Bereich "In-
stanzen" des gewählten Objekts aus und

52 Sonderheft II/2019 www.it-administrator.de


Bild 1: Der Ressourcenmonitor liefert zahlreiche Hinweise bei Performanceproblemen
von CPU, Datenträgern und mehr.
klicken auf "Hinzufügen". Derselbe Indi-
kator kann von mehreren Prozessen ge-
neriert werden. Bei Auswahl einer Instanz
protokolliert der Server nur die Indikato-
ren, die der gewählte Prozess erzeugt.
Wählen Sie keine Instanz aus, protokolliert
der Server alle Instanzen des Indikators.
Sie können nach Instanzen eines Indika-
tors suchen, indem Sie die Indikatoren-
gruppe markieren oder die Gruppe er-
weitern und den gewünschten Indikator
auszuwählen, den Prozessnamen in das
Feld unterhalb der Instanzenliste für das
gewählte Objekt eingeben und auf "Su-
chen" klicken. Der eingegebene Prozess-
name findet sich nun in der Dropdown-
Liste für eine weitere Suche.
Indikatorendaten beobachten
Standardmäßig zeigt die Leistungsüberwa-
chung Daten als Liniendiagramms an, das
einem Zeitraum von zwei Minuten ent-
spricht und von links nach rechts zu lesen
ist. Sie ermitteln Details für einen bestimm-
ten Indikator, indem Sie mit der Maus auf
die entsprechende Indikatorlinie zeigen.
Mit dem Dropdown-Listenfeld in der Sym-
bolleiste ändern Sie die Anzeige für die ak-
tuelle Datensammlergruppe.
Die Histogrammansicht zeigt die Daten in
Echtzeit und Balkenform. Die Berichtan-
sicht enthält die Werte für den ausgewähl-
ten Indikator in Textform. Ist eine Zeile in
www.it-administrator.de
Monitoring der Systemleistung
der Legende ausgewählt, lässt sich die zu-
gehörige Indikatorlinie optisch hervorhe-
ben, indem Sie auf der Symbolleiste auf die
Schaltfläche "Markierung" klicken. Ein er-
neutes Klicken auf diese Schaltfläche stellt
die ursprüngliche Anzeige wieder her.
Um die Eigenschaften für die Anzeige ei-
nes Indikators zu ändern, klicken Sie mit
der rechten Maustaste auf die entsprechen-
de Zeile in der Legende und wählen im
Kontextmenü den Eintrag "Eigenschaften".
Passen Sie die Eigenschaften mit den Ein-
trägen in den Listenfeldern an. Mit der
Schaltfläche "Anzeige fixieren" auf der
Symbolleiste frieren Sie die Anzeige ein,
um die aktuelle Aktivität zu überprüfen.
Wenn Sie die Anzeige wieder aktivieren
möchten, klicken Sie auf die Schaltfläche
"Fixierung der Anzeige aufheben". Die
Schaltfläche "Daten aktualisieren" erlaubt,
die Anzeige schrittweise zu durchlaufen.
Sammlungssätze nutzen
Die Echtzeitanzeige ist nur eine Möglich-
keit, die Leistungsüberwachung zu nutzen.
Nachdem Sie eine Kombination aus Indi-
katoren zusammengestellt haben, können
Sie diese als Sammlungssätze (auch Da-
tensammlergruppe genannt) speichern.
Um einen Sammlungssatz zu erstellen, be-
ginnen Sie mit der Anzeige der Leistungs-
indikatoren, dann erweitern Sie in der
Konsole die Hierarchiestruktur, klicken
mit der rechten Maustaste auf "Leistungs-
Windows Server 2019
überwachung" und rufen im Kontextmenü
"Neu / Datensammlersatz" auf.
Anschließend startet der Assistent für die
Erstellung einer neuen Datensammler-
gruppe. Das DCS enthält alle Indikatoren,
die in der aktuellen Ansicht ausgewählt
sind. Der Sammlungssatz muss unter dem
Konto eines Benutzers mit Administra-
torrechten ausgeführt werden. Über das
Kontextmenü starten Sie einen Daten-
sammlersatz. Nach dem Beenden erstellt
der Satz einen Bericht. Diesen können
Sie sich nach dem Beenden über den Be-
reich "Datensammlersätze / Benutzerde-
finiert" aufrufen.
Für jeden Satz lassen sich Optionen kon-
figurieren, indem Sie in der Liste des
Fensters mit der rechten Maustaste auf
den Namen des Sammlungssatzes klicken
und im Kontextmenü den Eintrag "Ei-
genschaften" wählen. Auf der Register-
karte "Allgemein" geben Sie eine Beschrei-
bung oder Schlüsselwörter für die Daten-
sammlergruppe ein. Über die Register-
karte "Verzeichnis" ist der Stammordner
als Standardordner festgelegt, in dem alle
Protokolldateien für die Datensammler-
gruppe gespeichert sind. Mit "Zeitplan"
geben Sie an, wann mit der Datensamm-
lung begonnen wird. Auf der Register-
karte "Stoppbedingung" bestimmen Sie
Bedingungen, bei denen die Datensamm-
lung angehalten wird. Diese Bedingung
hat auch Vorrang vor dem von Ihnen auf
der Registerkarte "Zeitplan" festgelegtem
Ablaufdatum.
Speicherengpässe beheben
Im Ressourcenmonitor sehen Sie auf der
Registerkarte "Arbeitsspeicher" die lau-
fenden Prozesse und deren genutzten Ar-
beitsspeicher. Mit einem Klick auf die
Spalte "Arbeitssatz" lassen Sie sich den
Arbeitsspeicherverbrauch der Prozesse
sortiert anzeigen. Die Überwachung des
Arbeitsspeichers erledigen Sie am besten
ebenfalls mit der Leistungsüberwachung.
Auf Servern bieten sich folgende Leis-
tungsindikatoren an:
- Arbeitsspeicher Verfügbare Bytes: Gibt
an, wie viele Bytes an Arbeitsspeicher der-
zeit für die Verwendung durch Prozesse
verfügbar sind. Niedrige Werte können
ein Anzeichen dafür sein, dass insgesamt
Sonderheft II/2019 53
Windows Server 2019 Monitoring der Systemleistung
Bild 2: In der Leistungsüberwachung zeigen die zur Überwachung
gewählten Objekte ihre Performancedaten an.
zu wenig Arbeitsspeicher auf dem Server
vorhanden ist oder dass eine Anwendung
keinen Arbeitsspeicher freigibt.
- Arbeitsspeicher Seiten/s: Gibt die Anzahl
der Seiten an, die wegen Seitenfehlern
vom Datenträger gelesen oder auf den
Datenträger geschrieben wurden, um
Speicherplatz aufgrund von Seitenfehlern
freizugeben. Ein hoher Wert kann auf
überhöhte Auslagerungen hindeuten.
Überwachen Sie "Seitenfehler/s", um si-
cherzustellen, dass die Datenträgeraktivität
nicht durch Auslagern verursacht wird.
AD-Diagnose mit
der Leistungsüberwachung
Gibt es Leistungsprobleme in Exchange
oder anderen Serverdiensten, die vom
Active Directory abhängen – zum Beispiel
bezüglich des Postfachzugriffs oder dem
Versenden von Nachrichten – liegt häufig
auch ein Problem im AD oder im DNS
vor. Das heißt, parallel zur Leistungsüber-
wachung sollten Sie noch eine Diagnose
der Namensauflösung sowie eine Diagnose
der Domänencontroller (DC) durchfüh-
ren, zum Beispiel über "Dcdiag". Exchange,
aber auch andere Dienste, die das AD be-
nötigen, greifen über die Systemdatei
"wldap32.dll" auf das AD zu. Dabei laufen
(vereinfacht) folgende Vorgänge ab:
1. Die Datei "wldap32.dll" auf dem Ex-
change-Server erhält durch einen Ex-
change-Prozess eine Anfrage und greift
daraufhin auf den globalen Katalog zu.
2. Per DNS versucht der Server den glo-
balen Katalog-Server aufzulösen, um
54 Sonderheft II/2019
auf diesen zugreifen zu können. Dauert
dieser Vorgang zu lange, verzögert sich
bereits an dieser Stelle der AD-Zugriff.
3. Jetzt baut die DLL "wldap32" eine Ver-
bindung zum globalen Katalog auf und
überträgt die Anfrage.
4. Anschließend wird eine TCP-Verbin-
dung aufgebaut und eine LDAP-Abfra-
ge gestartet. Damit die Verbindung
funktioniert, benötigt TCP drei Bestä-
tigungen durch den DC. Bei einer La-
tenz von 10 ms im Netzwerk dauert der
Zugriff in diesem Fall also 30 ms, bevor
der Exchange-Server die LDAP-Abfrage
übertragen kann.
5. Die LDAP-Abfrage wird in die Datei
"lsass" auf dem DC geschrieben, die auf
den LDAP-Port des Servers hört.
6. Der DC nimmt die Abfrage an den glo-
balen Katalog entgegen und führt die
Suche in seinem globalen Katalog durch.
7. Der globale Katalog sendet die Daten
über die Netzwerkkarte zur wldap32-
DLL auf dem Exchange-Server. Handelt
es sich um eine große Menge an Daten,
zum Beispiel beim Auflösen der Mit-
glieder einer Verteilergruppe, müssen
erst alle Daten übertragen werden, be-
vor Exchange mit der Verarbeitung wei-
termachen kann.
Ein sehr großer Teil der Leistung hängt
also bei Servern von der Netzwerkge-
schwindigkeit zwischen Exchange-Server
und dem globalen Katalog oder Domä-
nencontroller ab. Aus diesem Grund soll-
ten Sie bei Leistungsproblemen der Ex-
change-Infrastruktur auch immer die Ge-
schwindigkeit des Netzwerks messen.
Auch eine schnelle Verbindung zum DNS-
Server und eine stabile und korrekte Na-
mensauflösung sind sehr wichtig. Die Re-
aktionszeit des DNS-Servers darf 50 ms
nicht überschreiten, wenn Sie die Leistung
optimieren wollen. Dauert die Anfrage
länger, haben Sie einen Flaschenhals in
der Exchange-Leistung. Um dies zu er-
mitteln, reicht ein Ping des Servers aus –
Sie benötigen noch nicht einmal die Leis-
tungsüberwachung.
Wichtig für die Verbindung von Ex-
change zum AD ist die Indikatorgruppe
"MSExchange ADAccess -Prozesse in der
Leistungsüberwachung". Diese fügt der
Exchange-Installationsassistent auf ei-
nem Server hinzu. Erweitern Sie diese
Gruppe, finden Sie die interessanten bei-
den Indikatoren "LDAP-Lesedauer" und
"LDAP-Suchdauer". Klicken Sie dazu auf
das Pluszeichen neben der Indikator-
gruppe im oberen Bereich und dann auf
die beiden Indikatoren: "LDAP-Lesedau-
er" misst die Zeit, die eine LDAP-Abfrage
bis zur Datenübermittlung benötigt und
"LDAP-Suchdauer" zeigt die Zeit an, die
der Server für eine Suche per LDAP im
AD benötigt. Der Durchschnittswert für
diese Indikatoren sollte unter 50 ms lie-
gen, die Maximaldauer sollte nicht über
100 ms steigen.
LDAP-Zugriff
auf DCs überwachen
Damit Active-Directory-abhängige Diens-
te schnell und effizient Daten aus dem
AD abrufen können, muss der globale
Katalog schnell antworten und darf nicht
überlastet sein. Um diese Auslastung zu
überprüfen, können Sie ebenfalls die Leis-
tungsüberwachung verwenden. Klicken
Sie dazu auf "Datensammlersätze / System /
Active Directory Diagnostics" und danach
auf das grüne Dreieck in der Symbolleiste,
um den Sammlungssatz zu starten. Hat
ein Server Leistungsprobleme, starten Sie
den Sammlungssatz und lassen die Ab-
fragen messen. Nach einiger Zeit beenden
Sie die Messung über das Kontextmenü
des Sammlungssatzes oder die Symbol-
leiste. Jetzt können Sie über "Berichte /
System / Active Directory Diagnostics"
www.it-administrator.de

auf die Daten der letzten Messung zugrei-
fen. In verschiedenen Bereichen sehen
Sie alle durchgeführten Aufgaben und de-
ren Daten und Zugriffsgeschwindigkeiten.
Auf diesem Weg erkennen Sie schnell, wo
die Probleme auf dem Server liegen.
Laufwerke und
Datenträger im Blick
Die folgenden zwei Leistungsindikatoren
liefern Auskünfte zur Datenträgeraktivität:
"Physikalischer Datenträger:Zeit (%)" zeigt
den Prozentsatz der Zeit auf, den der Da-
tenträger für Lese-/Schreibaktivitäten be-
nötigt. Liefert der Leistungsindikator einen
hohen Wert, überprüfen Sie noch "Physi-
kalischer Datenträger:Aktuelle Warte-
schlangenlänge", um festzustellen, wie viele
Anforderungen auf einen Datenträgerzu-
griff warten. Die Anzahl der wartenden
E/A-Anforderungen sollte das Anderthalb-
fache bis Zweifache der Anzahl der Spin-
deln, aus denen sich der physische Daten-
träger zusammensetzt, nicht überschreiten.
Wenn "Aktuelle Warteschlangenlänge und
Zeit (%)" durchgängig sehr hoch sind,
müssen Sie den Datenträger entlasten, wei-
tere Datenträger einsetzen und die ver-
schiedenen Datenbankdateien aufteilen
oder einen weiteren Server hinzufügen.
Unter "Physikalischer Datenträger:Durch-
schnittliche Warteschlangenlänge des Da-
tenträgers" überwachen Sie "Arbeitsspei-
cher:Seitenfehler/s", um sicherzustellen,
dass die Datenträgeraktivität nicht durch
Auslagern verursacht wird. In diesem Fall
liegt das Problem nicht am Datenträger,
sondern an fehlendem Arbeitsspeicher.
Wenn Sie über mehr als eine logische Par-
tition auf derselben Festplatte verfügen,
sollten Sie statt den Leistungsindikatoren
für physische Arbeitsspeicher die Leis-
tungsindikatoren für logische Datenträger
verwenden. Haben Sie die Datenträger
mit hoher Lese-/Schreibaktivität identi-
fiziert, können Sie zum Beispiel mit "Lo-
gischer Datenträger:Bytes geschrieben/s"
den Fehler weiter eingrenzen.
Auslastung des Arbeitsspeichers
Für die Fehleranalyse oder Leistungsmes-
sung eines Computers kann es sinnvoll
sein, die aktuelle Auslastung des Arbeits-
speichers zu kennen. Das Sysinternals-
Tool "RAMMap" [1] zeigt die aktuelle Zu-
www.it-administrator.de
Monitoring der Systemleistung
teilung des Arbeitsspeichers in einer gra-
fischen Oberfläche an. Mit dem Werk-
zeug erkennen Sie, wie viel Arbeitsspei-
cher aktuell für den Kernel reserviert ist
und welchen Arbeitsspeicher die Treiber
des Computers verbrauchen. Auf ver-
schiedenen Registerkarten zeigt das Tool
ausführliche Informationen zum Arbeits-
speicher an:
- Use Counts: Zusammenfassung
- Processes: Prozesse
- Priority Summary: Priorisierte Stand-
by-Listen
- Physical Pages: Seitenübersicht für den
kompletten Arbeitsspeicher
- Physical Ranges: Adressen zum RAM
- File Summary: Dateien im RAM
- File Details: Individuelle Seiten im Ar-
beitsspeicher nach Dateien sortiert
Das Tool hilft dabei zu verstehen, wie die
aktuellen Windows-Versionen den Ar-
beitsspeicher verwalten und an die ver-
schiedenen Anwendungen, Treiber und
Prozesse verteilen.
Noch ausführlicher bezüglich der Arbeits-
speicheranalyse ist "VMMap" [2], denn das
Tool zeigt sehr detailliert den Arbeitsspei-
cherverbrauch von Prozessen an. Durch
ausführliche Filtermöglichkeiten geht
VMMap bei der Analyse wesentlich weiter
als RAMMap. VMMap kann auch anzei-
gen, ob ein Prozess Arbeitsspeicher durch
den physischen Arbeitsspeicher zugewiesen
bekommt oder von Windows in die Aus-
lagerungsdatei verschoben wird. VMMap
listet sehr detailliert auf, welche Daten eines
Programms oder eines Prozesses in wel-
chen Bereichen des Arbeitsspeichers oder
der Auslagerungsdatei liegen. Das Tool er-
möglicht auch das Erstellen von Moment-
aufnahmen und dadurch von Vorher-
Nachher-Beobachtungen.
Über den Menübefehl "View / String"
lässt sich anzeigen, welche Daten ein ein-
zelner Speicherbereich enthält. Gescannte
Ergebnisse speichern Sie über das Menü
"File". Neben dem Standardformat von
VMMap (MMP) lassen sich die Daten
auch als TXT- sowie als CSV-Datei ab-
speichern, was hilft, Analysen mit Excel
durchführen. Im Gegensatz zu RAMMap
ist VMMap auch für Messungen in älte-
ren Windows-Varianten geeignet.
Windows Server 2019
Diagnose des Arbeitsspeichers
Häufig sind Serverprobleme auf defekten
Arbeitsspeicher zurückzuführen. Sie rufen
das Tool zur Überprüfung des Arbeits-
speichers mit mdsched auf. Das Werkzeug
steht auch in der Programmgruppe "Ver-
waltung" zur Verfügung und – wenn Sie
den Server mit der DVD oder einem
USB-Stick starten – über die Computer-
reparaturoptionen.
Sie können entweder den Server sofort
neu starten und eine Diagnose durchfüh-
ren oder festlegen, dass die Diagnose erst
beim nächsten Systemstart durchgeführt
werden soll. Während der Speicherdiag-
nose prüft das Programm, ob der einge-
baute Arbeitsspeicher Fehler aufweist,
was eine häufige Ursache für ungeklärte
Abstürze ist. Nachdem der Test abge-
schlossen ist, startet der Server automa-
tisch neu und meldet das Ergebnis über
ein Symbol im Infobereich der Taskleiste.
Über die Funktionstaste F1 gelangen Sie
zu den Optionen der Überwachung und
können verschiedene Überprüfungsme-
thoden auswählen und mit F10 starten.
Prozessorauslastung
messen und optimieren
Auch die Prozessorleistung kann einen
Flaschenhals darstellen. Zu wenig Haupt-
speicher kann die Konsequenz haben, dass
auch der Prozessor sehr stark belastet wird.
Die Auslastung ist kein Problem, wenn sie
gelegentlich kurzzeitig über 90 Prozent
liegt. Gefährlich wird es, wenn die Auslas-
tung über längere Zeiträume in diesem
Bereich liegt, aber auch dann ist bei der
Analyse noch Vorsicht angesagt, da nicht
unbedingt ein Problem vorliegt.
Bei Mehrprozessorsystemen gilt das Au-
genmerk vor allem den Leistungsindika-
toren der Leistungsüberwachung aus dem
Objekt "System". Dort werden Informa-
tionen von mehreren Systemkomponen-
ten zusammengefasst. Sie ermitteln dort
beispielsweise die Gesamtbelastung aller
Prozessoren. Ergänzend ist aber auch hier
der Leistungsindikator "Prozessorzeit" des
Objekts "Prozessor" von Bedeutung. Lau-
fen viele verschiedene Prozesse, ist eine
einigermaßen gleichmäßige Lastvertei-
lung fast sicher. Bei einem einzelnen Pro-
zess ist dagegen die Aufteilung in eini-
Sonderheft II/2019 55
Windows Server 2019 Monitoring der Systemleistung
germaßen gleichgewichtige Threads wich-
tig. Ein Thread ist eine Ausführungsein-
heit eines Prozesses. Verwendet ein Pro-
zess mehrere Threads, können diese auf
unterschiedlichen Prozessoren ausgeführt
werden. Die Verteilung erfolgt entspre-
chend der Auslastung der einzelnen Pro-
zessoren durch das System. Eine hohe
Zahl von Warteschlangen bedeutet, dass
mehrere Threads rechenbereit sind, ihnen
aber vom System noch keine Rechenzeit
zugewiesen wurde. Die Faustregel für die-
sen Wert lautet, dass er nicht allzu häufig
über "2" liegen sollte. Wenn die Auslas-
tung des Prozessors im Durchschnitt re-
lativ gering ist, spielt dieser Wert nur eine
untergeordnete Rolle.
Eine konstant hohe CPU-Nutzungsrate
macht deutlich, dass der Prozessor eines
Servers überlastet ist. Kontrollieren Sie
in der Leistungsüberwachung den Leis-
tungsindikator "Prozessor: Prozessorzeit
(%)". Dieser misst die Zeit, die die CPU
zur Verarbeitung eines Threads benötigt,
der sich nicht im Leerlauf befindet. Ein
konstanter Status von 80 bis 90 Prozent
ist dabei zu viel. Bei Multiprozessorsys-
temen sollten Sie für jeden Prozessor ei-
ne eigene Instanz dieses Leistungsindi-
kators überwachen. Dieser Wert stellt
die Summe der Prozessorzeit für einen-
bestimmten CPU dar.
Zusätzliche Informationen zur Prozes-
sornutzung erhalten Sie über "Prozessor:
Privilegierte Zeit (%)". Dieser Wert gibt
den prozentualen Zeitanteil an der Ge-
samtzeit an, die der Prozessor benötigt,
um Windows-Kernelbefehle auszuführen,
wie die etwa Verarbeitung von E/A-An-
forderungen von SQL Server. Ist dieser
Leistungsindikator bei hohen Werten für
die Leistungsindikatoren "Physischer Da-
tenträger" dauerhaft hoch, sollten Sie die
Installation eines schnelleren oder effi-
zienteren Datenträgers planen.
Zusätzlich ermittelt "Prozessor: Benut-
zerzeit (%)" den prozentualen Anteil an
der Gesamtzeit, die der Prozessor benö-
tigt, um Benutzerprozesse etwa des SQL-
Servers auszuführen. "System: Prozessor-
Warteschlangenlänge" zählt die Threads,
die auf Prozessorzeit warten. Ein Prozes-
sorengpass entsteht, wenn die Threads
56 Sonderheft II/2019
Bild 3: Ergänzend zum Ressourcenmonitor ist der bewährte
Task-Manager eine Anlaufstelle bei Leistungsproblemen.
eines Prozesses mehr Prozessorzyklen be-
nötigen, als zur Verfügung stehen. Wenn
viele Prozesse versuchen, Prozessorzeit
zu beanspruchen, sollten Sie einen schnel-
leren Prozessor installieren.
Task-Manager nutzen
Ein weiteres wichtiges Werkzeug für die
Analyse der Performance ist der Windows
Task-Manager. Er liefert folgende Mess-
werte, die der Analyse dienlich sind:
- Prozesse: Gibt einen Überblick über die
aktuell laufenden Anwendungen. An-
gezeigt wird der Status dieser Program-
me. Darüber hinaus können Sie über
das Kontextmenü der Anwendungen
steuern, wie diese angezeigt werden sol-
len. Außerdem können Sie hier laufen-
de Applikationen (Tasks) beenden.
- Leistung: Gibt einen schnellen Über-
blick zum aktuellen Leistungsverbrauch
des Computers. Dahinter verbirgt sich
ein kleiner Systemmonitor, der die
wichtigsten Informationen zur System-
auslastung in grafischer Form zur Ver-
fügung stellt. In kleinen Fenstern wird
die Auslastung der CPU und des Spei-
chers zum aktuellen Zeitpunkt und im
Zeitablauf dargestellt. Darunter findet
sich eine Fülle von Informationen rund
um die aktuelle Speichernutzung.
- Benutzer: Liefert Informationen über die
aktuell gestarteten Programme der an-
gemeldeten Benutzer.
- Details: Hier erhalten Sie einen Über-
blick über die derzeit aktiven Prozesse.
Link-Codes eingeben auf www.it-administrator.de
Dabei handelt es sich nicht nur um An-
wendungen, sondern auch um alle Sys-
temdienste, die im Hintergrund ausge-
führt werden. Zu jedem dieser Prozesse
werden Informationen über die Pro-
zess-ID (PID), den aktuellen Anteil an
der Nutzung der CPU, die insgesamt
in dieser Arbeitssitzung konsumierte
CPU-Zeit sowie die aktuelle Speicher-
nutzung angezeigt. Gerade diese letzte
Information ist von besonderem Inte-
resse, da sie zeigt, in welchem Umfang
Anwendungen den Hauptspeicher tat-
sächlich nutzen – ohne dass Sie kom-
plexe Parameter überwachen müssen.
- Dienste: Zeigt Informationen zu den
Systemdiensten an.
Fazit
Stimmt bei Windows-Servern die Leis-
tung nicht, sollte der Griff zum Ressour-
cenmonitor helfen, das Problem zumin-
dest einzugrenzen, wenn nicht sogar
eindeutig zu identifizieren. Ergänzende
Informationen liefert Ihnen der Task-
Manager und kostenlose Tools helfen,
wenn Sie einmal ganz tief im Arbeits-
speicher wühlen müssen, um den Server
wieder flott zu machen. (jp)
Link-Codes
[1] RAMMap
b0s8j
[2] VMMAP
b0s8k
Tools für Windows-Server-Troubleshooting
Detektivarbeit
von Thomas Joos
Auf einem Windows-Server gibt es zahlreiche
mögliche Fehlerquellen, gerade auch in Ab-
hängigkeit von der Rolle, die die Maschine im
Netzwerk innehat. Dabei lassen sich nicht alle
Fehlerquellen mit Bordmitteln identifizieren,
sodass die Community und Drittanbieter sich
veranlasst sahen, diverse Tools hierfür zu
entwickeln. Dieser Beitrag stellt eine Reihe
solcher Tools vor und zeigt, welche typischen
Fehler sich damit aufspüren lassen.
B
eginnen wollen wir mit der Do-
kumentation des Active Directory
(AD). Hierzu gibt es einige interessante
Tools, doch auch die PowerShell bietet
zahlreiche Cmdlets, die beim Erstellen
von Berichten oder dem Auslesen von
Daten aus dem AD helfen. Letztere ha-
ben den Vorteil, dass sie nicht installiert
werden müssen, da sie Bordmittel der
PowerShell nutzen. Sie müssen das je-
weilige Skript nur herunterladen und es
dann ausführen.
AD-Berichte aus der PowerShell
Mit den Skripten von Carl Webster [1]
lesen Sie das Active Directory effizient
aus und erstellen entsprechende Berichte.
Die Skripte lassen sich entweder herun-
terladen und sofort ausführen oder Sie
passen sie an Ihre Bedürfnisse an. Der
Download steht jeweils als PS1- oder als
TXT-Datei zur Verfügung.
Um zum Beispiel einen AD-Bericht zu er-
stellen, laden Sie sich das Skript "ADDS_
Inventory_V1_1.Signed.ps1" aus dem In-
ternet und führen es aus:
.\ADDS_Inventory_V1_1.Signed.ps1
Das Skript fertigt einen Bericht an und
bindet diesen automatisch in Word ein.
Damit dies funktioniert, muss auf dem
entsprechenden Rechner natürlich Word
www.it-administrator.de
installiert sein. Daher bietet es sich an,
eine Arbeitsstation zu verwenden, nicht
unbedingt einen Server. Das Dokument
wird automatisch im Benutzerprofil-Ver-
zeichnis des ausführenden Benutzers
gespeichert.
Achten Sie beim Starten von Skripten in
der PowerShell immer auf das Präfix ".\".
Sie können das Skript aber auch in der
PowerShell ISE mit "Datei / Öffnen" ak-
tivieren und starten. Geben Sie noch den
Namen der Gesamtstruktur ein, aus der
Sie Daten auslesen wollen. Starten Sie das
Tool von einer Arbeitsstation aus, müssen
die Remoteserver-Verwaltungstools [2]
für Active Directory installiert sein.
José schreibt mit
José Active-Directory-Dokumentation
[3] ist eines der bekanntesten Tools zur
AD-Dokumentation. Wie das zuvor be-
handelte Skript müssen Sie José nicht in-
stallieren, sondern können es nach dem
Download direkt starten. Das Werkzeug
hat umfangreiche Einsatzmöglichkeiten,
wir betrachten hier nur die Standardmit-
tel: Verwenden Sie die Datei "standard-
reports.bat", erhalten Sie einen Standard-
Bericht mit den wichtigsten Daten des
Active Directory. Mit dem Tool "jose.hta"
erzeugen Sie eigene Reporte und können
die Daten und Einstellungen selbst wäh-
len. Sie finden die Berichte als HTML-
Quelle: Alexei Novikov – 123RF
Datei im Verzeichnis "Reports" im Pro-
grammverzeichniss von José.
Starten Sie die Batch-Datei "wer-bin-
ich.bat", zeigt die Befehlszeile Ihren An-
meldenamen an und die Mitgliedschaft
in Gruppen. Sie können die Batch-Datei
auch bearbeiten und als letzte Zeile den
Befehl pause eintragen. Dann wird das
Fenster nicht geschlossen, wenn Sie die
Batch-Datei per Doppelklick in Windows
starten. Sie können in diese Datei bei Be-
darf auch noch weitere Befehle eintragen.
Das Kommando hostname zeigt zum Bei-
spiel zusätzlich den Computernamen an,
was beim Verwenden der Datei besonders
sinnvoll ist.
Zahlreiche Monitoring-Helfer
fürs AD und Ereignisse
Für die Überwachung der Ereignisan-
zeige und das Reporting zum Active Di-
rectory gibt es eine Reihe an Tools, die
bei der Analyse, Überwachung und Feh-
lerbehebung eine wertvolle Hilfe leisten.
Sie sind leicht zu bedienen und lassen
sich auch von Arbeitsstationen aus nut-
zen sowie in vielen Fällen ohne Instal-
lation auf den Servern:
- EventSentry [4] sammelt Ereignismel-
dungen verschiedener Server und stellt
wichtige Meldungen via E-Mail zu.
- Freeware EventLog Inspector [5] bietet
eine Analyse der Ereignisanzeige.
Sonderheft II/2019 57
Windows Server 2019 To o l s f ü r W i n d o w s - S e r v e r- Tr o u b l e s h o o t i n g
- AD ACL-Scanner [6] zeigt Berechti-
gungen der Administratoren im AD –
interessant für Sicherheitsanalysen.
- AD Info [7] liest Informationen aus
dem AD aus und zeigt diese übersicht-
lich an.
- AD-Inspector [8] zeigt Informationen
zum Active Directory an.
- Lumax [9] ist ein umfangreiches Tool
für AD-Analyse-Berichte.
Netzwerke visualisiert
Mit dem kostenlosen Tool "Microsoft
Active Directory Topology Diagrammer"
(ADTP) [10] erstellen Sie ein Diagramm
Ihres Netzwerks als Visio-Zeichnung.
Dieses zeigt Domänen, Standorte, Server,
Organisationseinheiten und andere Da-
ten zur Gesamtstruktur. Sie benötigen
für das Werkzeug natürlich noch Micro-
soft Visio, um die Daten zu verbildli-
chen. Microsoft stellt die Anwendung
auch als Testversion [11] zur Verfügung,
wenn Sie im Unternehmen keine Visio-
Lizenz besitzen.
Nach der ADTP-Installation finden Sie
das Tool im Verzeichnis "C:\Program Files
(x86) \ Microsoft Active Directory Topo-
logy Diagrammer" auf dem entsprechen-
den Computer. Nach dem Start geben Sie
im Feld "Server / Domain" einen Domä-
nencontroller an, mit dem sich das Werk-
zeug verbinden soll.
Über LDAP liest das Tool nach der Ver-
bindung die Daten aus, sobald Sie auf
"Discover!" klicken. Mit der Schaltfläche
"Draw!" erstellen Sie die Visio-Zeichnung
auf Basis Ihres produktiven Netzwerkes.
Damit das Tool die Zeichnung anfertigen
kann, müssen Sie meistens in Visio über
die Registerkarte "Datei" und die Auswahl
von "Optionen / Trust Center / Einstel-
lungen für das Trust Center" die Option
"Alle Makros aktivieren" setzen. Das ist
notwendig, da ADTP mit Makros arbei-
tet. Eine weitere wichtige Konfigurations-
option ist bei "Einstellungen für den Zu-
griffschutz" zu finden. Hier müssen Sie
alle Haken entfernen, da Visio ansonsten
den Zugriff des Tools blockiert.
Soll die Zeichnung noch mehr Optionen
erhalten, also OUs, Standorte, Exchange-
58 Sonderheft II/2019
Einstellungen, Anwendungspartitionen
oder DFS-Daten, müssen Sie auf der ent-
sprechenden Registerkarte die Option
"Draw Objekt" setzen. Bei der Zeichnung
der Organisationseinheiten lassen sich
auch die verknüpften Gruppenrichtlinien
festhalten. Über "Tools / Options" defi-
nieren Sie, in welchem Verzeichnis Visio
die Zeichnungen speichert.
Troubleshooting-Tools
für Gruppenrichtlinien
Gruppenrichtlinien sind ein sehr wert-
volles Werkzeug für die Steuerung der
Aktivitäten im Netzwerk. Gleichzeitig
sind sie aber auch eine Quelle von Pro-
blemen, etwa wenn eine Richtlinie eine
andere ungewollt überschreibt. In diesem
Umfeld gibt es vier wertvolle Helfer, die
wir Ihnen näherbringen wollen.
NIT-GPOSearch [12] liest die Gruppen-
richtlinien-Vorlagen im Netzwerk ein und
erlaubt die Suche nach bestimmten Ein-
stellungen. Geben Sie zum Beispiel "Desk-
top" ein, erhalten Sie als Suchergebnis alle
Gruppenrichtlinieneinstellungen, die Ih-
nen dabei helfen, den Desktop von Rech-
nern zu steuern. Der Umgang mit dem
Tool ist sehr einfach: Sie starten das Pro-
gramm, lassen die Vorlagen auf dem
Rechner einlesen und geben danach einen
Suchbegriff ein.
Specops Gpupdate [13] erlaubt Ihnen die
Verwaltung der Anwendung von Grup-
penrichtlinien. Sie können Rechner über
das Netzwerk starten, herunterfahren
Bild 2: NIT-GPOSearch durchsucht Gruppenrichtlinien-Vorlagen nach bestimmten Einstellungen.
und GPO-Aktualisierungen durchführen.
Das Tool arbeitet mit WSUS zusammen.
Im Grunde genommen verwalten Sie mit
dem Werkzeug also die Aktualisierung
der Gruppenrichtlinien Ihrer Rechner
im Unternehmen.
Das ManageEngine GPO Update Tool [14]
startet die manuelle Aktualisierung von
Gruppenrichtlinien. Wenn Sie bei be-
stimmten Rechnern eine Gruppenrichtli-
nien-Aktualisierung vornehmen wollen,
installieren Sie das Tool auf einem Rechner,
starten es und geben die Daten der Do-
mäne und der Rechner ein, die aktualisiert
werden sollen. Auf den Rechnern muss
dazu nichts installiert sein. Anschließend
können Sie festlegen, dass die von Ihnen
angegebenen Rechner eine Aktualisierung
der Gruppenrichtlinien durchführen.
Neben rein informativen Berichten ist oft
auch eine Analyse der Gruppenrichtlinien
notwendig. Hierfür gibt es das kostenlose
Microsoft-Tool Group Policy Log View
[15]. Es analysiert die Ereignisanzeigen
und die Protokolldatei auf Rechnern und
zeigt das Ergebnis übersichtlich an. Au-
ßerdem kann es sogar eine Echtzeitana-
lyse von Gruppenrichtlinien durchführen.
Das Tool fasst die Meldungen zu Grup-
penrichtlinien in TXT-, HTML- oder
XML-Dateien zusammen.
Um das Tool zu nutzen, öffnen Sie eine
Befehlszeile mit Administratorrechten.
Danach wechseln Sie in das Verzeichnis
von Group Policy Log View und lassen
www.it-administrator.de
 To o l s f ü r W i n d o w s - S e r v e r- Tr o u b l e s h o o t i n g Windows Server 2019

zum Beispiel mit gplogview.exe -o GPE-

vents.txt alle Ereignisse, die Gruppen-
richtlinien betreffen, in eine Textdatei
schreiben. Speichern Sie die Datei mit
dem Bericht auf Netzfreigaben, lässt sich
die Ausführung des Befehls beispielswei-
se über Anmeldeskripte steuern. Alle
Rechner im Netzwerk speichern dann
ihre Protokolldatei auf der Freigabe ab.
Dadurch können Sie die Berichte zusam-
menfassen und analysieren.

Sammeln Sie die Protokolle mehrerer

Rechner in einer Freigabe, erfassen Sie
den Namen des jeweiligen Rechners als
Name der Protokolldatei:

gplogview.exe -o \\dell\x\
%computername%-GPEvents.txt

Noch übersichtlicher als die Textdateien

ist das Erstellen eines Berichts im HTML-
Format. Hier sehen Sie auch über die dar-
gestellten Farben, ob Probleme bei der
Umsetzung von Gruppenrichtlinien im
Netzwerk vorliegen. Sie verwenden dazu
die Option "-h". Auch dabei haben Sie
wieder die Möglichkeit, die Protokollda-
teien in Freigaben zu speichern und den
Rechnernamen zu verwenden:

gplogview.exe -h -o \\dell\x\ Bild 3: Der Test eines DHCP-Servers mit dhcptest.exe liefert Auskunft
%computername%-GPEvents.html über den Datenverkehr im Netzwerk, indem er alle DHCP-Server identifiziert.

So erhalten Sie also nicht nur Berichte,
sondern erkennen auch gleich Fehler bei
der Anwendung von Gruppenrichtlinien.
Bestimmte Ereignisse in den Berichten
lassen sich filtern. Dazu dienen die Op-
tion "-a" und die Activity-ID des Eintrags
im jeweiligen Bericht.
Netzwerkprobleme beheben
Die beiden besten Tools zum Testen von
DHCP-Servern sind "dhcptest.exe" [16]
und "dhcpcheck.exe" [17]. Beide sind
schon etwas älter, funktionieren aber auch
mit aktuellen DHCP-Servern. Sie müssen
nicht installiert, sondern können über die
Befehlszeile ausgeführt werden.
Dhcptest zeigt alle gefundenen DHCP-
Server im Netzwerk und auch den kom-
pletten Datenverkehr zwischen Client und
Server an. Dadurch lassen sich schneller
Fehler erkennen. Um einen ersten, ein-
fachen Test durchzuführen, öffnen Sie ei-
ne Befehlszeile und rufen die ausführbare
Datei "dhcptest.exe" auf. Sobald das Tool
gestartet ist, führen Sie durch Eingabe
von "d" einen ersten Test durch. Das Tool
sendet daraufhin ein Paket in das Netz-
werk, um die DHCP-Server zu finden.
Sobald ein DHCP-Server antwortet, wer-
den die Informationen zum DHCP-Ser-
ver angezeigt.
Mit dhcpcheck testen Sie hingegen ein-
zelne DHCP-Server. Rufen Sie die Soft-
ware ohne Optionen auf, zeigt sie eine
Hilfe an. Um einen bestimmten DHCP-
Server zu testen, starten Sie das Tool mit
dhcpcheck.exe -host:IP-Adresse.
Mit NIPAP (Neat IP Address Planer) [18]
verwalten Sie die verschiedenen IP-Adres-
sen, Subnetze und auch VRF (Virtual Rou-
ting and Forwarding) im Netzwerk. Die
Daten werden in einer PostgreSQL-Da-
tenbank gespeichert. Die Installation muss
auf einem Linux-Server erfolgen, zum Bei-
spiel Debian. Die generelle Verwendung
der Umgebung ist intuitiv, vor allem über
die Weboberfläche. Für die Nutzung ist
kein Linux-Wissen notwendig.
Unternehmen, die eine Vielzahl an IP-
Adressen verwalten müssen sowie Sub-
netze und VLANs eingebunden haben,
sollten sich die webbasierte Open-Sour-
ce-Adressenverwaltung phpIPAM [19]
ansehen. Die PHP-basierte Anwendung
speichert die Daten in einer MySQL-Da-
tenbank. LAMP oder WAMP (Linux,
Apacke, MySQL, PHP) reichen aus, um
phpIPAM zu verwenden. Mit der Software
lassen sich aber nicht nur IP-Adressen,
Subnetze und VLANs dokumentieren,
sondern über eine webbasierte Oberfläche
auch beantragen. Den Antrag erhalten

www.it-administrator.de Sonderheft II/2019 59

Windows Server 2019 To o l s f ü r W i n d o w s - S e r v e r- Tr o u b l e s h o o t i n g
Administratoren in der Software, und
können auf Wunsch die Daten zuweisen
und auch gleich übernehmen. Die Auf-
gabe von phpIPAM besteht darin, IP-
Adressen, Subnetze und VLANs zu ver-
walten und zu dokumentieren. Die
IP-Adressen lassen sich gruppieren. Auch
Berechtigungen für die Verwaltung und
den Zugriff auf einzelne IP-Adressen las-
sen sich delegieren
Prozesse und RAM monitoren
Mit dem kostenlosen "Debug Diagnostic
Tool v2 Update 1" [20] bietet Microsoft
Werkzeuge zur Analyse von Systempro-
blemen und zahlreiche Anleitungen [21]
zur Fehlersuche an. Nach der Installation
finden Sie die Tools "DebugDiag 2 Rule-
Builder", "DebugDiag 2 Diag" und "Debug
2 Analysis" auf der Startseite. Nach dem
Start von Debug Diag 2 Collection erhal-
ten Sie über die Registerkarte "Processes"
Einblick in die laufenden Prozesse im Sys-
tem. Über das Kontextmenü stehen ver-
schiedene Aufgaben zur Überwachung
zur Verfügung.
Um einen Prozess detaillierter auf Me-
mory Leaks zu überwachen, erstellen
Sie über die Registerkarte "Rules" mit
"Add Rule" eine neue Regel. Im folgen-
den Assistenten verwenden Sie dazu die
Option "Native (non-.NET) Memory
and Handle Leak" und wählen anschlie-
ßend auf der nächsten Seite den Prozess
aus, der nach Problemen untersucht
werden soll. Danach legen Sie die Op-
tionen für die Untersuchung fest. In den
meisten Fällen reichen die Standardein-
stellungen aus. In den nächsten Schrit-
ten werden noch ein Name und ein
Speicherort für die Protokolldateien fest-
gelegt. Danach startet das Tool mit der
Analyse und zeigt dabei den aktuellen
Status im Fenster an.
Namensauflösung
im AD sicherstellen
Nach der Installation des AD finden in
der Forward-Lookupzone der entspre-
chenden Domäne zahlreiche Einstellun-
gen statt. Die häufigsten Fehler innerhalb
des AD, bei denen die Namensauflösung
eine wichtige Rolle spielt, sind dabei Feh-
ler im DNS. Jeder Domänencontroller im
AD besitzt neben seinem Host-A-Namen
60 Sonderheft II/2019
wie etwa "dc01.contoso.int" noch einen
zugehörigen CNAME, der das sogenannte
DSA-(Directory System Agent)-Objekt
seiner NTDS-Settings darstellt. Dieses
DSA-Objekt ist als SRV-Record im DNS
unterhalb der Zone der Domäne unter
dem Knoten "_msdcs" zu finden.
Der CNAME ist die GUID dieses DSA-
Objekts. DCs versuchen, ihren Replika-
tionspartner nicht mit dem herkömmli-
chen Host-A-Eintrag aufzulösen, sondern
mit dem hinterlegten CNAME. Erst nach
der erfolglosen Namensauflösung über
den CNAME versucht der DC, einen
Host-A-Eintrag zu finden. Schlägt auch
das fehl, versucht der DC, den Namen
mit NetBIOS entweder via Broadcast oder
einen WINS-Server aufzulösen.
Jeder DC benötigt also einen eindeutigen
CNAME, der wiederum auf seinen Host-
A-Eintrag verweist. Checken Sie daher
bei Replikationsproblemen zuerst, ob die-
se Einträge vorhanden sind. Sollte die
Namensauflösung über DNS nicht funk-
tionieren, steht Ihnen das Tool Dnslint
[22] zur Verfügung, mit dem Sie die SRV-
Records im Active Directory verifizieren.
Das installationsfreie Tool bietet insge-
samt drei verschiedene Funktionen, die
jeweils DNS testen und einen entspre-
chenden HTML-Bericht generieren:
- dnslint /d: Diese Funktion diagnostiziert
mögliche Ursachen einer langsamen
Delegierung.
- dnslint /ql: Überprüft benutzerdefinierte
DNS-Datensätze auf mehreren DNS-
Servern.
- dnslint /ad: Kontrolliert DNS-Daten-
sätze, die speziell für die Active-Di-
rectory-Replikation verwendet werden.
Die Syntax für Dnslint lautet
dnslint /d Domänenname |
/ad [LDAP_IP_Adresse] |
/ql Input_Datei
[/c [smtp,pop,imap]] [/no_open]
[/r Report_Name] [/t] [/test_tcp]
[/s DNS_IP_Adresse] [/v] [/y]
Bei der Ausführung von Dnslint müssen
Sie eine der Befehlszeilenoptionen "/d",
"/ad" oder "/ql" verwenden. Mit dnslint
/ad können Sie checken, ob Ihre DCs die
DNS-Einträge im Active Directory zur
Replikation abrufen können. Geben Sie
dazu den Befehl
dnslint /ad IP-Adresse des ersten DC
/s IP-Adresse des zweiten DC
ein. Das Tool benötigt einige Sekunden
und überprüft, ob im AD die notwendi-
gen _msdcs-Einträge vorhanden sind. Ge-
ben Sie an dieser Stelle aber nicht den
DNS-Namen der beiden Server an, die
Replikationsprobleme haben, sondern die
IP-Adressen.
Mit der Option "/ad" bestimmen Sie einen
DC, der die notwenigen GUIDs im DNS
auflösen können muss. Jeder DC muss in
der Lage sein, die Namen dieser GUIDs
per DNS aufzulösen. Testen Sie auf jedem
Server mit Dnslint, ob die einzelnen Ser-
ver Probleme bei der Auflösung dieser
GUIDs haben. Treten in diesem Bereich
Fehler auf, liegen die Replikationsproble-
me eindeutig zunächst an diesen fehlen-
den GUIDs.
Die Option "/s" dient dazu, dem Befehl ei-
nen DNS-Server mitzuteilen, der die Zone
"_msdcs" im AD verwaltet. Der Server hin-
ter der Option "/ad" ermöglicht den Ver-
bindungsaufbau per LDAP, während der
Server hinter "/s" zum Auflösen per DNS
dient. Sie müssen nicht unbedingt zwei un-
terschiedliche Server angeben, sondern
können auch zweimal die gleiche IP-Adres-
se verwenden. Nutzen Sie "/ad", müssen
Sie die Option "/s" nutzen, um einen DNS-
Server zu bestimmen, der für die _msdcs-
Unterdomäne in der Stammdomäne der
AD-Struktur autorisierend ist. Über die
Option "/ad" können Sie den Befehl mit "/s
localhost" ausführen, um festzustellen, ob
das lokale System die Datensätze auflösen
kann, die bei den Active-Directory-Tests
gefunden werden. Mit "/t" leiten Sie die
Ausgabe in eine Textdatei um. Diese hat
denselben Namen wie der HTML-Bericht
und findet sich auch im selben Ordner wie
der Report.
Nachdem der Befehl abgeschlossen ist,
erhalten Sie einen HTML-Bericht ange-
zeigt, mit dessen Hilfe Sie die Probleme
der GUID-Auflösung mit DNS nachvoll-
ziehen können. Der Bericht zeigt die
www.it-administrator.de

Auflösung der einzelnen GUIDs der
DCs und die vorhandenen Fehler an.
Beim Starten des Befehls verbindet sich
Dnslint zunächst mit dem Domänen-
controller, um alle GUIDs der Gesamt-
struktur per LDAP abzufragen. Aus die-
sem Grund müssen Sie vor der Aus-
führung sicherstellen, dass Sie den Befehl
unter einem Benutzerkonto starten, das
über genügend Rechte verfügt. Sobald
die GUID-Liste vom LDAP-Server zu-
rückgegeben wird, versucht Dnslint über
den mit der Option "/s" konfigurierten
DNS-Server, diese GUIDs zu ihrer IP-
Adresse aufzulösen.
Mit der Befehlszeilenoption "/d" fordern
Sie Domänennamentests an. Diese Be-
fehlszeilenoption ist für die Behandlung
von Problemen in Bezug auf eine lang-
same Delegierung nützlich. Sie müssen
dabei den zu testenden Domänennamen
angeben. Sie können die Befehlszeilen-
option "/d" jedoch nicht in Verbindung
mit "/ad" nutzen.
AD-Verbindungen analysieren
Mit AdInsight [23] analysieren Sie die
LDAP-Verbindungen eines Servers in
Echtzeit. Das Tool verwendet dazu die
Bibliothek "wldap32.dll", die den Zugriff
auf das AD steuert. So sehen Sie, ähnlich
zum Netzwerkmonitor für den Netzwerk-
verkehr, alle Anfragen von Clients an den
DC – auch Daten, die der DC blockiert.
AdInsight hilft Ihnen dabei, Authentifi-
zierungsprobleme von Anwendungen
und Computern im AD zu finden und
zu beheben.
Sie können die Daten, die das Tool aus-
liest, auch als Textdatei speichern und
so nachträglich analysieren. Klicken Sie
mit der rechten Maustaste auf einen Ein-
trag, erhalten Sie weitere Informationen.
Die Software zeigt Verbindungsdaten an,
sobald ein Programm oder Server Daten
aus dem AD abrufen möchte. Nach dem
Start sehen Sie daher einen Eintrag nicht
sofort, sondern erst, wenn ein Rechner
über das Netzwerk mittels "wldap32.dll"
auf das AD zugreifen will. Über das Me-
nü "File" speichern Sie den aktuellen
Scanvorgang ab, während Sie über "File /
Export to Text" die Ausgabe als Textdatei
exportieren.
Link-Codes eingeben auf www.it-administrator.de
To o l s f ü r W i n d o w s - S e r v e r- Tr o u b l e s h o o t i n g Windows Server 2019
Da sich beim Verbindungsaufbau mit
dem AD viele Daten ansammeln, haben Link-Codes
Sie die Möglichkeit, über den Menübefehl [1] Skripte von Carl Webster
"Edit / Find" die Anzeige zu filtern. Wei- fs121
tere Filtermöglichkeiten finden Sie über [2] Remoteserver-Verwaltungstools
das Menü "View". Die verschiedenen An- Für Windows 7: cap39
zeigen lassen sich zudem über den Me- Für Windows 8.1: e1p81
nüpunkt "Highlight" für einen besseren Für Windows 10: g5p19
Überblick farblich hervorheben. In den [3] José Active-Directory-
verschiedenen Spalten zeigt AdInsight Dokumentation
genauere Daten an. Die Spalte "User" ent- f2p12
hält, falls verfügbar, den Benutzernamen, [4] EventSentry
mit dem die Anwendung versucht, auf c2p12
das Active Directory zuzugreifen. [5] Freeware EventLog Inspector
f2p11
Anmeldungen im [6] AD ACL-Scanner
Netzwerk überwachen d8pe4
Mit dem Befehlszeilentool LogonSessions [7] AD Info
von Sysinternals [24] finden Sie alle ange- es1f4
meldeten Sitzungen auf einem Computer. [8] AD-Inspector
Mit Hilfe dieses Programms erhalten Sie e6p23
sehr schnell ausführliche Informationen, [9] Lumax
welche Sitzungen gerade auf dem Com- ds109
puter geöffnet sind. Verwenden Sie zusätz- [10] Microsoft Active Directory
lich die Option "-p", zeigt das Tool auch Topology Diagrammer
die geöffneten Prozesse der einzelnen Sit- ds1oa
zungen und damit der angemeldeten Be- [11] Testversion MS Visio
nutzer an. So können Sie effizient über- fs123
wachen, wer auf einem Server angemeldet [12] NIT-GPOSearch
ist und mit welchen Applikationen der An- fs194
wender arbeitet. Neben den angemeldeten [13] Specops Gpupdate
Benutzern zeigt das Tool auch die System- fs195
konten an. Außer auf Terminalservern ist [14] ManageEngine GPO
das Werkzeug auch hervorragend in AD- Update Tool
fs196
Umgebungen einsetzbar.
[15] Group Policy Log View
hs21f
Geben Sie den Befehl ohne Optionen ein,
reicht unter Umständen der Puffer der [16] dhcptest
hs21a
Eingabeaufforderung nicht aus, da zu vie-
le Informationen enthalten sind. Verwen- [17] dhcpcheck
hs21b
den Sie in diesem Fall die Option "logon-
sessions | more" oder vergrößern Sie den [18] NIPAP
hs21c
Puffer der Eingabeaufforderung über de-
ren Eigenschaften. Alternativ lassen Sie [19] phpIPAM
hs21d
die Ausgabe über die Option "> logon.txt"
in eine Datei umleiten. [20] Debug Diagnostic Tool
hs21e
Fazit [21] Using Debug
Diagnostic Tool v2
Mit den kostenlosen Helfern aus diesem
fs125
Beitrag sollten sich zahlreiche Probleme
[22] Dnslint
von Windows-Servern schnell beheben las-
cs1f7
sen. Manche der Werkzeuge helfen "nur",
[23] AdInsight
den Fehler einzugrenzen, was aber gerade
b0s8f
in Sachen Namensauflösung oder Netz-
[24] LogonSessions
werkanbindung meist den Löwenanteil des
ds293
Troubleshootings ausmacht. (jp)
Sonderheft II/2019 61
Windows Server 2019 Windows Subsystem for Linux
Windows Subsystem for Linux
Pinguin an Bord
von Dr. Christian Knermann
Mit dem Windows Subsystem for Linux unterstützt Windows 10
die native Ausführung von Linux-Binaries verschiedener Distribu-
tionen. Unser Beitrag stellt das System im Detail vor. Dabei zei-
gen wir auch Wege auf, wie selbst grafische Linux-Applikationen
ihren Weg auf den Windows-Desktop finden.
D
ie Zeiten, zu denen Microsofts
Ex-Chef Steve Ballmer voll auf
Konfrontation mit der Linux-Commu-
nity setzte und das freie Betriebssystem
despektierlich als Krebsgeschwür be-
zeichnete, gehören glücklicherweise der
Vergangenheit hat. Seit sein Nachfolger
Satya Nadella das Ruder übernahm, ist
in Redmond die Abneigung gegenüber
Linux und generell Open-Source-Soft-
ware einer neuen Offenheit gewichen.
So laufen nicht nur Linux-VMs kompli-
kationslos auf dem hauseigenen Hyper-
visor Hyper-V und in der Azure-Cloud.
Mit dem Windows Subsystem for Linux
(WSL) hat zudem Windows 10 eine
neue Kompatibilitätsschicht bekommen.
Wie der Name schon sagt, handelt es
sich bei WSL nicht um einen Hypervi-
sor, der komplette Linux-Systeme in
Form von virtuellen Maschinen aus-
führt, sondern um eine Schnittstelle,
die die direkte Ausführung von Linux-
ELF64-Binaries ermöglicht [1].
Die Architektur von WSL
Das Subsystem führt dazu sogenannte
Pico-Prozesse [2] ein, die im User-Mode
laufen. Diese bilden die Hülle für unmo-
difizierte ausführbare Linux-Applikatio-
nen. Hierfür reichen sie deren System-
aufrufe an die Pico-Provider-Treiber
"lxss.sys" und "lxcore.sys" im Kernel-
Mode weiter. Letztere übersetzen Linux-
Systemaufrufe auf ihre Pendants unter
Windows. Im Fall der Linux-Systemauf-
rufe, für die es keine direkte Entsprechung
im Windows-Kernel gibt, emulieren die
Treiber den Linux-Kernel.
62 Sonderheft II/2019
Die Klammer um das Ganze bildet der
LX-Session-Manager-Service, der im
User-Mode läuft und aktiv wird, sobald
ein Benutzer eine Linux-Distribution per
WSL startet. Der LXSS-Manager erzeugt
dann eine Linux-Instanz und startet darin
init, gefolgt von der Shell bash und allen
weiteren ausführbaren Dateien jeweils als
Pico-Prozess. Sobald der Benutzer die
Konsole zum WSL schließt, räumt der
LXSS-Manager die jeweilige Linux-Instanz
wieder ab. Das galt zumindest für die frü-
hen Versionen des WSL, was auch bedeu-
tete, dass es zunächst nicht möglich war,
Hintergrundprozesse laufen zu lassen.
Diese Option hat Microsoft jedoch nach-
gereicht [3]. Sind noch Prozesse im Hin-
tergrund aktiv, lebt eine Linux-Instanz
nun auch weiter, wenn kein interaktives
Fenster zum Anwender mehr geöffnet ist.
Dateisysteme
teilweise kompatibel
Da es sich bei den Linux-Instanzen nicht
um vollständige, vom Windows-Be-
triebssystem isolierte VMs handelt, kön-
nen die Prozesse direkt mit Windows
und dessen Dateisystemen interagieren.
Die Dateisysteme mit ihren Konzepten
zur Verwaltung von Ordnern und Da-
teien sowie dem Umgang mit Berechti-
gungen unterscheiden sich allerdings
zwischen beiden Welten. Dieser Heraus-
forderung begegnet das WSL, indem es
das Virtual File System (VFS) von Linux
imitiert und darüber Schnittstellen zu
mehreren Dateisystemen anbindet [4].
So bildet TmpFS das speicherresidente
temporäre Dateisystem von Linux ab.
Auch die Pseudo-Dateisysteme von Li-
Quelle: Passakorn Vejchayachai – 123RF
nux haben unter anderem mit ProcFs
und SysFs ihre Entsprechung im WSL.
Das primäre Dateisystem von WSL ist
VolFS. Es findet Verwendung für das
Root-Verzeichnis der jeweiligen Linux-
Instanz. VolFS bietet die volle Unterstüt-
zung der unter Linux üblichen Dateisys-
temberechtigungen, die sich über Befehle
wie chmod bearbeiten lassen, und weitere
Funktionen wie symbolische Links, Un-
terscheidung bei der Groß- und Klein-
schreibung von Ordnern und Dateien, FI-
FOs und Sockets. Das Root-Verzeichnis
einer jeden Instanz liegt unter Windows
jeweils im Pfad "%userprofile%\AppDa-
ta\Local\Packages\Name-und-ID-der-
Linux-Instanz\LocaleState\rootfs".
In der Literatur zum WSL und teilweise
auch in Microsofts eigener Online-Doku-
mentation finden sich noch Hinweise auf
den Pfad "%userprofile%\AppData\Local\
lxss". Dort lag das Root-Verzeichnis in der
ersten Implementierung des WSL, die Mi-
crosoft 2016 gemeinsam mit dem briti-
schen Linux-Distributor Canonical, be-
kannt für die Distribution Ubuntu, auf
den Weg gebracht hatte. Dies hat jedoch
www.it-administrator.de

nur noch historische Bedeutung. Unter
aktuellen Installationen von Windows gibt
es diese ursprüngliche Variante von WSL
nicht mehr.
Beachten Sie beim Umgang mit dem Root-
Verzeichnis, dass Sie die Ordner und Da-
teien unter Windows zwar sehen, jedoch
nicht verändern dürfen, da NTFS nicht
alle Eigenheiten von Linux beherrscht. So
kann NTFS zwar grundsätzlich Groß- und
Kleinschreibung unterscheiden. Die Be-
rechtigungen sind jedoch nicht kompatibel
und unter Windows sind nicht alle Zei-
chen in Ordner- und Dateinamen erlaubt,
die Linux kennt. VolFS kümmert sich um
diese Unterschiede und speichert sie als
Metadaten in den erweiterten Attributen
von NTFS.
Wenn Sie unter Windows neue Ordner
und Dateien ins Root-Verzeichnis legen,
würden diese erweiterten Attribute fehlen
und VolFS könnte mit den Daten nichts
anfangen. Ebenso würden vorhandene
Daten ihre erweiterten Attribute verlieren
und somit für VolFS unbrauchbar werden,
sobald Sie diese unter Windows verän-
dern. Erst der Build 18342 (1903) von
Windows 10 hat dies verbessert und er-
möglicht den Zugriff auf Root-Verzeich-
nisse seitens Windows durch Einführung
von Freigaben der Form "\\wsl$\Name-
der-Distribution".
Austausch zwischen
Windows und Linux per DrvFS
Die Interoperabilität zwischen den Welten
gewährleistet bis dahin nur das DriveFS
oder kurz DrvFS. Es beherrscht folglich
nicht alle Funktionen, die Linux kennt,
beschränkt die Namen von Ordnern und
Dateien auf den Zeichenvorrat, den auch
Windows erlaubt, und ist kompatibel zu
den Windows-Berechtigungen. Im DrvFS
gespeicherte Daten dürfen sich zwar nur
durch Groß- und Kleinschreibung unter-
scheiden, Microsoft warnt jedoch davor,
dass unter Windows nicht alle Applika-
tionen damit umgehen können.
Im Hinblick auf die Zugriffsrechte ist zu
beachten, dass WSL die unter Windows
gesetzten Berechtigungen unter Linux
zwar abbilden, jedoch natürlich nicht aus-
hebeln kann. Wie der zuvor genannte Pfad
www.it-administrator.de
Windows Subsystem for Linux
zum Root-Verzeichnis erkennen lässt, sind
die Linux-Instanzen unter Windows be-
nutzerspezifisch. Jeder Windows-Benutzer
erhält seine individuellen Linux-Instanzen,
deren Daten im persönlichen Benutzer-
profil liegen. Innerhalb einer Linux-Instanz
sind Sie jeweils mit Root-Rechten unter-
wegs, doch außerhalb in Windows werden
Sie damit natürlich nicht automatisch zum
Admin und können folglich aus Linux he-
raus selbst mittels sudo nur dort schreiben,
wo Sie es auch unter Windows dürfen.
Unter diesen Rahmenbedingungen ist
das Ganze aber bidirektional kompatibel
und Sie können sowohl mit den unter
Linux üblichen Werkzeugen, wie etwa
awk und sed, als auch von Seiten Win-
dows' nach Belieben in per VolFS ange-
bundenen Laufwerken arbeiten. Doch
widmen wir uns nun der praktischen Ar-
beit mit WSL.
WSL und Linux-
Distributionen installieren
Öffnen Sie die PowerShell mit adminis-
trativen Rechten und installieren Sie WSL:
Enable-WindowsOptionalFeature
-Online -FeatureName Microsoft-
Windows-Subsystem-Linux
Nach erfolgreicher Installation verlangt
das System nach einem Neustart. Rufen
Sie anschließend den Microsoft-Store auf.
Eine Suche nach "Linux" fördert zahlrei-
che Ergebnisse zutage, darunter mehrere
namhafte Distributionen wie openSUSE,
verschiedene Versionen von SUSE Enter-
prise, Debian, Ubuntu und das unter Pen-
testern und Forensikern beliebte Kali Li-
nux. Installieren Sie nun beispielsweise
Kali Linux und Ubuntu. Sobald der Store
den Download der Distributionen abge-
schlossen hat, finden Sie beide als Icons
im Startmenü wieder.
Per Klick darauf öffnet sich jeweils ein
Konsolenfenster mit einer Linux-Shell. Al-
ternativ dazu können Sie die Linux-Instan-
zen auch aus der Eingabeaufforderung von
Windows durch Eingabe von kali oder
ubuntu starten. Der allgemeine Befehl wsl
startet die Linux-Distribution, die als Stan-
dard konfiguriert ist. Welche das ist, er-
mitteln Sie in der Windows-Eingabeauf-
Windows Server 2019
forderung mit dem Befehl wslconfig /list.
Dieser listet sämtliche im WSL installierten
Linux-Distributionen auf. Haben Sie Kali
Linux zuerst installiert, ist es automatisch
der Standard. Per
wslconfig /setdefault Ubuntu
ändern Sie dies. Sofern eine Linux-In-
stanz ohne interaktive Shell noch mit
Hintergrundprozessen aktiv ist, beenden
Sie diese per
wslconfig /terminate
Name-der-Distribution
Dem ersten Start folgt jeweils die grund-
legende Konfiguration der Distribution.
Hierbei sind Sie aufgefordert, einen Be-
nutzer mitsamt Passwort anzulegen, der
nicht identisch mit Ihrem Benutzerkon-
to unter Windows sein muss. Anschlie-
ßend empfiehlt es sich, die Linux-In-
stanz zu aktualisieren. Das erledigen Sie
auf Grund des ähnlichen Unterbaus un-
ter Kali Linux und Ubuntu gleicherma-
ßen mit den bekannten Befehlen:
sudo apt-get update
sudo apt-get dist-upgrade
sudo apt-get clean
Im Dateisystem arbeiten
Standardmäßig startet die Linux-Shell
im Verzeichnis "/home/Benutzer-name",
das im NTFS-Dateisystem von Windows
dem Pfad "%userprofile% \ AppData \
Local \ Packages \ Name-und-UID-der-
Linux-Instanz \ LocaleState \ rootfs \
home \ Benutzername" entspricht. Al-
ternativ dazu verankert sich WSL auch
im Kontextmenü des Windows-Explo-
rers. Halten Sie in einem beliebigen Ord-
ner die Shift-Taste gedrückt und rufen
Sie per Rechtsklick das Kontextmenü
auf, so finden Sie dort den Eintrag "Hier
Linux-Shell öffnen". Der startet die als
Standard konfigurierte Distribution di-
rekt im gewünschten Verzeichnis.
Das funktioniert allerdings zunächst nur
für die fest verbundenen Laufwerke des
Systems. WSL bindet dazu alle unter
Windows bekannten Laufwerke auto-
Sonderheft II/2019 63
Windows Server 2019 Windows Subsystem for Linux
Das WSL besteht aus LXSS-Manager und Pico-Prozessen im User-Mode
sowie den Pico-Provider-Treibern im Kernel-Mode.
matisch mit ihren jeweiligen Laufwerks-
buchstaben unter Pfaden wie "/mnt/c"
und "/mnt/d" ein. Stecken Sie zusätzlich
etwa einen USB-Stick ein, den Windows
unter dem Laufwerksbuchstaben "E:" an-
bindet, müssen Sie diesen per DrvFS un-
ter Linux erst noch mounten:
sudo mkdir /mnt/e
sudo mount -t drvfs E: /mnt/e
Das funktioniert gleichermaßen mit Netz-
werkfreigaben, die unter Windows per
Laufwerksbuchstaben verbunden sind,
oder alternativ auch direkt per UNC-Pfad:
sudo mkdir /mnt/Freigabe
sudo mount -t drvfs '\\Server\Frei-
gabe' /mnt/Freigabe
Linux- und Windows-
Kommandos nutzen
Innerhalb der Shell stehen Ihnen alle un-
ter Linux verfügbaren Kommandos und
Anwendungen zur Verfügung, um mit
Ordnern und Dateien des Win dows-
Systems zu arbeiten. Doch auch ohne
dauerhaft geöffnete Linux-Shell ist die
Interoperabilität zwischen beiden Sys-
temwelten gegeben [5]. So können Sie
aus einer Windows-Eingabeaufforderung
heraus per "wsl.exe" direkt einzelne Li-
nux-Kommandos absetzen. Pfadangaben
müssen dabei natürlich den Konventio-
nen unter Linux folgen. Öffnen Sie die
Eingabeaufforderung "cmd.exe" und ge-
ben Sie dort
wsl ls -la "/mnt/c/Program Files"
64 Sonderheft II/2019
ein, erhalten Sie unter Windows die Aus-
gabe des Befehls ls, den WSL in der als
Standard definierten Linux-Instanz aus-
führt. Das Ganze ist keine Einbahnstraße.
Im Gegenzug starten Sie aus der geöffne-
ten Linux-Shell heraus ebenso einfach
ausführbare Dateien von Windows. Auch
in der Shell öffnet der Befehl notepad.exe
den Windows-eigenen Editor. Möchten
Sie der jeweiligen Anwendung beim Auf-
ruf Parameter mitgeben, ist das natürlich
auch möglich. Pfadangaben müssen dabei
wiederum den Konventionen unter Win-
dows genügen.
X11-Anwendungen
per RDP darstellen
Zumindest auf der Kommandozeile bringt
WSL somit Windows und Linux enger zu-
sammen und macht die Arbeit flexibler.
Grafische Linux-Anwendungen per WSL
unter Windows zu starten, hat Microsoft
aber leider von Haus aus nicht vorgesehen.
Doch es gibt gleich mehrere Ansätze, dies
zu ermöglichen. Die Macher von Kali Li-
nux bemühen dazu neben dem Linux-ei-
genen X-Window-System (X11) einen
Umweg über das Remote Desktop Proto-
koll (RDP) und stellen hierzu ein passen-
des Skript bereit, das Sie in der Shell von
Kali mit den folgenden Befehlen herun-
terladen und ausführen:
wget https://kali.sh/xfce4.sh
sudo sh xfce4.sh
Das Skript lädt die für Kali angepasste
Desktop-Umgebung Xfce sowie den freien
RDP-Server Xrdp mit allen Abhängigkei-
ten herunter und richtet diese ein. Das
dauert eine Weile und schlägt sich in zu-
sätzlichem Speicherplatzbedarf von über
1 GByte nieder. Mittels
sudo /etc/init.d/xrdp start
starten Sie den RDP-Server, der anschlie-
ßend auf dem TCP-Port 3390 Verbindun-
gen entgegennimmt. Über den grafischen
Client der Remotedesktopverbindung oder
mstsc.exe /v:127.0.0.1:3390
auf der Kommandozeile starten Sie dann
den Desktop von Kali-Linux. Nach getaner
Arbeit melden Sie sich vom Desktop ab
und beenden per Shell den RDP-Server:
sudo /etc/init.d/xrdp stop
Das gewährleistet, dass die Linux-Instanz
mit dem Verlassen der Shell terminiert
und nicht im Hintergrund weiterläuft.
Diese Variante ist recht schnell in Betrieb
genommen, bringt jedoch den Schön-
heitsfehler mit sich, dass das X11-Pro-
tokoll in RDP getunnelt wird und auf
diese Weise nur komplette Desktop -
sitzungen und keine einzelnen Applika-
tionen starten.
Anwendungsfenster
dank X-Server X410
Eleganter geht es ohne den Umweg über
RDP, was allerdings einen X-Server unter
Windows voraussetzt. Leider nicht kos-
tenfrei, dafür insbesondere für die Inte-
gration mit WSL entwickelt, ist der X-
Server X410, den Sie als App aus dem
Microsoft Store beziehen können [6].
Starten Sie die App, macht sie sich zu-
nächst nur mit einem "X"-Symbol im Sys-
temtray bemerkbar. Über das Kontext-
menü des Symbols konfigurieren Sie die
Betriebsart.
Im Modus "Windowed Apps" fungiert
X410 selbst als Window-Manager und
wartet darauf, dass Sie in einer Linux-In-
stanz einzelne Anwendungen starten, die
sich dann verhalten wie native Anwen-
dungen unter Windows, in separaten
Fenstern dargestellt werden und sich so
nach Belieben auf dem Windows-Desktop
positionieren und in ihrer Größe verän-
dern lassen. Der "Floating Desktop" er-
www.it-administrator.de

wartet dagegen, dass eine komplette Li-
nux-Desktop-Sitzung startet, und stellt
diese in einem Fenster dar. Der "Full
Desktop" führt den Linux-Desktop, wenig
überraschend, als Vollbild aus. Sofern
noch nicht vorhanden, installieren Sie
den Window-Manager Xfce in Ihren Li-
nux-Instanzen. Unter Ubuntu erledigt
das der Befehl
sudo apt-get install xfce4 xfce4-
terminal
Kali Linux bringt eine angepasste Ver-
sion von Xfce mit. Hier erledigt
sudo apt-get install kali-desktop-
xfce
die Installation. Die weiteren Schritte
funktionieren in beiden Distributionen
identisch. Stellen Sie sicher, dass X410
im "Floating Desktop"-Modus gestartet
ist, exportieren Sie in der Shell die Um-
gebungsvariable DISPLAY mittels
export DISPLAY=127.0.0.1:0.0
und starten Sie die Desktop-Umgebung
per xfce4-session. Daraufhin beginnt die
Desktopsitzung als Fenster unter Win-
dows. Zur weiteren Verwendung lässt
sich der Start noch beschleunigen. Dazu
fügen Sie unter Linux die "DISPLAY"-
Variable dauerhaft dem Login-Skript
der Shell hinzu:
echo "export DISPLAY=127.0.0.1:0.0"
>> ~/.bashrc
Unter Windows legen Sie sodann ein
Batch-Skript mit folgendem Inhalt an:
start /B x410.exe /desktop
ubuntu.exe run "if
[ -z \"$(pidof xfce4-session)\"
]; then export
DISPLAY=127.0.0.1:0.0;
xfce4-session; pkill
'(gpg|ssh)-agent'; taskkill.exe
/IM x410.exe; fi;"
Dabei können Sie je nach Bedarf die
"ubuntu.exe" durch "kali.exe" ersetzen und
so den X-Window-Manager sowie den
Linux-Desktop in einem Rutsch starten.
Link-Codes eingeben auf www.it-administrator.de
Windows Subsystem for Linux
Wie der Start ohne lästiges Konsolenfens-
ter noch eleganter gelingt und sich der
Linux-Desktop aufhübschen lässt, erklä-
ren die Howtos auf der X410-Webseite.
Ganz ohne Desktop
Wenn Sie auf die komplette Desktopum-
gebung lieber verzichten möchten, funk-
tioniert das Ganze mit einer Variation
auch für einzelne Anwendungen:
start /B x410.exe /wm
ubuntu.exe run "if [ -z
\"$(pidof xfce4-session)\" ];
then export DISLAY=127.0.0.1:0.0;
firefox; pkill
'(gpg|ssh)-agent';
taskkill.exe /IM x410.exe; fi;"
Dabei startet der Schalter "/wm" X410 im
Modus für "Windowed Apps" und im
Shell-Kommando tritt eine Applikation,
in diesem Fall der Browser Mozilla Fire-
fox, an die Stelle der Desktop-Umgebung
Xfce. Mit der Option "DPI Scaling / High
Quality…" im Kontextmenü des Tray-
Icons sorgen Sie dafür, dass die Fenster
auf HiDPI-Displays hochskaliert darge-
stellt werden. Das funktionierte in unserer
Testumgebung allerdings nicht ohne eine
gewisse Unschärfe in der Darstellung.
Besser ist es daher, auf Displays mit sehr
hoher Auflösung unterstützte Applika-
tionen nativ aus Linux heraus zu skalieren.
Für den Firefox aus dem vorangegangenen
Beispiel und andere Applikationen, die das
GUI-Toolkit GTK und dessen GDK-Bi-
bliothek verwenden, erreichen Sie das mit
dem Befehl export GDK_SCALE=2. Für
Anwendungen, die auf dem GUI-Toolkit
Qt basieren, entsprechend mit export
QT_SCALE_ FACTOR=2. Anschließend
sind auch mit einer HiDPI-Auflösung die
Linux-Anwendungen kaum mehr von
den nativen Windows-Applikationen zu
unterscheiden.
Keine Unterstützung
von Daemons
An die Grenzen stoßen Sie mit WSL,
wenn die Ausführung von Daemons ge-
fragt ist. In WSL fehlt eine vollwertige
Startumgebung wie Systemd. Komman-
dos wie etwa reboot, shutdown oder sys-
temctl funktionieren somit nicht und es
Windows Server 2019
ist folglich auch nicht möglich, Server-
dienste für den automatischen Start zu
installieren. Auch hardwarenahe Kom-
mandos wie das Imaging-Tool "dd" grei-
fen nicht. Hier ist weiterhin ein physi-
sches oder in einer VM installiertes Linux-
System die bessere Wahl.
Fazit
Je nach Anwendungsfall ist WSL eine
praktische Alternative zu ausgewachse-
nen Linux-VMs. Gegenüber den in Hy-
per-V oder ähnlichen Hypervisoren
abgeschotteten VMs bietet WSL den
Vorteil, dass die direkte Interaktion mit
Dateien und Ordnern unter Windows
möglich ist. Mit den hier vorgestellten
Tools sind selbst grafische Linux-Appli-
kationen unter Windows kein Problem
mehr. Zudem ist Microsoft kontinuier-
lich dabei, den Funktionsumfang zu er-
weitern [7].
Auf der Roadmap für die weitere Zu-
kunft findet sich neben der Unterstüt-
zung für Docker-Container insbeson-
dere die Umstellung der Architektur von
Emulation auf einen angepassten Linux-
Kernel in der kommenden Version 2
von WSL – und dies komplett als Open
Source [8]. (dr)
Link-Codes
[1] Windows Subsystem
for Linux (Overview)
j8z61
[2] Pico-Prozesse
j8z62
[3] Hintergrundprozesse im WSL
j8z63
[4] Dateisystem-Unterstützung
j8z64
[5] Interoperabilität zwischen
Windows und Linux
j8z65
[6] X-Server X410
j8z66
[7] Release Notes
für WSL
j8z67
[8] Open-Source-Ansatz bei WSL
j8z68
Sonderheft II/2019 65

Windows Server 2019 mit
Server System Insights überwachen
Moderne Schaltzentrale
von Thomas Joos
Mit dem webbasierten Windows Admin Center lassen sich Server ab Windows
Server 2012 R2 verwalten – und das rein lokal, ohne Cloud. Setzen Unternehmen
auf Windows Server 2019, lässt sich die Erweiterung Windows Server System Insights
sogar für noch mehr Überwachungsfunktionen nutzen. Dieser Beitrag erläutert die
Funktionen und zeigt deren Nutzung.
A
dministratoren müssen dafür sor-
gen, dass Server fehlerfrei und op-
timal funktionieren. Viele Unternehmen
setzen dazu auf Überwachungslösungen
von Drittherstellern oder auf Produkte
der System-Center-Reihe von Microsoft.
Die Überwachung, ob eine Festplatte kei-
nen Speicherplatz mehr hat, eine Infor-
mation, wie viel Speicherplatz verbraucht
ist und die Kontrolle eines Hyper-V-Hosts,
damit neue VMs geplant werden können,
sind nur einige Beispiele.
Windows Server System Insights (WSSI)
ist hierzu eine neue Funktion in Win-
dows Server 2019, die lokale vorhersa-
gende Analysefunktionen nativ auf den
Windows-Server bringt. Diese voraus-
schauenden Funktionen, die jeweils
durch ein Modell zum maschinellen Ler-
nen unterstützt werden, analysieren lokal
Windows-Server-Systemdaten. Dazu ge-
hören Leistungsindikatoren und Ereig-
nisse. Die Funktionen in Windows Server
System Insights liefern Vorhersagen, die
dabei helfen, Windows-Server effektiver
zu betreiben.
66 Sonderheft II/2019
Funktioniert ohne Cloud
Die Insights-Funktionen finden lokal
statt. Das heißt, alle Daten werden direkt
auf der lokalen Windows-Server-Instanz
gesammelt, gespeichert und analysiert.
Die Analysefunktionen können daher
gänzlich ohne Cloudkonnektivität genutzt
werden. Mit Windows Server 2019 kann
System Insights die Auslastung des Ser-
vers, des Netzwerkverkehrs und der Da-
tenspeicherauslastung vorhersagen.
Systeminformationen, die Windows Ser-
ver System Insights über Windows Server
2019 bietet, lassen sich vollständig über
das Windows Admin Center (WAC) ver-
walten. System Insights bietet darüber
hinaus eine PowerShell-Schnittstelle, mit
der sich Automatisierungen durchführen
lassen. Wie das WAC auch, entwickelt
Microsoft Windows Server System In-
sights ständig weiter und integriert neue
Funktionen.
So können Sie durch die Vorhersage-
funktionen blättern und rufen entweder
eine Funktion bei Bedarf auf oder kon-
Quelle: peshkov – 123RF
figurieren diese so, dass sie nach einem
regelmäßigen Zeitplan ausgeführt wird.
Die Vorhersage-Ergebnisse lassen sich
zudem visualisieren, sobald genügend
Messdaten vorhanden sind. Das hilft et-
wa dabei, die Entwicklung des Kapazi-
tätsverbrauchs zu verstehen. Bis genü-
gend Daten gemessen wurden, kann es
jedoch einige Zeit dauern.
Windows Server System Insights kann
aber nicht nur über die Auslastung von
Servern informieren, sondern aktiv in die
Serverkonfiguration eingreifen. Sie kön-
nen zum Beispiel Korrekturaufträge so
konfigurieren, dass sie automatisch aus-
geführt werden, nachdem eine Funktion
ein bestimmtes Ergebnis erzeugt hat. Für
Skripte lassen sich auch Anmeldedaten
hinterlegen, mit deren Berechtigungen
anschließend Anpassungen am Server
vorgenommen werden.
Sie können auch die PowerShell auf Re-
mote-Instanzen nutzen, um Vorhersage-
Ergebnisse zu erhalten und auch zu aggre-
gieren. Auf diesem Weg koppeln Sie etwa
www.it-administrator.de
 Server System Insights Windows Server 2019

eine Gruppe von Windows-Ser- und der Festplatten ist zu er-

vern zur Überwachung. Beispiele kennen sowie die aktuelle Da-
dafür sind Cluster, gruppierte An- tenübertragungen im Netz-
wendungsserver, Server in einem werk. Die laufenden Prozesse
bestimmten Rack oder Rechen- sind ebenfalls ersichtlich. Das
zentrum. Hier ist eine flexible gilt auch für das Servermodell,
Steuerung möglich. Microsoft das installierte Betriebssystem
plant in Zukunft, auch Cluster- und vieles mehr.
Speicherprognosen, PowerShell-
Skripte zur Fehlerbehebung und Windows-Updates
die Möglichkeit der dynamischen steuern
Installation neuer Vorhersagefunk- Über den Menüpunkt "Up-
tionen in Windows Server System dates" erfahren Sie, welche Up-
Insights zu integrieren. dates für einen Server zur Ver-
fügung stehen. Hier können Sie
Windows Server System die Updates auch gleich instal-
Insights installieren lieren, während Sie mit "Online
Für Windows Server System In- nach Updates suchen" nach
sights wird zunächst eine Installa- Je nach Ergebnis einer Analyse führt das neuen Updates bei Microsoft
tion des WAC im Netzwerk benö- Admin Center vordefinierte Aktionen aus. suchen. Im Rahmen der Up-
tigt. Idealerweise verwenden sie date-Installation können Sie
hier möglichst aktuelle Versionen. Sobald Erweiterungen von Drittherstellern ein. auch einen Zeitpunkt festlegen, wann der
ein Windows Server 2019 angebunden ist, Dazu gehören aktuell zum Beispiel auch Server neu starten soll. Über den Menü-
finden Sie den Menüpunkt "Systemdaten". Überwachungsfunktionen von Fujitsu- punkt "Einstellungen" bestimmen Sie der-
Durch einen Klick auf diesen Menüpunkt Servern und andere Technologien. weil, wie der Server nach neuen Updates
installieren Sie im aktuellen Windows Ad- suchen und diese dann einspielen soll.
min Center die Erweiterung für WSSI. An- Dienste überwachen
schließend steht der Bereich zur Verfügung, und Server absichern Der "Updateverlauf" gibt Auskunft darüber,
zeigt aber noch keine Daten an. Mit den beiden Menüpunkten "Dienste" welche Aktualisierungen wann auf einem
und "Prozesse" verwalten und überwa- Server installiert wurden. So erkennen Sie,
Durch einen Klick auf einen der Bereiche chen Sie Systemdienste und Prozesse. So- ob zum Beispiel aktuelle Sicherheitspatches
zur Überwachung der CPU-Last, der Netz- bald Sie den entsprechenden Menüpunkt vorhanden sind und wann die Installation
werkauslastung oder des Speicherver- ausgewählt haben, stehen im oberen Be- erfolgt ist. Über das Windows Admin Cen-
brauchs legen Sie einen Zeitplan fest, der reich des Fensters weitere Befehle zur Ver- ter können Sie Server auch an die Azure-
steuert, wann ein Server Vorhersagen er- fügung, um Dienste und Prozesse zu ad- Updateverwaltung anbinden. In diesem
stellt. Über "Aktionen" hinterlegen Sie wie- ministrieren. Hier starten Sie zum Beispiel Fall lässt sich die Steuerung von Updates
derum die auszuführenden Skripte, wenn Systemdienste, beenden diese und passen über Microsoft Azure automatisieren.
ein Server einen bestimmten Status erreicht. deren Einstellungen an. Bei Prozessen ste-
Über den Menüpunkt "Aufrufen" erhalten hen Ihnen dabei Filter zur Verfügung. Über den Menüpunkt "Zertifikate" werden
Sie eine sofortige Vorhersage angezeigt. Außerdem können Sie Prozesse beenden schließlich die einzelnen Zertifikate des
oder einen Dump des Prozesses erstellen. Servers überwacht und verwaltet. Hier ist
Neben Windows Server System Insights auch zu sehen, ob Zertifikate abgelaufen
spielen natürlich auch die Daten eine Natürlich behalten Sie mit dem Windows sind und wann die nächsten Zertifikate
Rolle, die das WAC im Bereich "Über- Admin Center auch Sicherheitseinstellun- ablaufen. Wird ein Zertifikat markiert,
sicht" anzeigt, wenn Sie einen Server im gen auf Servern im Blick. Da die Verbin- kann es neu angefordert oder exportiert
Windows Admin Center anklicken. Hier dung mit einem Webbrowser hergestellt werden. Im WAC lassen sich Zertifikate
sehen Sie Laufzeitdaten der CPU-Belas- wird, stehen hier sehr flexible Möglich- auch löschen und aktualisieren.
tung, des Netzwerks und des Speichers keiten zur Verfügung. So lassen sich Fi-
sowie eine Vielzahl weiterer Informatio- rewallregeln erstellen und überwachen, Fazit
nen über den lokalen Server. Updates installieren, Prozesse und Dienste Die Verwaltung mehrerer Windows-Server
verwalten und überwachen sowie Daten- im Unternehmen kann herausfordernd
Neben WSSI und der Übersicht zu den sicherungen mit Azure steuern. Nach dem sein. Mit dem WAC bietet Microsoft Ad-
Servern im WAC lassen sich in den Ein- Verbindungsaufbau mit dem Server stehen ministratoren eine zentrale Anlaufstelle
stellungen auch noch Erweiterungen in- unter dem Punkt "Übersicht" schon wich- zur Überwachung und Konfiguration. Er-
stallieren. Auch hier bietet Microsoft re- tige Informationen zur Verfügung. Die freulich dabei: Eine Cloudanbindung ist
gelmäßig neue an und bindet auch Auslastung der CPU, des Arbeitsspeichers nicht notwendig. (dr)

www.it-administrator.de Sonderheft II/2019 67

Windows Server 2019 PowerShell 5.0
PowerShell in Windows Server 2019
Eine wahre Perle
von Thomas Joos
Die wichtigsten PowerShell-Befehle lernen Admins
auswendig. Und staunen nicht schlecht, wenn die
PowerShell Anwendungen als Paket im Netzwerk
verteilen, dabei auch auf Online-Ressourcen zugreifen
und Anwendungen aus diesen installieren kann.
Darüber hinaus sorgt die Desired State Configuration
für mehr Sicherheit im Netz und PowerShell Direct bringt
mehr Optionen bei der Automatisierung unter Hyper-V.
M
it der PowerShell kommt das One-
Get-Framework, eine Sammlung
von Cmdlets zum Verteilen und Installieren
von Anwendungen im Netzwerk. Die An-
wendungen werden dabei als Pakete instal-
liert, die relevante Einstellungen dafür be-
reits integrieren. Erfreulich dabei ist, dass
Sie mit der PowerShell auf die Pakete der
PowerShell Gallery, NuGet [1] und Cho-
colatey Repositories [2] zugreifen können.
Damit lassen sich mehrere tausend An-
wendungen installieren.
Software im Netzwerk verteilen
Generell ist die Verwendung der Power-
Shell ISE für OneGet empfehlenswert,
Sie können aber auch problemlos in der
normalen PowerShell die Paketfunktion
nutzen. Bevor Sie Pakete installieren,
überprüfen Sie, ob die Ausführungsricht-
linie für Skripte auf "RemoteSigned" ge-
setzt ist. Dazu verwenden Sie den Befehl:
Set-ExecutionPolicy RemoteSigned
Welche Quellen derzeit angebunden
sind, sehen Sie mit Get-PackageSource
und die zur Verfügung stehenden Pakete
lassen Sie sich mit Find-Package | Out-
Gridview anzeigen. Zur Suche nach be-
stimmten Paketen dient:
Find-Package -Name *Name*
Arbeiten Sie immer mit den beiden
Platzhaltern "*", da Sie nur so alle rele-
68 Sonderheft II/2019
vanten Pakete angezeigt bekommen.
Kennen Sie den genauen Namen des Pa-
kets, können Sie die Platzhalter natürlich
weglassen. Neben der Möglichkeit, nach
Anwendungen in den Paketen zu su-
chen, können Sie auch nach Versionen
Ausschau halten. Dazu verwenden Sie
die Option "-MinimumVersion Version"
im Find-Package-Cmdlet. Wollen Sie
neuere Versionen filtern, verwenden Sie
"-MaximumVersion".
Um ein Paket zu installieren, kommt diese
Befehlskette zum Einsatz:
Find-Package | Out-GridView
-Title "Paket das installiert
werden soll" -PassThru |
Install-Package
-Force
Die Pakete werden standardmäßig ohne
Benutzereingaben installiert, die dazu
notwendigen Optionen sind wie bereits
erwähnt direkt in das Paket integriert.
Sie können dieses Verhalten also nicht
direkt über die PowerShell steuern, son-
dern über die Installationsdateien des
Pakets [3].
Sie können mit OneGet problemlos auch
Basis-Images von Windows-Arbeitssta-
tionen erstellen. Dazu installieren Sie das
Betriebssystem und danach Basisanwen-
dungen, die über die Pakete zur Verfü-
gung stehen.
Quelle: jalcaraz – 123RF
Neues in System- und
Netzwerkverwaltung
Die mit der PowerShell 4.0 eingeführte
Technologie "Desired State Configuration"
(DSC) [4] erlaubt, Konfigurationen von
Computern über die PowerShell zu au-
tomatisieren. Wir kommen darauf noch
im Detail zurück. Sie können über Op-
tionen steuern, um festzulegen, auf wie
vielen Computern gleichzeitig Änderun-
gen implementiert werden sollen. Mit
dem Modul "PowerShellGet" können Sie
DSC-Ressourcen in der PowerShell Re-
source Gallery [5] nutzen, installieren
oder hochladen. Auch ist es in der Power-
Shell möglich, Zip-Archive zu entpacken
und zu erstellen. Dabei helfen die beiden
Compress-Archive- und Expand-Archi-
ve-Cmdlets [6].
Ebenfalls in der PowerShell verfügbar ist
"Data Center Abstraction" (DAL) [7, 8].
Mit dieser Technologie greifen Sie direkt
auf bestimmte Netzwerkkomponenten
wie Switches und Router zu. Dazu muss
die Hardware diese Technik aber auch
unterstützen. In diesem Bereich spielen
vor allem Cisco und Huawei eine wich-
tige Rolle. Interessant an dieser Stelle ist
die Möglichkeit, die zertifizierten Geräte
über System Center Virtual Machine Ma-
nager zu verwalten. Die PowerShell bietet
dazu eine Layer-2-Verwaltung für die
Netzwerkswitche an. Die zur Verfügung
stehenden Befehle erfahren Sie durch
Eingabe von
www.it-administrator.de

Bild 1: Über die PowerShell lassen sich Softwarepakete auf den angebundenen Rechnern installieren.
Get-Command *-NetworkSwitch*
Zudem leistet die PowerShell Klassende-
finitionen. Hier können Sie mit dem neu-
en Schlüsselwort "class" wie in objektori-
entierten Sprachen eigene Klassen defi-
nieren und in Ihren Skripten einsetzen.
VMs verwalten
mit PowerShell Direct
Mit PowerShell Direct greifen Sie über
PowerShell-Sitzungen auf einem Hyper-V-
Host direkt auf VMs des Hosts zu und füh-
ren Aktionen durch. Dazu muss auf dem
Host aber Windows Server 2019 laufen und
in den VMs ist entweder Win-dows 10
oder Server 2019 notwendig. Hier stehen
dann die gleichen Befehle zur Verfügung
wie bei normalen Sitzungen. Der Unter-
Bild 2: Via PowerShell Direct gelingt der direkt Zugriff auf VMs aus der PowerShell des Hyper-V-Hosts.
www.it-administrator.de
schied liegt darin, dass in einer PowerShell-
Direct-Sitzung die Befehle direkt in der je-
weiligen VM zur Ausführung kommen.
Um eine solche Verbindung zu starten ge-
ben Sie in der PowerShell-Sitzung auf dem
Host einen der folgenden Befehle ein:
Enter-PSSession -VMName Name der VM
im Hyper-V-Manager
Invoke-Command -VMName Name der VM
im Hyper-V-Manager -ScriptBlock {
Commands }
Für die erfolgreiche Verbindung müssen
Sie sich unter Umständen erst authenti-
fizieren. Weitere Konfigurationen oder
Einstellungen in der Firewall sind jedoch
PowerShell 5.0 Windows Server 2019
nicht notwendig. Wollen Sie sich mit ei-
nem anderen Benutzer authentifizieren,
verwenden Sie
Enter-PSSession -VMName Computer
-Credential Benutzer
Mit Exit-Session beenden Sie die Sitzung
wieder. Sitzungen lassen sich in Windows
Server 2019 und Windows 10 unterbre-
chen und erneut aufzubauen. Bei unter-
brochenen Sitzungen laufen die Cmdlets
in der Sitzung weiter. Für diese Vorgänge
stehen die Disconnect-PSSession-, Con-
nect-PSSession- und Receive-PSSession-
Cmdlets bereit.
Mit Desired State Configuration
Windows-Server absichern
Die Desired State Configuration ermög-
licht das Erstellen von Sicherheitsvorla-
gen für Server, die automatisch angewen-
det werden. Ändern sich Einstellungen,
die von der Vorlage abweichen, kann
PowerShell DSC die Vorgaben wieder-
herstellen. In der Vorlagendatei zur Ab-
sicherung des Betriebssystems können
Sie zum Beispiel hinterlegen, dass die
Ausführung der Richtlinie auf einem Ser-
ver bestimmte Dateien kopiert, Dienste
startet oder installiert und Programme
aufruft. Unsichere und nicht notwendige
Dienste lassen sich beenden und damit
Sonderheft II/2019 69
Windows Server 2019 PowerShell 5.0
auch Server härten, was zum Beispiel für
Webserver-Farmen sinnvoll ist. Auch
Registry-Einstellungen passen Sie über
diesen Weg an, genauso wie Gruppen
und lokale Benutzerkonten. Natürlich
können Sie auch Skripte ausführen las-
sen, die ebenfalls bestimmte Systemein-
stellungen anpassen.
Erkennt PowerShell DSC Änderungen
am System, die von der Vorlage abwei-
chen, lässt sich die Vorlage erneut an-
wenden und der Server dadurch wieder
absichern. Das heiß, durch Systemaudits
können Administratoren oder auch Si-
cherheitsbeauftragte im Unternehmen
jederzeit sicherstellen, dass wichtige Se-
curity-Einstellungen im Netzwerk noch
dem vorgegebenen Stand entsprechen.
Die Verwendung der DSC ist sehr mo-
dular. Das heißt, Sie können mit einigen
wenigen Einstellungsblöcken beginnen
und dann nach und nach erweitern, wenn
Sie sich mit der Arbeit mit dem System
vertraut gemacht haben. Zum Einsatz von
PowerShell DSC müssen Sie das dazuge-
hörige Modul über den Server-Manager
installieren. Dieses Modul ist über die In-
stallation der Features bei "Windows
PowerShell / Windows PowerShell-Dienst
zum Konfigurieren des gewünschten Zu-
stands" zu finden.
DSC in Windows Server 2019 kann über
die neue ThrottleLimit-Option mehr
Computer gleichzeitig ansprechen, um
die Änderungen über das Netzwerk zu
steuern. Die Option steht für verschiedene
Cmdlets zur Verfügung, mit denen DSC
gesteuert wird:
- Get-DscConfiguration
- Get-DscConfigurationStatus
- Get-DscLocalConfigurationManager
- Restore-DscConfiguration
- Test-DscConfiguration
- Compare-DscConfiguration
- Publish-DscConfiguration
- Set-DscLocalConfigurationManager
- Start-DscConfiguration
- Update-DscConfiguration
Mit dem PowerShellGet-Modul können
Sie PowerShell-DSC-Ressourcen über die
erwähnte PowerShell Resource Gallery
abrufen und eigene Vorlagen hochladen.
70 Sonderheft II/2019
Bild 3: Damit PowerShell DSC funktioniert,
müssen Sie das entsprechende Feature auf den Servern installieren.
Mit dem DSC Resource Kit [9] steuern
Sie auch Einstellungen von Serverdiens-
ten wie Active Directory, SQL Server, IIS,
Hyper-V und auch anderen Diensten mit
DSC. Diese speziellen Cmdlets sind der-
zeit noch nicht in der PowerShell Core
6.x/7.x oder dem Windows Terminal ver-
fügbar. Allerdings arbeitet Microsoft da-
ran, die Technologien in der PowerShell
Core zu integrieren.
Basis von DSC sind Vorlagen, die zum
Beispiel Sicherheitseinstellungen enthal-
ten. Um die Vorlage einem Server zuzu-
weisen, erstellen Sie ein "Management
Object File" (MOF). Die PowerShell liest
das MOF und wendet sie mit DSC abge-
sicherte Servern an. Diese Datei lässt sich
jederzeit erneut anwenden, wenn Einstel-
lungen auf dem Server abweichen.
Die Verwaltung von DSC erfolgt zunächst
über eine Konfigurationsdatei, die Sie als
PowerShell-Skript-Datei mit der Endung
"PS1" speichern. Ein Skript für DSC be-
ginnt immer mit dem Schlüsselwort
"Configuration" und einem von Ihnen
definierten Namen. Diesen Namen be-
nötigen Sie später bei der Erstellung der
MOF-Datei und deren Anwendung. Da-
her bietet sich hier ein einfacher und kla-
rer Name an. Die Befehle für die Absi-
cherung sind zwischen zwei geschweiften
Klammern eingeschlossen:
Configuration MeineWebsite
{
}
Bei der Anzahl an Befehlen sind Sie nicht
an Vorgaben gebunden. Sie können ent-
weder mehrere kleine oder eine große
Skriptdatei erstellen. Ein Beispiel für den
Inhalt ist:
Configuration Security
Service Wuauserv
{
ServiceName = "wuauserv"
StartupType = "Automatic"
}
Dadurch wird festgelegt, dass ein be-
stimmter Dienst – hier "Windows Up-
date" – den Starttyp "Automatisch" erhal-
ten soll, wenn DSC angewendet wird.
Haben Sie die Konfiguration als PS1-Da-
tei gespeichert, erstellen Sie eine MOF-
Datei:
Name der Konfiguration -MachineName
Name des Servers, auf den die Da-
tei angewendet werden soll
Den Namen der Konfiguration haben Sie
der Skript-Datei vorgegeben. Für jeden
Server, dem Sie die Datei zuweisen wollen,
erstellt die PowerShell eine eigene MOF-
Datei. Um Einstellungen zu ändern, än-
www.it-administrator.de

dern Sie die Skript-Datei und erstellen da-
nach die MOF-Dateien neu. Zum Absi-
chern eines Servers mit DSC kopieren Sie
die MOF-Dateien auf die Ziel-Server oder
verwenden eine Freigabe im Netzwerk.
Und die Anwendung von MOF-Dateien
auf den Ziel-Servern funktioniert so:
Start-DscConfiguration -Wait
-Verbose -Path .\Name
Sie können jederzeit mit dem Test-
DscConfiguration-Cmdlet überprüfen,
ob die mit DSC gesetzten Sicherheitsein-
stellungen auf einem Server noch Ihren
Vorgaben entsprechen. Das Cmdlet über-
prüft, ob es Unterschiede zwischen MOF-
Datei und den tatsächlichen Einstellungen
auf dem Server gibt. Das Cmdlet liefert
Ihnen die Werte "True" (Einstellungen
stimmen noch) oder "False" (Einstellun-
gen wurden geändert). Bei Bedarf können
Sie jederzeit die MOF-Datei mit Start-
DscConfiguration erneut anwenden.
MOF-Dateien erweitern
Mit DSC lassen sich auch Gruppen auf
Servern anlegen und Benutzer zuweisen.
Die Syntax dazu ist:
Group Webadmins anlegen
{ deinstallieren oder installieren.
Ensure = "Present"
GroupName = "Webadmins"
} lendienste installiert sind, sondern sind
Listing: DSC-Überprüfung
eines Webservers
Configuration MeineWebsite
{
Node ("s1.contoso.int", "s2.contoso.int")
{ Aber auch um sicherzustellen, dass auf
#IIS-Installation sicherstellen
WindowsFeature IIS
{ wünschten Dateien in den fest definierten
Ensure = "Present”
Name = "Web-Server”
}
#Existenz Webdateien sicherstellen
File Beispieldatei
{ ver kopieren. Über "Type" legen Sie fest,
Ensure = "Present”
Type = "Directory"
Recurse= $true
SourcePath = "\\dc01\Daten"
Destinationpath = "C:\inetpub\wwwroot"
}
}
} führung dieser Richtlinie kopiert die
www.it-administrator.de
Nehmen Sie diese Zeilen in die Datei auf,
überprüft die PowerShell, ob es die Grup-
pe "Webadmins" auf den Servern gibt,
und legt sie an, wenn die Gruppe fehlt.
So lassen sich mit PowerShell DSC auch
einfach Benutzer aufnehmen oder aus
Gruppen entfernen. Dazu dienen die bei-
den Optionen "MembersToExclude" und
"MembersToInclude".
Ein weiteres Beispiel für die Verwendung
von DSC ist die Überprüfung, ob Dateien
des Webservers im Verzeichnis "inetpub"
gespeichert sind und ob auf dem Server
der IIS installiert ist. Außerdem können
Sie bestimmte Daten von einem Quell-
auf die Zielserver kopieren und so sicher-
stellen, dass auf allen Webservern die von
Ihnen abgesicherten Dateien vorhanden
sind. Eine Beispieldatei finden Sie im Lis-
ting-Kasten. In diesem Beispiel legen Sie
über die Option "Node" den Namen der
Server fest, auf denen Sie die von Ihnen
gewünschten Einstellungen und Sicher-
heitsoptionen umsetzen wollen. Mit "En-
sure" bei "WindowsFeature IIS" überprüfen
Sie, ob bestimmte Rollen (WindowsFea-
ture) installiert (Present) oder eben nicht
installiert (Absent) sind. In der Datei kön-
nen Sie natürlich auch mehrere Rollen
kontrollieren. DSC kann die Rollen auch
So testen Sie nicht nur, ob bestimmte Rol-
auch in der Lage, nach Dateien oder Ver-
zeichnissen zu suchen. Das ist zum Bei-
spiel für das Überprüfen nach bestimm-
ten Daten oder das Testen von Sicher-
heitsskripten wichtig.
Webservern immer die von Ihnen ge-
Verzeichnissen vorhanden sind, kann
DSC verwendet werden. Fehlt ein Skript,
eine Datei oder ein bestimmtes Verzeich-
nis, können Sie es über DSC auf den Ser-
ob Sie nach einem bestimmten Verzeich-
nis (Directory) oder nach einer Datei (Fi-
le) suchen und Sie legen den Quellpfad
(SourcePath) und den Zielpfad (Destina-
tionPath) der Dateien fest. Bei der Aus-
PowerShell die Dateien automatisch aus
PowerShell 5.0 Windows Server 2019
dem Quellverzeichnis in das Zielverzeich-
nis. Darüber hinaus können Sie auch si-
cherstellen, dass auf den abgesicherten
Webservern in den gewünschten Zielver-
zeichnissen immer nur die Dateien vor-
handen sind, die Sie im Quellverzeichnis
festlegen. Der Vorteil dabei ist, dass Sie
ein Quellverzeichnis auf Basis einer Frei-
gabe im Netzwerk festlegen und diese Da-
teien auf alle Webserver, auf denen Sie
DSC nutzen, kopiert werden.
Haben Sie in der Konfigurationsdatei die
von Ihnen gewünschten Einstellungen
vorgegeben, speichern Sie diese als PS1-
Datei ab. Sie können die Datei jederzeit
anpassen, aus der Datei eine neue MOF-
Datei erstellen und diese dann erneut an
Server verteilen. Haben Sie die Datei ab-
gespeichert, starten Sie das Skript entwe-
der durch Eingabe des Namens in der
PowerShell oder Sie verwenden das grüne
Abspielzeichen in der PowerShell ISE.
Um zu testen, ob später die Umsetzung
auch auf den Zielservern funktioniert,
führen Sie das Skript auf einem der Ziel-
server aus.
Für jeden Zielserver, den Sie über "Node"
in der Konfigurationsdatei festlegen, er-
stellt der Befehl
Name der Konfiguration -MachineName
Name des Servers, auf den die Da-
tei angewendet werden soll
eine MOF-Datei, in der die Sicherheits-
einstellungen aus Ihrer Konfigurations-
datei hinterlegt sind. Das Verzeichnis, in
dem die PowerShell die MOF-Datei an-
gelegt hat, sehen Sie im PowerShell-Fens-
ter. Sie können den Ausgabepfad der
MOF-Dateien auch mit der Option "Out-
putPath" steuern.
Windows-10-Dienste
ein- und ausschalten
Die Aufgaben, die Windows 10 zur Über-
wachung durchführt, lassen sich in der
PowerShell anzeigen, aber auch deakti-
vieren. Um zum Beispiel die Aufgabe
"Programm zur Verbesserung der Benut-
zerfreundlichkeit (Customer Experience
Improvement Program, CEIP)" zu deak-
tivieren, hilft der folgende Befehl in der
PowerShell:
Sonderheft II/2019 71
Windows Server 2019 PowerShell 5.0

Disable-ScheduledTask -TaskName
"\Microsoft\Windows\Customer
Experience Improvement
Program\KernelCeipTask"

Auf diesem Weg stehen noch die folgen-

den Optionen bereit, um Funktionen zu
deaktivieren:
- Microsoft\Windows\Customer Expe-
rience Improvement Program\UsbCeip
- Microsoft\Windows\Power Efficiency
Diagnostics\AnalyzeSystem
- Microsoft\Windows\Shell\FamilySafe-
tyMonitor
- Microsoft\Windows\Shell\FamilySafe-
tyRefresh
- Microsoft\Windows\Application Ex-
perience\AitAgent
- Microsoft\Windows\Application Ex-
perience\ProgramDataUpdater
- Microsoft\Windows\Application Ex-
perience\StartupAppTask
- Microsoft\Windows\Autochk\Proxy
- Microsoft\Windows\Customer Expe-
rience Improvement Program\BthSQM
- Microsoft\Windows\Customer Expe-
rience Improvement Program\Con-
solidator
Die entsprechenden Befehle können Sie
in Netzwerken mit Active Directory und
Windows Server 2019 über PowerShell-
Skripte als Anmeldeskript hinterlegen.
Den Status der Dienste erhalten Sie mit
get-ScheduledTask. Hier reicht zur Abfrage
der Name der Aufgabe, es muss nicht der
komplette Pfad angegeben werden.
Schnüffel-Apps ausbremsen
Die Standard-Apps in Windows 10 wer-
den in Unternehmen kaum verwendet.
Allerdings können diese Programme
durchaus Informationen an Microsoft
übertragen. Microsoft bietet ein Skript
[10] an, mit dem sich alle internen Apps
anzeigen lassen, die Sie auch mit der
PowerShell deinstallieren können. Das
Skript wurde zwar für Windows 8 entwi-
ckelt, funktioniert aber auch für Windows
10 – allerdings nur inoffiziell. Um das
Skript zu nutzen, müssen Sie die Ausfüh-
rungsrichtlinie für Skripte auf "Remote-
Signed" setzen.
Für das Deinstallieren von Skripten star-
ten Sie die PowerShell über das Kontext-
Bild 4: In der PowerShell lassen sich die vorhandenen
Windows-Apps anzeigen und auf Wunsch auch deinstallieren.
menü mit Administratorrechten. An-
schließend finden Sie deinstallierbare
Apps mit
.\removewindowsstoreapp.ps1
Der Befehl zeigt die Apps allerdings nur
an, er deinstalliert sie nicht. Um einzelne
Apps zu deinstallieren, geben Sie deren
Nummer im unteren Feld ein. Eine kom-
magetrennte Eingabe mehrerer Num-
mern deinstalliert mehrere Apps auf ein-
mal. Eine weitere Möglichkeit, uner-
wünschte Apps in Windows 10 anzuzei-
gen ist der Befehl
Get-AppxPackage -AllUsers
Über dieses Cmdlet deinstallieren Sie
auch Apps, in diesem Beispiel alle:
Get-AppxPackage -AllUsers | Remove-
AppxPackage
Get-AppXProvisionedPackage -online |
Remove-AppxProvisionedPackage
-online
Spezielle all Apps von Microsoft zeigt:
Get-AppxPackage -Publisher
*Microsoft*
Diese lassen sich auf Wunsch auch gleich
deinstallieren:
Get-AppxPackage -Publisher *Micro-
soft* | Remove-AppxPackage
Haben Sie versehentlich falsche Apps
deinstalliert oder funktionieren in Win-
dows 10 einige Bereiche nicht mehr, lässt
sich der Vorgang umkehren:
Get-AppXPackage | Foreach {Add-
AppxPackage -DisableDevelopmentMo-
de -Register "$($_.InstallLocati-
on)\AppXManifest.xml"}
Funktioniert die Installation nicht, hilft
ein Microsoft-Skript [12].
Ein großer Teil der Überwachung in
Windows 10 wird durch Systemdienste
durchgeführt, vor allem der Dienst zur
Benutzererfahrung und Telemetrie sowie
der Dienst "dmwappushservice".
Ob die Dienste laufen, lässt sich in der
Windows-Dienststeuerung überprüfen
oder in der PowerShell:
get-service diagtrack
get-service dmwappushservice

72 Sonderheft II/2019 www.it-administrator.de


Bild 5: Bei der Installation von Serverrollen hilft eine Vorlagendatei für die PowerShell.
Sollen die Dienste auch deaktiviert wer-
den, nutzen Sie das Befehlszeilentool "sc":
sc config diagtrack start=disabled
sc config dmwappushservice
start=disabled
Netzwerkzugriff
mit der PowerShell
Die PowerShell bietet Ihnen mehrere Op-
tionen, um Befehle über das Netzwerk
auszuführen. Zunächst stehen Ihnen die
normalen Cmdlets ergänzt um die Option
"-computername" zur Verfügung. In einer
lokalen PowerShell-Sitzung wird der Be-
fehl auf diese Art und Weise über das
Netzwerk auf den Zielserver angewandt.
Mit Get-Help * -Parameter ComputerNa-
me erhalten Sie sich eine Liste all dieser
Cmdlets.
Wollen Sie von einer lokalen PowerShell-
Sitzung über das Netzwerk Programme
auf einem Remotecomputer starten, ver-
wenden Sie folgenden Befehl:
Invoke-Command -ComputerName Ziel-
Computer -ScriptBlock { Befehl }
-credential Benutzername
Funktioniert der Befehl, öffnet sich ein
Authentifizierungsfenster und Sie müssen
das Kennwort für den Benutzer eingeben.
Mit dem Kommando
Test-WsMan Computername
www.it-administrator.de
testen Sie den Zugriff. Erhalten Sie keine
Fehlermeldung, sondern eine Statusan-
zeige, funktioniert der Zugriff vom Quell-
computer auf den Zielcomputer.
Die zweite Möglichkeit besteht darin, in
der PowerShell oder der PowerShell ISE
eine PowerShell-Sitzung auf einem Re-
moteserver zu öffnen. Alle Befehle, die
Sie in dieser Sitzung ausführen, werden
dann auf dem Remotecomputer ausge-
führt. Hier ist die Option "-computer-
name" nicht notwendig, da die Sitzung
ohnehin auf dem Remotecomputer aus-
geführt wird. In der PowerShell ISE öff-
nen Sie Remote-Sitzungen über "Datei /
Neue Remote-PowerShell" und geben
den Servernamen sowie die entspre-
chenden Anmeldedaten ein. Alle Befeh-
le, die Sie in dieser Sitzung ausführen,
werden direkt auf dem Remotecomputer
gestartet.
Eine Remotesitzung in der normalen
PowerShell starten Sie über
Enter-PSSession Servername
Wollen Sie sich mit einem anderen Be-
nutzer authentifizieren, verwenden Sie
Enter-PSSession -ComputerName Compu-
ter -Credential Benutzer
Mit Exit-Session beenden Sie diese Power-
Shell-Sitzung wieder.
PowerShell 5.0 Windows Server 2019
Unbeaufsichtigte Installation
von Rollen und Features
Neben der Möglichkeit, Rollen und Fea-
tures direkt über die PowerShell zu in-
stallieren, können Sie in der PowerShell
auch die XML-Steuerungsdatei verwen-
den, die Sie im Assistenten zum Instal-
lieren von neuen Rollen im letzten Fenster
speichern können.
Um auf einem anderen Server die gleichen
Rollen und Features zu installieren, ver-
wenden Sie die PowerShell und geben die
XML-Datei mit. Dabei nutzen Sie das In-
stall-WindowsFeature-Cmdlet mit der Op-
tion "-ConfigurationFilePath", zum Beispiel
Install-WindowsFeature -Configurati-
onFilePath C:\Daten\iis.xml
Systemprozesse überwachen
Eine häufige Administrationsaufgabe ist
das Verwalten der laufenden Prozesse auf
einem Server. Diese Aufgaben treten mit
der Migration zu Windows Server 2019
häufiger auf. Über den Befehl Get-Process
lassen Sie sich alle laufenden Prozesse ei-
nes Computers anzeigen. Suchen Sie alle
Prozesse mit dem Anfangsbuchstaben "S",
geben Sie den Befehl Get-Process s* ein.
Sollen die Prozesse zusätzlich noch sor-
tiert werden, zum Beispiel absteigend
nach der CPU-Zeit, erledigt dies
Pipe-Option |Sort-Object cpu
-Descending
Mit Windows Server 2019 haben Sie auch
die Möglichkeit, über das Windows Ma-
nagement Interface Informationen abzu-
fragen oder zu skripten. Sie können zum
Beispiel die Konfiguration der Auslage-
rungsdatei in der Befehlszeile über WMI
vornehmen. Dabei ist es nicht notwendig,
sich mit der komplexen WMI-Problema-
tik auseinander zu setzen, über die Power-
Shell lassen sich diese Daten schnell und
einfach ablesen.
So rufen Sie beispielsweise ausführliche
Informationen zu Festplatten mit WMI-
Befehlen und dem Get-WmiObject-
Cmdlet ab. Über die Option "Win32_Lo-
gicalDisk" erhalten Sie Details zu den
Festplatten.
Sonderheft II/2019 73
Windows Server 2019 PowerShell 5.0
Bild 6: Die Windows-Terminal-App dient als neue Oberfläche für Befehlszeile und PowerShell.
Das installierte Betriebssystem und das
Datum der Installation ziehen Sie eben-
falls aus WMI und der PowerShell. Mit
get-wmiobject win32_operatingsystem
| select @{Name="Installed"; Ex-
pression={$_.ConvertToDateTime($_.
InstallDate)}}, Caption
zeigen Sie die die entsprechenden Infor-
mationen an, gleiches gilt für die Bit-Va-
riante des Betriebssystems
Get-WmiObject -Class Win32_Computer-
System -ComputerName . | Select-
Object -Property SystemType), Do-
mäne, Hersteller, Modell und mehr
(Get-WmiObject -Class Win32_Compu-
terSystem
PowerShell für
Linux und macOS
Microsoft bietet mit der PowerShell Core
eine Variante der PowerShell an, die sich
auf Linux und macOS installieren lässt
und auch in Docker-Containern läuft.
Sie können also mit der PowerShell sehr
umfassend im Netzwerk die verschiede-
nen Betriebssysteme und Serveranwen-
dungen steuern. Unterstützt wird dies
durch die Lauffähigkeit in SSH-Sitzun-
gen. PowerShell Core bietet Microsoft
Open Source an, der Download erfolgt
über GitHub [10].
Wie bei der herkömmlichen PowerShell
in Windows lassen sich in der PowerShell
Core Befehle mit get-command anzeigen,
74 Sonderheft II/2019
wobei sich alle PowerShell-Cmdlets in
Module untergliedern. Eine Liste aller
Module erhalten Sie mit
Get-Module -ListAvailable
Windows-Terminal-App vereint
PowerShell und Kommandozeile
Mit der neuen Windows-Terminal-App
stellt Microsoft eine neue, gemeinsame
Oberfläche für die Eingabeaufforderung,
WSL und die PowerShell zur Verfügung.
Das Open-Source-Tool bietet dazu auch
die Unterstützung von Registerkarten.
Die Vorabversion von Windows Terminal
steht im Microsoft Store zur Verfügung.
Die Installation erfolgt also über die Sto-
re-App in Windows 10. Für den Einsatz
wird mindestens Windows 10 ab Build
18362 benötigt. Wenn die App fertig ge-
stellt ist, soll sie auch für Windows Server
2019 zur Verfügung stehen.
Nach dem Start öffnet sich eine neue Sit-
zung mit der PowerShell, PowerShell Co-
re oder der Eingabeaufforderung. Über
das Pluszeichen rufen Sie weitere Regis-
terkarten auf. Über das Pfeilsymbol ne-
ben dem Pluszeichen legen Sie fest, wel-
che Shell sich im Windows-Terminal-
Fenster öffnet.
Über die Datei "profiles.json" steuern Sie
die Einstellungen der App. Dazu klicken
Sie auf die Schaltfläche "Einstellungen"
im Dropdown-Menü und die Datei öff-
net sich im standardmäßigen JSON-Tex-
teditor des Systems. Jedes Profil ist ein
Link-Codes eingeben auf www.it-administrator.de
JSON-Objekt mit benutzerdefinierbaren
Eigenschaften. Nachdem Änderungen in
den Einstellungen gespeichert wurden,
wird das Terminal automatisch aktuali-
siert. Windows Terminal unterstützt be-
nutzerdefinierte Tastenbelegungen Diese
können den Einstellungen konfiguriert
werden. Auch Hintergrundbilder sind
generell möglich. Microsoft plant die Fer-
tigstellung bis zum Winter 2019.
Fazit
Mit der PowerShell können Sie in Win-
dows Server 2019 und Windows 10 noch
mehr Aktionen durchführen als in den
Vorgängerversionen. Microsoft hat bereits
bekannte Funktionen aus den Vorgänger-
versionen erweitert und verbessert. Zudem
kommen mit DSC und der Terminal-App
neue spannende Technolgien hinzu. Es
lohnt sich für Administratoren einen Blick
auf die PowerShell zu werfen, um die Mi-
gration zu Windows Server 2019 oder
Windows 10 zu beschleunigen und sich
das Leben einfacher zu machen. (jp)
Link-Codes
[1] NuGet
es213
[2] Chocolatey Repositories
e3pe4
[3] Create a Chocolatey
NuGet Package
gs233
[4] Desired State Configuration
gs272
[5] PowerShell Resource Gallery
gs273
[6] Expand and Compress Archive
Cmdlets
gs274
[7] Data Center Abstraction
gs275
[8] Managing Network switches using
PowerShell and CIM
f4z85
[9] DSC Resource Kit
f9z76
[10] Entfernen von Windows Store-
Apps in Windows 8
gs277
[11] Microsoft-Skript zur erneuten
Installation zuvor entfernter Apps
gs278
[12] PowerShell Core
i1p31
Hyper-V unter Windows Server 2019

Quelle: seamartini – 123RF

Verschachtelt
von Thomas Joos

Microsoft hat in Windows Server 2019 Hyper-V wieder

als Serverdienst integriert und stellt parallel dazu
Hyper-V Server 2019 kostenlos zur Verfügung. Damit
steht Administratoren eine vollumfassende Virtualisie-
rungsumgebung zur Verfügung, die sich flexibel mit
der PowerShell verwalten lässt. Dieser Beitrag beleuch-
tet Funktionen wie etwa die Nested Virtualization und
das Setup von Hyper-V im neuen Windows Server.

W
ir beginnen unseren Workshop
mit einem wichtigen Aspekt: In
Windows Server 2019 ist nämlich Win-
dows Defender als Virenscanner vorin-
stalliert. Und Malware-Scans können zu
Problemen mit Hyper-V führen. Glück-
licherweise hat Microsoft die notwendi-
gen Ausnahmen für Hyper-V und die zu-
gehörigen Serverrollen integriert. Um die
Ausnahmen bei Bedarf auszuschalten, ge-
ben Sie folgenden Befehl ein:
Set-MpPreference
-DisableAutoExclusions $true
Arbeiten Sie mit Hyper-V in Windows
Server 2019, sollten Sie also Ihren Viren-
schutz im Auge behalten und entspre-
chend anpassen – auch dann, wenn Sie
einen anderen Virenscanner als Windows
Defender einsetzen. Virtuelle Server lassen
sich außerdem einfach mit BitLocker ver-
wenden. In Generation-2-VMs können
Sie dazu ein virtuelles TPM hinzufügen,
für Generation-1-VMs speichert Windows
Server 2019 die notwendigen Daten in ei-
nem versteckten Bereich der Festplatte.
Verwalten lässt sich Hyper-V generell
über die PowerShell. Geben Sie Get-Com-
mand -Module Hyper-V ein, erhalten Sie
eine Liste der verfügbaren Cmdlets. Mar-
kieren Sie derweil im Hyper-V-Manager
vorhandene VMs, stehen Ihnen im Kon-
textmenü die Befehle zur Verfügung, die
für alle markierten VMs durchführbar
sind. Auf diesem Weg können Sie auch
im Hyper-V-Manager, aber auch im
Windows Admin Center effektiv Hyper-
V administrieren.
Neuerungen und
Verbesserungen in Hyper-V
Neben mehr Sicherheit und einer besse-
ren Unterstützung für Linux hat Micro-
soft Funktionen aus Azure in Windows
Server 2019 integriert. Generell findet die
Installation und Verwaltung von Hyper-
V in Windows Server 2019 noch weitge-
hend identisch zu den Vorgängerversio-
nen statt. So gibt es auch weiterhin den
Hyper-V-Manager. Natürlich lässt sich
Hyper-V in Windows Server 2019 auch
mit dem System Center administrieren.
Neu hinzugekommen ist die Möglichkeit,
Hyper-V mit dem Windows Admin Cen-
ter (WAC) zu verwalten.
Hyper-V ist nicht nur in Windows Server
2019 integriert, sondern steht auch kos-
tenlos über Microsoft Hyper-V Server zur
Verfügung. Die neue Version einschließ-
lich des kostenlosen Hyper-V-Servers
kann Shielded-VMs mit Linux nutzen. In
Windows Server 2016 konnten diese ver-
schlüsselten VMs nur mit Windows Ser-
ver 2016 eingesetzt werden. Neben dieser
Neuerung hat Microsoft die Technik der
Shielded-VMs weiter verbessert. Diese
starten dank des Offline-Modus auch
dann, wenn der Host Guardian Service
(HGS) nicht erreichbar ist. Hierfür dient
der Offline-Modus. Windows Server 2019
kann den Netzwerkverkehr in Hyper-V
zudem komplett verschlüsseln.
Das Dateisystem ReFS arbeitet in Win-
dows Server 2019 besser mit Hyper-V zu-
sammen. ReFS wurde in Windows Server
2012 als Ersatz für das alternde NTFS-
Dateisystem eingeführt. Microsofts
Hauptziel bei der Entwicklung von ReFS
war es, ein skalierbares Dateisystem zu
schaffen, um den Anforderungen heutiger
Rechenzentren gerecht zu werden. ReFS
bietet in Windows Server 2019 die Mög-
lichkeit der Datendeduplizierung. Die Er-
weiterung mit diesen Funktionen macht
ReFS zu einer guten Wahl für den Einsatz
auf Volumes mit VMs für Hyper-V.
Mit Windows Server 2016 hat Microsoft
die Container-Technologie vor allem auf
Basis von Docker in Windows-Server in-
tegriert. Auch Windows Server 2019 ver-
fügt über die Container-Technologie, die
sich natürlich zusammen mit Hyper-V
nutzen lässt. In der neuen Version können
auch Windows Server Container auf Basis
von Kubernetes verwaltet werden. Parallel
lassen sich dadurch auf einem Hyper-V-
oder Container-Host Windows-Container
und Linux-Container einsetzen.
Hyper-V-Container lassen sich auch in
Windows Server 2019 nutzen. So kann
das Betriebssystem jetzt auch problemlos
gruppierte, verwaltete Dienstkonten für

www.it-administrator.de Sonderheft II/2019 75

Virtualisierung H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
verschiedene Container verwenden. Das
erhöht die Sicherheit, weil Windows-Ser-
ver und -Container die Kennwörter für
Dienstkonten automatisch ändern kön-
nen. Windows Server 2019 ist außerdem
noch enger mit Azure verknüpft als seine
Vorgänger. So lassen sich zum Beispiel im
Windows Admin Center hyperkonver-
gente Netzwerke verwalten, die mit Azure
in einer hybriden Umgebung verbunden
sind. Lokale Server unter Hyper-V 2019
lassen sich dabei direkt über das WAC mit
der Azure Site Recovery verbinden.
Hyper-V mit dem Windows
Admin Center verwalten
Über das Windows Admin Center kön-
nen Sie auf einem Server mit Windows
Server 2019 auch Hyper-V installieren.
Dazu verwenden Sie den Bereich "Rollen
und Funktionen". Hier ist zu sehen, ob
auf einem Server bereits Hyper-V vor-
handen ist. Wenn das nicht der Fall ist,
kann die Installation über den Web-
browser erfolgen.
Nach der Installation sind auf einem Ser-
ver die beiden Menüpunkte "Virtuelle
Computer" und "Virtuelle Switches" zu
finden. Hierüber verwalten Sie die VMs
und virtuellen Switches des ausgewählten
Hyper-V-Hosts. Über den Menüpunkt
"Einstellungen" unten links nehmen Sie
serverspezifische Settings im Windows
Admin Center vor. Dazu gehört zum Bei-
spiel die Hyper-V-Konfiguration eines
Hyper-V-Hosts. Allerdings gilt generell
immer noch, dass im WAC nur ein Teil
der Einstellungen zur Verfügung steht,
der in den herkömmlichen Verwaltungs-
tools konfiguriert werden kann.
Im Windows Admin Center ist auch die
neue Funktion "Windows Server System
Insights" über den Menüpunkt "System-
daten" integriert. Hier überwachen Sie
über einen Assistenten mittels maschi-
nellem Lernen einen Hyper-V-Host. Da-
zu erstellt Insights etwa Prognosen, wann
es auf einem Server zu Engpässen kom-
men kann.
Hyper-V installieren
und verwalten
Hyper-V installieren Sie als Serverrolle.
Sie können dazu den Server-Manager ver-
76 Sonderheft II/2019
Bild 1: Die Konfiguration der Hyper-V-Replikation nehmen Sie im Hyper-V-Manager vor.
wenden, das Windows Admin Center
oder die PowerShell. Binden Sie einen
Server an System Center Virtual Machine
Manager an, haben Sie ebenfalls die Mög-
lichkeit, Hyper-V zu installieren, wenn
Sie den Host anbinden.
Für die Installation von Hyper-V fügen Sie
dieses wie andere Rollen als Serverrolle
hinzu. Auf herkömmlichen Servern startet
der Assistent zum Hinzufügen von neuen
Serverrollen. Sie können Hyper-V in
Windows Server 2019 auch über das Netz-
werk von einem Server-Manager aus in-
stallieren, das funktioniert auch mit dem
WAC. Über den Punkt "Verwalten / Rollen
und Features entfernen" deinstallieren Sie
Hyper-V auf dem Server wieder. Virtuelle
Server bleiben beim Deinstallieren aber
weiter auf dem Server gespeichert. Instal-
lieren Sie Hyper-V erneut, sind die VMs
wieder verfügbar. Benötigen Sie die virtu-
ellen Server nicht mehr, müssen Sie den
entsprechenden Ordner manuell löschen.
Sie finden die Verwaltungstools für Hy-
per-V im Assistenten zum Hinzufügen
von Serverrollen und Features auf der Sei-
te "Features hinzufügen" über "Remote-
server-Verwaltungstools / Rollenverwal-
tungstools / Hyper-V-Verwaltungstools".
In der PowerShell installieren Sie Hyper-
V und die Verwaltungstools mit
Install-WindowsFeature -Name Hyper-V
-IncludeManagementTools
Sie können an dieser Stelle auswählen, ob
Sie nur die grafische Oberfläche oder
auch die PowerShell-Cmdlets installieren
wollen. Mit diesen Verwaltungstools kön-
nen Sie ferner den kostenlosen Hyper-V-
Server 2019 verwalten.
In Windows Server 2019 haben Sie da-
neben die Möglichkeit, Serverrollen und
Features im Server-Manager über das
Netzwerk zu installieren. Dazu starten
Sie auf einem Server mit Windows Ser-
ver 2019 den Server-Manager und fügen
die Server hinzu, auf denen Sie Hyper-
V installieren wollen. Klicken Sie hierfür
auf "Verwalten / Server hinzufügen" und
wählen Sie die jeweiligen Server aus.
Starten Sie anschließend die Installation
von Serverrollen im Server-Manager,
können Sie aus den hinzugefügten Ser-
vern denjenigen Server auswählen, auf
dem Sie Hyper-V installieren wollen. Ge-
hen Sie anschließend genauso vor wie
bei der Installation der Serverrolle auf
dem lokalen Server.
Sie sehen im Assistenten zur Installation
von Serverrollen oben rechts den Ziel-
server, auf dem Sie Hyper-V installieren.
Auf dem Zielserver selbst bekommen Sie
www.it-administrator.de

von der Netzwerkinstallation während
der Installation nichts mit. Sie können
auf dem Quellserver den Assistenten zur
Installation schließen. Der Installations-
vorgang ist davon nicht betroffen. Auf
diesem Weg können Sie den Assistenten
zur Installation von Serverrollen auch
mehrmals starten.
Erste Schritte mit Hyper-V
Nach der erfolgreichen Installation müs-
sen Sie in der Regel den Server neu star-
ten. Melden Sie sich nach dem Neustart
mit dem gleichen Benutzerkonto an, mit
dem Sie auch die Installation durchge-
führt haben. Nach der Anmeldung ar-
beitet der Assistent weitere Aufgaben ab
und beendet die Installation. Hyper-V ist
jetzt erfolgreich auf dem Server instal-
liert. Nach der Installation finden Sie auf
der Startseite den Hyper-V-Manager vor,
mit dem Sie virtuelle Computer erstellen
und verwalten. In der Mitte der Konsole
sehen Sie nach der Erstellung die ver-
schiedenen VMs. Auf der rechten Seite
stehen die verschiedenen Befehle zur
Verwaltung der virtuellen Computer zur
Verfügung.
Über den Link "Neu" erstellen Sie eine
neue VM. Nach dem Erzeugen können
Sie das Betriebssystem auf dem neuen
Server entweder mit einer CD/DVD oder
über eine ISO-Datei installieren, die als
CD/DVD-Laufwerk mit dem Computer
verknüpft wird. Der generelle Ablauf bei
der Installation der Server in einer Hy-
per-V-Umgebung ist folgender:
- Sie erstellen virtuelle Switches auf Basis
der physischen Netzwerkkarten in Win-
dows Server 2019.
- Sie erstellen und konfigurieren die vir-
tuellen Server.
- Sie installieren das Betriebssystem auf
den VMs. Die Installation läuft genauso
ab wie auf normalen Servern.
Wenn Sie neue Hosts im Hyper-V-Mana-
ger anbinden, können Sie alternative An-
meldedaten für jeden Host eingeben und
diese auch speichern. Diese Funktion bie-
tet sich auch beim Anbinden älterer Ver-
sionen an. Mit dem Hyper-V-Manager in
Windows Server 2019 lässt sich nämlich
auch Hyper-V unter Windows Server
2012 (R2) und 2016 verwalten.
www.it-administrator.de
H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
Der Hyper-V-Manager kommuniziert
über das WS-MAN-Protokoll mit den
Hyper-V-Hosts im Netzwerk und unter-
stützt CredSSP, Kerberos und NTLM. Mit
CredSSP können Sie zum Beispiel Live-
migrationen durchführen, ohne zuerst
Delegierungen erstellen zu müssen. WS-
MAN verwendet Port 80, was die Verbin-
dung mit externen Clients und die Re-
moteverwaltung wesentlich vereinfacht.
Windows Server 2019 kann bei VMs über-
wachen, ob diese zu viel CPU-Last verur-
sachen und damit den Host sowie andere
VMs beeinträchtigen. Um diese Funktion
für eine VM zu aktivieren, verwenden Sie
in der PowerShell den folgenden Befehl:
Set-VMProcessor -EnableHostResource-
Protection $true
Virtuelle Switches erstellen
Alle virtuellen Computer, die Sie erstellen,
verwenden einen virtuellen Switch auf
dem Host-Server. Dieser verbindet die
virtuellen Computer mit den physischen
Netzwerkkarten des Hyper-V-Hosts und
erlaubt eine Kommunikation der VMs
mit dem Rest des Netzwerks. Virtuelle
Switches sind auf dem Hyper-V-Host hin-
terlegt und lassen sich während des Er-
stellens von virtuellen Servern oder auch
nachträglich anpassen. Dazu richten Sie
für virtuelle Server eine neue virtuelle
Netzwerkkarte ein und verbinden diese
mit dem virtuellen Server. Der virtuelle
Switch ist wiederum mit der physischen
Netzwerkkarte des Hosts verbunden.
Bevor Sie virtuelle Computer installieren,
besteht der erste Schritt in der Konfigura-
tion der virtuellen Switches. Dazu steht im
Hyper-V-Manager der Bereich "Manager
für virtuelle Switches" zur Verfügung. In
Hyper-V funktioniert die Hochverfügbar-
keit von Netzwerk-Switches auf anderen
Wegen. Wir zeigen auch hier die Vorge-
hensweise. Setzen Sie zum Beispiel meh-
rere physische Netzwerkkarten ein, erstel-
len Sie auch mehrere virtuelle Switches.
Für eine bessere Leistung im Netzwerk
dürfen virtuelle Server in Windows Server
2019 auf Hardwarefunktionen von Netz-
werkkarten zugreifen, was das Tempo er-
höhen kann. In den Einstellungen von
Virtualisierung
virtuellen Netzwerkkarten lässt sich die
Netzwerkbandbreite von Servern eingren-
zen und unerwünschte DHCP- oder Rou-
terpakete lassen sich blockieren. Dies soll
verhindern, dass virtuelle Server uner-
wünscht als DHCP-Server oder Router
agieren und das Netzwerk beeinträchti-
gen. Kaufen Unternehmen neue Hostsys-
teme für Hyper-V, sollten sie darauf ach-
ten, genügend Netzwerkkarten in den
Server einzubauen. Wichtig ist dabei
auch, dass die Karten die neuen Funktio-
nen in Hyper-V unterstützen.
Bereits mit Windows Server 2012 hat Mi-
crosoft die Möglichkeiten der Netzwerk-
switches für Hyper-V deutlich erweitert
und verbessert. Mit Hyper-V Network
Virtualization (HNV) können Unterneh-
men einzelne virtuelle Netzwerke vom
physischen Netzwerk trennen.
Zunächst erstellen Sie für die einzelnen
physischen Netzwerkkarten im Computer
jeweils einen virtuellen Switch durch die
Auswahl von "Neuer virtueller Switch"
und den Klick auf die Schaltfläche "Vir-
tuellen Switch erstellen". Im neuen Fens-
ter wählen Sie die physische Netzwerk-
karte aus, die Sie dem Switch zuweisen
wollen und legen fest, welche Art von
Netzwerk Sie dem Switch zuordnen:
- Extern: Dieses Netzwerk ermöglicht
dem virtuellen Computer eine Kommu-
nikation mit dem Netzwerk und zwi-
schen virtuellen Computern auf dem
Host. Sie können im Hyper-V-Manager
immer nur ein externes Netzwerk pro
verfügbare Netzwerkkarte erstellen, aber
mehrere VMs können sich dieses exter-
ne Netzwerk und damit die Geschwin-
digkeit der Karte teilen.
- Intern: Diese Netzwerke erlauben eine
Kommunikation der virtuellen Computer
untereinander auf dem physischen Host.
Die Computer können nicht mit dem
Netzwerk kommunizieren, außer mit
dem Hyper-V-Host selbst und den ande-
ren VMs. Dafür ist für diese Verbindung
keine Netzwerkkarte erforderlich, da die
Verbindung virtuell stattfindet.
- Privat: Diese Netzwerke erlauben eine
Kommunikation zwischen den einzel-
nen VMs auf dem Host. Die Kommu-
nikation mit dem Host selbst ist bei die-
sem Netzwerk nicht möglich.
Sonderheft II/2019 77
Virtualisierung H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
Sie können bei der Konfiguration auch fest-
legen, dass die verwendete physische Netz-
werkkarte nur für die virtuellen Computer
zur Verfügung steht, nicht für das Hostbe-
triebssystem selbst. Standardmäßig teilen
sich VMs und der Host die Netzwerkver-
bindung. Sie können Ihre Einstellungen je-
derzeit nachträglich anpassen. Haben Sie
mehrere Netzwerkkarten im Hyper-V-Host
verbaut, können Sie mehrere virtuelle Swit-
ches auf Basis dieser Karten erstellen.
Nach dem Zuordnen einer physischen
Netzwerkkarte zu einem virtuellen Switch
lassen sich diese anschließend den ein-
zelnen VMs als virtuelle Netzwerkadapter
zuweisen. Dies erfolgt beim Erstellen der
virtuellen Maschine oder nachträglich in
den Einstellungen über den Bereich Netz-
werkkarte. Die erste Tätigkeit besteht in
der Zuweisung des virtuellen Switches.
Anschließend lässt sich die Konfiguration
vornehmen. In den Eigenschaften steht
auch die Steuerung der Bandbreite zur
Verfügung. Dadurch regeln Sie die Netz-
werkgeschwindigkeiten virtueller Com-
puter. Diese Vorgaben können Sie jeder-
zeit in den Settings der VM anpassen,
wenn Sie diese angelegt haben.
Interessant sind unterhalb der Einstellun-
gen für die Netzwerkkarten noch die bei-
den Bereiche "Hardwarebeschleunigung"
und "Erweiterte Features". Bei der Hard-
warebeschleunigung können Sie den vir-
tuellen Computern erlauben, bestimmte
Berechnungen direkt an die physische
Netzwerkkarte weiterzureichen. Im unte-
ren Bereich lassen sich noch Berechnun-
gen für IPSec vom Prozessor des virtuellen
Servers auf die physische Netzwerkkarte
auslagern. Dadurch beschleunigen sich
die Systemleistung des Servers und die
Netzwerkgeschwindigkeit. Innerhalb der
erweiterten Features finden Sie zudem die
beiden neuen Einstellungen "DHCP-
Wächter" und "Routerwächter". Diese sol-
len verhindern, dass virtuelle Server un-
kontrolliert als DHCP-Server oder als
Router agieren.
Nach dem Erstellen der virtuellen Netz-
werke finden Sie auf dem Host in den
Netzwerkverbindungen die angelegten
Verbindungen wieder. Um die Netzwerk-
verbindungen anzuzeigen, geben Sie
78 Sonderheft II/2019
ncpa.cpl im Startmenü ein. Wichtig in
diesem Bereich ist, dass Sie zukünftig IP-
Einstellungen nicht mehr in der physi-
schen Netzwerkverbindung vornehmen,
sondern in den Einstellungen des virtu-
ellen Switches. Diese verwendet dann
auch der physische Windows-Server-
2019-Host für die Kommunikation mit
dem Netzwerk, wenn Sie keine dedizierte
Netzwerkkarte konfiguriert haben.
Sie können virtuelle Switches auch in der
PowerShell erstellen und verwalten. Die
entsprechenden Cmdlets finden Sie am
schnellsten, wenn Sie in der PowerShell
Get-Command *vmswitch* eingeben. Ne-
ben den Switches können Sie auch die
virtuellen Netzwerkadapter in der Power-
Shell steuern. Hier sehen Sie die Befehle
mit Get-Command *vmnetworkadapter*.
IDE vs. SCSI
als virtuelle Controller
Einfach ausgedrückt können virtuelle Ser-
ver in Windows Server 2019 zunächst nur
von IDE-Controllern booten, zumindest
wenn Sie Generation-1-VMs nutzen. Sie
können zwar weitere SCSI-Controller
hinzufügen, die Server starten aber nur
von virtuellen IDE-Controllern. Das liegt
daran, dass die alten Generation-1-VMs
in Windows Server 2012 (R2) und Win-
dows Server 2016 nur von emulierten
Controllern und nicht von virtualisierten
Controllern wie SCSI booten.
Physische IDE-Controller bieten zwar we-
niger Leistung als physische SCSI-Control-
ler, im Bereich der Virtualisierung ist das
aber nicht so. Dafür bieten virtuelle IDE-
Controller weniger Funktionen als die vir-
tuellen SCSI-Controller. Nutzen Sie eine
Generation-2-VM in Windows Server 2012
R2 oder 2016, startet diese direkt von einem
SCSI-Controller. Das gilt auch in Windows
10 und Windows Server 2019. Bei diesen
Servern kommt wiederum kein IDE-Con-
troller zum Einsatz. Allerdings können Sie
in diesem Fall nur Computer mit Windows
Server 2012 (R2), 2016, 2019 oder Win-
dows 8, 8.1 oder 10 virtualisieren.
Das liegt auch daran, dass Hyper-V vir-
tuelle IDE-Controller emuliert, auch noch
in Windows Server 2019. Das Betriebs-
system in Hyper-V muss daher nicht im-
mer davon ausgehen, dass es virtualisiert
zur Verfügung gestellt wird. Ein Betriebs-
system, das einen virtuellen IDE-Con-
troller nutzt, greift auf diesen genauso zu
wie auf einen physischen IDE-Controller.
Das gilt aber nur für den eigentlichen
Bootvorgang. Hyper-V schreibt die Be-
fehle an den virtuellen IDE-Controller so
um, dass die Zugriffe funktionieren. IDE-
Festplatten stehen also auch dann zur Ver-
fügung, wenn auf dem virtuellen Server
die Integrationsdienste für Hyper-V nicht
gestartet sind. Sobald die Integrations-
dienste geladen sind, stehen in der VM
die speziellen Treiber für virtuelle IDE-
und SCSI-Controller bereit.
Bei Generation-2-VMs weiß das Betriebs-
system bereits beim Starten, dass es in einer
virtuellen Umgebung zur Verfügung ge-
stellt wird. Diese VMs unterstützen aller-
dings keinerlei emulierte Hardware, auch
keine virtuellen IDE-Controller beim Boo-
ten. Generation-2-VMs booten also immer
über das UEFI-System von virtuellen SCSI-
Controllern. Diese werden nicht emuliert,
sondern sind als Treiber direkt in den Hy-
pervisor integriert und dadurch von der
VM zugreifbar. Das ist bereits beim Booten
des virtuellen Servers der Fall. Sobald ein
virtueller Server gestartet ist und die In-
tegrationsdienste geladen sind, greifen die
VMs ebenfalls über Treiber mit dem Hy-
pervisor auf den Controller dazu. Ab die-
sem Moment gibt es keine Leistungsun-
terschiede mehr zwischen virtuellen IDE-
und SCSI-Controller, da beide über die
gleiche Technik angebunden sind.
Der Vorteil von SCSI-Controllern ist au-
ßerdem die Möglichkeit, im laufenden
Betrieb Festplatten zuordnen oder abhän-
gen zu können. Außerdem können Sie
physische Festplatten direkt über virtuelle
SCSI-Controller an eine VM anhängen.
Virtuelle IDE-Controller erlauben maxi-
mal zwei virtuelle Geräte pro Controller.
Außerdem dürfen Sie nur zwei virtuelle
IDE-Controller pro virtuellen Server ver-
binden, aber dafür vier virtuelle SCSI-
Controller. Mit virtuellen SCSI-Control-
lern stehen Ihnen mehrere Kanäle mit
zahlreichen Anschlussmöglichkeiten zur
Verfügung. Insgesamt können Sie pro
SCSI-Controller 16 Festplatten anschlie-
ßen, insgesamt also 64.
www.it-administrator.de

Festplatten, die Sie an virtuellen SCSI-
Controllern anschließen, lassen sich im
laufenden Betrieb des Servers an- oder
abhängen. Das geht mit virtuellen und
physischen Festplatten, die Sie über vir-
tuelle SCSI-Controller an VMs anbinden.
Auch das funktioniert mit virtuellen Fest-
platten an virtuellen IDE-Controllern
nicht. Hier können Sie zwar auch jederzeit
Festplatten an- und abhängen, müssen
dazu aber die VM ausschalten.
Neu seit Windows Server 2012 R2 ist
die Möglichkeit, die Größe von virtuel-
len Festplatten im laufenden Betrieb zu
ändern. Auch dazu müssen die Festplat-
ten an einem virtuellen SCSI-Controller
angeschlossen sein. Das funktioniert
auch in Windows Server 2019. Was da-
gegen bei virtuellen IDE- und SCSI-
Controllern gleichermaßen funktioniert,
ist die Möglichkeit, die Dienstqualität
und Bandbreite von virtuellen Festplat-
ten zu begrenzen.
Per Hyper-V-Manager
virtuelle Maschinen erstellen
Nachdem Sie die virtuellen Switches für
virtuellen Computer angelegt haben, er-
stellen Sie die Rechner, die Sie virtuali-
sieren möchten. Dazu können Sie als In-
stallationsmedium entweder eine DVD
auswählen oder eine ISO-Datei. Um vir-
tuelle Computer zu erstellen, starten Sie
Bild 2: Virtuelle Switches ordnen Sie im Windows Admin Center einer Kategorie zu, hier "Extern".
www.it-administrator.de
H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
den Hyper-V-Manager. Sie können sich
auch von einem anderen Server oder
Computer aus mit dem Hyper-V-Host
verbinden. Klicken Sie anschließend auf
"Neu / Virtueller Computer" oder ver-
wenden Sie das Kontextmenü des Hosts
zum Erstellen eines virtuellen Computers.
Geben Sie auf der nächsten Seite den Na-
men der VM ein. Der Name hat nichts
mit dem eigentlichen Computernamen
zu tun. Hierbei handelt es sich lediglich
um den Namen im Hyper-V-Manager. Es
bietet sich aber an, den gleichen Namen
zu verwenden.
Aktivieren Sie nun das Kontrollkästchen
"Virtuellen Computer an einem anderen
Speicherort speichern". Sie können die-
sen Ordner im Hyper-V-Manager über
"Hyper-V-Einstellungen" festlegen. Hier
nehmen Sie darüber hinaus weitere Ein-
stellungen vor, die für Hyper-V selbst
und alle virtuellen Computer gemeinsam
gelten. Wählen Sie anschließend den
Ordner aus, in dem Sie die Daten des
virtuellen Computers speichern wollen.
Sie sollten für jeden Computer einen ei-
genen Pfad verwenden. Danach bestim-
men Sie, ob der virtuelle Server eine Ge-
neration-1-VM sein soll oder die neuen
Funktionen von Generation-2-VMs er-
füllt. Bedenken Sie aber, dass Sie die Ge-
neration eines virtuellen Servers nicht
mehr ändern können.
Virtualisierung
Wählen Sie auf der nächsten Seite aus,
wieviel Arbeitsspeicher Sie dem Compu-
ter zuweisen möchten. Generell sollten
Sie darauf achten, dass der gemeinsame
Arbeitsspeicher aller virtuellen Server
nicht den physischen Speicher des Hosts
überschreiten sollte. Der Arbeitsspeicher
des virtuellen Computers lässt sich nach
der Installation anpassen, auch im lau-
fenden Betrieb. Sie können an dieser Stelle
auch den dynamischen Arbeitsspeicher
aktivieren. Dieser ermöglicht es, dass vir-
tuelle Computer, die nicht ihren gesamten
zugewiesenen Arbeitsspeicher ausnutzen,
Teile davon auch anderen virtuellen Com-
putern zur Verfügung stellen können.
Virtuelle Computer können über Hyper-
V den Arbeitsspeicher teilen. Die einzel-
nen virtuellen Instanzen lassen den Hy-
pervisor wissen, wieviel Arbeitsspeicher
sie benötigen. Ist genügend Arbeitsspei-
cher auf dem Computer frei, teilt der Hy-
pervisor dem virtuellen Computer den
benötigten Arbeitsspeicher zu und zieht
ihn von anderen Computern ab, die der-
zeit keinen Bedarf haben. Sobald der Spei-
cherbedarf des Computers steigt, fragt der
Server den Speicher beim Hyper-V-Host
an und erhält diesen, wenn der Speicher
zur Verfügung steht. Umgekehrt teilen
VMs ständig dem Hyper-V-Host mit, wie
viel Arbeitsspeicher sie abgeben können.
Angelegten virtuellen Computern können
Sie über die Einstellungen einen Startwert
und einen maximalen Wert für den Ar-
beitsspeicher zuweisen. Die Zuteilung des
tatsächlichen Arbeitsspeichers steuert Hy-
per-V auch auf Basis der Prioritäten, die
Sie den virtuellen Computern zuweisen.
Um Dynamic Memory zu nutzen, aktivie-
ren Sie das Kontrollkästchen "Dynamischen
Arbeitsspeicher für diesen virtuellen Com-
puter verwenden". An dieser Stelle können
Sie aber keine Werte konfigurieren.
Wählen Sie auf der nächsten Seite das
Netzwerk aus, das Sie für die virtuellen
Server erstellt haben. Hier stehen die vir-
tuellen Switches zur Verfügung, die Sie
im Vorfeld angelegt haben. Sie können
nach dem Erstellen der VM zusätzliche
virtuelle Netzwerkkarten hinzufügen und
diese mit einem anderen virtuellen Switch
verbinden. Auf der nächsten Seite akti-
Sonderheft II/2019 79
Virtualisierung H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
vieren Sie die Option "Virtuelle Festplatte
erstellen" und wählen den Pfad und die
Größe aus. Sie können virtuellen Com-
putern auch nachträglich jederzeit weitere
virtuelle Festplatten über deren Einstel-
lungen zuordnen.
Im Anschluss geben Sie das Betriebssystem
an, das Sie installieren möchten. Am besten
aktivieren Sie die Option "Physisches
CD/DVD-Laufwerk" oder "Abbilddatei
(ISO)". Schließen Sie auf der nächsten Seite
das Erstellen der virtuellen Maschine ab,
lassen Sie diese aber nicht starten. Zunächst
nehmen Sie im Hyper-V-Manager weitere
Einstellungen vor. Rufen Sie dazu im Kon-
textmenü des virtuellen Computers den
Eintrag "Einstellungen" auf. Klicken Sie in
den Einstellungen des Computers auf
"Hardware hinzufügen", wenn Sie zusätz-
liche Hardware zur virtuellen Maschine
hinzufügen wollen, zum Beispiel weitere
virtuelle Netzwerkkarten oder einen
SCSI-Controller.
Legen Sie nun die Installations-DVD in
das Laufwerk des physischen Hosts oder
laden Sie die ISO-Datei in den Einstellun-
gen des virtuellen Computers. Klicken Sie
im Hyper-V-Manager den virtuellen Com-
puter mit der rechten Maustaste an und
wählen Sie im Kontextmenü den Eintrag
"Starten" aus. Eine Liste aller erstellten vir-
tuellen Server eines Hyper-V-Hosts rufen
Sie mit Get-VM ab. Mit der Option "|fl"
erhalten Sie weiterführende Informatio-
nen. Dazu gehören Echtzeitdaten, also
auch der zugewiesene Arbeitsspeicher,
wenn Sie Dynamic Memory einsetzen.
Virtuelle Server steuern
Im Fernwartungsfenster des virtuellen
Computers und auch in dessen Kontext-
menü stehen Ihnen verschiedene Schalt-
flächen zur Verfügung, mit denen Sie
die VM steuern:
- STRG+ALT+ENT senden: Mit der ers-
ten Schaltfläche auf der linken Seite,
senden Sie die Tastenkombination "Strg
+ Alt + Entf " an den Server.
- Starten: Mit der Starten-Schaltfläche
starten Sie den Server, wenn er ausge-
schaltet ist.
- Ausschalten: Schaltet den Server sofort
aus, ohne das Betriebssystem herunter-
zufahren.
80 Sonderheft II/2019
Bild 3: Der Assistent hilft beim Erstellen von virtuellen Servern.
- Herunterfahren: Fährt das Betriebssys-
tem herunter.
- Speichern: Mit dieser Option wird der
Inhalt des Arbeitsspeichers in einer Datei
auf dem Host abgespeichert und der Gast
dann abgeschaltet. Beim späteren Starten
wird dieser Status aus der Datei erneut
in den Arbeitsspeicher geladen und die
Maschine steht wieder zur Verfügung.
- Anhalten: Einer laufenden VM werden
sämtliche CPU-Ressourcen entzogen,
sie friert im aktuellen Zustand ein. Der
Inhalt des Arbeitsspeichers und damit
der aktuelle Zustand der Maschine,
bleibt erhalten und die VM läuft nach
dem Fortsetzen sofort weiter.
- Neu starten: Diese Schaltfläche ent-
spricht einem Reset. Das Betriebssystem
wird dazu nicht herunterfahren, son-
dern der Zustand entspricht dem des
Ausschaltens des Servers und einem so-
fortigen Neustart.
- Prüfpunkt: Mit dieser Schaltfläche er-
stellen Sie einen Prüfpunkt (auch Snap-
shot oder Momentaufnahme genannt).
- Zurücksetzen: Setzt den Server auf den
letzten Prüfpunkt zurück.
- Erweiterter Sitzungsmodus: Mit dieser
Schaltfläche aktivieren Sie für die aktuelle
Verbindung zum virtuellen Server den
erweiterten Sitzungsmodus auf Basis von
RDP. Mit der Schaltfläche aktivieren Sie
auch wieder den einfachen Sitzungsmo-
dus, den Sie bereits von Vorgängerversio-
nen von Windows Server 2019 kennen.
Neben der grafischen Oberfläche können
Sie virtuelle Server in der PowerShell steu-
ern. So schalten Sie mit Stop-VM virtuelle
Maschinen aus, starten Sie mit Start-VM
und rufen den Zustand mit Get-VM ab.
Um sich eine Liste der verfügbaren Be-
fehle anzuzeigen, verwenden Sie Get-
Command *vm*. Sie können über die
PowerShell Server auch neu starten (Re-
start-VM), anhalten (Suspend-VM) und
wieder fortführen lassen (Resume-VM).
Virtuelle Server können Sie mit Import-
VM importieren und mit Export-VM ex-
portieren. Snapshots erstellen Sie mit
Checkpoint-VM.
Einstellungen von
virtuellen Servern anpassen
Über das Kontextmenü oder den "Aktio-
nen"-Bereich lassen sich die verschiede-
nen Einstellungen der virtuellen Compu-
ter konfigurieren. Hierüber passen Sie
zum Beispiel die Anzahl der Prozessoren,
den Arbeitsspeicher, BIOS-Einstellungen
und die Schnittstellen an. Auch neue
Hardware fügen Sie über diesen Bereich
hinzu. In Windows Server 2019 können
Sie Netzwerkadapter im laufenden Betrieb
hinzufügen und entfernen. Sie müssen
VMs dazu also nicht herunterfahren. Sie
können bei Generation-2-VMs auch den
Arbeitsspeicher von Servern im laufenden
Betrieb anpassen – auch dann, wenn Sie
Dynamic Memory nicht nutzen.
Viele Einstellungen stehen aber nur dann
zur Verfügung, wenn der virtuelle Server
ausgeschaltet ist. Einstellungen, die im
laufenden Betrieb nicht möglich sind,
graut der Hyper-V-Manager aus. Ein wei-
www.it-administrator.de
 H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9 Virtualisierung

terer Bereich in den Einstellungen von

virtuellen Computern sind die BIOS-Ein-
stellungen. Hierüber legen Sie etwa fest,
ob die (Num)-Taste beim Starten auto-
matisch aktiviert ist und welche Bootrei-
henfolge der Server beachten soll. Möch-
ten Sie einem virtuellen Computer neue
Hardware hinzufügen – also eine neue
Netzwerkkarte, einen SCSI-Controller
oder neue Festplatten – klicken Sie den
virtuellen Computer mit der rechten
Maustaste an, wählen "Einstellungen" und
klicken dann auf "Hardware hinzufügen".

Generation-2-VMs können Sie auch mit

Linux-VMs nutzen. Das bietet Linux-VMs
auch die Möglichkeit, über UEFI zu boo-
ten und dessen Secure-Boot-Funktion zu
verwenden. Dazu müssen Sie Ubuntu ab
Version 14.04 oder SUSE Linux Enterpri-
se Server ab Version 12 einsetzen. Diese
Systeme sind automatisch für Secure Boot
aktiviert. Außerdem unterstützt Hyper-
V in Windows Server 2019 auch die ak-
tuellen Distributionen von CentOS, Ora-
cle Linux, Red Hat und Debian. Bevor Sie
eine solche VM starten, sollten Sie aber
erst konfigurieren, dass die VM auch die
Microsoft UEFI Certificate Authority
nutzt. Dazu geben Sie den folgenden Be-
fehl auf dem Host ein:
Set-VMFirmware vmname
-SecureBootTemplate
MicrosoftUEFICertificateAuthority
Virtuelle Festplatten
zu Servern hinzufügen
Um einem Server eine neue virtuelle
Festplatte hinzuzufügen, haben Sie ver-
schiedene Möglichkeiten. Nachdem Sie
einen oder mehrere SCSI-Controller als
Hardware hinzugefügt haben, können
Sie virtuelle Festplatten entweder zu ei-
nem virtuellen IDE-Controller hinzufü-
gen oder einen virtuellen SCSI-Controller
verwenden. Im laufenden Betrieb lassen
sich virtuelle Festplatten nur an virtuelle
SCSI-Controller hinzufügen. Um einen
virtuellen SCSI-Controller anhängen,
müssen Sie aber wiederum den virtuellen
Server herunterfahren.
Neue Festplatten fügen Sie im Schnell-
durchlauf folgendermaßen hinzu: Klicken
Sie mit der rechten Maustaste auf den vir-
Bild 4: Virtuelle Festplatten sind auf Wunsch dynamisch erweiterbar.
tuellen Server und dann auf "Einstellun-
gen". Klicken Sie auf den Controller, mit
dem die neue virtuelle Festplatte verbun-
den werden soll. Klicken Sie danach auf
"Festplatte" und dann auf "Hinzufügen".
Aktivieren Sie im neuen Bereich die Op-
tion "Virtuelle Festplatte" und klicken Sie
auf "Neu", um den Assistenten für eine
neue Festplatte zu starten. Bestätigen Sie
die Startseite des Assistenten zum Hin-
zufügen von neuen Festplatten und wäh-
len danach das Format aus, das die neue
Festplatte erhalten soll, also VHD (bis 2
TByte) oder VHDX (bis 64 TByte). Wäh-
len Sie als Nächstes aus, ob die Festplatte
eine feste Größe haben soll (Feste Größe),
dynamisch erweiterbar (Dynamisch er-
weiterbar) oder auf einer vorhandenen
Festplatte aufbauen soll (Differenzierung).
- Feste Größe: Bei dieser Variante legen
Sie eine feste Größe fest, die die virtuelle
Festplatte des virtuellen Servers nicht
überschreiten darf.
- Dynamisch erweiterbar: Dieser Typ
wird am häufigsten verwendet. Die hin-
terlegte Datei der Festplatte kann dyna-
misch mit dem Inhalt mitwachsen.
- Differenzierung: Wenn Sie diese Fest-
platte auswählen, wird auf Basis einer
bereits vorhandenen virtuellen Festplatte
eine neue Festplatte erstellt. Damit kön-
nen Sie von bereits vorhandenen virtu-
ellen Festplatten ein Abbild erzeugen.
Microsoft empfiehlt, die übergeordnete
virtuelle Festplatte mit einem Schreib-
schutz zu versehen, damit diese nicht
versehentlich überschrieben wird.
Auf der Differenzfestplatte liegen nur die
Änderungen, die das Gastsystem an der
virtuellen Festplatte vorgenommen hat.
Dazu werden alle Schreibzugriffe des
Gasts auf die Differenzfestplatte umge-
leitet. Lesezugriffe kombinieren den In-
halt der Differenzfestplatte und den Inhalt
der zugrunde liegenden virtuellen Fest-
platte, ohne dass der Gast etwas davon
bemerkt. Die zugrundeliegende Festplatte
wird nicht mehr verändert und die Dif-
ferenzfestplatte bleibt relativ klein, da sie
nur Änderungen enthält. Eine fertige Ba-
sisinstallation kann von mehreren VMs
gleichzeitig verwendet werden, indem Sie
mehrere Differenzfestplatten erstellen,

www.it-administrator.de Sonderheft II/2019 81

Virtualisierung H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
die auf dieselbe virtuelle Festplatte zu-
greifen. Dadurch sparen Sie sich viel Zeit
und Platz beim Klonen von virtuellen
Maschinen.
Im Anschluss legen Sie den Pfad fest, in
dem Windows Server 2019 die VHD/
VHDX-Datei speichern soll. Auch den
Namen der Datei geben Sie hier ein. Auf
der nächsten Seite legen Sie die Größe der
virtuellen Festplatte fest und können auch
den Inhalt einer physischen Festplatte in
die virtuelle Festplatte kopieren lassen.
Danach erhalten Sie noch eine Zusam-
menfassung und erstellen mit "Fertig stel-
len" schließlich die virtuelle Festplatte.
Klicken Sie danach im Fenster auf "An-
wenden", damit die virtuelle Festplatte
an den virtuellen Server angefügt wird.
Sie lässt sich nun in der Datenträgerver-
waltung der VM verwalten. Hier gehen
Sie vor wie bei physischen Festplatten.
Dynamische Festplatten wachsen mit
dem Speichervolumen einer VM mit.
Dadurch benötigen die Festplatten nicht
zu viel Speicherplatz nach der Installati-
on. Der Nachteil liegt allerdings in der
Leistung. Vor allem sehr leistungshung-
rige Systeme sind oft auf jedes Quäntchen
Leistung angewiesen.
Server, deren Performance nicht von der
Festplattenleistung direkt abhängt, kön-
nen diese Funktion durchaus nutzen. Al-
lerdings unterstützen auch nicht alle Ser-
veranwendungen dynamische Festplatten.
Bild 5: In Windows Server 2019 greifen Sie vom Host mit der PowerShell auf VMs zu.
Auch Serverrollen lassen sich dadurch installieren.
82 Sonderheft II/2019
Hier sollten Sie also sicherstellen, dass
der Hersteller der Serveranwendung dy-
namische Festplatten unterstützt – auch
dann, wenn die Leistung nicht unbedingt
ausschlaggebend ist. Außerdem wachsen
dynamische Festplatten ständig an. Es
kann passieren, dass der Speicherplatz
des Hyper-V-Hosts nicht mehr ausreicht.
In diesem Fall stellen VMs ihren Dienst
ein. Dynamische Festplatten sind also
durchaus eine interessante Funktion, soll-
ten für leistungshungrige VMs aber nicht
zum Einsatz kommen. Bei der Verwen-
dung der dynamischen Festplatten für
herkömmliche Server sollten Sie den Spei-
cherplatz des Hosts im Auge behalten.
Speicher-Migration: Virtuelle
Festplatten verschieben
In Windows Server 2019 besteht die Mög-
lichkeit, den Speicherort von virtuellen
Festplatten auf Hyper-V-Hosts zu verschie-
ben. Dieser Vorgang ist im laufenden Be-
trieb durchführbar. Das ist zum Beispiel
sinnvoll, wenn Sie einen Datenträger ver-
größern oder die virtuellen Datenträger
auf ein NAS oder SAN auslagern wollen.
Klicken Sie dazu mit der rechten Maus-
taste auf den virtuellen Server, dessen Fest-
platten Sie verschieben wollen. Wählen
Sie danach "Verschieben" aus. Im nächs-
ten Fenster geben Sie an, ob Sie die Daten
des virtuellen Servers oder nur die virtu-
ellen Festplatten verschieben möchten.
Im darauffolgenden Fenster wählen Sie
den entsprechenden Ordner aus, in dem
Hyper-V die Daten des Computers spei-
chern soll. Während des Vorgangs bleibt
der virtuelle Server gestartet. Sie sehen
den Status im Hyper-V-Manager. Möch-
ten Sie Daten in verschiedenen Ordnern
speichern, können Sie die entsprechende
Option auswählen und legen im nächsten
Fenster getrennte Speicherorte für Kon-
figurationsdateien, virtuelle Festplatte und
Snapshots fest.
Virtuelle Festplatten
von Servern verwalten
Im Aktionen-Bereich des Hyper-V-Ma-
nagers finden Sie auf der rechten Seite
die beiden Menübefehle "Datenträger be-
arbeiten" und "Datenträger überprüfen".
Mit "Datenträger überprüfen" starten Sie
einen Scanvorgang. Anschließend öffnet
sich ein neues Fenster und zeigt die Daten
dieser Festplatte an. So erfahren Sie, ob
es sich um eine dynamisch erweiterbare
Festplatte oder eine Festplatte mit fester
Größe handelt. Auch die maximale Größe
sowie die aktuelle Datenmenge zeigt das
Fenster an.
Über "Datenträger bearbeiten" stehen Ih-
nen verschiedene Möglichkeiten zur Ver-
fügung, um die aktuell ausgewählte Fest-
platte anzupassen:
- Komprimieren: Diese Aktion steht nur
bei dynamisch erweiterbaren Festplatten
zur Verfügung. Der Vorgang löscht leere
Bereiche in der VHD(X)-Datei, sodass
diese deutlich verkleinert wird. Aller-
dings ergibt dieser Vorgang nur dann
Sinn, wenn viele Daten von der Fest-
platte gelöscht wurden.
- Konvertieren: Mit diesem Vorgang wan-
deln Sie dynamisch erweiterbare Fest-
platten in Festplatten mit fester Größe
um oder umgekehrt.
- Erweitern: Dieser Befehl hilft dabei, den
maximalen Festplattenplatz einer
VHD(X)-Datei zu vergrößern.
- Zusammenführen: Der Assistent zeigt
diesen Befehl nur dann an, wenn Sie ei-
ne differenzierende Festplatte auswäh-
len, zum Beispiel die AVHD(X)-Datei
eines Snapshots. Da diese Datei nur die
aktuellen Unterschiede zu der VHD(X)-
Quelldatei enthält und auf diese verifi-
ziert ist, lassen sich die Daten zu einer
gemeinsamen VHD(X)-Datei zusam-
menführen, die alle Daten enthält. Die
www.it-administrator.de

beiden Quellfestplatten bleiben bei die-
sem Vorgang erhalten, der Assistent er-
stellt eine neue virtuelle Festplatte.
- Verbindung wiederherstellen: Für eine
differenzierende Festplatte ist es wichtig,
dass die Quelldatei der verifizierten
VHD(X)-Datei gefunden ist. Eine dif-
ferenzierende Festplatte kann aber auch
in einer Kette auf eine andere differen-
zierende Datei verweisen, die dann wie-
derum auf die VHD(X)-Datei verweist.
Dies kommt zum Beispiel dann vor,
wenn mehrere Snapshots aufeinander
aufbauen. Ist die Kette zerstört, zum Bei-
spiel weil sich der Pfad einer Festplatte
geändert hat, lässt sich mit diesem Be-
fehl die Verbindung wiederherstellen.
Hochverfügbarkeit in
Windows Server 2019
Mit Hyper-V-Replica lassen sich in Win-
dows Server 2019 virtuelle Festplatten und
ganze Server asynchron zwischen verschie-
denen Hyper-V-Hosts im Netzwerk repli-
zieren und synchronisieren. Die Replika-
tion findet über das Dateisystem statt, ein
Cluster ist nicht notwendig. Die Replika-
tionen lassen sich manuell, automatisiert
oder nach einem Zeitplan ausführen. Auf
diesem Weg betreiben Sie virtuelle Server
hochverfügbar, ohne teure Cluster einset-
zen zu müssen. Die Einrichtung nehmen
Sie über einen Assistenten im Hyper-V-
Manager vor. Außerdem können Sie die
Livemigration von virtuellen Servern ohne
Cluster verwenden.
Damit Hyper-V-Hosts die Replikation zu-
lassen, müssen Sie diese zunächst akti-
vieren. Auch eine Replikation zum kos-
tenlosen Hyper-V Server 2019 ist möglich.
Die entsprechende Replikation steuern
Sie über einen Assistenten, den Sie über
das Kontextmenü von virtuellen Servern
im Hyper-V-Manager starten.
Speicherorte in Hyper-V
Die Daten von Hyper-V-Hosts speichern
Sie an unterschiedlichen Orten. Die
Speicherorte selbst legen Sie an verschie-
denen Stellen in der Hyper-V-Verwaltung
fest, zum Beispiel den Hyper-V-Einstel-
lungen und in der Konfiguration der ein-
zelnen virtuellen Server. Zusätzlich ha-
ben Sie die Möglichkeit, den Speicherort
der virtuellen Festplatten und Konfigu-
www.it-administrator.de
H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
Bild 6: Das Verschieben des Speichers ist möglich, in diesem Beispiel der virtuellen Festplatten.
rationsdateien im laufenden Betrieb zu
ändern. In den Hyper-V-Einstellungen
des Hyper-V-Hosts selbst legen Sie den
Standardspeicherort für neue virtuelle
Server fest.
Sie können beim Anlegen neuer virtueller
Server festlegen, wo die Daten gespeichert
werden sollen. Dabei unterscheidet Hy-
per-V die Speicherorte der Konfigurati-
onsdateien, der Snapshot-Dateien und
der Smart-Paging-Dateien. Letztere Funk-
tion ist übrigens seit Windows Server
2012 an Bord. Smart Paging soll verhin-
dern, dass sich virtuelle Server nicht mehr
starten lassen, weil der gesamte verfüg-
bare Arbeitsspeicher bereits zugewiesen
ist. Die Smart-Paging-Funktion erlaubt
virtuellen Servern, beim Neustart Teile
der Festplatte des Hosts als Arbeitsspei-
cher zu nutzen.
Microsoft empfiehlt den Speicherort von
virtuellen Festplatten mit ReFS zu forma-
tieren. Mit diesem Dateisystem lassen sich
virtuelle Festplatten sehr viel schneller er-
stellen. Zudem ist das Dateisystem viel
stabiler. Auch Prüfpunkte (Snapshots) las-
sen sich auf ReFS-Datenträgern zügiger
anlegen und wieder zusammenfügen.
Verschieben und Gruppieren
Mit PowerShell-Cmdlets können Sie das
Cluster-Namenskonto aus der ursprüng-
lichen Active-Directory-Domäne entfer-
nen und die Cluster-Funktionalität he-
runterfahren. Anschließen lässt sich der
Cluster in eine neue Domäne verschieben.
Solche Szenarien kommen häufig bei Zu-
sammenschlüssen von Unternehmen vor,
oder wenn ein Unternehmen zu einer
Virtualisierung
neuen Netzwerkinfrastruktur wechselt.
Diese neuen Möglichkeiten erhöhen die
Flexibilität für Hyper-V-Cluster und deren
Domänenstatus.
Unternehmen können in Windows Server
2019 zudem mehrere Cluster gruppieren.
Sinnvoll ist das in den Bereichen Hyper-
V, Storage und Hyper-Converged. Da-
durch lassen sich VMs von einem Cluster
zu einem anderen live migrieren. Sinnvoll
ist das auch für Hyper-V in Verbindung
mit Azure oder der Verwendung von
Azure Stack.
Mit Hyper-V-Replika lassen sich VMs
zwischen verschiedenen Hyper-V-Hosts
oder zu Azure replizieren. Dazu war be-
reits Windows Server 2016 in der Lage.
Windows Server 2019 verbessert diese
Technologie und ermöglicht eine Kom-
bination von Hyper-V-Replika mit Stora-
ge-Replika. Bei Storage-Replika werden
komplette Datenträger zwischen Rechen-
zentren repliziert. Das ist vor allem für
Hyper-V-Hosts relevant. In Windows Ser-
ver 2016 konnte diese Technik nur mit
der Datacenter-Edition genutzt werden.
Windows Server 2019 unterstützt auch
mit der Standard-Edition die Replikation
von kompletten Datenträgern.
Allgemeine Konfiguration
von virtuellen Computern
Im unteren Bereich der Einstellungen von
virtuellen Computern legen Sie den von
Hyper-V verwendeten Namen sowie die
freigeschalteten Funktionen der Integra-
tionsdienste fest. In Windows Server 2019
werden die Integrationsdienste nicht
mehr über eine ISO-Datei installiert, son-
Sonderheft II/2019 83
Virtualisierung H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
dern über die Windows-Update-Funktion
des Servers. Dadurch besteht auch die
Möglichkeit zur Anbindung an WSUS.
Haben Sie für einen Computer noch kei-
nen Snapshot erstellt, also eine Siche-
rung des Betriebssystemzustands zu ei-
nem bestimmten Zeitpunkt, lässt sich
an dieser Stelle noch der Speicherort der
Dateien des virtuellen Computers an-
passen. Nach dem Erzeugen eines Snaps-
hots ist keine Änderung des Speicherorts
mehr möglich.
Über die Kategorie "Automatische Start-
aktion" legen Sie fest, wie sich der virtuelle
Computer bei einem Neustart des Hosts
verhalten soll. Die Kategorie "Automati-
sche Stoppaktion" dient der Konfiguration
des Verhaltens, wenn der Host herunter-
gefahren wird.
Virtuelle Server in
der PowerShell steuern
Sie können virtuelle Server in der Power-
Shell erstellen. Dazu verwenden Sie das
Cmdlet New-VM -Name Name des virtu-
ellen Servers. Neue virtuelle Festplatten
erstellen Sie mit New-VHD. Sie schalten
mit Stop-VM virtuelle Maschinen aus,
starten Sie mit Start-VM, und rufen den
Zustand und die Konfiguration mit Get-
VM ab. Eine Liste aller erzeugten virtu-
ellen Server eines Hyper-V-Hosts rufen
Sie mit Get-VM ab. Mit der Option "|fl"
erhalten Sie weiterführende Informatio-
nen. Alternativ verwenden Sie "|ft". Sie
erhalten so auch Echtzeitdaten, also auch
den zugewiesenen Arbeitsspeicher, sofern
Sie Dynamic Memory einsetzen.
In der PowerShell haben Sie auch die
Möglichkeit, das Ergebnis einer Get-Ab-
frage an ein anderes Cmdlet zu überge-
ben. So können Sie zum Beispiel mit
Get-VM die virtuellen Server eines Hy-
per-V-Hosts auslesen und mit Get-
VMHardDiskDrive die virtuellen Fest-
platten dieser Server anzeigen lassen.
Dazu verwenden Sie den Befehl Get-
VMHardDiskDrive (Get-VM).
Sie können vom Hyper-V-Host über
PowerShell Direct auch Dateien kopieren.
Dazu öffnen Sie eine neue Sitzung und
kopieren danach die Dateien:
84 Sonderheft II/2019
$PSSession = New-PSSession -VMName
VMName -Credential (Get-Credential)
Copy-Item -ToSession $PSSession -
Path C:\data.bar -Destination C:\
Mehr dazu finden Sie unter [1] in einer
PowerShell-Direct-Anleitung.
Daten virtueller Server
aus Hyper-V auslesen
Administratoren benötigen oft einen
Überblick zu den verschiedenen Ser-
vern im Netzwerk. Betreiben Sie im Un-
ternehmen virtuelle Server auf Basis
von Hyper-V, können Sie mit einfachen
Tools und Befehlen schnell und simpel
Informationen wie IP-Adressen, Fest-
plattendaten oder die Konfiguration
auslesen. Dazu sind nicht immer Zu-
satztools wie der System Center Virtual
Machine Manager notwendig. Oft rei-
chen die Bordmittel aus.
Wir zeigen Ihnen, welche Möglichkeiten
es gibt, Daten von Servern auszulesen.
Vor allem Hyper-V in Windows Server
2019 bietet hier mit der PowerShell einige
Möglichkeiten. Die folgenden Befehle
funktionieren oft auch für physische Ser-
ver oder virtuelle Server, die Sie mit an-
deren Lösungen wie VMware virtualisie-
ren. Auch für Arbeitsstationen lassen sich
manche der Tools nutzen.
Im Hyper-V-Manager sehen Sie die IP-
Adressen und Netzwerkdaten von virtu-
ellen Servern, wenn Sie einen Server mar-
kieren und ganz unten die Registerkarte
"Netzwerk" aufrufen. Sie erkennen an die-
ser Stelle auch den virtuellen Switch, mit
dem der virtuelle Server verbunden ist
und welchen Status die Verbindung hat.
Das funktioniert auch, wenn Sie Hyper-
V in Windows 10 nutzen.
Sie entnehmen dem Fenster auch die ak-
tuelle MAC-Adresse des Servers. Diese
spielt zum Beispiel für den Aufbau eines
Lastenausgleich-Clusters eine Rolle. Über
diesen Weg können Sie die IP-Adressen
der virtuellen Server im Hyper-V-Mana-
ger für alle angebundenen Hyper-V-Hosts
anzeigen. Sie lesen in der PowerShell aber
nicht nur Daten von virtuellen Servern
aus, sondern mit Get-VMhost auch Infor-
mationen zu den Hyper-V-Host im Netz-
werk. Details erhalten Sie auch mit diesem
Cmdlet über die beiden Optionen "|fl"
und "|ft".
Informationen zu virtuellen Switches zeigt
die PowerShell mit Get-VMSwitch an. Sie
können sich die Einstellungen der virtu-
ellen Netzwerkkarten mit dem folgenden
Befehl anzeigen lassen:
Get-VMNetworkAdapter -VMName Name
des virtuellen Servers |fl
Mit diesem Cmdlet erhalten Sie auch
die MAC-Adressen und IP-Adressen
der virtuellen Server auf dem Hyper-V-
Host. Wo die virtuellen Festplatten einer
VM gespeichert sind, sehen Sie im Hy-
per-V-Manager in dessen Einstellungen
im Bereich IDE-Controller oder SCSI-
Controller. Sie können die virtuellen
Festplatten auch über die PowerShell
mit den Cmdlets Get-VMIdeController,
Get-VMScsiController, Get-VMFibre-
ChannelHba und Get-VMHardDiskDri-
ve abfragen.
Zum Auslesen der IP-Adressen und Netz-
werkdaten können Sie daher nicht nur
die Möglichkeiten des vorherigen Ab-
schnitts verwenden, sondern auch das
Cmdlet Get-VMNetworkAdapter. Wollen
Sie zum Beispiel aus allen virtuellen Ser-
vern die IP-Adressen auslesen, rufen Sie
wieder mit Get-VM die virtuellen Server
eines Hosts ab und übergeben das Ergeb-
nis an Get-VMNetworkAdapter.
Anschließend können Sie das Ergebnis
noch filtern und nur die IP-Adressen der
virtuellen Server anzeigen. Dazu verwen-
den Sie zum Beispiel den Befehl Get-VM
| foreach{(Get-VMNetworkAdapter $_).IP-
Addresses}. Mit dem Zusatz "foreach" liest
der Befehl nacheinander die gewünschten
Daten aller VMs aus und zeigt diese an.
Mit dem Kommando lesen Sie aber nicht
nur die IP-Adressen der virtuellen Server
auf einem lokalen Hyper-V-Host aus, son-
dern können auch Hosts im Netzwerk ab-
fragen. Dazu nutzen Sie den Befehl
Get-VM -computername Name des Hyper-
V-Hosts | foreach{(Get-VMNetwork-
Adapter $_).IPAddresses}
www.it-administrator.de

WMI-Abfragen nutzen
Eine weitere Möglichkeit, um Daten vir-
tueller Server, aber auch von physischen
Servern im Netzwerk zu ermitteln, sind
WMI-Abfragen. Dazu nutzen Sie die
PowerShell und das Cmdlet Get-WMI-
Object. Dem Cmdlet übergeben Sie ein
bestimmtes WMI-Objekt und lassen sich
so die entsprechenden Daten des Servers
anzeigen. Um zum Beispiel Daten von
Festplatten auszulesen, verwenden Sie
das WMI-Objekt "Win32_LogicalDisk".
Als Beispiel nutzen Sie den Befehl Get-
WmiObject Win32_LogicalDisk. Sie ha-
ben auch die Möglichkeit, das Ergebnis
zu filtern. Dazu nutzen Sie die Option
"-filter".
Auch für das Cmdlet Get-WMI-Object
können Sie über das Netzwerk Daten von
physischen oder virtuellen Servern ab-
fragen. Dazu nutzen Sie einfach die Op-
tion "-Computername". Eine ausführliche
Liste der verfügbaren WMI-Objekte er-
halten Sie über Get-WmiObject -List.
Außer Laufwerke können Sie auch Ein-
stellungen der Netzwerkkarten abfragen.
Dazu verwenden Sie die Klasse "Get-
WmiObject Win32_Networkadapter". Sie
sehen hier alle wichtigen physischen Ein-
stellungen der Netzwerkkarten. Sie kön-
nen in der PowerShell anzeigen, ob es
sich um einen 32-Bit- oder 64-Bit-Com-
puter handelt. Dazu verwenden Sie Get-
WmiObject -Class Win32_ComputerSys-
tem -ComputerName . | Select-Object
-Property SystemType.
VM aus älteren
Windows-Servern integrieren
Um eine VM von Windows Server 2012
R2 oder 2016 in Windows Server 2019
zu importieren, gehen Sie folgenderma-
ßen vor:
1. Kopieren Sie das Verzeichnis mit der
VM auf den Hyper-V-Host mit Win-
dows Server 2019.
2. Öffnen Sie den Hyper-V-Manager und
klicken Sie auf "Virtuellen Computer
importieren".
3. Wählen Sie das Verzeichnis des neuen
virtuellen Servers aus.
4. Bestimmen Sie, auf welcher Art Sie die
VM importieren wollen.
5. Schließen Sie den Import ab.
www.it-administrator.de
H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
Die VM hat noch die VM-Version von
Windows Server 2012 R2 oder 2016. Da-
mit Sie die neuen Funktionen in Hyper-V
von Windows Server 2019 nutzen können,
öffnen Sie eine neue PowerShell-Sitzung
und geben Sie den Befehl Update-VmVer-
sion Name der VM an. Überprüfen Sie mit
Get-VM * | Format-Table Name, Version
ob die VM die neue Version verwendet.
Sie sehen die Version auch im Hyper-V-
Manager im unteren Bereich, wenn Sie die
VM markieren. Rufen Sie nun die Einstel-
lungen der VM auf. Im Bereich "Prüfpunk-
te" können Sie jetzt zum Beispiel die ver-
besserten Snapshots nutzen.
Microsoft unterstützt Unternehmen, die
Serverrollen zu Windows Server 2019
migrieren wollen, mit den Windows-Ser-
ver-Migrationstools. Damit können Sie
auch virtuelle Server zu Windows-Server-
2019-Zielservern migrieren. Bei den
Tools handelt es sich um eine Sammlung
verschiedener Cmdlets für die Power-
Shell. Rufen Sie auf dem Zielserver mit
Windows Server 2019 das Cmdlet Install-
WindowsFeature Migration auf, um die
Tools zu aktivieren oder verwenden Sie
den Server-Manager. Durch die Aktivie-
rung ist eine Migration über die Power-
Shell möglich.
Die Tools befinden sich nach der Instal-
lation im Ordner "C:\ Windows \ Sys-
tem32 \ ServerMigrationTools". Sie be-
nötigen aus diesem Ordner zum Beispiel
die Anwendung "SmigDeploy" auf dem
Zielserver mit Windows Server 2019,
doch dazu später mehr.
Sie können die Migrationstools auch auf
Core-Servern mit Windows Server 2019
über die PowerShell installieren. In die-
sem Fall müssen Sie erst eine Power-
Shell-Sitzung starten und können an-
schließend mit dem Cmdlet Install-
WindowsFeature Migration die Tools in-
stallieren. Um Hyper-V vom Quell- auf
den Zielservern zu migrieren, müssen
Sie wie beschrieben auf dem Zielserver
die Migrationstools installieren. An-
schließend erstellen Sie auf dem Ziel-
server ein Installationspaket der Migra-
tionstools für den Quellserver:
1. Öffnen Sie eine Eingabeaufforderung
mit Administratorrechten.
Virtualisierung
2. Geben Sie den Befehl cd %WinDir%\
System32\ServerMigrationTools ein.
3. Tippen Sie den Befehl smigdeploy /pa-
ckage /architecture amd64 /os WS12R2
/path Ordner ein. Migrieren Sie von
Windows Server 2012, verwenden Sie
"WS12", für Windows Server 2012 R2
verwenden Sie "WS12R2". Für Windows
Server 2016 gilt "WS16".
4. Kopieren Sie diesen Ordner nach der
erfolgreichen Ausführung des Befehls
vom Zielserver mit Windows Server
2019 auf den Quellserver.
5. Öffnen Sie auf dem Quellserver eine
Eingabeaufforderung mit Administra-
torrechten und wechseln in den Ordner
mit den Migrationstools.
6. Geben Sie den Befehl .\smigdeploy ein,
um die Migrationstools auf dem Quell-
server zu registrieren.
Wichtig bei der Migration von Hyper-V-
Servern zu Windows Server 2019 ist die
Kompatibilität der Prozessoren. Eine Mi-
gration ist nur dann möglich, wenn die
Prozessoren des Quellservers mit den
Prozessoren auf dem Zielserver kompa-
tibel sind.
Im ersten Schritt der Migration erfassen
Sie auf dem Quellserver die notwendigen
Daten für Hyper-V. Dazu verwenden Sie
das Cmdlet Export-SmigServerSetting. Mit
dem Befehl erstellen Sie eine XML-Datei,
die vor allem wichtige Speicheroptionen
der Daten der virtuellen Server enthält.
Mit der Datei können Sie diese Einstel-
lungen in einem Rutsch auf dem Zielser-
ver importieren.
Dazu ist es aber notwendig, dass die Lauf-
werkskonfiguration auf dem Quell- und
dem Zielserver übereinstimmen. Ist das
nicht der Fall, müssen Sie die entspre-
chenden Einstellungen in der XML-Datei
auf dem Quellserver anpassen, bevor Sie
die Migration auf den Zielserver durch-
führen. Ein Beispiel für die Syntax ist
Export-SmigServerSetting -FeatureId
Hyper-V -IPConfig -User All -Group
-Path Pfad -Verbose
Die Option "-User <Enabled | Disabled |
All> -Group" bietet die Möglichkeit, auch
die Sicherheitseinstellungen in die Datei
zu integrieren, wenn Sie die Hyper-V-Ver-
Sonderheft II/2019 85
Virtualisierung H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
waltung delegiert haben. Mit "-IPConfig"
können Sie die IP-Einstellungen auf dem
Quellserver mit integrieren, um diese spä-
ter zu migrieren.
Hat das Cmdlet die Dateien erfolgreich
erstellt, kopieren Sie diese auf den Ziel-
server. Ist die Laufwerks- oder Ordner-
struktur zwischen Quell- und Zielserver
unterschiedlich, müssen Sie die neuen
Pfade in der Datei "StoragePathMap-
pings.xml" anpassen. Kopieren Sie in die-
sem Zusammenhang auch alle Daten aller
virtuellen Computer auf den Zielserver,
nicht nur die Migrationsdateien.
Anschließend verwenden Sie das Cmdlet
Import-SmigServerSetting für die Migra-
tion der Einstellungen auf dem Zielserver,
zum Beispiel
Import-SmigServerSetting -FeatureId
Hyper-V Parameter wie -IPConfig
oder -User wie beim Export -Path
Pfad -Verbose -Force
Lassen Sie die IP-Einstellungen über -IP-
Config migrieren, erzeugen Sie eine Liste
der Adressen, zum Beispiel
-IPConfig All -SourcePhysicalAddress
"Quell-Adresse 1","Quell-Adresse
2" -TargetPhysicalAddress "Ziel-
Adresse 1","Ziel-Adresse 2"
Externe virtuelle Netzwerke importiert
das Cmdlet als interne virtuelle Netzwerke
auf den Zielserver. Das heißt, Sie müssen
nach der Migration auf dem Zielserver
im Hyper-V-Manager die Einstellungen
der virtuellen Netzwerke anpassen. Sie
finden die Settings über den Manager für
virtuelle Netzwerke. Hier können Sie für
jedes Netzwerk festlegen, ob es intern
oder extern ist.
Anschließend sollten Sie noch sicherstel-
len, dass alle Einstellungen der impor-
tierten virtuellen Server noch korrekt sind
und diese unter Umständen nachträglich
anpassen. Vor allem die Konfiguration
der Datenträger, die IP-Adressen, die
Konfiguration des Arbeitsspeichers und
die Prozessoren sowie die generelle Kon-
figuration der Netzwerkverbindungen
sind in diesem Zusammenhang wichtig.
86 Sonderheft II/2019
Stellen Sie darüber hinaus sicher, dass
der Assistent alle Computer vom Quell-
auf den Zielserver importiert hat. Ach-
ten Sie auch darauf, ob die Snapshots
auf dem Quell- und Zielserver überein-
stimmen. Stimmt die Konfiguration,
starten Sie die virtuellen Server und
überprüfen im Ereignisprotokoll des
Zielservers über "Anwendungs- und
Dienstprotokolle / Microsoft / Windows /
Hyper-V-Verwaltungsdienst für virtuelle
Computer / Admin", ob Fehler proto-
kolliert werden.
Workloads zu Hyper-V migrieren
Ist ein Umstieg geplant, dann kann der
kostenlose "Microsoft Virtual Machine
Converter" (MVMC) [2] dabei helfen.
Während der Migration übernimmt das
Tool die virtuellen Festplatten aus dem
VMware-Format (VMDK) zum Hyper-
V-Format, und konfiguriert die virtuellen
Netzwerke der virtuellen Server. Außer-
dem kann es den Dynamic Memory an-
passen, die dynamische Verwendung des
Arbeitsspeichers in Hyper-V.
Mit dem kostenlosen Microsoft Virtual
Machine Converter können Sie auch phy-
sische Computer zu VMs konvertieren
(P2V). Dabei helfen Skriptmöglichkeiten
in der PowerShell, aber auch Assistenten
in der grafischen Oberfläche.
Mit dem Microsoft Virtual Machine Con-
verter lassen sich aber nur Server zu Mi-
crosoft Azure oder Hyper-V migrieren.
Eine Umkehrung der Migration oder an-
dere Ziele werden mit dem Tool nicht un-
terstützt. Das Tool muss auch nicht auf
einem Hyper-V-Host installiert werden.
Normalerweise wird es auf einer Arbeits-
station installiert, die eine Verbindung
mit dem Quell- und dem Zielsystem auf-
bauen kann.
Neben der Unterstützung einer Migration
zu Hyper-V können Sie mit MVMC VMs
auch für die Migration zu Microsoft Azu-
re vorbereiten. Hier lassen sich vor allem
die virtuellen Festplatten migrieren.
MVMC verfügt da,zu auch über ein
PowerShell-Cmdlet mit dem sich die
Konvertierung durchführen lässt. Das
Cmdlet ConvertTo-MvmcAzureVirtual-
HardDisk hat folgende Syntax:
ConvertTo-MvmcAzureVirtualHardDisk
[-SourceConnection] <MvmcSource-
Connection> [-SubscriptionId]
String [-Thumbprint] String [-Sto-
rageAccount] String [-GuestVmId]
String [[-GuestCredential] PSCre-
dential ] [[-UninstallVMTools]]
[[-SourceVMPowerOption] PowerOpti-
on ] [CommonParameters]
Die verschiedenen Optionen und Mög-
lichkeiten beschreibt Microsoft ausführ-
lich in einem Word-Dokument, das zum
Lieferumfang von Microsoft Virtual Ma-
chine Converter gehört. Zusätzlich stehen
noch folgende Cmdlets für die PowerShell
zur Verfügung:
- New-MvmcSourceConnection
- Get-MvmcSourceVirtualMachine
- ConvertTo-MvmcVirtualHardDisk
- ConvertTo-MvmcVirtualHardDiskOvf
- Disable-MvmcSourceVMTools
- Uninstall-MvmcSourceVMTools
- New-MvmcVirtualMachineFromOvf
- Stop-MvmcSourceVirtualMachine
Auch deren Syntax und der Umgang zur
Konvertierung beschreibt das Word-Do-
kument. Um zum Beispiel eine virtuelle
Festplatte vom VMware-Format zu kon-
vertieren, verwenden Sie das folgende
Kommando:
ConvertTo-VirtualHardDisk -SourceLi-
teralPath "C:\VMDKs\PattiFul-
lerVMDK.vmdk"-DestinationLiteral-
Path "C:\VHDs" -VhdType
FixedHardDisk -VhdFormat Vhd
Aber auch in der grafischen Oberfläche
steht die Migrationsmöglichkeit zu Azu-
re zur Auswahl. Microsoft Virtual Ma-
chine Converter ermöglicht auch die Mi-
gration von vSphere-Clustern und kann
virtuelle Server aus einem vSphere-Clus-
ter zu Windows-Server-Clustern mit Hy-
per-V übernehmen. Für die Migration
muss mindestens VMware vSphere
(vCenter) 5.0 im Einsatz sein. Sollen
VMs mehrerer vSphere-Hosts migriert
werden, ist vCenter notwendig. Bei der
Migration von einem alleinstehenden
oder einzelnen ESXi-Hosts reichen auch
diese als Quelle aus. Die Gastbetriebs-
systeme können dazu als 32-Bit- oder
als 64-Bit-Version vorliegen.
www.it-administrator.de

Während der Migration der Server passt
MVMC auch die Konfiguration der vir-
tuellen Server an und berücksichtigt dabei
die Einstellungen für den Arbeitsspeicher
und die virtuellen Prozessoren. Auch die
VMware-Tools werden deinstalliert sowie
die Hyper-V Integration Services instal-
liert. Die Migration findet über einen As-
sistenten statt. Bestandteil des Tools ist
aber auch eine skriptbasierte Möglichkeit
der Migration sowie eine Offlinekonver-
tierung der virtuellen Festplatten.
Generell ist es sinnvoll, dass die Quell-
VMs gestartet sind. Nach dem Start der
grafischen Oberfläche führt ein Assistent
durch die Migration. Hier wählen Sie aus,
ob physische Server oder VMs zu Hyper-
V migriert werden sollen. Danach steht
die Migration zu Azure oder Hyper-V zur
Auswahl. Auf weiteren Fenstern werden
Daten aus dem Quellserver ausgelesen
und es lassen sich Einstellungen der neu-
en VM anpassen, vor allem bezüglich der
virtuellen Festplatten, der CPUs, des Ar-
beitsspeicher und des Netzwerks. Im Rah-
men der Migration lassen sich virtuelle
Festplatten oder konvertierte, physische
Festplatten auf Dateifreigaben speichern.
Während der Migration legen Sie auch
fest, ob die Festplatten dynamisch erwei-
terbar sein sollen oder eine feste Größe
erhalten. Auch das Format, also VHD
oder VHDX lässt sich auswählen.
Nachdem der Assistent abgeschlossen
ist, unternimmt das Tool die Migration.
Funktioniert etwas nicht, bietet Micro-
soft Virtual Machine Converter umfas-
senden Zugriff auf eine Logdatei, über
die der Fehler schnell herauszufinden
ist. Wenn die Migration erfolgreich ab-
geschlossen ist, lässt sich die VM auf
dem Hyper-V-Host bereits starten. Al-
lerdings ist es hier empfehlenswert, alle
Einstellungen zu überprüfen. MVMC
migriert zwar einen großen Teil der Set-
tings, allerdings längst nicht alle. Es ist
sinnvoll, alle Eigenschaften der migrier-
ten VM zu überprüfen, vor allem die
Einstellungen des Netzwerks.
Neue VM-Version mit
der PowerShell steuern
Die aktuellen Funktionen in Hyper-V
von Windows Server 2019 lassen sich
www.it-administrator.de
H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
nutzen, wenn Sie für VMs die neue Ver-
sion 9.x aktivieren. VMs, die mit Win-
dows Server 2019 erstellt werden, erhal-
ten automatisch die aktuelle Version, bei
Migrationen von VMs zu Windows Ser-
ver 2019 wird die Version der Vorgän-
gerversionen beibehalten. Diese Version
hat nichts mit der Generation zu tun, al-
so Generation 1 oder Generation 2, son-
dern sagt lediglich aus, zu welchem Vir-
tualisierungshost die entsprechende VM
kompatibel ist.
Auch wenn Sie einen Server zu Windows
Server 2019 aktualisieren oder in einer
Livemigrations-Umgebung zur neuen Ser-
verversion verschieben, wird die Hyper-V-
Version nicht aktualisiert. Sie müssen die-
sen Vorgang manuell durchführen. VMs,
die Sie nicht aktualisieren, können Sie je-
derzeit wieder zu Servern mit Windows
Server 2012 R2 oder 2016 zurück verschie-
ben. Allerdings können Sie mit der alten
Version nicht die neuen Funktionen von
Windows Server 2019 nutzen.
Die Version von VMs lassen Sie mit
Get-VM * | Format-Table Name,
Version
anzeigen. Um eine VM auf die neue Ver-
sion zu aktualisieren, verwenden Sie den
Befehl Update-Vmversion Name der VM.
Die Änderung muss bestätigt werden. Au-
ßerdem ist die Modifikation nur möglich,
wenn die VM ausgeschaltet ist.
PowerShell Direct nutzen
Mit PowerShell Direct können Sie über
PowerShell-Sitzungen auf einem Hyper-
V-Host auf VMs des Hosts zugreifen und
Aktionen durchführen. Dazu muss auf
dem Host aber Windows Server 2019 lau-
fen. Auch in den VMs ist entweder Win-
dows 10 oder Windows Server 2019 not-
wendig. Um eine Sitzung zu starten, geben
Sie in der PowerShell-Sitzung auf dem
Host einen der folgenden Befehle ein:
Enter-PSSession -VMName Name der VM
im Hyper-V-Manager
Invoke-Command -VMName Name der VM
im Hyper-V-Manager -ScriptBlock {
Commands }
Virtualisierung
Für die erfolgreiche Verbindung müssen
Sie sich unter Umständen an der Sitzung
erst authentifizieren. Sie können auf die-
sem Weg über die PowerShell-Sitzung auf
dem Host aber nicht nur herkömmliche
Server mit der PowerShell verwalten, son-
dern auch Core-Server und Nano-Server.
Die Vorgehensweise dazu ist die gleiche.
Möchten Sie sich mit einem anderen Be-
nutzer authentifizieren, verwenden Sie
Enter-PSSession -VMName Computer
-Credential Benutzer
Mit Exit-Session beenden Sie diese Sitzung.
Eingebettete Virtualisierung
in Windows Server 2019
Windows Server 2019 bietet eingebettete
(nested) Virtualization. Dabei lassen sich
innerhalb von Hyper-V weitere Server mit
Hyper-V installieren. Das eignet sich vor
allem für Testumgebungen, aber auch für
die neuen Hyper-V-Container. Die Con-
tainer-Technologie Docker ist in Win-
dows Server 2019 in das Betriebssystem
integriert. Dazu gibt es eine Container-
Variante speziell für Hyper-V. Hier ist es
notwendig, dass Hyper-V selbst virtuali-
sierbar ist, also innerhalb einer VM eben-
falls auf Hyper-V-Technologien zugegrif-
fen werden kann. Mit VMware vSphere
6 ist das bereits möglich, mit Windows
Server 2016 führte Microsoft diese Tech-
nologie ebenfalls ein. Auch in Windows
Server 2019 ist eingebettete Virtualisie-
rung verfügbar.
Hyper-V blockiert bis Windows Server
2012 R2 den Zugriff auf Virtualisierungs-
funktionen des Prozessors. Ab Windows
Server 2016 werden die Virtualisierungs-
erweiterungen der Prozessoren an die vir-
tuellen Prozessoren der VMs weiterge-
reicht, wenn diese Funktion aktiviert wird.
Generell ist es durchaus möglich, auf ei-
nem Hyper-V-Host, der als VM auf einem
physischen Hyper-V-Server läuft oder
auch als VM in vSphere, weitere VMs zu
installieren, die ebenfalls wieder die Vir-
tualisierung nutzen. Um die eingebettete
Virtualisierung zu verwenden, müssen
Sie einen Hyper-V-Server mit Windows
Server 2019 installieren. Dieser muss über
mindestens 4 GByte Arbeitsspeicher ver-
Sonderheft II/2019 87
Virtualisierung H y p e r- V u n t e r W i n d o w s S e r v e r 2 0 1 9
fügen. Außerdem muss die VM im Host
ebenfalls über mindestens 4 GByte Ar-
beitsspeicher verfügen.
Um diese Technik also einigermaßen
praxisnah zu testen, sollte der Hyper-V-
Host über mindestens 8 GByte Arbeits-
speicher verfügen, besser 16 GByte. Da-
rüber hinaus wird auf diesem Server
eine VM ebenfalls mit Windows Server
2019 installiert. Derzeit können Sie die
Technik nur mit Intel-Prozessoren tes-
ten, für die Installation wird Intel VT-
x benötigt.
Bevor Sie auf der VM Hyper-V installie-
ren können, müssen Sie einige Vorberei-
tungen treffen. Zunächst deaktivieren Sie
den dynamischen Arbeitsspeicher für die
VM in den Einstellungen, falls Sie ihn
eingeschaltet haben. Außerdem müssen
Sie die Virtualisierungserweiterungen für
die vCPU aktivieren, genauso wie MAC-
Adress-Spoofing. Die Virtualisierungs-
erweiterungen aktivieren Sie am besten
in der PowerShell des Hosts, indem Sie
den folgenden Befehl eingeben:
Set-VMProcessor -VMName "VMName"
-ExposeVirtualizationExtensions
$true
Das Spoofing der MAC-Adressen wird
in den Einstellungen der VM über den
Menüpunkt "Erweiterte Features" unter-
halb des virtuellen Netzwerkadapters ge-
steuert. Sie können die Funktion ebenfalls
in der PowerShell aktivieren:
Get-VMNetworkAdapter -VMName
"VMName" | Set-VMNetworkAdapter
-MacAddressSpoofing On
Generell müssen Sie darauf achten, dass
bei der Verwendung dieser Virtualisie-
rung viele Funktionen in der VM nicht
mehr oder nur eingeschränkt funktionie-
ren. Livemigration ist genauso wenig
möglich wie das Erstellen und Verwenden
von Snapshots. Auch das Speichern des
Zustands der VM ist nicht möglich, die
VM muss bei Änderungen immer neu
gestartet werden.
Sobald die eingebettete Virtualisierung
aktiviert ist, kann in der VM Hyper-V
88 Sonderheft II/2019
installiert werden. Diesen Vorgang star-
ten Sie ebenfalls in der PowerShell auf
dem Host. Dazu nutzen Sie die neue
PowerShell-Direct-Funktion in Windows
Server 2019:
Invoke-Command -VMName "w2k19-core"
-ScriptBlock { Enable-WindowsOptio-
nalFeature -FeatureName Microsoft-
Hyper-V -Online; Restart-Computer }
Natürlich können Sie auch die PowerShell
in der VM oder den Server-Manager in
der VM verwenden. Auch die Installation
über das Windows Admin Center ist
möglich. Anschließend steht Hyper-V in
der VM zur Verfügung. Die Verwaltung
von Hyper-V erfolgt identisch mit der
Verwaltung von Hyper-V auf einem Hy-
per-V-Host.
Migrieren von
Festplattendateien
Haben Sie noch VHD-Dateien im Ein-
satz, können Sie diese in VHDX-Dateien
umwandeln. Sie können zum Konvertie-
ren den Hyper-V-Manager nutzen oder
das Cmdlet convert-VHD. Auf dem glei-
chen Weg konvertieren Sie auch von
VHDX-Dateien zum VHD-Format. Im
Rahmen der Umwandlung wählen Sie das
Datenträgerformat aus und können auch
zwischen dem Typ der Festplatten, also
feste Größe oder dynamisch erweiterbar
wechseln. Das Cmdlet convert-vhd steht
auch zur Verfügung, wenn Sie Hyper-V
in Windows 10 installiert haben:
Convert-VHD -Path Pfad zur VHD(X)-
Datei -DestinationPath Pfad zur
Zieldatei
Eine weitere Option ist die Möglichkeit,
den Typ der Festplatte zu ändern, zum
Beispiel mit
Convert-VHD -Path -VHDType Diffe-
rencing -ParentPath Übergeordnete
Festplatte
Neben der Möglichkeit, das Format von
Festplatten in der PowerShell umzuwan-
deln, können Sie auch die Größe von
Festplatten in der PowerShell anpassen.
Dabei hilft das Cmdlet Resize-VHD, zum
Beispiel
Link-Codes eingeben auf www.it-administrator.de
Resize-VHD -Path c:\vm\owa.vhdx
-SizeBytes 1TB
Virtuelle Festplatten lassen sich in der
PowerShell auch direkt mit virtuellen Ser-
vern verbinden:
Add-VMHardDiskDrive -VMName VM
-Path VHDX-Datei
Bei virtuellen SCSI-Controllern können
Sie Laufwerke im laufenden Betrieb hin-
zufügen. Zunächst lassen Sie sich mit fol-
gendem Befehl die SCSI-Controller der
VM anzeigen:
Get-VMScsiController
-VMname Name der VM
Um einem SCSI-Controller eine neue
Festplatte hinzuzufügen, verwenden Sie
Add-VMHardDiskDrive -VMname Name der
VM -Path Pfad zur VHDX-Datei
-ControllerType SCSI
-ControllerNumber Nummer
Mit dem Cmdlet Add-VMScsiController
fügen Sie einem virtuellen Server einen
virtuellen SCSI-Controller hinzu. Natürlich
können Sie virtuelle Festplatten auch direkt
am Host anbinden, zum Beispiel um Daten
auf die virtuelle Platte zu kopieren und
diese erst dann dem virtuellen Server an-
zubinden: mount-vhd VHD-Datei. Mit
dem Cmdlet unmount-vhd trennen Sie die
virtuelle Platte wieder vom System.
Fazit
Der generelle Umgang mit Hyper-V unter
Windows Server 2019 ähnelt dem unter
Windows Server 2016. Microsoft hat ver-
schiedene Funktionen verbessert, wie etwa
den Betrieb von Clustern oder die Inte-
gration von Linux. Die Verwaltung von
Hyper-V ist weiterhin mit dem Hyper-V-
Manager möglich, aber auch mit dem
Windows Admin Center und System Cen-
ter Virtual Machine Manager. (dr)
Link-Codes
[1] PowerShell-Direct-Anleitung
j3zb5
[2] Microsoft Virtual Machine Converter
e7pe1
Software-defined Networking für
verschlüsselte Netzwerke und Virtual Network Peering

In Verbindung
von Thomas Joos

In Windows Server 2019 hat Microsoft auch einige Neuerungen

im Bereich Software-defined-Networking eingeführt. So ist es möglich,

Quelle: nexusplexus – 123RF

verschlüsselte Netzwerke auf einem Server einzusetzen. Laut Microsoft
gehört dies zu den wichtigsten Sicherheitsneuerungen in Windows
Server 2019. Das Betriebssystem kann auf diesem Weg virtuelle
Hyper-V-Netzwerke in einem Peer-Netzwerk zu einem
virtuellen Netzwerk zusammenfassen.

N
eben den in diesem Beitrag gezeig-
ten Sicherheitsfunktionen unter-
stützen alle anderen Security-Features für
Netzwerke in Windows Server 2019 nun
IPv6. Das gilt natürlich auch für die Netz-
werkverschlüsselung und das Netzwerk-
Peering. Windows Server 2019 bietet
IPv6-Adresskonfiguration für virtuelle
Maschinen in der virtualisierten Netz-
werkumgebung. Für Unternehmen, die
IPv6 nutzen oder IPv6 in der System-zu-
System-Kommunikation unterstützen
wollen, ist die Möglichkeit in den SDN-
Funktionen verankert. Durch die Unter-
stützung von IPv6 in SDN-Konfiguratio-
nen können Unternehmen auch IPv6-
unterstützte Lastverteilung, Gateways und
Firewall-Regeln in SDNs erstellen.
Microsoft verspricht auch eine verbesserte
Leistung für SDN mit Windows Server
2019. Nutzen Unternehmen IPsec-VPN-
Tunnelkommunikation für SDN-Gate-
ways, soll sich die Leistung vervielfachen
und gleichzeitig die CPU-Last der betei-
ligten Server reduzieren. Windows Server
2019 ermöglicht derweil die Überwachung
und Protokollierung der Verschlüsselung,
die in virtuellen Netzwerken stattfindet.
Die verfügbaren Daten liefern Quell- und
Zielverkehrsinformationen und ermögli-
chen ACLs für die Steuerung, Verwaltung
und Protokollierung des Verkehrs.
Network Controller in
Windows Server 2019
Bereits mit Windows Server 2016 ist es
möglich, wichtige Einstellungen mit dem
Network Controller zentral für SDN-Netz-
werke vorzunehmen. In Windows Server
2019 wurde diese Verbindung noch aus-
gebaut. So lassen sich in der neuen Version
die verschlüsselten SDN-Netzwerke auch
mit dem Netzwerkcontroller erstellen und
überwachen. Die Vorgehensweise dazu
hat Microsoft in der Hilfe zu Windows
Server 2019 beschrieben. Diese zeigt, wie
Sie Zertifikate zur Verschlüsselung erstel-
len und virtuelle Subnetze verschlüsseln
lassen. Die Einstellungen und einzelnen
Schritte sind natürlich auch in der Power-
Shell möglich. Die Informationen dazu
finden Sie auf der Webseite "Configure
Encryption for a Virtual Subnet" [1].
Network Virtualization
Bereits mit Windows Server 2012 hat Mi-
crosoft die Möglichkeiten der Netzwerk-
switches für Hyper-V deutlich erweitert
und verbessert. Mit Hyper-V Network
Virtualization (HNV) können Unterneh-
men einzelne virtuelle Netzwerke vom
physischen Netzwerk trennen.
Die virtuellen Server in diesen Netzwer-
ken gehen davon aus, in einem echten
physischen Netzwerk zu laufen. Einfach
ausgedrückt, erweitert HNV die Funk-
tionen von virtuellen Servern auf die
Netzwerkkonfiguration. In einem physi-
schen Netzwerk lassen sich mehrere vir-
tuelle Netzwerke parallel einsetzen. Diese
können den gleichen oder einen anderen
IP-Adressraum verwenden. Der Daten-
austausch zwischen den Netzwerken lässt
sich mit HNV-Gateways einrichten. Viele
Hardware-Switches von Cisco etwa ar-
beiten mit dieser Konfiguration ebenfalls
zusammen. Auf diesem Weg fassen Sie
mehrere virtuelle Netzwerke zusammen,
sodass Server in diesem neuen Netzwerk
kommunizieren können.
In Windows Server 2019 lassen sich die
Bandbreiten im Netzwerkbereich steuern
und auch Treiber von Dritthersteller in
die virtuellen Switches integrieren. Hy-
per-V Network Virtualization unterstützt
ferner dynamische IP-Adressen. Das ist
in großen Rechenzentren sinnvoll, um ei-
ne IP-Adress-Failover-Konfiguration ein-
binden zu können. Die zentrale Steuerung
virtueller Netzwerke führen Sie im System
Center Virtual Machine Manager 2019
durch. Arbeiten Sie mit HNV, werden je-
dem virtuellen Netzwerkadapter im Netz-
werk zwei IP-Adressen zugewiesen: die
Kundenadresse (Customer Address, CA)
und die Anbieteradresse (Provider Ad-
dress, PA). Die CA ermöglicht den vir-

www.it-administrator.de Sonderheft II/2019 89

Virtualisierung Software-defined Networking
tuellen Servern im Netzwerk den Daten-
austausch, genau wie eine normale IP-
Adresse in einem Netzwerk. Die PA dient
dem Datenaustausch zwischen VM und
dem Hyper-V-Host sowie dem physischen
Netzwerk.
Die erste wichtige Änderung in den vir-
tuellen Switches von Hyper-V seit Win-
dows Server 2012 R2 ist die direkte Inte-
gration der Netzwerkvirtualisierung
direkt in den Switch. HNV stellt keinen
vorgelagerten NDIS-Filter dar. Dritther-
stellerprodukte können auf diesem Weg
direkt auf die CA zugreifen und über die
PA kommunizieren. Dadurch arbeiten
jetzt auch virtuelle Switches und die Net-
work Virtualization Generic Routing En-
capsulation (NVGRE) zusammen.
Das gibt den Drittherstellerprodukten
die Möglichkeit, über die Integration in
den virtuellen Switches auf die Netz-
werkvirtualisierung zugreifen zu können
und mit virtuellen Servern, aber auch
dem physischen Netzwerk zu kommu-
nizieren. Der komplette Datenverkehr
in den virtuellen Switches von Windows
Server 2019 läuft auch über die Netz-
werkvirtualisierung und die integrierten
Drittherstellerprodukte.
HNV ist daher keine Schnittstelle mehr
zwischen Netzwerkkarten und extensible
Switches, sondern integraler Bestandteil
der virtuellen Switches selbst. Auch aus
diesem Grund arbeiten NIC-Teams we-
sentlich besser mit der Netzwerkkvirtua-
lisierung zusammen. Dazu bietet Windows
Das Konfigurieren der VLAN-Anbindung im Hyper-V-Manager.
90 Sonderheft II/2019
Server 2019 die Möglichkeit, den Port in
die Firewallregeln zu integrieren, nicht nur
IP- und MAC-Adresse für die Quelle und
das Ziel. Diese Funktion arbeitet natürlich
umfassend mit der Netzwerkvirtualisie-
rung in Hyper-V zusammen. Die neue Ver-
sion kann Datenverkehr zwischen Netz-
werkkarten verschieben und unterstützt
für dieses Merkmal auch umfassend die
Netzwerkkarten-Teams.
Netzwerkverschlüsselung
Zur Verschlüsselung von Netzwerken ge-
hört in Windows Server 2019 auch die
automatische Subnetzverschlüsselung, ein
verbessertes Firewall-Auditing und die
Erweiterung der Access Control List
(ACLs) auf logische Subnetze, Virtual
Network Peering und die IPv6-Unterstüt-
zung. Diese Komponenten verbessern die
Sicherheit von Netzwerken in Windows
Server 2019 mit Verschlüsselung. Die
Netzwerkverschlüsselung spielt vor allem
für virtuelle Server eine Rolle, die entwe-
der mit Windows Server 2019 oder mit
dem kostenlosen Hyper-V-Server 2019
betrieben werden. Die verschlüsselte Sub-
netzfunktionalität in Windows Server
2019 bezieht sich daher auf die Bereit-
stellung der Verschlüsselung von Daten
zwischen virtuellen Maschinen.
Windows Server 2019 bietet eine auto-
matisierte Funktionalität, mit der die Si-
cherheit des Systems verbessert und die
Möglichkeiten von Diebstahl und Daten-
schnüffeln verhindert wird. Jedes Paket,
das eine VM verlässt, ist verschlüsselt,
wenn es an andere Ziele im gleichen Ba-
ckend-Netzwerk weitergeleitet wird. Das
System wird außerdem dauerhaft aktua-
lisiert. Die automatische Verschlüsselung
zwischen virtuellen Maschinen ist nur
dann verfügbar, wenn der Datenverkehr
innerhalb eines Subnetzes stattfindet. Ge-
hen die Daten an andere Subnetze, sind
sie nicht mehr verschlüsselt.
Windows Server 2016 bietet die Mög-
lichkeit der automatischen Anwendung
von ACLs auf virtuellen Maschinen, die
mit den Subnetzen verbunden sind. Mit
Windows Server 2019 wird diese Fähig-
keit der automatischen Anwendung von
ACLs auf die Fabric erweitert. Wenn Sie
eine virtuelle Maschine, mit einem
VLAN-basierten Netzwerk verbunden
haben, werden die ACLs automatisch
zugewiesen.
Setzen Unternehmen ein Software-defi-
ned Networking zwischen verschiedenen
Rechenzentren, Niederlassungen und
der Cloud ein, spielt die sichere Kom-
munikation eine wesentliche Rolle. Mit
Windows Server 2019 kann jetzt, wie er-
wähnt, der komplette Datenverkehr in
virtuellen Netzwerken verschlüsselt wer-
den. Die Verschlüsselung ist direkt in
das Betriebssystem integriert und schützt
die Datentransfers direkt über den Hy-
pervisor zwischen Servern, die mit Hy-
per-V virtualisiert werden.
Zusammen mit Hyper-V und der Peer-
Funktion von virtuellen Netzwerken kön-
nen mit Windows Server 2019 also kom-
plette Subnetze schnell und einfach
verschlüsselt werden. Dies geschieht au-
tomatisch, ohne dass einzelne Server ge-
trennt konfiguriert und überprüft werden
müssten. Die Kommunikation erfolgt bei-
spielsweise beim Einsatz von Webservern
zusammen mit Datenbankservern auf der
Netzwerk- und Subnetzebene.
Um Daten verschlüsselt zu übertragen
sind, wie bereits erwähnt keine weiteren
Einstellungen auf den Servern notwendig.
Werden weitere Server hinzugefügt, lassen
sich diese mit wenigen Klicks dem Ver-
schlüsselungsteam hinzufügen. Da durch
dieses neue System die Verschlüsselung
nicht mehr durch die Anwendung oder
das lokale Betriebssystem in der VM
www.it-administrator.de

durchgeführt wird, erhöht sich auch die
Leistung und Effizienz.
Verbessertes Firewallprotokoll
Das Firewallprotokoll ist ein weiteres Si-
cherheitsmerkmal, das mit den SDNs un-
ter Windows Server 2019 verbessert wur-
de. Die Funktion ist auf allen Hyper-
V-Hosts unter Windows Server 2019 ver-
fügbar. Die Technik wird verwendet, um
das ordnungsgemäße Funktionieren von
Netzwerkgrenzen zu überprüfen. Die Fi-
rewall hilft außerdem, Angriffe auf die
Netzwerkschnittstellen zu erkennen.
Zusammen mit der Netzwerkverschlüs-
selung in Windows Server 2019 sowie
dem verbesserten Firewall-Auditing bie-
tet Windows Server 2019 auch Netzwerk-
Peering an. Die Stärke im Bereich der Si-
cherheit von virtuellen Maschinen in
Bezug auf die Sicherheit liegt in der Iso-
lierung durch das SDN. Es gibt aber auch
die Möglichkeit, Server in verschiedenen
Netzwerken miteinander kommunizieren
zu lassen. Dazu binden Sie die virtuellen
Netzwerke als ein einziges Netzwerk ein.
Die Technologie kombiniert Router so,
dass sie sich auf der Netzwerkebene mit-
einander austauschen können.
Verschlüsselung für ein
virtuelles Subnetz konfigurieren
Die Netzwerkverschlüsselung ermöglicht
das Chiffrieren des virtuellen Netzwerk-
verkehrs zwischen VMs, die innerhalb
von Subnetzen miteinander kommuni-
zieren. Die Technik verwendet die Da-
tagram Transport Layer Security (DTLS)
im virtuellen Subnetz, um Pakete zu ver-
schlüsseln. Hierfür sind Verschlüsse-
lungszertifikate notwendig, die auf den
beteiligten Hyper-V-Hosts installiert sein
müssen. Die Technik arbeitet außerdem
mit dem Network Controller in Windows
Server 2019 zusammen, daher muss das
Zertifikat auch hier hinterlegt sein.
Wenn Sie die Verschlüsselung in einem
Subnetz aktivieren, verschlüsselt Windows
Server 2019 den Netzwerkverkehr inner-
halb des Subnetzes automatisch. Dies ge-
schieht parallel zu eventuellen anderen
Verschlüsselungen, die in der VM akti-
viert sind. Datenverkehr, der zwischen
VMs in verschiedenen Subnetzen ver-
Alle Listings zum Download unter www.it-administrator.de
Software-defined Networking Virtualisierung
schickt wird, lässt sich nicht verschlüsseln. der Hyper-V-Hosts in den erweiterten
Auch wenn für die einzelnen Subnetze Einstellungen der Netzwerkkarte festle-
die Verschlüsselung aktiv ist, wird diese gen, zu welcher VLAN-ID die Karte ge-
nicht umgesetzt. hören soll. Anschließend starten Sie im
Hyper-V-Manager den Manager für vir-
Beschränken Sie Anwendungen darauf, tuelle Switches und wählen die Netzwerk-
nur über das verschlüsselte Subnetz zu verbindung aus die Sie an das VLAN an-
kommunizieren, können Sie Zugriffs- binden wollen. Auch hier geben Sie die
kontrolllisten (ACLs) verwenden, um entsprechende VLAN-ID vor. Dazu müs-
die Kommunikation innerhalb des ak- sen Sie aber zunächst die Option "Iden-
tuellen Subnetzes zu erzwingen. Daten- tifizierung virtueller LANs für das Ver-
verkehr in andere Subnetze wird dann waltungsbetriebssystem aktivieren" setzen.
nicht mehr verschickt. Danach muss die Nachdem Sie die ID angegeben haben,
Authentifizierung über die PowerShell fließt der Datenverkehr von dieser Ver-
und den Network Controller eingerichtet bindung über die entsprechende ID.
werden. Die entsprechenden Anleitun-
gen dazu finden Sie ebenfalls auf der Mi- Auch interne Netzwerke in Hyper-V un-
crosoft-Seite "Configure Encryption for terstützen die VLAN-Konfiguration. Zu-
a Virtual Subnet" [1]. sätzlich können Sie virtuelle Server an
VLANs anbinden. Dazu geben Sie in den
Virtuelle LANs und Hyper-V Einstellungen der virtuellen Server über
Hyper-V in Windows Server 2019 un- die Eigenschaften der virtuellen Netz-
terstützt die Verwendung von VLANs. werkkarten ebenfalls die VLAN-ID an.
Bei solchen Netzwerken lassen sich Da- Möchten Sie, dass ein virtueller Server
tenströme voneinander trennen, um die mit mehreren VLANs kommunizieren
Sicherheit und die Leistung zu erhöhen. kann, fügen Sie dem Server einfach meh-
So lässt sich zum Beispiel der Netzwerk- rere virtuelle Netzwerkkarten hinzu und
verkehr für die Verwaltung des Servers konfigurieren das entsprechende VLAN.
vom Netzwerkverkehr der virtuellen
Server trennen. Die Technik muss aber Durch diese durchgehende Unterstützung
direkt im Netzwerk integriert sein, Swit- von VLANs können Sie bei entsprechend
ches und Netzwerkkarten müssen die kompatiblen Switches zum Beispiel Test-
Funktion unterstützen. umgebungen aufbauen oder Hyper-V-
Hosts logisch voneinander trennen, auch
Damit die Anbindung funktioniert, müs- wenn diese im selben Netzwerk konfigu-
sen Sie in den physischen Netzwerkkarten riert sind. Netzwerkkarten-Teams unter-
Listing 1: Virtuelles Netzwerk erstellen
#Find the HNV Provider Logical Network
$logicalnetworks = Get-NetworkControllerLogicalNetwork -ConnectionUri $uri
foreach ($ln in $logicalnetworks) {
if ($ln.Properties.NetworkVirtualizationEnabled -eq "True") {
$HNVProviderLogicalNetwork = $ln
}
}
#Create the Virtual Subnet
$vsubnet = new-object Microsoft.Windows.NetworkController.VirtualSubnet
$vsubnet.ResourceId = "Contoso"
$vsubnet.Properties = new-object Microsoft.Windows.NetworkController.VirtualSubnetProperties
$vsubnet.Properties.AddressPrefix = "24.30.1.0/24"
$uri=”https://restserver”
#Create the Virtual Network
$vnetproperties = new-object Microsoft.Windows.NetworkController.VirtualNetworkProperties
$vnetproperties.AddressSpace = new-object Microsoft.Windows.NetworkController.AddressSpace
$vnetproperties.AddressSpace.AddressPrefixes = @("24.30.1.0/24")
$vnetproperties.LogicalNetwork = $HNVProviderLogicalNetwork
$vnetproperties.Subnets = @($vsubnet)
New-NetworkControllerVirtualNetwork -ResourceId "Contoso_VNet1" -ConnectionUri $uri -Properties
$vnetproperties
Sonderheft II/2019 91
Virtualisierung Software-defined Networking
stützen ebenfalls die Anbindung an
VLANs. Verwenden Sie NIC-Teams in
virtuellen Servern, empfiehlt Microsoft,
die VLAN-Anbindung direkt über den
virtuellen Switch durchzuführen, nicht
für das virtuelle NIC-Team. Seit den Li-
nux Integration Services 3.5 lassen sich
VLANs nicht zuletzt auch für virtuelle
Linux-Server nutzen. Die Einstellungen
dazu sind identisch zu denen für virtuelle
Windows-Server.
Switch Embedded Teaming:
NIC-Teams für Hyper-V
Die NIC-Teaming-Funktion ist auch in
Windows Server 2019 noch verfügbar.
Besser ist es jedoch, auf die neue Vari-
ante "Switch Embedded Teaming" (SET)
zu setzen. SET bietet Hochverfügbarkeit
für virtuelle Netzwerkswitches. Die vir-
tuellen Netzwerkadapter der einzelnen
Hosts greifen auf virtuelle Switches zu,
aber auch die VMs können auf den vir-
tuellen Switch zugreifen und von der
Leistung der virtuellen Hyper-V-Switches
mit SET profitieren. Um ein solches
SET-Switch zu erstellen, verwenden Sie
die PowerShell:
new-vmswitch -name SETswitch
-Netadaptername "set1", "set2",
"set3" -AllowManagementOS $True
-EnableEmbeddedTeaming $true
Dieser Befehl verbindet die drei physi-
schen Netzwerkadapter "set1", "set2" und
"set3" mit einem neuen virtuellen Switch
namens "SetSwitch". Der Name ist na-
türlich frei wählbar. Möchten Sie über
das Team die Verwaltung des Betriebs-
systems nicht zulassen, verwenden Sie
die Option "-AllowManagementOS
$False". Nachdem Sie den virtuellen
SET-Switch erstellt haben, rufen Sie des-
sen Informationen mit Get-VMSwitch
ab. Hier sehen Sie auch die verschiede-
nen Adapter, die Bestandteil des virtu-
ellen Switches sind.
Ausführlichere Informationen erhalten
Sie mit Get-VMSwitchTeam Name. Hier
zeigt die PowerShell die Einstellungen
des virtuellen Switches an. Möchten Sie
den Switch wieder löschen, verwenden
Sie das Cmdlet Remove-VMSwitch. Na-
türlich lassen sich Teams auch nachträg-
92 Sonderheft II/2019
lich bearbeiten. Dazu wird das Cmdlet Zusätzlich können Sie festlegen, dass be-
Set-VMSwitch verwendet. Um die Grup- stimmte vNICs und damit VMs auch in
penmitgliedschaft zu ändern, verwenden einer Teamlösung auf eine bestimmte phy-
Sie zum Beispiel folgenden Befehl: sische Netzwerkkarte gebunden sind, die
wiederum Mitglied des Teams ist. Fällt der
Set-VMSwitch -Name TeamedvSwitch jeweilige Netzwerkadapter jedoch aus, wird
-NetAdapterName "SET1","SET4" die VM nicht vom Netzwerk getrennt, son-
dern Hyper-V nutzt so lange eine andere
Bei diesem Vorgang werden die zuvor physische Netzwerkkarte des Teams, bis
hinzugefügten Mitglieder "set2" und der ursprüngliche Adapter wieder funk-
"set3" aus dem Team entfernt und "set4" tioniert. Für die Verwaltung wird das
hinzugefügt. Alternativ können hier aber Cmdlet Set-VMNetworkAdapterTeamMap-
auch die Cmdlets "Add-VMSwitchTeam- ping verwendet, zum Beispiel:
Member" und "Remove-VMSwitchTeam-
Member" zum Einsatz kommen. Das Set-VMNetworkAdapterTeamMapping
Cmdlet "Set-VMSwitchTeam" verfügt -VMNetworkAdapterName SMB1
über die Option "-LoadBalancingAlgo- -ManagementOS
rithm". Hier lassen sich zwei verschiede- -PhysicalNetAdapterName Ethernet2
ne Werte definieren: "HyperVPort" oder
"Dynamic". Soll das Team in VMs ge- Alternativ können Sie den Befehl auch so
nutzt werden, bietet es sich an, auch die ausführen, dass er die Netzwerkadapter
Option "HyperVPort" zu verwenden. einer bestimmten VM konfiguriert:
Aber auch die Option "Dynamic" ist
sinnvoll einsetzbar. Die Konfiguration Set-VMNetworkAdapterTeamMapping
erfolgt auch hier in der PowerShell: -VMName w2k16
-PhysicalNetAdapterName set2
Set-VMSwitch -Name SetSwitch
-VMSwitchLoadBalancingAlgorithm Natürlich lässt sich die Zuordnung in der
Dynamic PowerShell überprüfen. Dazu steht das
Listing 2: Zweites virtuelles Netz erstellen und verbinden
#Create the Virtual Subnet
$vsubnet = new-object Microsoft.Windows.NetworkController.VirtualSubnet
$vsubnet.ResourceId = "Woodgrove"
$vsubnet.Properties = new-object Microsoft.Windows.NetworkController.VirtualSubnetProperties
$vsubnet.Properties.AddressPrefix = "24.30.2.0/24"
$uri=”https://restserver”
#Create the Virtual Network
$vnetproperties = new-object Microsoft.Windows.NetworkController.VirtualNetworkProperties
$vnetproperties.AddressSpace = new-object Microsoft.Windows.NetworkController.AddressSpace
$vnetproperties.AddressSpace.AddressPrefixes = @("24.30.2.0/24")
$vnetproperties.LogicalNetwork = $HNVProviderLogicalNetwork
$vnetproperties.Subnets = @($vsubnet)
New-NetworkControllerVirtualNetwork -ResourceId "Woodgrove_VNet1" -ConnectionUri $uri -Properties
$vnetproperties
Nachdem entsprechende Netzwerke vorhanden sind, können Sie diese miteinander verbinden,
indem Sie das Peering erstellen:
$ $peeringProperties = New-Object Microsoft.Windows.NetworkController.VirtualNetworkPeering-
Properties
$vnet2 = Get-NetworkControllerVirtualNetwork -ConnectionUri $uri -ResourceId "Woodgrove_VNet1"
$peeringProperties.remoteVirtualNetwork = $vnet2
#Indicate whether communication between the two virtual networks
$peeringProperties.allowVirtualnetworkAccess = $true
#Indicates whether forwarded traffic is allowed across the vnets
$peeringProperties.allowForwardedTraffic = $true
#Indicates whether the peer virtual network can access this virtual networks gateway
$peeringProperties.allowGatewayTransit = $false
#Indicates whether this virtual network uses peer virtual networks gateway
$peeringProperties.useRemoteGateways =$false
New-NetworkControllerVirtualNetworkPeering -ConnectionUri $uri -VirtualNetworkId "Contoso_vnet1” -
ResourceId "ContosotoWoodgrove” -Properties $peeringProperties
www.it-administrator.de
 Software-defined Networking Virtualisierung

Als Subnetzprefix verwenden wir 24

Listing 3: Zweites Netz mit erstem verbinden
(255.255.255.0). Den Wert für "Interfa-
$peeringProperties = New-Object Microsoft.Windows.NetworkController.VirtualNetworkPeeringProperties ceIndex" erhalten Sie mit Get-NetAdapter.
$vnet2=Get-NetworkControllerVirtualNetwork -ConnectionUri $uri -ResourceId "Contoso_VNet1" Hier wird der Switch genutzt, der zuvor
$peeringProperties.remoteVirtualNetwork = $vnet2 erstellt wurde. Anschließend erstellen Sie
# Indicates whether communication between the two virtual networks is allowed
das NAT-Netzwerk mit dem Cmdlet
$peeringProperties.allowVirtualnetworkAccess = $true
# Indicates whether forwarded traffic will be allowed across the vnets
"New-NetNAT":
$peeringProperties.allowForwardedTraffic = $true
New-NetNat -Name NAT-OutsideName
# Indicates whether the peer virtual network can access this virtual network’s gateway -InternalIPInterfaceAddressPrefix
$peeringProperties.allowGatewayTransit = $false NAT Subnet Prefix
# Indicates whether this virtual network will use peer virtual network’s gateway
$peeringProperties.useRemoteGateways =$false
In diesem Beispiel lautet der Befehl:
New-NetworkControllerVirtualNetworkPeering -ConnectionUri $uri -VirtualNetworkId "Woodgrove_vnet1”
-ResourceId "WoodgrovetoContoso” -Properties $peeringProperties
New-NetNat -Name NATnetwork
-InternalIPInterfaceAddressPrefix
Cmdlet Get-VMNetworkAdapterTeam- den ist, müssen Sie auch noch das zweite 192.168.0.0/24
Mapping zur Verfügung. Verbindungen Netzwerk mit dem ersten Netzwerk ver-
zwischen VMs und physischen Netzwerk- binden. Auch das können Sie in der Informationen lassen sich mit Get-NetNat
adaptern in einem Team lassen sich auch PowerShell erledigen (Listing 3). Danach abrufen. Um die Konfiguration zu lö-
wieder rückgängig machen. Dazu nutzen wird die Verbindung hergestellt. schen, verwenden Sie den Befehl Remo-
Sie das Cmdlet Remove-VMNetworkAdap- ve-NetNat. Sobald der NAT-Switch zur
terTeamMapping. NAT in Hyper-V Verfügung steht, kann er VMs zugewiesen
konfigurieren werden. Auf Basis des NAT-Switches kön-
Peering von Interne und private Switches dienen der nen Sie auch mit NAT-Forwarding arbei-
Virtuellen Netzwerken Kommunikation der VMs und des Hosts ten. Sollen zum Beispiel spezielle Ports
Mit Virtual Network Peering können Sie untereinander, während externe Switches des Hosts zu VMs weitergeleitet werden,
zwei virtuelle Netzwerke verbinden. Der für den Austausch mit dem restlichen steht das Cmdlet Add-NetNatStaticMap-
Datenverkehr zwischen virtuellen Ma- Netzwerk genutzt werden. Bisher war die ping zur Verfügung:
schinen in den virtuellen Netzwerken Verwendung von NAT nur durch Umwe-
wird über die Backbone-Infrastruktur ge möglich, zum Beispiel durch Funktio- Add-NetNatStaticMapping -NatName
über private IP-Adressen geleitet. Die nen im Host-Betriebssystem oder zusätz- "H704f0d2f-e492-4bc2-96ea-308095-
Kommunikation zwischen den virtuellen licher Software. ccfd75" -Protocol TCP
Netzwerken erfordert kein öffentliches -ExternalIPAddress 0.0.0.0
Gateway. Die IP-Adressräume der ver- Mit internen Switches lassen sich in Win- -InternalIPAddress 192.168.0.2
bundenen Netzwerke dürfen sich nicht dows-Server-2019-NAT-Umgebungen -InternalPort 80 -ExternalPort 80
überlappen. konfigurieren. Um einen NAT-Switch zu
erstellen, bietet sich die PowerShell als Fazit
Sobald Sie ein virtuelles Netzwerk mit ideales Mittel an, da Sie hier alle notwen- Windows Server 2019 bietet im Bereich
einem anderen verbunden haben, kön- digen Aufgaben vornehmen können. Im Software-defined Networking viele Funk-
nen Sie keine Adressbereiche hinzufügen ersten Schritt richten Sie einen internen tionen für Hyper-V-Hosts. Die meisten
oder entfernen. Wollen Sie Adressberei- Switch ein, der später für die NAT-Kon- SDN-Funktionen benötigen aber den Be-
che anpassen, müssen Sie das Peering figuration verwendet wird: trieb des Network Controllers. Dieser ko-
entfernen und neu erstellen. Jedes virtu- ordiniert die verschiedenen Funktionen der
elle Netzwerk kann weiterhin über ein New-VMSwitch -SwitchName "NAT- Objekte in einem SDN. Aus diesem Grund
eigenes Gateway verfügen. Um ein vir- Switch" -SwitchType Internal sollten Sie sich auch mit dem Network Con-
tuelles Netzwerk mit Subnetzen zu er- troller auseinandersetzen, wenn Sie ein SDN
stellen, können Sie zum Beispiel die Be- Danach erstellen Sie ein NAT-Gateway: mit Windows Server 2019 planen. (dr)
fehle in Listing 1 verwenden. Sie finden
diese Befehle auch auf der Webseite [2]. New-NetIPAddress -IPAddress NAT Link-Codes
Gateway IP -PrefixLength NAT Sub-
Um ein zweites virtuelles Netzwerk zu net Prefix Length -InterfaceIndex [1] Konfigurieren der Verschlüsselung
erstellen, das mit dem ersten verbunden ifIndex für ein virtuelles Subnetz
js2d1
werden kann, können Sie Befehle in Lis-
[2] Peering virtueller Netzwerke
ting 2 einsetzen. Wenn das erste Netz- Die IP-Adresse des NAT-Gateways ist frei
js2d2
werk mit dem zweiten Netzwerk verbun- wählbar, in diesem Beispiel 192.168.0.1.

Link-Codes eingeben auf www.it-administrator.de Sonderheft II/2019 93

Windows 2019 hyperkonvergent betreiben
Alles unter
einem Dach
von Thomas Joos
Windows Server 2019 lässt sich auch in einer Hyper-Converged
Infrastructure betreiben. Dabei werden, einfach ausgedrückt,
Software-definiertes Computing, Storage und Networking
in einem Cluster konsolidiert. Eine Rolle spielt Azure
Stack, mit dem Sie Azure-Funktionen in das
lokale Netzwerk holen.
E
ine Hyper-Converged Infrastructu-
re (HCI) ermöglicht eine einfache
und skalierbare Virtualisierung. Hierbei
werden die Funktionen im Bereich Stora-
ge, Cluster, Virtualisierung und Netzwerk
zusammengefasst und zentral verwaltet.
Hier steht zum Beispiel auch das neue
Windows Admin Center zur Verfügung.
HCIs werden häufig auch als Software-de-
fined Data Center (SDDC) bezeichnet. In
diesem Fall lassen sich komplette Rechen-
zentren hyperkonvergent betreiben.
Wichtige Bestandteile einer hyperkonver-
genten Infrastruktur mit Windows Server
2019 sind Hyper-V, Storage Spaces Direct
und Cluster-Installationen von Windows-
Servern. Wir haben die einzelnen Ele-
mente in diesem Sonderheft behandelt.
Natürlich spielt in einer hyperkonvergen-
ten Infrastruktur auch Software-definied
Networking eine Rolle. Hier kommen im
Wesentlichen virtuelle Switches im Be-
reich Hyper-V zum Einsatz. In hyperkon-
vergenten Umgebungen sollten Sie außer-
dem auf Windows Server 2019 Datacenter
setzen. Denn hier sind alle Funktionen
von Windows Server 2019 enthalten und
es lassen sich unbegrenzt virtuelle Server
erstellen.
94 Sonderheft II/2019
Da in einer HCI Software und Hardware
zu einer gemeinsamen Basis zusammen-
gefasst werden, sollten Sie beim Aufbau
einer Hyper Converged Infrastructure auf
Hardware setzen, die von Microsoft ent-
sprechend zertifiziert ist.
Mit Azure Stack zur hyper-
konvergenten Infrastruktur
Ergänzend zum Einsatz von Servern unter
Windows Server 2019 bietet sich Azure
Stack [1] als Alternative an. Dabei handelt
es sich um eine lokale Installation der
Azure-Funktionen im eigenen Rechen-
zentrum. Unternehmen können auf die-
sem Weg mit eigener Hardware eine Pri-
vate-Cloud-Umgebung aufbauen, die
wiederum Azure-Technologien und Ver-
waltungsmöglichkeiten unterstützt. Die
private Cloud auf Basis von Azure Stack
lässt sich auch mit Microsoft Azure ver-
binden, sodass die Möglichkeit zum Auf-
bau einer hybriden Cloud besteht.
Azure Stack stellt Infrastructure-as-a-Ser-
vice (IaaS)-Funktionen zur Verfügung
samt Speicher, virtuellen Maschinen und
Netzwerken. Aber auch PaaS-Features
(Platform-as-a-Service) sind umsetzbar.
Dazu gehören Container-Dienste oder
Quelle: aetb – 123RF
Serverless Computing sowie zahlreiche
weitere Dienste. Microsoft empfiehlt den
Betrieb auf Hardware seiner Azure-Stack-
Partner [2], um Leistung und Stabilität
sicherzustellen. Die bekanntesten Her-
steller sind HPE, Dell EMC, Lenovo, Cis-
co und Huawei. Diese bieten Hardware,
vorkonfigurierte Software sowie Support
an. Normalerweise erfolgt die Bereitstel-
lung dabei als Cluster.
Die Abrechnung von Azure Stack erfolgt
nicht als Kaufsoftware, sondern Unter-
nehmen müssen die Dienste und Zeiten
bezahlen, die sie nutzen. Die Abrechnung
erfolgt also generell ähnlich zu Azure. Mi-
crosoft bietet zusätzlich noch andere Ab-
rechnungsvarianten an. Diese sollten Sie
vor dem produktiven Einsatz mit einem
Lizenzierungsspezialisten besprechen.
Voraussetzungen
für Azure Stack
Die Einrichtung von Azure Stack nehmen
Sie mit dem Azure Stack Development
Kit vor, wenn die Installation nicht auf
der Hardware eines Azure-Stack-Partners
erfolgt. Mit dem Development Kit lassen
sich Entwicklungs- und Testumgebungen
für Azure aufbauen. Die Bereitstellung
www.it-administrator.de

Das "Deployment Checker for Azure Stack Development Kit"
erlaubt die Bereitstellung von Azure Stack.
über das Development Kit erfolgt auf Ba-
sis von VMs, wobei sich der Einsatz von
Hyper-V empfiehlt. Der Server, auf dem
Sie Azure Stack installiert möchten, muss
über folgende Voraussetzungen verfügen:
- Datenträger mit mindestens 200 GByte
(Betriebssystem)
- Vier Datenträger mit jeweils mindes-
tens 140 GByte (Azure-Infrastruktur)
- Zwei-Sockel-CPU mit mindestens 12
Kernen (16 empfohlen)
- 96 GByte Arbeitsspeicher
Microsoft bietet für die Installation von
Azure Stack ein PowerShell-Skript mit
der Bezeichnung "Deployment Checker
for Azure Stack Development Kit" [3] an.
Mit diesem Skript können Sie einen Ser-
ver darauf hin überprüfen, ob er kompa-
tibel mit Azure Stack ist. Das Skript hat
die Bezeichnung "Invoke-AzureStackDe-
ploymentPreCheck.PS1".
Azure Stack installieren
Wenn die Hardware kompatibel zu Azure
Stack ist, kann der Server bereitgestellt
werden. Die Installation von Azure Stack
über das Deployment-Kit erfolgt mit dem
PowerShell-Skript "asdk-installer.ps1" [4].
Die komplette Einrichtung läuft über ei-
nen Assistenten. Zur Installation des
PowerShell-Moduls zur Verwaltung von
Azure Stack registrieren Sie zunächst die
Microsoft PowerShell-Gallery mit
Set-PSRepository -Name "PSGallery"
-InstallationPolicy Trusted
Danach installieren Sie die Module:
Install-Module
-Name AzureRm.BootStrapper
Link-Codes eingeben auf www.it-administrator.de
Hyperkonvergenter Server
Use-AzureRmProfile
-Profile 2017-03-09-profile -Force
Install-Module -Name AzureStack
-RequiredVersion 1.4.0
Die einzelnen Dienste von Azure Stack
werden über VMs dargestellt, die Sie wie-
derum im Failovercluster-Manager ver-
walten und starten.
Hyperkonvergenz
mit Windows Server 2019
Für den hyperkonvergenten Betrieb von
Windows Server 2019 spielt Azure Stack
HCI eine wichtige Rolle. Hierbei handelt
es sich um eine Erweiterung von Azure
Stack. Azure Stack HCI verfügt über die
gleiche Rechen-, Speicher- und Netz-
werksoftware wie Azure Stack. Auch die
Integration in Azure ist möglich. Natür-
lich können Sie Windows Server 2019
auch ohne Azure Stack hyperkonvergent
betreiben.
Dazu bauen Sie einen entsprechend gro-
ßen Cluster auf, nutzen Storage Spaces
Direct und installieren die Funktionen
für das Software-basierte Netzwerk. Die
Administration des hyperkonvergenten
Clusters erfolgt im Windows Admin Cen-
ter und hier lassen sich auch die Azure-
Funktionen verwalten und lokale Instal-
lationen von Windows Server 2019 mit
Microsoft Azure verbinden.
Konfigurieren von
Software-defined Networking
Eine Hyper-Converged-Infrastruktur,
die Sie unter Windows Server 2019 be-
treiben, kann natürlich auch die soft-
waredefinierten Netzwerkfunktionen
von Windows Server 2019 nutzen. Mi-
Virtualisierung
crosoft stellt in diesem Bereich auch
SDN Express zur Verfügung [5]. Die zu-
gehörige Datei stellen Sie am besten im
Netzwerk auf einer Freigabe zur Verfü-
gung, damit alle beteiligten Computer
Zugriff auf die Informationen haben.
Auf den Servern selbst können Sie die
Freigabe danach verbinden. Das Skript
für die Bereitstellung sieht zum Beispiel
folgendermaßen aus:
.\SDNExpress.ps1 -ConfigurationData-
File .\your_fabricconfig.PSD1
-verbose
Die Verwaltung erfolgt auch in diesem
Fall im Windows Admin Center. Das
aktuelle WAC unterstützt die Adminis-
tration einer SDN-Hyper-Converged-
Infrastruktur. Dazu müssen Sie im Netz-
werk noch den Netzwerk-Controller von
Windows Server 2019 einsetzen.
Fazit
Windows Server 2019 lässt sich problem-
los hyperkonvergent betreiben. In die-
sem Fall werden Hyper-V und Storage-
Funktionen, wie Storage Spaces Direct
gemeinsam ausgeführt. Zusätzlich kom-
men die Software-definierten Netzwerk-
funktionen in Windows Server 2019
zum Einsatz.
Mit Azure Stack HCI lassen sich Azu-
re-Funktionen auf Basis von Windows
Server 2019 im eigenen Rechenzentrum
bereitstellen. Aber auch hier ist es wich-
tig, dass die Hardware korrekt ausge-
wählt wird und von Microsoft für den
hyperkonvergenten Betrieb zertifiziert
wurde. (dr)
Link-Codes
[1] Azure Stack Development Kit
js2b1
[2] Azure-Stack-Partner
js2b2
[3] Deployment Checker for
Azure Stack Development Kit
js2b3
[4] PowerShell-Skript
"asdk-installer.ps1"
js2b4
[5] SDN Express
js2b5
Sonderheft II/2019 95
 Quelle: natara – 123RF
Windows-Server-Container, Docker und Hyper-V-Container

Zu Gast
von Thomas Joos

In Windows Server 2019 baut Microsoft die Container-Technologie weiter aus. So lassen sich zum
Beispiel Windows-Server-Container parallel zu Linux-Containern betreiben. Der Nano-Server ist
mittlerweile Geschichte und als Nano-Image für Container-Hosts verfügbar. In diesem Beitrag
beleuchten wir die Neuerungen in Sachen Container in Windows Server 2019.

D
ie Nutzung von Containern gehört
in vielen Firmen inzwischen zum
Standard. Auch Microsoft hat die Zeichen
der Zeit erkannt und unterstützt Contai-
ner in Windows. Diese lassen sich auf al-
len Arten von Windows-Servern betrei-
ben. Diese Server wiederum kann der
Administrator als Cluster betreiben, so-
dass die Container hochverfügbar sind.
Daneben steht die Container-Technologie
auf dem Desktop in Windows 10 Profes-
sional und Enterprise ab Version 1607
(Anniversary Update) zur Verfügung. Ad-
ministratoren oder Entwickler können
mit Windows 10 so Container erstellen
und diese auf Container-Hosts unter
Windows Server 2019 übertragen. Hier
kann auch der Docker-Hub in der Cloud
zum Einsatz kommen, um die Container-
Images über das Internet und die Cloud
bereitzustellen. Verwalten lassen sich die
Umgebungen mit Kubernetes.
Mit Windows Server 2019 hat Microsoft
die Container-Technologie erweitert und
zum Beispiel Support von Kubernetes in-
tegriert. Windows Server 2019 unterstützt
für den Betrieb von Docker-Containern
zudem Technologien aus Docker Swarm.
So können zum Beispiel Container auch
einen gemeinsamen Port nutzen, um mit
dem Netzwerk zu kommunizieren.
In Windows Server 2019 lassen sich die
Standard-Images "nanoserver" und "win-
dowsservercore" auch mit Curl und Tar
ansprechen. OpenSSH ist ebenfalls in
Containern nutzbar. Die Verwaltung fin-
det vor allem über die PowerShell oder
die Befehlszeile statt. Der Verbindungs-
aufbau zum Container-Host ist über eine
RDP-Sitzung möglich. Container bauen
auf Images auf, die Sie im Container-Host
einbinden. Die Windows-Server-Contai-
ner sowie deren Erweiterung Hyper-V-
Container basieren dabei auf Docker [1].
Microsoft arbeitet für die Integration von
Docker mit dessen Entwicklern zusam-
men. Die Verwaltung von Docker ist mit
dem Docker-Client, in der PowerShell
und im System Center möglich.
Container-Feature installieren
Um Container zu nutzen, müssen Sie das
Container-Feature installieren. Dabei
spielt es zunächst keine Rolle, ob es sich
um einen vollständig installierten Server
oder um eine Core-Installation handelt
– zum Beispiel, wenn Sie die SAC-Version
von Windows Server nutzen wie Server
1903. Auf einem herkömmlichen Server
verwenden Sie dazu den Server-Manager
oder die PowerShell, auf einem Core-Ser-
ver installieren Sie das Feature in der
PowerShell. Dazu verwenden Sie den Be-
fehl Install-WindowsFeature Containers.
Mit dem Windows-Docker-Client ver-
walten Sie Container auf Basis von Docker
sehr einfach. Der Docker-Client dient nur
der Verwaltung der Container-Technolo-
gie, die direkt in Windows Server 2019
integriert ist, er stellt selbst keinen Ser-
verdienst zur Verfügung. Der Client kann
die Windows-Server-Container verwalten,
zusätzlich aber auch andere Hosts wie Li-
nux-Server und -Container. Die Docker
Toolbox [2] ermöglicht für aktuelle Win-
dows-Versionen die Verwaltung von Do-
cker auf Basis von Servern mit Windows
Server 2019 oder Linux.
Um Windows-Server-Container zu ver-
walten, installieren Sie die notwendigen
Erweiterungen auf dem Server. Dazu soll-
te der Server über eine Internetverbin-
dung verfügen, da so die Installation der
notwendigen Clients und der Download
von Images wesentlich einfacher ist:
Install-Module -Name DockerMsftPro-
vider -Force
Install-Package -Name docker -Provi-
derName DockerMsftProvider -Force
Restart-Computer -Force
Um eine Mindestversion für die Instal-
lation vorzugeben, verwenden Sie

96 Sonderheft II/2019 www.it-administrator.de


Install-Package -Name docker -Provi-
derName DockerMsftProvider -Force
-RequiredVersion 18.03
Anschließend steht der Server bereit und
Sie können mit Containern arbeiten. Ge-
nerell kann es sinnvoll sein, Docker als
Windows-Dienst zu starten:
Start-Service docker
Für Entwickler und Administratoren bie-
tet es sich außerdem an, Hyper-V für
Container-Hosts zu nutzen – auch unter
Windows 10. Dazu sind auf dem Win-
dows 10-Host einige Befehle notwendig:
netsh advfirewall firewall add rule
name="docker engine" dir=in
action=allow protocol=TCP
localport=2375
Stop-Service docker
dockerd --unregister-service
dockerd -H npipe:// -H 0.0.0.0:2375
--register-service
Start-Service docker
Erste Schritte mit Docker
Der Befehl docker images zeigt die vor-
handenen Docker-Images auf Ihrem
Windows-Server an. Standardmäßig sind
noch keine Images vorhanden. Sie müs-
sen diese daher erst herunterladen und
auf dem Container-Host einbinden. Er-
halten Sie bei der Ausführung des Do-
cker-Befehls eine Fehlermeldung, dass
die Authentifizierung fehlt, müssen Sie
sich zuerst mit docker login und Ihrer
Docker-ID anmelden. Eine Docker-ID
Bild 1: Die Container-Technologie in Windows Server 2019 installieren Sie über die PowerShell.
www.it-administrator.de
[3] erhalten Sie auf der Internetseite des
Docker-Projekts.
Um ein Image auf Basis von Windows
Server 2019 zur Verfügung zu stellen,
können Sie die notwendigen Daten direkt
bei Microsoft herunterladen:
docker image pull
mcr.microsoft.com/windows/
servercore:1809
docker image pull
mcr.microsoft.com/windows/
nanoserver:1809
Die neuen Container-Images von Win-
dows Server 2019 sind in der Microsoft
Container Registry (MCR) verfügbar. Sie
können als Image für Docker-Container
neben der Core-Installation auch eine
Nano-Installation verwenden. Der Na-
no-Server steht als Container-Image zur
Verfügung. Möchten Sie einen Container
erstellen und starten, verwenden Sie den
Befehl docker run. Mit dem Docker-Client
durchsuchen Sie den Docker-Hub nach
Images. Dazu verwenden Sie zum Beispiel
das Kommando:
docker search Microsoft
Neben den vollständigen Images für
Windows Server 2019 lassen Sich auch
.NET Core Images herunterladen:
docker image pull
microsoft/dotnet:2.1-sdk-nanoser-
ver-1809
docker image pull
microsoft/dotnet:2.1-aspnetcore-
runtime-nanoserver-1809
Container Virtualisierung
Auch ein Webserver auf Basis des IIS in
Windows Server 2019 lässt sich als Con-
tainer bereitstellen:
docker run -it -p 80:80
microsoft/iis cmd
Nach dem Start steht der Webserver mit
der Standardwebseite bereit. Um die Stan-
dardwebseite im Container zu löschen,
verwenden Sie zum Beispiel
del C:\inetpub\wwwroot\iisstart.htm
Möchten Sie die Startseite mit einer ei-
genen Seite ersetzen, nutzen Sie
echo "Test für den IIS im Windows-
Server-Container" >
C:\inetpub\wwwroot\index.html
Als Optionen geben Sie den Namen des
neuen Containers an sowie das Image.
Sobald der Container erstellt wurde, kön-
nen Sie ihn in der Befehlszeile mit der
Eingabeaufforderung und der PowerShell
verwalten. Um sich eine Liste aller Con-
tainer auf einem Container-Host anzu-
zeigen, verwenden Sie den Befehl
docker ps -a
Die installierte Docker-Version und den
Docker-Client lassen Sie sich mit docker
version aufrufen.
Windows-Server-Container und der Host
teilen sich einen Kernel, da die Container
den Kernel des Container-Hosts nutzen.
Dabei muss das Basis-Image des Contai-
ners mit dem des Hosts übereinstimmen.
Windows Server 2019 kennt hier vier Va-
rianten: Hauptversion, Nebenversion,
Build und die Revision. Die Revisions-
nummer wird aktualisiert, wenn Win-
dows-Updates installiert werden. Das
Starten von Windows-Server-Containern
ist nicht möglich, wenn die Build-Num-
mer nicht übereinstimmt. Das kann zum
Beispiel passieren, wenn Sie Vorabversio-
nen von Windows Server einsetzen oder
aktualisierte Container nutzen.
Stimmt die Buildnummer überein, die
Revisionsnummer aber ist unterschied-
lich, startet der Container zwar, allerdings
Sonderheft II/2019 97
Virtualisierung Container
ist der produktive Betrieb nicht empfoh-
len und wird von Microsoft auch nicht
unterstützt. Sie erkennen in der Registry
im Pfad "HKEY_LOCAL_MACHINE /
Software / Microsoft/Windows NT / Cur-
rentVersion", welche Version auf einem
Container-Host installiert ist. Stellen Sie
sicher, dass die Tags auf Docker Hub oder
die Image-Hash-Tabelle in der Beschrei-
bung des Images zur Version des Hosts
passen. Hyper-V-Container verwenden
derweil eine eigene Instanz des Windows-
Kernels. Daher müssen die Versionen von
Container-Host und Container-Image
nicht übereinstimmen.
Hyper-V-Container-Host
einrichten
Möchten Sie Hyper-V-Container nutzen,
benötigen Sie auf dem Container-Host
noch Hyper-V als Serverrolle. Um dabei
mit einer VM zu arbeiten, müssen Sie für
diese die eingebettete (nested) Virtuali-
sierung konfigurieren. Nehmen Sie hier-
für auf dem Hyper-V-Host, auf dem Sie
den Container betreiben, einige Anpas-
sungen in der PowerShell vor:
#Namen der virtuellen Maschine
ersetzen
$vm = "virtual-machine"
#Virtuellen Prozessor konfigurieren
Set-VMProcessor -VMName $vm -Expose-
VirtualizationExtensions $true
-Count 2
#Dynamic Memory ausschalten
Set-VMMemory $vm -DynamicMemoryEnab-
led $false
#MAC Spoofing aktivieren
Get-VMNetworkAdapter -VMName $vm |
Set-VMNetworkAdapter -MacAddress-
Spoofing On
In der VM, die Sie als Container-Host für
Docker und Hyper-V-Container nutzen
wollen, können Sie dann noch Hyper-V
über die PowerShell installieren
Install-WindowsFeature hyper-v
Mit dem Befehl Install-Module posh-docker
laden Sie die Vervollständigungs-Auto-
matik für den Docker-Client auf einen
98 Sonderheft II/2019
Rechner. Nach der Installation können Sie
mit der Tabulator-Taste durch die Befehle
und Optionen des Docker-Clients schal-
ten. In der PowerShell importieren Sie das
Modul mit Import-Module posh-docker.
Container nutzen
Sobald Sie den Container-Host installiert
und gestartet haben, können Sie mit Do-
cker Container-Images bei Microsoft he-
runterladen und starten. Auf Basis von
Containern lassen sich eigene Images er-
stellen. Sie können auch in den Contai-
nern Serveranwendungen installieren und
bereitstellen. Wie Sie dabei vorgehen, ha-
ben wir in den vorhergehenden Abschnit-
ten bereits gezeigt.
Microsoft stellt ein neues Image zur Ver-
fügung, mit dem Windows nahezu kom-
plett auch in einem Container betrieben
werden kann. Das Image namens "win-
dows" soll mehr Möglichkeiten bieten als
die Nano- und Core-Bereitstellungen. Es
bietet auch mehr APIs als die Images für
Nano-Server (nanoserver) und Core-Ser-
ver (windowsservercore). Das Image rufen
Sie in Docker über den folgenden Befehl
ab. Dazu muss aber Windows Server 2019
im Einsatz sein:
docker pull
mcr.microsoft.com/windows-
insider:latest
Aktuell sind keine weiteren Details be-
kannt, außer dass das Image über einen
erweiterten API-Satz verfügt, mehr Diens-
te als Nano- und Core-Server bietet und
sich Apps sehr viel leichter integrieren las-
sen. Microsoft will auch DirectX integrie-
ren, sodass auch UI-Tests automatisiert
mit dem Image durchgeführt werden kön-
nen. Bei dem Image handelt es sich um
eine nahezu vollständige Win dows-
Version, die als Container auf einem Con-
tainer-Host mit Windows Server 2019 ein-
gesetzt werden kann.
Mit dem neuen Windows-Container-
Image will Microsoft Entwickler dabei un-
terstützen, nicht nur spezielle Microser-
vices in Containern zu betreiben, sondern
auch Anwendungen und Dienste, die bis-
her die vollständige Installation eines
Windows-Servers benötigten. Dadurch
lassen sich auch solche Anwendungen zum
Beispiel mit Kubernetes orchestrieren.
Container erstellen und
Serverdienste verwalten
Erstellen Sie zum Beispiel mit dem fol-
genden Befehl einen neuen Container
und wechseln durch die Option "-it" in
die Befehlszeile, können Sie innerhalb des
Containers die PowerShell starten und
Installationen vornehmen:
docker run -it --name winiis -p
80:80 microsoft/windowsservercore
Sobald sich die Befehlszeile des Containers
öffnet, beginnen Sie mit dem Befehl power-
shell auf dem Container eine lokale Power-
Shell-Sitzung. Anschließend überprüfen
Sie zunächst, ob der IIS auf dem Container
installiert ist. Hier verwenden Sie den glei-
chen Befehl wie bei herkömmlichen Ser-
vern mit Windows Server 2019:
Get-WindowsFeature web-server
Um den IIS zu installieren, nutzen Sie
Install-windowsfeature web-server
Sobald der IIS im Container installiert ist,
können Sie über ipconfig die IP-Adresse
des Containers anzeigen lassen und zum
Beispiel vom Container-Host aus per
Browser auf die IP-Adresse des Containers
zugreifen. Da der IIS installiert ist und Sie
den Port 80 auf dem Container aktiviert
haben, wird die Startseite des IIS angezeigt.
Mit docker inspect erhalten Sie erweiterte
Informationen für Container, auch die
IP-Adresse des Containers. In Windows
Server 2019 können Docker-Container
einen gemeinsamen Netzwerkport nut-
zen. Damit das funktioniert, versetzen
Sie den Container-Host in den Docker-
Swarm-Modus:
docker swarm init --advertise-addr
127.0.0.1
Eigene Images erstellen
Sie können natürlich auch eigene Images
erstellen und bearbeiten, zum Beispiel auf
Basis bestehender Container, die Sie wie-
derum mit docker ps -a anzeigen lassen:
www.it-administrator.de

docker commit ID Ordner/
meincontainerimage
Hier ein Beispiel:
docker commit 662f25d6d835
windowsiis/joosimageiis
In Docker können Sie also auch Contai-
ner mit bereits installierten Anwendun-
gen als neues Image speichern und dieses
für neue Container verwenden. Ob das
Image erstellt wurde, erfahren Sie mit do-
cker images. Container löschen Sie wie-
derum mittels docker rm Name des Con-
tainers, der Befehl docker rmi Name des
Images löscht Docker-Images.
Um nun zum Beispiel einen Container
mit IIS zur Verfügung zu stellen und da-
rauf aubauend weitere Images zu erstellen,
müssen Sie auf Basis des vorgefertigten
Images zunächst einen neuen Container
anlegen:
docker run -d -p 80:80 microsoft/iis
ping -t localhost
Über den Befehl können Sie auch gleich
die Ports aktivieren (-p) und sicherstel-
len, dass der IIS als Dienst gestartet wird
(-d). Alle gestarteten Container sehen
Sie mit docker ps. Nehmen Sie Änderun-
gen an einem Container vor, können Sie
diesen Container zum Beispiel als neues
Image speichern und auf dieser Basis
weitere Container. Dazu verwenden Sie
den Befehl docker ps -a, um sich den Na-
men des Containers anzuzeigen. An-
schließend erzeugen Sie das Image mit
docker commit:
docker commit ID Neuer Name
Dockerfiles für eigene
Images erstellen
Auf Basis dieses Images legen Sie weitere
Container an. Der Vorgang lässt sich auch
automatisieren, in dem Sie ein "Docker-
file" verwenden. Dabei handelt es sich um
eine Anweisungsdatei für neue Container.
Erstellen Sie dazu ein Verzeichnis auf dem
Host und in dem Verzeichnis eine Datei
"Dockerfile" (ohne Endung). Sie können
den Vorgang zum Beispiel mit der Power-
Shell durchführen:
www.it-administrator.de
powershell new-item
c:\build\Dockerfile -Force
Die Automatisierung nehmen Sie über
Befehle in der Datei vor. Dazu öffnen Sie
die Datei "Dockerfile" in Notepad mit no-
tepad c:\build\Dockerfile. In der Datei le-
gen Sie beispielsweise fest, dass ein neues
Image erstellt werden soll, das den IIS als
Basis nutzt. In der Datei können Sie auch
bestimmen, dass Änderungen an der
Konfiguration vorgenommen werden:
FROM microsoft/iis
RUN echo "Dockerfile-Test für
automatische Bereitstellung" >
c:\inetpub\wwwroot\index.html
Generell können Sie bei Dockerfiles mit
der Anweisung From festlegen, auf wel-
cher Basis der neue Container erstellt wer-
den soll, etwa mit:
FROM windowsservercore
Mit Run legen Sie danach fest, was im
neuen Containerimage geschehen soll.
Sie installieren zum Beispiel mit dem fol-
genden Befehl den IIS in einem neuen
Containerimage:
RUN dism.exe /online /enable-feature
/all /featurename:iis-webserver
/NoRestart
Wollen Sie das Visual-Studio-Paket in ei-
nem Container einrichten, verwenden Sie:
RUN start-Process
c:\vcredist_x86.exe -ArgumentList
'/quiet' -Wait
Sie können über ein Dockerfile auch
PowerShell-Skripte in ein Containerimage
kopieren und ausführen, zum Beispiel mit
FROM windowsservercore
ADD script.ps1
/windows/temp/script.ps1
RUN powershell.exe -executionpolicy
bypass c:\windows\temp\script.ps1
Um auf Basis dieser Änderungen wieder
ein Image zu erstellen, verwenden Sie in
diesem Beispiel
Container Virtualisierung
docker build -t iis-dockerfile
c:\Build
Sie können jederzeit erstellte Container
mit Ihren Änderungen als neues Image
speichern und dieses Image wiederum
für neue Container verwenden. So legen
Sie Container mit allen Einstellungen an,
die Sie benötigen. Um ein Image zu er-
zeugen, verwenden Sie zum Beispiel fol-
genden Befehl:
docker commit ID meincontainerimage
Sobald Sie das Image erstellt haben, kön-
nen Sie es mit dem Befehl docker images
anzeigen lassen und es als Grundlage für
einen neuen Container verwenden:
docker run -it --name dockertest2
meincontainerimage cmd
Container in die Cloud laden
Mit dem Befehl docker pull laden Sie Con-
tainerimages aus Ihrem Docker-Konto
auf den Container-Host, um auf Basis des
Images einen neuen Container zu erstel-
len. Sie können aber auch den umgekehr-
ten Weg gehen, und Images in das Cloud-
konto hochladen. Das hat den Vorteil,
dass Sie dieses Image jederzeit wieder he-
runterladen und auch auf anderen Con-
tainer-Hosts nutzen können. Sie benöti-
gen dazu eine Docker-ID und müssen
sich mit docker login anmelden. Für das
Hochladen von Containerimages verwen-
den Sie diesen Befehl:
docker push /iis-dockerfile
Nach dem Upload können Sie mit do-
cker pull das Image auf Container-Hosts
herunterladen. Wollen Sie das Image
nicht mehr verwenden, löschen Sie es
mit dem Befehl
docker rmi Benutzername/
iis-dockerfile
Datenbankserver als
Container bereitstellen
Die Bereitstellung von Microsoft SQL
Server 2016/2017/2019 kann über ein
Container-Image erfolgen. Das ermög-
licht eine schnelle Installation in lokalen
Rechenzentren, aber auch in der Cloud.
Sonderheft II/2019 99
Virtualisierung Container
Bild 2: Das Container-Image für Microsoft SQL Server 2017 und 2019 kann bei Docker und Microsoft heruntergeladen werden.
SQL Server 2019 lässt sich auch mit Win-
dows Server 2019 als Container bereit-
stellen. Das ist eine ideale Grundlage, da
hier Docker und Kubernetes gemeinsam
genutzt werden können. Beide Systeme
sind die von Microsoft empfohlenen Lö-
sungen, um SQL Server 2019 als Contai-
ner laufen zu lassen. Auf diesem Weg be-
treiben Sie Always-On-Gruppen auch in
Containern auf Basis von Docker und
verwalten diese mit Kubernetes. Als Con-
tainer-Hosts bietet sich dann Windows
Server 2019 an.
Sobald ein Container mit SQL Server be-
reitgestellt ist, ist der Zugriff auf den Con-
tainern auch von außerhalb des Netz-
werks möglich. Hier unterstützt SQL
Server in der Container-Bereitstellung im
Grunde genommen alle Tools und Pro-
gramme, die SQL-Verbindungen ermög-
lichen. Dazu gehören grafische Verwal-
tungstools und Programme genauso, wie
Shell-Befehle in Windows, Linux und
macOS. Auch die Entwicklungsumge-
bung Visual Studio Code von Microsoft
erlaubt die Verbindung zu SQL Server in
der Container-Installation.
Der Vorteil beim Betrieb von SQL Server
in einer Container-Umgebung besteht
auch darin, dass auf Hosts eine größere
Anzahl an SQL-Containern betrieben
werden kann. Das ermöglicht Hochver-
fügbarkeitsszenarien mit Always-On-
Gruppen und Anwendungen können ihre
eigene Datenbank auf einem dedizierten
SQL-Container speichern anstatt auf ei-
nem zentral betriebenen SQL-Server. Ent-
wickler können mit der Bereitstellung ei-
ner Anwendung auch gleich den dazu
100 Sonderheft II/2019
passenden SQL-Server als Container ein-
richten und zwar mit der Konfiguration,
die die spezifische Anwendung benötigt.
Die Basis hierfür ist die Möglichkeit,
SQL Server auch auf einem Linux-Sys-
tem zu installieren. Diese Grundlage
dient dem Deployment als Container
und das Image wird damit als Linux-Va-
riante in Docker verwendet. Daher kann
der Container mit dem Linux-basierten
SQL Server nicht nur in Windows und
Linux eingesetzt werden, sondern auch
unter macOS. Alle Systeme, auf denen
sich Docker-Container betreiben lassen,
können SQL Server auch als Container
installieren.
Microsoft stellt die Images für SQL Ser-
ver unter Docker im Docker-Hub zur
Verfügung [4]. Hier ist das Image für
SQL Server 2017 und SQL Server 2019
verfügbar. Für den Download verwenden
Sie folgenden Befehl:
docker pull
mcr.microsoft.com/mssql/server
Um das aktuelle Container-Image für Mi-
crosoft SQL Server 2017 herunterzuladen,
nutzen Sie
docker pull
mcr.microsoft.com/mssql/server:201
7-latest-ubuntu
Um SQL Server 2019 herunterzuladen,
nutzen Sie aktuell das folgende Kom-
mando. Allerdings wird sich dieses än-
dern, sobald neuere Versionen zur Ver-
fügung stehen:
docker pull
mcr.microsoft.com/mssql/server:201
9-CTP3.0-ubuntu
Sobald das Image bereitsteht, können Sie
neue Container für die Bereitstellung von
SQL Server 2017 erstellen, die die herun-
tergeladenen Images nutzen. Der Befehl
dazu lautet:
docker run -e 'ACCEPT_EULA=Y' -e
'SA_PASSWORD=Kennwort' -p
1433:1433 -d
mcr.microsoft.com/mssql/server:201
7-latest
Sollen mehrere Container auf Basis eines
Images bereitgestellt werden, definieren
Sie über die Option "-p" jeweils einen ei-
genen Port:
Docker run -e "ACCEPT_EULA=Y" -e
"MSSQL_SA_PASSWORD=YourStrong!Pass
w0rd" -p 1401:1433 -d mcr.micro-
soft.com/mssql/server:2017-latest
docker run -e "ACCEPT_EULA=Y" -e
"MSSQL_SA_PASSWORD=YourStrong!Pass
w0rd" -p 1402:1433 -d mcr.micro-
soft.com/mssql/server:2017-latest
Das Container-Image ist auch in der Mi-
crosoft Container Registry (MCR) verfüg-
bar, auch von Linux-Servern aus:
sudo docker pull
mcr.microsoft.com/mssql/server:201
7-latest
Sobald der Container erzeugt wurde,
kann auf ihn zugegriffen werden wie auf
www.it-administrator.de

einen herkömmlichen SQL-Server. Die
Bereitstellung des Docker-Containers
überprüfen Sie mit Standardbefehlen,
zum Beispiel mit docker ps -a.
Hyper-V-Container erstellen
und konfigurieren
Haben Sie Container erstellt, können
Sie diese mit der PowerShell und dem
Docker-Client verwalten. Hier gibt es
zunächst keine Unterschiede zwischen
Hyper-V-Containern und Windows-
Server-Containern. Beim Erstellen eines
Hyper-V-Containers mit Docker ver-
wenden sie den Parameter "--isolati-
on=hyperv". Möchten Sie einen her-
kömmlichen Container mit Docker zu
einem Hyper-V-Container konvertieren,
setzen Sie eine Isolierungs-Markierung.
Der Befehl sieht dann zum Beispiel fol-
gendermaßen aus:
Docker run --rm -it --isolation=
hyperv ID des Images cmd
Die Vorteile lassen sich an einem Beispiel
zeigen. Erstellen Sie mit dem folgenden
Befehl einen Container und lassen Sie in
diesem Container einen dauerhaften
Ping-Befehl laufen, ist der Prozess auf
dem Host selbst zu erkennen:
docker run -d cf751d69394a ping
localhost -t
Der erfolgreich erzeugte Container wird
mit docker ps angezeigt. Mit docker top
Name des Containers sehen Sie die Pro-
zesse im Container. In diesem Beispiel
sehen Sie anschließend den Ping-Prozess
und dessen ID. Mit dem Befehl get-pro-
cess -Name ping lassen Sie sich diese In-
formationen anzeigen. Anhand dieser
Information ist zu erkennen, dass der
Prozess die gleiche ID hat wie im Con-
tainer. Erstellen Sie aber einen Hyper-V-
Container mit dem gleichen Befehl, zum
Beispiel mittels
docker run -d --isolation=hyperv
cf751d69394a ping -t localhost
können Sie jetzt auf dem gleichen Weg
die ID des Prozesses für den Ping-Be-
fehl abrufen. Dazu verwenden Sie wie-
der docker top. Suchen Sie erneut nach
Link-Codes eingeben auf www.it-administrator.de
dem Prozess auf dem Host, ist dieser
nicht zu sehen.
Auf dem Host wird in diesem Fall aber
der Prozess einer neuen VM sichtbar.
Dabei handelt es sich um den virtuellen
Computer, der den Hyper-V-Container
kapselt und die ausgeführten Prozesse
vor dem Hostbetriebssystem schützt.
Neben herkömmlichen Windows-Ser-
ver-Containern und Hyper-V-Contai-
nern können Sie auf einem Hyper-V-
Host auch virtuelle Server erstellen, die
wiederum mit Containern kommunizie-
ren können. Container-Host und Hyper-
V-Host schließen sich also nicht aus.
Herkömmliche Installationen von Win-
dows Server 2019 arbeiten mit Contai-
nern und Hyper-V-Containern zusam-
men, genauso wie Core-Server. Die Ser-
ver und Dienste lassen sich in einem ge-
meinsamen Netzwerk betreiben, auch
zusammen mit anderen Betriebssyste-
men wie Windows Server 2012/2012 R2/
2016 oder Linux.
Windows-Server-Container in
der PowerShell verwalten
Container lassen sich recht einfach über
die PowerShell verwalten. Das gilt auch
für lokale Installationen von Container-
Hosts. Nachdem ein Container gestartet
ist, öffnen Sie eine PowerShell-Sitzung
und verbinden sich mit dem Container.
Dadurch verwalten Sie auch Einstellungen
und Serverdienste im Container. Für den
Verbindungsaufbau benötigen Sie die ID
des Containers. Diese können Sie zum
Beispiel mit docker ps herausfinden.
Nun geben Sie den Befehl Enter-PSSession
ein. Zusammen mit der Container-ID so-
wie der Option "RunAsAdministrator"
bauen Sie so eine Verbindung auf. Der
Container besitzt übrigens eine eigene IP-
Adresse, damit er mit dem Netzwerk
kommunizieren kann. Die Syntax des Be-
fehls sieht folgendermaßen aus:
Enter-PSSession -ContainerId ID
-RunAsAdministrator
Befehle, die Sie nun eingeben, werden
im Container durchgeführt. Mit exit ver-
lassen Sie die Sitzung im Container und
Container Virtualisierung
arbeiten wieder mit dem eigentlichen
Container-Host.
Beim Erstellen neuer Container spielen
auch die virtuellen Switches auf dem
Host eine Rolle. Diese zeigen Sie in der
PowerShell mit Get-VMSwitch an. Con-
tainer verbinden sich über die virtuellen
Switches mit dem Netzwerk.
Sie können in Containern auch Sitzun-
gen unterbrechen und erneut aufbauen.
Bei unterbrochenen Sitzungen laufen die
Cmdlets in der Sitzung weiter. Um Sit-
zungen anzuhalten, fortzusetzen und
Ausgaben in unterbrochenen Sitzungen
anzuzeigen, nutzen Sie Disconnect-PSSes-
sion, Connect-PSSession und Receive-
PSSession.
Möchten Sie von einer lokalen Power-
Shell-Sitzung über das Netzwerk Pro-
gramme auf einem Container starten, ver-
wenden Sie den Befehl
Invoke-Command -ContainerId ID
-RunAsAdministrator -ScriptBlock
{ Befehl } - RunAsAdministrator
Ein Beispiel für die Ausführung ist:
Invoke-Command -ContainerId
b2f55c8c-28d7-4c0c-ab2b-
9ee62c9ae6ea -RunAsAdministrator
-ScriptBlock { ipconfig }
-RunAsAdministrator
Fazit
Microsoft hat die Zeichen der Zeit längst
erkannt und unterstützt Container unter
Windows sowie Linux als Gastsystem.
Die Administration findet wie gewohnt
über die PowerShell statt. (dr)
Link-Codes
[1] Docker
ebp14
[2] Docker Toolbox
gs2a4
[3] Docker-ID erhalten
js2c3
[4] Docker-Images für die
Bereitstellung von SQL-Servern
js2c4
Sonderheft II/2019 101
Virtualisierung VM-Snapshots
Snapshots von VMs erstellen
VM-Selfie
von Thomas Joos
Snapshots, oder auch Prüfpunkte,
sichern VMs vor Konfigurationsänderun-
gen oder dienen als Backup. Im Idealfall
lassen sich VMs damit bei Problemen in
wenigen Sekunden in den ursprünglichen
Zustand zurücksetzen. Produktionsprüf-
punkte berücksichtigen bei dieser Art der
Sicherung sogar die aktuellen Workloads.
Wir zeigen, wie Sie optimal mit Prüf-
punkten arbeiten und dabei serverseitige
Leistungseinbrüche verhindern.
S
napshots laufen in Windows Ser-
ver 2019 im Microsoft-Jargon un-
ter der Bezeichnung "Prüfpunkte", aber
auch als Checkpoints werden die Mo-
mentaufnahmen manchmal bezeichnet.
Zu beachten ist aber stets, dass Prüfpunk-
te keine Daten sichern und damit keine
Datensicherung ersetzen, sondern nur ei-
ne Rückversicherung vor einer Konfigu-
rationsänderung auf dem Server bieten.
Snapshots halten also den Zustand eines
Servers fest. Datensicherungsprogramm,
die Hyper-V unterstützen, nutzen aber
wiederum Prüfpunkte für das schnelle
Erstellen von Datensicherungen.
In der neuen Serverversion hat Micro-
soft Verbesserungen bei den Prüfpunk-
ten integriert, die die Verwendung deut-
lich vereinfachen. Außerdem hat Micro-
soft mit Windows Server 2016 die Hy-
per-V-Funktion "Backup Change Tra-
cking" eingeführt. Softwarehersteller
müssen durch diese Technik keine zu-
sätzlichen Treiber mehr installieren, um
Änderungen in VMs zu überwachen.
Das erleichtert und verbessert die Da-
tensicherung und macht das Installieren
zusätzlicher Treiber obsolet.
Workloads snapshotten
Microsoft hat die Prüfpunkte in Win-
dows Server 2019 deutlich verbessert.
102 Sonderheft II/2019
Dazu kommt für Prüfpunkte auch der
Volume Shadow Service innerhalb der
virtuellen Maschine (VM) zum Einsatz.
Dabei muss in der VM natürlich Win-
dows verwendet werden. Virtuelle Li-
nux-Server profitieren von der Technik
aber trotzdem: Hier kommt der System-
puffer zum Einsatz, wenn die Distribu-
tion dies unterstützt. Produktionsprüf-
punkte (Production Checkpoints) bieten
dabei eine Point- in-Time-Abbildung ei-
nes virtuellen Servers, die die produkti-
ven Workloads in der VM komplett mit
einbezieht.
In den Vorgängerversionen von Windows
Server 2019 hat Hyper-V nur die virtuel-
len Festplatten, den Status der VM, die
Konfiguration der virtuellen Hardware
und Konfigurationsdateien in Prüfpunkte
mit einbezogen, das virtuelle Betriebssys-
tem aber übergangen. Die Anwendungen
auf den virtuellen Servern wurden also
nicht berücksichtigt. Daher war es bisher
nicht sinnvoll, Datenbankserver über
Prüfpunkte abzusichern, das galt auch für
Domänencontroller.
Durch Prüfpunkte wurden allerdings die
Datenbankdateien erfasst. Spielten Sie ei-
nen Prüfpunkt zurück, konnte es passie-
ren, dass die Datenbankdateien davon be-
einträchtigt wurden. Das ist seit Windows
Quelle: ljupco – 123RF
Server 2016 nicht mehr Fall, aber nur,
wenn Sie Production Checkpoints akti-
vieren. Der Vorteil dabei ist, dass Sie da-
durch auch Datenbankserver absichern
können, zum Beispiel Domänencontroller
oder virtuelle Exchange-Server.
Virtuelle Linux-Server verwenden in
Windows Server 2019 den internen Sys-
tempuffer, um einen konsistenten Prüf-
punkt zu erstellen. Sie können aber auch
weiterhin noch die herkömmlichen Prüf-
punkte nutzen. Hyper-V in Windows Ser-
ver 2019 greift standardmäßig auf die
neuen Production Checkpoints zurück,
wenn Sie mit der Version 7.x für VMs ar-
beiten. Nur ab dieser Version unterstützt
Hyper-V die neuen Prüfpunkte.
Hyper-V in Windows Server 2012 R2
nutzte die Version 5.0 von VMs, die auch
in Windows Server 2019 noch verfügbar
ist, um Kompatibilität in einem Cluster
zu erreichen. Beachten Sie, dass dies
nichts mit der Generation der VM zu tun
hat, also Generation 1 oder 2, sondern
dass es sich um eine interne Versions-
nummer handelt. Windows Server 2019
kommt mit der Version 9.x.
Erstellen Sie in Windows Server 2019 eine
neue VM, erhält diese automatisch Ver-
sion 9.x. Übernehmen Sie eine VM von
www.it-administrator.de

Bild 1: Windows Server 2016/2019 und Windows 10 bieten eine Option für Prüfpunkte,
mit denen sich auch Datenbankserver und Domänencontroller besser absichern lassen.
Servern mit Windows Server 2012 R2,
kommt weiterhin die alte Version zum
Einsatz. Migrieren können Sie die Version
in der PowerShell mit dem Cmdlet Up-
date-VmConfigurationVersion. Das Cmdlet
Get-VM * | Format-Table Name,
Version
zeigt Ihnen die Version aller eingesetzten
VMs an. Die Kompatibilitätsmatrix für
Bild 2: Die Version einer virtuellen Maschine können Sie auch in der PowerShell abfragen.
www.it-administrator.de
sämtliche VM-Versionen finden Sie im
Internet unter [1].
Durch Produktionsprüfpunkte werden
die VMs davon in Kenntnis gesetzt, dass
ein Prüfpunkt erstellt wird. Auch die in-
ternen Serverdienste der VM werden da-
rüber informiert und können mitgesi-
chert werden. Auf dieser Basis sichern
Sie zum Beispiel Domänencontroller,
Datenbankserver und Exchange effizien-
VM-Snapshots Virtualisierung
ter, auch wenn die Server virtualisiert
wurden. Auch System Center Virtual
Machine Manager 2019 kann Production
Checkpoints erstellen.
Produktionsprüfpunkte
konfigurieren
Die Einstellungen für die Production
Checkpoints finden Sie im Hyper-V-Ma-
nager oder im System Center Virtual Ma-
chine Manager in den Eigenschaften von
VMs, wenn Sie auf "Prüfpunkte" klicken.
Setzen Sie noch VMs mit der Version 5
ein, verwenden diese weiterhin die her-
kömmliche Technik für Windows Server
2012 R2. Hier können Sie die Option
"Produktionsprüfpunkte" nicht aktivie-
ren, sondern arbeiten weiterhin mit den
altbekannten Standardprüfpunkten. Bei
VMs ab der Version 7.x lassen sich die
Produktionsprüfpunkte aktivieren. Ent-
fernen Sie den Haken bei "Prüfpunkte
aktivieren", verweigert die VM das Er-
stellen eines Prüfpunktes. Standardmäßig
ist das Erstellen von Prüfpunkten aber
aktiviert.
Nachdem Sie die Option "Produktions-
prüfpunkte" aktiviert haben, stellen Sie
über "Erstellen Sie Standardprüfpunkte,
wenn das Erstellen eines Produktions-
prüfpunkts nicht möglich ist" sicher, dass
das Setzen eines Prüfpunktes auch dann
durchgeführt wird, wenn das Gastbe-
triebssystem diese Funktion nicht un-
terstützt. Sie können jederzeit die Ein-
stellungen von Prüfpunkten anpassen,
auch im laufenden Betrieb der VM. Der
Speicherort für Prüfpunktdateien lässt
Sonderheft II/2019 103
Virtualisierung VM-Snapshots
sich aber nur ändern, wenn kein Prüf-
punkt für eine VM vorhanden ist. Sobald
ein Prüfpunkt geschaffen wurde, unab-
hängig davon, ob es sich um einen Pro-
duktions- oder um einen Standardprüf-
punkt handelt, können Sie nunmehr den
Speicherort der Prüfpunkte nicht mehr
verändern.
Die Konfiguration der Prüfpunkte lässt
sich auch in der PowerShell steuern. Dazu
verwenden Sie das Set-VM-Cmdlet. Als
Option nutzen Sie den Namen der VM
sowie die Art der Prüfpunkte, die Sie für
die VM nutzen wollen:
- Prüfpunkte komplett deaktivieren: Set-
VM -Name VM-Name -CheckpointType
Disabled
- Aktivierung und Nutzung von Produk-
tionsprüfpunkten. Ist dies nicht mög-
lich, erstellt Hyper-V einen Standard-
prüfpunkt: Set-VM -Name VM-Name
-CheckpointType Production
- Aktivierung und Nutzung von Produk-
tionsprüfpunkten. Ist dies nicht mög-
lich, erstellt Hyper-V gar keinen Prüf-
punkt: Set-VM -Name VM-Name
-CheckpointType ProductionOnly
- Ausschließliche Nutzung von Standard-
prüfpunkten: Set-VM -Name VM-Name
-CheckpointType Standard
Die Prüfpunkte erstellen Sie weiterhin
über das Kontextmenü von VMs im Hy-
per-V-Manager oder in der PowerShell
mit Checkpoint-VM. Wollen Sie einen
Prüfpunkt löschen, verwenden Sie Remo-
ve-VMSnapshot.
Im unteren Bereich sehen Sie im Hyper-
V-Manager bei "Prüfpunkte" die erstellten
Sicherungen und können diese jederzeit
aktivieren oder löschen. Die generelle
Vorgehensweise bei Produktionsprüf-
punkten unterscheidet sich also nicht von
den vorherigen Prüfpunkten.
Sie können auch in der PowerShell kon-
trollieren, ob Prüfpunkte für virtuelle Ser-
ver auf den Hyper-V-Hosts erstellt wur-
den. Dazu nutzen Sie den Befehl
Get-VM | Get-Vmsnapshot
Hier sehen Sie auch, um welchen Typ es
sich bei den einzelnen Snapshots handelt
104 Sonderheft II/2019
Bild 3: Zu viele Prüfpunkte verkomplizieren die Verwaltung der Systemdateien
und der virtuellen Festplatten von VMs deutlich.
und ob es übergeordnete Snapshots gibt.
Sie können sich mit Get-VMSnapshot na-
türlich noch mehr Informationen zu Prüf-
punkten anzeigen lassen. Wollen Sie In-
formationen zu einem speziellen Prüf-
punkt erhalten, verwenden Sie
Get-VMSnapshot –VMName Name der VM
-Name Name des Prüfpunktes
Ausführlichere Informationen erhalten
Sie mit:
Get-VMSnapshot –VMName Name der VM |
gm -MemberType Properties
Wollen Sie noch die Größe von Snapshots
überprüfen, stellt die PowerShell weitere
Kommandos bereit:
Get-VMSnapshot –VMName Name der VM |
Get-VMHardDiskDrive |
Get-ChildItem
Möchten Sie auf einem Host alle Prüfpunk-
te löschen, fragen Sie zunächst die Prüf-
punkte aller VMs ab und übergeben dann
das Ergebnis an das Cmdlet zum Löschen:
Get-VM | Remove-VMSnapshot
Leistungseinbrüche vermeiden
So praktisch Snapshots auch sind, erzeu-
gen sie doch ein Dilemma: Erstellen Sie
einen Prüfpunkt, sperrt Hyper-V die
VHD(X)-Datei des virtuellen Servers vor
zukünftigen Änderungen und speichert
alle zukünftigen Daten in eine neue dif-
ferenzierende Festplatte (AVHD). Erzeu-
gen Sie auf Basis dieses Prüfpunkts einen
weiteren Prüfpunkt, verwendet auch die-
ser eine neue AVHD(X)-Datei, die wie-
derum auf die vorangegangene AVHD-
Datei verweist. Je mehr Prüfpunkte Sie
also schaffen, desto mehr AVHD-Dateien
werden angelegt, was die Leistung des
Servers beeinträchtigt.
Nach dem Setzen eines Prüfpunkts fin-
den Sie im entsprechenden Ordner meh-
rere Dateien. Standardmäßig besteht ein
virtueller Server aus einer VHD(X)-Da-
tei (seiner virtuellen Festplatte), einer
XML-Datei (alte Version bis Windows
Server 2012 R2), die die Einstellungen
des Servers enthält, sowie den Statusda-
teien mit den Endungen BIN und VSV.
Verwenden Sie Versionen für VMs in
Windows Server 2019, bestehen die Kon-
figurationsdateien für virtuelle Server
aus Binärdateien mit den Endungen
VMCX und VMRS.
Erstellen Sie einen Prüfpunkt, legt der
Server zunächst eine neue virtuelle Platte
(AVHD) an. Diese Datei verwendet als
Basis die VHD-Datei. Der Prüfpunkt
schreibt zukünftige Änderungen des Ser-
www.it-administrator.de

vers in die AVHD-Datei. Ab jetzt verweist
die Konfigurationsdatei des virtuellen
Servers auf die AVHD-Datei, die die Än-
derungen seit dem Prüfpunkt enthält.
Diese verwendet wiederum die VHD-Da-
tei als Grundlage.
Ist nun eine Leseanforderung in der VM
notwendig, muss Hyper-V prüfen, ob
die differenzierende Festplatte die er-
forderlichen Daten speichert. Wenn die
zu lesenden Daten nicht auf der diffe-
renzierenden Festplatte gespeichert sind,
muss der Host die Daten aus der über-
geordneten virtuellen Festplatte lesen.
Diese Vorgänge bremsen die Leseleis-
tung deutlich aus. Tritt wiederum eine
Schreibanforderung auf, schreibt Hy-
per-V die Änderung in die AVHD-Datei,
denn die VHD-Datei ist durch den Prüf-
punkt vor Änderungen geschützt. Jedes
Mal, wenn Datenänderungen auf dem
Server auftreten, führt die AVHD-Datei
die Speicherung durch. Erstellen Sie
mehrere Prüfpunkte, bauen die AVHD-
Dateien aufeinander auf und verwenden
als Basis die originale VHD-Datei. Das
Schreiben und Lesen der Daten wird
noch weiter verzögert.
Jeder Prüfpunkt in Hyper-V nutzt eine
eigene AVHD-Datei. Diese Datei spei-
chert die Änderungen von dem Zeitpunkt
an, an dem der Prüfpunkt mit seiner
AVHD-Datei erstellt wurde. Das wird so-
lange fortgeführt, bis Sie den Prüfpunkt
löschen oder einen neuen Prüfpunkt er-
stellen. Dadurch markiert Hyper-V die
vorhergehende AVHD-Datei als lesend
und die neue AVHD-Datei als schreiben-
de Datei. Wenn also Prüfpunkt 2 erstellt
ist, nutzt Hyper-V den Prüfpunkt 1 nur
lesend. Sobald Prüfpunkt 3 erstellt ist,
konfiguriert Hyper-V Prüfpunkt 2 als le-
send. Prüfpunkt 1 bleibt lesend, genau
wie die originale VHD.
Die Verwendung von virtuellen Festplat-
ten kann schnell unübersichtlich werden,
je mehr Prüfpunkte Sie einsetzen. Dieser
Vorgang verschlechtert natürlich deutlich
die Leistung von virtuellen Servern und
verkompliziert auch deren Verwaltung
und Konfiguration. Obwohl die VM ge-
nerell nicht mehr Daten nutzt, ist teil-
weise bis zu 50 Prozent mehr Platz nötig,
www.it-administrator.de
Bild 4: Den Speicherort für Prüfpunkte können Sie im Hyper-V-Manager und
System Center Virtual Machine Manager 2016/2019 anpassen.
um zum Beispiel drei Prüfpunkte zu ver-
wenden. Eine Prüfpunkt-Datei kann in
einem solchen Szenario durchaus größer
werden als die zugrunde liegende origi-
nale VHD/VHDX-Datei.
Setzen Sie den Server zum Stand eines
Prüfpunkts zurück, verwendet Hyper-V
nicht mehr die AVHD-Datei, sondern
wieder die originale VHD-Datei. Sie se-
hen den Verweis zu der AVHD-Datei
auch in der XML-Konfigurationsdatei des
Servers, wenn Sie die alte Version 5 ver-
wenden. In der neuen Version ist das Ver-
zeichnis nicht mehr aus den Konfigura-
tionsdateien auszulesen. Ein Prüfpunkt
eines virtuellen Servers besteht aus der
BIN- und der VSV-Datei mit der Konfi-
guration des Servers zum Zeitpunkt des
Prüfpunkts. In Windows Server 2019 mit
Version 7.x kommen die VMCX- und
VMRS-Binärdateien zum Einsatz.
Schaffen Sie einen weiteren Prüfpunkt,
der auf dem Stand des ersten Prüf-
punkts aufbaut, verwendet dieser eben-
falls eine neue differenzierende Fest-
platte (AVHD). Diese erhält als Quelle
aber nicht die produktive virtuelle Fest-
platte des Servers (VHD(X)), sondern
die AVHD-Datei des vorherigen Prüf-
punkts. Dies liegt daran, dass der neue
Prüfpunkt auf dem alten Prüfpunkt be-
ruht. Daher muss hier ein stufenweiser
Aufbau erfolgen.
Da heißt, je mehr Prüfpunkte eines Ser-
vers Sie erstellen, desto mehr differenzie-
rende Festplatten (AVHD) setzen Sie ein,
die aufeinander aufbauen. Durch diese
Konstruktion kann die Leistung eines Ser-
VM-Snapshots Virtualisierung
vers stark einbrechen. Bewahren Sie Prüf-
punkte also nur so lange auf, wie es un-
bedingt notwendig ist. Löschen Sie einen
Prüfpunkt, entfernt Hyper-V auch die
Konfigurationsdateien. Die differenzie-
renden Festplatten (AVHD) schreibt Hy-
per-V in die produktive virtuelle Festplatte
(VHD), nachdem Sie den Prüfpunkt ge-
löscht haben. Seit Windows Server 2012
R2 findet dieser Vorgang online statt, der
Server muss dazu nicht neu gestartet wer-
den (Onlinemerge).
Prüfpunkte in
Hyper-V erstellen
Hyper-V ermöglicht das Erstellen von
Prüfpunkten auch ohne dass Sie Zusatz-
anwendungen installieren. Den entspre-
chenden Befehl finden Sie im Kontext-
menü der virtuellen Computer im Hyper-
V-Manager. Auch über System Center
Virtual Machine Manager lassen sich
Snapshots aufnehmen.
Verwenden Sie die Hyper-V-Replikation
in Windows Server 2016/2019, überträgt
der Assistent die Daten auf Basis von
Prüfpunkten und erstellt für bereits über-
tragene virtuelle Server auf dem Zielser-
ver erneut Prüfpunkte. Dabei bleibt der
Computer online und steht den Anwen-
dern weiterhin zur Verfügung.
Die erstellten Prüfpunkte zeigt der Hy-
per-V-Manager im mittleren Bereich der
Kon- sole an. Hyper-V speichert die Snap-
shots in dem Ordner, den Sie in den Ein-
stellungen des virtuellen Computers im
Bereich "Prüfpunkt-Dateispeicherort" an-
geben. Sobald ein Prüfpunkt erstellt ist,
können Sie den Ordner aber wie schon
Sonderheft II/2019 105
Virtualisierung VM-Snapshots
erwähnt nicht mehr ändern. Löschen Sie
alle Prüfpunkte, können Sie den Speicher-
ort wieder anpassen.
Rufen Sie den Befehl "Zurücksetzen" im
Kontextmenü der VM auf, wendet Hy-
per-V den letzten erstellten Prüfpunkt
an und setzt den Computer auf diesen
Stand zurück.
Prüfpunkte erzeugen Sie manuell über den
Befehl "Prüfpunkt" im Kontextmenü einer
VM oder in der PowerShell mit Checkpoint-
VM. Sie können dazu auch verschiedene
Optionen in der PowerShell mitgeben, zum
Beispiel den Namen der VM, für die Sie
einen Prüfpunkt erstellen wollen und die
Beschreibung des Prüfpunkts:
Checkpoint-VM
-Name Servername
-SnapshotName Name des Checkpoint
Um über das Netzwerk einen Prüfpunkt
für eine VM zu erstellen, verwenden Sie:
Get-VM Name der VM -ComputerName
Name des Hyper-V-Hosts | Check-
point-VM
Durch diesen Vorgang erstellt der Server
eine neue differenzierende Festplatte
(AVHD) der virtuellen Festplatten (VHD).
Für jede virtuelle Festplatte fertigt Hy-
per-V eine eigene AVHD-Datei an. Set-
zen Sie auf VHDX-Dateien, dann erstellt
Hyper-V AVHDX-Dateien. Beim Zu-
rücksetzen eines virtuellen Servers gehen
keine Änderungen verloren, sondern die-
se werden wiederum in einem neuen
Prüfpunkt erfasst.
Wenn Sie einen Server zurück-
setzen oder einen älteren Prüf-
punkt anwenden beziehungs-
weise Prüfpunkte löschen und
die differenzierende Festplatte
des Prüfpunkts in die überge-
ordnete VHDX-Datei überfüh-
ren, vergrößert sich diese Datei
unter Umständen. In diesem
Fall sollten Sie diese im Hyper-
V-Manager bearbeiten und ver-
kleinern. Sie finden dazu im
Aktionen-Bereich den Eintrag
"Datenträger bearbeiten". Bild 5: Prüfpunkte verwalten Sie über deren Kontextmenü.
106 Sonderheft II/2019
Verwalten von Prüfpunkten
Auch für die einzelnen Prüfpunkte steht
ein Kontextmenü zur Verfügung, über
das Sie diese steuern. Setzen Sie eine Hy-
per-V-kompatible Datensicherung ein,
kann diese ebenfalls automatisiert einen
solchen Prüfpunkt erstellen und dessen
Daten sichern. Im Kontextmenü von
Prüfpunkten stehen verschiedene Mög-
lichkeiten zur Verfügung:
Über "Einstellungen" rufen Sie die Set-
tings des virtuellen Computers auf, zu
dem dieser Prüfpunkt gehört. Es han-
delt es sich dabei um die Einstellungen,
die zum Zeitpunkt des Erstellens gültig
waren. Haben Sie die Konfiguration
nach dem Erzeugen des Prüfpunkts ge-
ändert, sind diese an dieser Stelle nicht
zu sehen. Auf diese Weise schützen Sie
auch die Einstellungen von virtuellen
Servern.
Über die Option "Anwenden" setzt der
Assistent den virtuellen Computer wie-
der auf den Stand zurück, an dem Sie
den Prüfpunkt erstellt haben. Vorher
erscheint aber ein Abfragefenster, das
Sie auf die Folgen hinweist. Alle nicht
gespeicherten Daten gehen verloren, da
Hyper-V alle Einstellungen und Daten
aus dem Prüfpunkt in die VM schreibt.
Außerdem können Sie vorher noch ein-
mal einen aktuellen Prüfpunkt erstellen.
Dieser sichert dann den aktuellen Zu-
stand. Im Gegensatz zum Zurücksetzen
über das Kontextmenü der VM können
Sie hier nicht nur den letzten Prüfpunkt
verwenden, sondern beliebige Prüf-
punkte. Diesen Befehl können Sie auch
in der PowerShell durchführen:
Restore-VMSnapshot -VMName Name der
VM -Name Name des Prüfpunkts
Die Daten des Prüfpunktes bleiben auf
der Festplatte erhalten. Diese werden nur
dann entfernt, wenn Sie einen Prüfpunkt
nicht anwenden, sondern löschen. Wollen
Sie zum Beispiel für alle VMs auf einem
Host den aktuellsten Prüfpunkt anwen-
den, verwenden Sie:
Get-VM | Foreach-Object { $_ |
Get-VMSnapshot | Sort CreationTime
| Select -Last 1 | Restore-
VMSnapshot -Confirm:$false }
Beim "Exportieren" von virtuellen Ser-
vern in Windows Server 2019 können
Sie auch Prüfpunkte berücksichtigen.
Über das Kontextmenü eines Prüfpunkts
können Sie daher einen virtuellen Server
mit dem Stand des Prüfpunkts exportie-
ren und auf anderen Servern wieder im-
portieren. Diese Vorgänge lassen sich im
laufenden Betrieb der VM durchführen.
Mit "Umbenennen" weisen Sie dem Prüf-
punkt einen anderen Namen zu. Hyper-
V verwendet als Namen normalerweise
das Datum und die Uhrzeit. Über diesen
Menübefehl können Sie zum Beispiel
noch Informationen hinzufügen, warum
Sie den Prüfpunkt erstellt haben.
Prüfpunkte löschen
Das Löschen von Prüfpunkten ist eine
wichtige Aufgabe. Dazu stehen im Hy-
per-V-Manager im Kontextmenü der
Prüfpunkte verschiedene Menüpunkte
zur Verfügung. Mit "Prüfpunkt löschen"
entfernen Sie den Prüfpunkt und die da-
zugehörigen Daten vom Server
und überführen die Daten der
AVHD-Dateien in die produk-
tiven virtuellen Festplatten
(VHD). Beim Löschen eines
Prüfpunkts gehen keine Daten
verloren, sondern Änderungen,
die Sie seit dem Erstellen des
Prüfpunkts in der VM durch-
geführt haben, werden in die
virtuellen Festplatten des Ser-
vers geschrieben. Anschließend
werden der Prüfpunkt und sei-
ne differenzierende Festplatte
gelöscht.
www.it-administrator.de

Windows Server 2019 beherrscht diesen
Vorgang online. Das heißt, der virtuelle
Server kann weiter in Betrieb sein. Hän-
gen von einem Prüfpunkt aber weitere
Prüfpunkte ab, weil Sie diese nachträglich
erstellt haben, dann bleibt die AVHD-Da-
tei vorhanden, nur die Konfiguration der
Systemdateien wird durchgeführt. Und
mit "Prüfpunktunterstruktur löschen" ent-
ledigen Sie sich des aktuellen Prüfpunkts
sowie aller Sicherungen, die Sie nach dem
Prüfpunkt erstellt haben und die auf die-
sen aufbauen. Der Vorgang verläuft ähn-
lich zu "Prüfpunkt löschen", führt aber
alle zusammengehörigen Prüfpunkte zu-
sammen. Durch diesen Vorgang tilgen Sie
auch alle untergeordneten Prüfpunkte.
Liegen für eine VM zum Beispiel die drei
Prüfpunkte "Prüfpunkt 1", "Prüfpunkt 2"
und "Prüfpunkt 3" vor und bauen die drei
Prüfpunkte aufeinander auf, können Sie
jederzeit zu Prüfpunkt 2 zurück wechseln
und die Daten von Prüfpunkt 3 löschen.
Dazu klicken Sie mit der rechten Maus-
taste auf Prüfpunkt 2 und wählen "An-
wenden" aus dem Menü. Die aktive Mar-
kierung "Jetzt" des virtuellen Servers zeigt
den Status des virtuellen Servers an.
Durch das Anwenden von Prüfpunkt 2
wird das "Jetzt" vor Prüfpunkt 3 gescho-
ben. Sie können Prüfpunkt 3 nun löschen,
wenn Sie diesen nicht mehr benötigen.
Durch das Löschen wird er nicht mehr
mit dem virtuellen Server zusammenge-
führt, da sich der Status "Jetzt" oberhalb
des Prüfpunktes befindet.
Löschen Sie Prüfpunkt 3 aber, ohne dass
Sie Prüfpunkt 2 anwenden, werden alle
Änderungen aus Prüfpunkt 3 in Prüf-
punkt 2 übertragen. Erst dann löscht der
Server Prüfpunkt 3. Prüfpunkte können
Sie natürlich auch in der PowerShell lö-
schen. Wollen Sie zum Beispiel Snapshots
einer bestimmten VM löschen, nutzen
Sie den Namen, auf Wunsch auch mit
Platzhalter:
Get-VM TestVM | Remove-VMSnapshot
–Name Experiment*
Sie können Snapshots aber auch auf Basis
der Erstellungszeit löschen. Wollen Sie
alle Snapshots entfernen, die älter als 90
Tage sind, nutzen Sie
Link-Codes eingeben auf www.it-administrator.de
Get-VMSnapshot -VMName TestVM |
Where-Object {$_.CreationTime
-lt (Get-Date).AddDays(-90) } |
Remove-VMSnapshot
Sonderfall Hyper-V-Cluster
Setzen Sie Hyper-V im Cluster ein, müs-
sen Sie bei der Datensicherung und der
Erstellung von Prüfpunkten einige Dinge
beachten. Sie sollten es möglichst vermei-
den, Prüfpunkte von laufenden virtuellen
Maschinen in Clustern zu erzeugen. Set-
zen Sie nämlich einen solchen Prüfpunkt
zurück, setzt dieser nicht nur den Inhalt
der virtuellen Festplatten zurück, sondern
auch den des Arbeitsspeichers der VM.
Dieser Umstand bereitet vor allem im
Zusammenhang mit der Livemigration
Probleme. Wenn Sie also Prüfpunkte von
VMs in einem Cluster durchführen wol-
len, fahren Sie die VM sicherheitshalber
herunter. Auch wenn Sie einen Prüf-
punkt auf eine VM anwenden wollen,
sollten Sie die Maschine dazu kurz außer
Betrieb nehmen.
Bei Domänencontrollern sichern Prüf-
punkte auch die Active-Directory-Da-
tenbank. Setzen Sie auf einem Domä-
nencontroller einen Prüfpunkt zurück,
kann es zu Inkonsistenzen der AD-Da-
tenbank kommen, die auch die anderen
Domänencontroller beeinflusst. Das
liegt daran, dass im Active Directory
alle Objekte eine bestimmte Nummer
besitzen, die Update Sequence Number
(USN). Jeder Domänencontroller hat
eine eigene Liste dieser USNs und be-
findet sich auch selbst in dieser Liste.
Setzen Sie einen Prüfpunkt zurück, än-
dern sich die USNs zahlreicher Objekte,
was mit hoher Wahrscheinlichkeit zu
Inkonsistenzen führt. In jedem Fall aber
trennen die anderen Domänencontrol-
ler den wiederhergestellten Domänen-
controller vom Netzwerk, um das Pro-
blem zu beheben.
Vermeiden Sie daher möglichst Prüf-
punkte auf DCs, wenn Sie mit Standard-
prüfpunkten arbeiten. Bei den neuen
Produktionsprüfpunkten wird auch die
Active-Directory-Datenbank erfasst.
Zwar hat Microsoft das Problem seit
Windows Server 2012 R2 mit der Gene-
VM-Snapshots Virtualisierung
rationID und mit Windows Server 2016
und 2019 durch die Produktionsprüf-
punkte besser im Griff, aber generell ist
das Sichern von Servern, die eine Da-
tenbank bereitstellen, über Prüfpunkte
nicht uneingeschränkt empfehlenswert,
zumindest wenn es sich vermeiden lässt.
Das gleiche gilt übrigens für alle Server,
die eine Datenbank nutzen, auch Ex-
change und SQL. Sie sollten solche Da-
tenbanken niemals über Prüfpunkte zu-
rücksetzen, und wenn dann nur, wenn
Sie Produktionsprüfpunkte einsetzen.
In Hyper-V haben Sie weiterhin die Mög-
lichkeit, einem Gastsystem eine differen-
zierende virtuelle Festplatte zuzuweisen.
Dazu bauen die Festplatten auf eine über-
geordnete Festplatte mit einer Windows-
Installation auf und speichern die Daten
auf einer eigenen Festplatte. Für DCs ist
das nicht empfohlen, da sich solche Fest-
platten zu leicht wieder in den Ursprungsz-
ustand zurückversetzen lassen. Hier gibt
es das gleiche Problem wie auch mit den
Prüfpunkten.
Fazit
Prüfpunkte sind ein wichtiges Hilfsmit-
tel in Hyper-V-Umgebungen. Allerdings
sollten Sie diese Funktion mit Bedacht
einsetzen und nur so viele Prüfpunkte
vorhalten, wie notwendig. Prüfpunkte
beeinträchtigen die Leistung von VMs
und sollten nur dann Verwendung fin-
den, wenn auch die Konfiguration der
VM angepasst wird. Setzen Sie mehrere
Snapshots ein, kann es schnell passieren,
dass der Status eines Servers oder dessen
Daten verloren gehen. Es ist wichtig zu
verstehen, wie Hyper-V bei Snapshots
generell vorgeht und welche Daten ge-
löscht werden oder erhalten bleiben.
Mit den neuen Produktionsprüfpunkten
optimiert Microsoft zwar die generelle
Vorgehensweise in Hyper-V, die grund-
sätzliche Struktur der Snapshots bleibt
aber beim Alten. (ln/jp)
Link-Codes
[1] Kompatibilitätsmatrix
für VM-Versionen
jsk11
Sonderheft II/2019 107
Virtualisierung Shielded-VMs und Host Guardian Service
Security mit Shielded-VMs und Host Guardian Service
Abschirmung
von Thomas Joos
Der Host Guardian Service sorgt in der
Datacenter Edition für die Sicherheit von VMs.
Virtuelle Server lassen sich so härten und vor
anderen Administratoren, Angreifern und
unberechtigten Zugriffen abschotten. Zu-
sammen mit Shielded-VM verweigert dieser
Sicherheitsmechanismus Angreifern und
Malware den Zugriff auf die Daten der VM.
Auch Netzwerke, die von Angreifern über-
nommen wurden oder bei denen andere
Bereiche kompromittiert sind, stellen keine
Gefahr für derart gesicherte VMs dar.
D
er Host Guardian Service (HGS)
trennt VMs in Hyper-V besser
voneinander. Wenn eine VM durch einen
Angreifer kompromittiert ist, verhindert
dieser Dienst die Ausbreitung des Hackers
oder der Malware. Zusätzlich bietet der
Host Guardian Service auch Verschlüs-
selungstechnologien und ermöglicht das
Absichern von VMs auf vielfältigen We-
gen. So lassen sich die Festplatten mit Bit-
Locker verschlüsseln, der Zugriff auf die
Konsole einschränken und festlegen, auf
welchen Hyper-V-Hosts eine gesicherte
VM starten darf.
Sie können mit dem HGS Hyper-V-Ser-
ver ab Windows Server 2016 Datacenter
Edition schützen. Ältere Versionen oder
Windows Server 2019 Standard Edition
lassen sich nicht mit HGS verbinden. In
den abgesicherten VMs können Sie ne-
ben Windows Server 2016/2019 auch
Win-dows Server 2012/2012 R2 betrei-
ben. Sowohl Windows Server 2019 Da-
tacenter als auch der kostenlose Hyper-
V-Server 2019 können Shielded-VMs
auch mit Linux nutzen. Neben dieser
Neuerung hat Microsoft die Technik der
Shielded-VMs weiter verbessert. Diese
können jetzt auch starten, wenn der HGS
nicht kontaktiert werden kann. Dazu gibt
es den Offline-Modus.
108 Sonderheft II/2019
Windows Server 2019 unterstützt die
Ausführung von Ubuntu, Red Hat Enter-
prise Linux und SUSE Linux Enterprise
Server auf abgeschirmten VMs.
Voraussetzungen
für Shielded-VMs
Um virtuelle Festplatten einer VM zu ver-
schlüsseln, müssen nicht unbedingt Shiel-
ded-VMs zum Einsatz kommen. Seit
Windows Server 2016 lassen sich auch
virtuelle Trusted Platform Modules
(TPM) zu VMs hinzufügen. Dazu steht
in den VM-Eigenschaften der Menüpunkt
"Sicherheit" zur Verfügung. Schalten Sie
"Trusted Platform Module aktivieren" ein,
um der VM ein virtuelles TPM für die
Verschlüsselung mit BitLocker bereitzu-
stellen. VMs, die Sie auf Basis von BitLo-
cker mit einem vTPM verschlüsseln, las-
sen sich jederzeit in eine Guarded Fabric
mit Shielded-VMs integrieren und auch
Livemigration ist möglich. Wichtig ist,
dass es sich bei der VM um eine Gene-
ration-2-VM handelt.
VMs können über den Host Guardian
Service auch verschlüsselte Festplatten
nutzen, auch mit vTPM. Dazu setzt
Windows Server 2019 auf BitLocker. VMs
lassen sich vom non-Shielded-Modus in
den Shielded-Modus versetzen. Auch der
Qu
ell
e:
int
ue
ri –
123
RF
Datenverkehr zur Livemigration lässt sich
mit HGS verschlüsseln.
Sie können in Windows Server 2019 ab-
geschirmte VMs auf Maschinen mit in-
termittierender Konnektivität zum Host
Guardian Service ausführen, indem Sie
die neuen Fallback-HGS- und Offline-
Modus-Funktionen nutzen. Der Offline-
Modus ermöglicht, geschützte VMs weiter
zu starten, auch wenn HGS nicht erreich-
bar ist.
Mit "VMConnect Enhanced Session Mo-
de" und PowerShell Direct stellen Sie für
VMs in Windows Server 2019 die Netz-
werkverbindung zu Ihrer VM wieder her
und aktualisieren deren Konfiguration zu-
vor, damit dieser Zugriff funktioniert. Die-
se Funktionen sind automatisch verfügbar,
wenn Sie eine abgeschirmte VM auf einem
Hyper-V-Host mit Windows Server Ver-
sion 1803 oder höher platzieren.
Windows Server 2019 erlaubt Ihnen,
den Attestation-Mode des HGS im lau-
fenden Betrieb anzupassen. Dieser Mo-
dus bestimmt, wie sich die geschützten
Hyper-V-Hosts in der HGS-Infrastruk-
tur authentifizieren. Microsoft unter-
stützt hier die Authentifizierung mit ei-
nem TPM-Chip (Hardware-Attestation)
www.it-administrator.de

Bild 1: Grundlage für den Host Guardian Service ist eine Serverrolle,
die Sie im Server-Manager installieren.
oder der Mitgliedschaft in einer Acti-
ve-Directory-Gruppe (Admin-Attesta-
tion). Den Modus im laufenden Betrieb
zu wechseln, ist zum Beispiel sinnvoll,
wenn Sie zwischen Active Directory und
TPM wechselt möchten, während die
VMs gestartet bleiben. Ihnen steht al-
lerdings kein gemischter Modus zur Ver-
fügung, sondern Sie müssen zwischen
Hardware-Attestation und Admin-At-
testation wählen.
Der beste Weg zur Konfiguration und
Überwachung des HGS führt über die
PowerShell. So lassen sich fehlerhafte
Konfigurationen und Probleme schnell
und zuverlässig erkennen und beheben.
Eine Wiederherstellung von Shielded-
VMs unter Server 2019 erfolgt durch den
Transfer der VMs in eine Wiederherstel-
lungsumgebung, die die gleichen Sicher-
heitsanforderungen erfüllt wie die ur-
sprüngliche Umgebung.
Host Guardian Service
als Serverrolle einrichten
Auf die Funktionen zur Absicherung von
VMs greifen Sie über die Installation der
HGS-Serverrolle auf dem Host zu. HGS
installieren Sie dabei getrennt von Hy-
per-V. Der Cluster, in dem Sie HGS instal-
lieren, schützt "Guarded Hosts". Her-
kömmliche VMs tragen in diesem Zusam-
menhang die Bezeichnung "Non-
www.it-administrator.de
Shielded-VMs und Host Guardian Service
Shielded-VMs", während die abgesicherten
VMs als "Shielded" oder abgeschirmte be-
ziehungsweise geschützte VMs bezeichnet
werden. Für die Verwendung des Dienstes
müssen Sie eine VM nicht neu erstellen,
sondern können wie erwähnt vorhandene
VMs konvertieren. Für eine neue ge-
schützte VM arbeiten Sie mit Vorlagen,
die sich auch in SCVMM nutzen lassen.
Microsoft empfiehlt den Aufbau eines
Cluster beziehungsweise den Betrieb von
mindestens drei physischen Hosts mit
Bild 2: Hyper-V-Hosts werden durch ein zusätzliches Serverfeature
an den Host Guardian Service angebunden.
Virtualisierung
dem Host Guardian Service. Nur dadurch
ist sichergestellt, dass der Dienst immer
hochverfügbar zur Verfügung steht und
Shielded-VMs auch dann starten können,
wenn ein HGS-Server ausfällt. Shielded
-VMs lassen sich auf Guarded Hosts nur
dann starten, wenn der dazugehörige
HGS verfügbar ist.
Die Absicherung der virtuellen Maschinen
erfolgt durch eine eigene Active-Directo-
ry-Gesamtstruktur, die von der herkömm-
lichen Gesamtstruktur getrennt ist. Diese
wird bei der Einrichtung des HGS auto-
matisch erstellt.
Außerdem legt der Assistent selbstständig
einen Failover-Cluster im Rahmen der
Einrichtung der Serverrolle an. Neben
dem Server-Manager können Sie den
Host Guardian Service auch in der Power-
Shell installieren:
Install-WindowsFeature
-Name HostGuardianServiceRole
-IncludeManagementTools
-Restart
Durch die Installation der notwendigen
Dateien auf dem Server nehmen Sie aber
noch keine Einrichtung vor. Wichtig ist
jedoch, dass Sie die Hyper-V-Hosts vom
Host Guardian Service trennen – eine In-
stallation auf einem gemeinsamen Server
ist nicht möglich.
Sonderheft II/2019 109
Virtualisierung Shielded-VMs und Host Guardian Service
Bild 3: Das Einrichten des HGS in der PowerShell.
VMs mit HGS absichern
Damit der HGS auf einem Hyper-V-Host
als Guarded Host Shielded-VMs betrei-
ben kann, muss der Hyper-V-Host vom
Host Guardian Service akzeptiert wer-
den. Dazu ist auf den Hyper-V-Hosts in
produktiven Umgebungen ein TPM-
Chip ab Version 2 notwendig, wenn Sie
mit der Hardware-Attestation arbeiten.
Dieser sichert später auch die Shielded-
VMs entsprechend ab. Der Server muss
außerdem EFI 2.3.1 mit Secure Boot nut-
zen. Für die Einrichtung ist in diesem
Fall keine Vertrauensstellung zwischen
der Active-Directory-Gesamtstruktur
des Host Guardian Service und der AD-
Gesamtstruktur mit den Hyper-V-Hosts
(Fabric) notwendig. Die Einrichtung ist
allerdings recht kompliziert.
Setzen Sie Hyper-V-Hosts ein, die weder
TPM noch UEFI unterstützen, können
Sie die Hosts auch über das Active Di-
rectory absichern und an den HGS an-
binden. Die Absicherung erfolgt in die-
sem Fall über AD-Sicherheitsgruppen.
Dazu erstellen Sie eine weitere AD-Ge-
samtstruktur für den HGS und legen eine
entsprechende Vertrauensstellung an.
Um Shielded-VMs zu nutzen, benötigen
Sie zunächst einen Server beziehungsweise
Cluster mit HGS. Auf den zu schützenden
Hyper-V-Hosts müssen Sie neben Hyper-
V noch das Serverfeature "Hyper-V-Un-
110 Sonderheft II/2019
terstützung durch Host Guardian" instal-
lieren, was Hyper-V-Funktionen für den
Betrieb von Shielded VMs freischaltet.
Außerdem müssen Sie bei der Installation
des Hyper-V-Hosts sowie der Anbindung
an HGS sicherstellen, die Remoteserver-
Verwaltungstools für Shielded-VMs zu
installieren. Diese tragen die Bezeichnung
"Abgeschirmte VM-Tools" und werden
nicht automatisch auf Hyper-V-Hosts in-
stalliert, sondern müssen immer manuell
aufgebracht werden. Neue Shielded-VMs
müssen Sie immer mit dem Typ "Gene-
ration 2" anlegen.
Um bei der HGS-Absicherung den virtu-
ellen TPM-Chip einzubinden, können Sie
auf das Add-VMTPM-Cmdlet in der
PowerShell zurückgreifen. Gleiches gilt für
die notwendigen Tools, um Hyper-V mit
dem Host Guardian Service zu verbinden:
Install-WindowsFeature
-Name HostGuardian
Install-WindowsFeature
-Name RSAT-Shielded-VM-Tools
Install-WindowsFeature
-Name FabricShieldedTools -Restart
Dadurch findet aber noch keine Verbin-
dung statt, sondern es werden lediglich
die notwendigen Daten installiert.
Die Absicherung von Hyper-V-Hosts in
der Fabric-Gesamtstruktur erfolgt nor-
malerweise über die Mitgliedschaft in ei-
ner AD-Gruppe, wenn Sie nicht auf UEFI
und TPM setzen. Wenn Sie nicht wissen,
ob ein Host bereits mit einem HGS-Ser-
ver verbunden ist, können Sie das mit den
Cmdlets Get-WindowsFeature HostGuar-
dian und Get-HgsClientConfiguration
überprüfen. Dadurch können Sie recht
schnell sicherstellen, ob ein Host ord-
nungsgemäß mit der HGS-Infrastruktur
verbunden ist.
Host Guardian
Service konfigurieren
Wenn Sie auf einem Server die HGS-Ser-
verrolle installiert haben, zum Beispiel in
der PowerShell mit
Install-WindowsFeature -Name HostGu-
ardianServiceRole -IncludeManage-
mentTools -Restart
erstellen Sie auf dem Server zunächst ei-
ne neue AD-Domäne. Danach initiali-
sieren Sie den HGS-Server. Im ersten
Schritt öffnen Sie dazu eine PowerShell-
Sitzung und konfigurieren die neue Do-
mäne für HGS:
Install-HgsServer -HgsDomainName
"hostgs.com" -SafeModeAdministra-
torPassword (read-host -prompt
Kennwort -assecurestring) -Restart
www.it-administrator.de
 Shielded-VMs und Host Guardian Service Virtualisierung

Bild 4: Hyper-V-Hosts lassen sich in der PowerShell an HGS-Server anbinden.

Danach richten Sie die Umgebung ein. besten mit bedingten Weiterleitungen in Guarded Hosts befinden. In der Power-
Sie können für Testumgebungen ein beiden Umgebungen. Ihr DNS-Server Shell erledigen Sie dies beispielsweise
selbstsigniertes Zertifikat verwenden, in kann nur Anfragen der Clients beantwor- wie folgt:
produktiven Umgebungen ist jedoch ein ten, für die Zonen hinterlegt wurden.
Zertifikat aus den AD-Zertifikatsdiensten Wollen Sie auch andere Zonen auflösen, $HGSDomainName = "hostgs.com"
zu bevorzugen. Die Konfiguration ist am müssen Sie im DNS konfigurieren, welche $ADDomainName = "contoso.int"
einfachsten, wenn Sie die einzelnen Wer- Server gefragt werden sollen. Der DNS- $ADDomainUser = "Administrator"
te, die Sie in der PowerShell angeben müs- Server überprüft zunächst, ob er für die $ADAdminPasswd = "Kennwort"
sen, zuvor in Variablen speichern, wie im Domäne zuständig ist. Wenn er weder netdom trust $HGSDomainName /do-
Listing "Zertifikat für HGS erzeugen" ge- Zone noch Delegation findet, werden die main:$ADDomainName /userD:$ADDo-
zeigt. Tragen Sie bei den jeweiligen Be- DNS-Server gefragt, die über den Eintrag mainName\$ADDomainUser /pass-
fehlen die Daten Ihrer Umgebung ein. "Bedingte Weiterleitungen" in der Kon- wordD:$ADAdminPasswd /add
Die Ausführung der Befehle darf keine solenstruktur hinterlegt sind.
Fehler verursachen. Die Hyper-V-Hosts, die Sie mit HGS ab-
Sobald die Namensauflösung funktio- sichern wollen, müssen Mitglied einer neu-
Anschließend müssen Sie sicherstellen, niert, können Sie auf dem HGS-Server en AD-Gruppe sein. Dazu legen Sie die
dass die Namensauflösung zwischen den die Vertrauensstellung zwischen HGS- AD-Gruppe an und nehmen die Hyper-
beiden Active-Directory-Gesamtstruktu- AD und dem Fabric-AD einrichten, also V-Hosts auf. Zusätzlich müssen Sie noch
ren funktioniert. Dazu arbeiten Sie am Ihrem produktiven AD, in dem sich die die SIDs der Hyper-V-Hosts auslesen und
auf dem HGS-Server importieren. In dieser
Listing: Zertifikat für HGS erzeugen Umgebung gehen wir davon aus, dass die
Fabric-Domäne die Bezeichnung "conto-
$certificatePasswd = "Kennwort"
so.int" hat und der erste Guarded Host die
$signingCertPath = "C:\signingCert.pfx"
$encryptionCertPath = "C:\encryptionCert.pfx" Bezeichnung "hpdl20.contoso.int":
$certStoreLocation = "Cert:\LocalMachine\My"
$certificatePassword = ConvertTo-SecureString -AsPlainText $certificatePasswd -Force
$GuardedGroupName="GuardedHosts"
$signingCert = New-SelfSignedCertificate -DnsName "signing.$env:userdnsdomain" -CertStoreLocation
$certStoreLocation $guardedhost="hpdl20.contoso.int"
Export-PfxCertificate -Cert $signingCert -Password $certificatePassword -FilePath $signingCertPath $GroupMember="CN=hpdl20,OU=Compu-
$encryptionCert = New-SelfSignedCertificate -DnsName "encryption.$env:userdnsdomain" ters,DC=contoso,DC=int"
-CertStoreLocation $certStoreLocation
Export-PfxCertificate -Cert $encryptionCert -Password $certificatePassword -FilePath
$guardedGroup = New-ADGroup -Name
$encryptionCertPath $GuardedGroupName -SamAccountName
$HgsServiceName = "hgscontoso" "GuardedHosts" -GroupCategory
Initialize-HGSServer -HgsServiceName $HgsServiceName -SigningCertificatePath $signingCertPath
Security -GroupScope Global
-SigningCertificatePassword $certificatePassword -EncryptionCertificatePath $encryptionCertPath
-EncryptionCertificatePassword $certificatePassword -TrustActiveDirectory -Force Add-ADGroupMember -Identity $Guar-
dedGroupName -Members $GroupMember

Alle Listings zum Download unter www.it-administrator.de Sonderheft II/2019 111

Virtualisierung Shielded-VMs und Host Guardian Service

In der PowerShell lesen Sie auch die SID

aus, die Sie später wiederum auf dem
HGS-Server einlesen, um den Hyper-V-
Host als Guarded Host zu konfigurieren.
Danach legen Sie fest, welche AD-Gruppe
in der Fabric-Domäne die sicheren Hy-
per-V-Host enthält:

Add-HgsAttestationHostGroup -Name
"GuardedHosts" -Identifier
"S-1-5-21-260484123-1724494931-
1379840826-1109"

Den Befehl führen Sie wiederum in der

PowerShell des HGS-Servers aus. Die SID
können Sie auch in der PowerShell mit

get-adgroup Name der Gruppe

auslesen. Sind alle notwendigen Features

für die HGS-Anbindung von Hyper-V in-
stalliert, melden Sie sich in der PowerShell
des Hyper-V-Hosts am HGS an. Dazu ist
es wichtig, dass in der Gesamtstruktur mit
den Hyper-V-Hosts die HGS-Domäne als
DNS-Weiterleitung konfiguriert ist und
umgekehrt. Im folgenden Beispiel ist der
Name der GHS-Domäne "hostgs. com".
Den Befehl führen Sie auf dem Hyper-V-
Host aus. Beachten Sie, im Befehl die kor-
rekten Daten Ihrer Umgebung einzugeben:
Set-HgsClientConfiguration
-AttestationServerUrl
"http://hostgs.com/Attestation"
-KeyProtectionServerUrl
"http://hostgs.com/KeyProtection"
-confirm:$false
Die erfolgreiche Anmeldung testen Sie
am Guarded Host durch
Get-HgsClientConfiguration
Auf dem HGS-Server überprüfen Sie die
Konfiguration des Host Guardian Services
mit dieser Zeile:
Get-HgsTrace
-RunDiagnostics
Die korrekte Konfiguration der Umge-
bung bringen Sie in der PowerShell mit
Test-HGSServer -HgsDomainName
HGS-Domäne
Bild 5: Die Konfiguration einer Shielded VM in
Windows Server 2016 erfolgt über den Reiter "Sicherheit".
in Erfahrung. Vor allem in Umgebungen,
in denen Sie die Bereitstellung erst testen
und dann aktiv schalten, sollten Sie vor
der Übernahme in die Produktivumge-
bung einen Blick auf das Ergebnis dieses
Cmdlets werfen. Microsoft bietet White-
paper [1] zur Fehlerbehandlung, wenn
einzelne Bereiche nicht korrekt funktio-
nieren. Zusätzlich rufen Sie mit
Get-HgsServer
Get-HgsAttestationPolicy
Informationen zur erstellten Umgebung
ab. Hier sollten die URLs und Daten feh-
lerfrei erscheinen. Die geschützten Hy-
per-V-Hosts und die angebundenen
SCVMM-Server müssen über diese URLs
mit den Servern kommunizieren können.
Außerdem sollten Sie mit dem Internet
Explorer auf dem Server überprüfen, ob
der HGS auf Anfragen antwortet. Dazu
rufen Sie die URL "http://localhost / Key-
Protection / service / metadata / 2014-07 /
metadata.xml" auf. Als Antwort erscheint
eine XML-Seite mit Informationen.
In produktiven Umgebungen sollten Sie
noch die Einträge in der Ereignisanzeige
der HGS-Server überwachen. Entweder
nutzen Sie dazu Tools wie System Center
Operations Manager oder andere Über-
wachungswerkzeuge. Sie können dazu
auch ein Ereignisabonnement erstellen.
Im Rahmen des Abonnements können
Sie die Ereignisse filtern:
Microsoft-Windows-HostGuardianSer-
vice-Attestation/Admin,Microsoft-
Windows-HostGuardianService-Attes-
tation/Operational,Microsoft-Windo
ws-HostGuardianService-KeyPro-
tection/Admin,Microsoft-Windows-
HostGuardianService-KeyProtecti-
on/Operational
Shielded-VMs erstellen
Zum Anlegen einer Shielded-VM benö-
tigen Sie eine entsprechende Vorlage so-
wie eine PDK-Datei, die alle Daten des
Guarded Hosts und seine Zertifikate ent-
hält. Dazu installieren Sie eine neue VM
und weisen dieser eine VHDX-Datei zu.
Generell bereiten Sie diese Bereiche auf
einem Hyper-V-Host vor, der (noch) nicht

112 Sonderheft II/2019 www.it-administrator.de


an HGS angebunden ist. Auf diesem in-
stallieren Sie zunächst die notwendigen
Rollen und Features, um Shielded-VMs
zu verwalten. Das geht wieder am ein-
fachsten in der PowerShell mit:
Install-WindowsFeature
-Name RSAT-Shielded-VM-Tools
Install-WindowsFeature
-Name FabricShieldedTools -Restart
Auf dem Hyper-V-Host erzeugen Sie eine
neue VM mit neuer virtueller Festplatte
für die Vorlage. Achten Sie darauf, dass Sie
für die virtuelle Festplatte zwei Partitionen
anlegen, die Sie mit dem NTFS-Dateisys-
tem formatieren. Auch im SCVMM müs-
sen Sie zuerst eine Vorlage für Shielded-
VMs erstellen. Die virtuelle Festplatte, die
Sie als Vorlage verwenden, sollten Sie in
einer produktiven Umgebung mit dem
GPT-Partitionsstil initialisieren. Bei der
virtuellen Festplatte darf es sich nicht um
einen dynamischen Datenträger in der
Festplattenverwaltung handeln, sondern
Sie müssen einen Basis-Datenträger ver-
wenden. Das liegt daran, dass BitLocker
keine dynamischen Festplatten unterstützt.
Sind alle Features installiert und die vir-
tuelle Festplatte der VM wurde mit Sysprep
verallgemeinert, erstellen Sie ein selbstsig-
niertes Zertifikat, das Sie für die Shielded-
VM-Vorlage verwenden. Damit Sie das
Zertifikat später weiter nutzen können,
speichern Sie die Daten in einer Variablen:
$certificate = New-SelfSignedCerti-
ficate -DnsName cert.contoso.int
-CertStoreLocation $certStoreLoca-
tion -KeyExportPolicy Exportable
Anschließend erstellen Sie die signierte
Vorlage für die Shielded-VM. Hier ver-
wenden Sie entweder die PowerShell oder
den Assistenten "TemplateDiskWizard.exe"
im Verzeichnis "C:\Windows\System32".
In der PowerShell gehen Sie so vor:
$TemplatePath = "C:\protected_tem-
plate.vhdx"
$TemplateName = "MyTemplate"
$Version = "1.1.1.1"
Protect-ServerVHDX -Path $Template-
Path -TemplateName $TemplateName
www.it-administrator.de
Shielded-VMs und Host Guardian Service
Bild 6: Mit dem Assistenten zum Erstellen von geschützten Datendateien sichern Sie Shielded-VMs ab.
-Version $Version -Certificate
$certificate
Ist die Vorlage erzeugt, richten Sie auf Ba-
sis dieser VHDX-Datei eine neue VM ein.
In den Eigenschaften dieser VM können
Sie über den Menüpunkt "Sicherheit" Ein-
stellungen bezüglich der Shielded-VM vor-
nehmen. Wichtig ist, dass Sie das Betriebs-
system, das in der VHDX-Datei installiert
ist, mit Sysprep generalisiert haben. Erst
danach bereiten Sie das Betriebssystem
mit dem TemplateDiskWizard wie be-
schrieben vor. Dabei setzen Sie entweder
auf die grafische Oberfläche des Tools
oder auf das Protect-ServerVHDX-
Cmdlet in der PowerShell. Die Konfigu-
ration ist an dieser Stelle aber noch nicht
abgeschlossen. Alle notwendigen Sicher-
heitseinstellungen finden Sie im erwähn-
ten Whitepaper [1].
Shielded-VMs
mit SCVMM verwalten
Grundsätzlich ist die Verwaltung von
Shielded-VMs am besten mit System Cen-
ter Virtual Machine Manager ab Version
2016 durchzuführen. Dazu richten Sie die
HGS-Infrastruktur ein und konfigurieren
einen Hyper-V-Host als Guarded Host.
Der Guarded Host muss in SCVMM an-
gebunden sein. Für die Cloud in SCVMM
müssen Sie die hierzu die Unterstützung
für Shielded-VMs aktivieren. Die Einstel-
Virtualisierung
lungen dazu finden Sie in den Eigenschaf-
ten der Cloud in der SCVMM-Verwal-
tungskonsole über "In dieser privaten
Cloud unterstützt" bei der Option "Un-
terstützung für geschützte VMs". Micro-
soft empfiehlt, Guarded Hosts in einer ei-
genen Hostgruppe zu betreiben.
Um Shielded-VMs verwalten zu können,
müssen Sie auch SCVMM mit dem HGS-
Server verbinden. Dazu benötigen Sie auf
dem HGS-Server zunächst einige Informa-
tionen, an die Sie mit Get-HgsServer gelan-
gen. Hier sind vor allem die verschiedenen
URLs von Interesse. In der SCVMM-Kon-
sole finden Sie bei "Settings" den Bereich
"General". Hier klicken Sie doppelt auf
"Host Guardian Service Settings" (auf deut-
schen Servern "Einstellungen für den Host-
Überwachungsdienst").
Tragen Sie an dieser Stelle die URLs so
ein, wie Sie diese mit dem Get-HgsSer-
ver-Cmdlet abgerufen haben. Danach öff-
nen Sie in der SCVMM-Konsole in der
Fabric-Ansicht die Eigenschaften des
Hosts, den Sie als Guarded Host konfi-
guriert haben. Navigieren Sie jetzt in den
Eigenschaften des Hosts zu den HGS-Ein-
stellungen und aktivieren Sie die Unter-
stützung für den Host Guardian Service.
Darüber hinaus setzen Sie hier die Opti-
on, dass der Host die gleichen URLs nut-
zen soll, die Sie bereits in den Eigenschaf-
Sonderheft II/2019 113
Virtualisierung Shielded-VMs und Host Guardian Service
ten für SCVMM konfiguriert haben. Ru-
fen Sie über das Kontextmenü den Status
des Hosts auf, dürfen keine Fehler erschei-
nen und die Anbindung an HGS muss
aktiviert und fehlerfrei hinterlegt sein.
An dieser Stelle spielen vor allem die Op-
tionen bei "HGS Client Overall" eine
wichtige Rolle.
Ist die Vorlage für die Shielded-VM vor-
bereitet, kopieren Sie diese in die Biblio-
thek von SCVMM und legen auf dieser
Basis eine neue Shielded-VM an. Dazu
müssen Sie lediglich die VHDX-Datei ko-
pieren. Beim Einsatz von Shielded-VMs
spielen noch die "Shielded Data Files" eine
wichtige Rolle. Diese erzeugen Sie mit
dem Tool "ShieldingDataFileWizard.exe"
aus dem Verzeichnis "C:\Windows\Sys-
tem32". Auf Basis dieses Assistenten er-
stellen Sie PDK-Dateien, mit denen Sie
neue Shielded VMs aufbauen. Legen Sie
in SCVMM eine neue VM an, können Sie
bereits während des Vorgangs durch die
Option "Schutzunterstützung nach der
Bereitstellung in der virtuellen Maschine
aktivieren" die VM als Shielded-VM kon-
figurieren. Im Rahmen des Einrichtungs-
assistenten benötigen Sie dann die erstellte
PDK-Datei. Microsoft zeigt im bereits
vorgestellten Dokument [1] Wege der
Fehlerbehandlung dieser nicht ganz ein-
fachen Aufgabe.
Windows Azure Pack
und Shielded VMs
Unter Windows Server in Verbindung mit
SCVMM können Sie mit dem "Azure Pack"
ebenfalls eine Private Cloud mit Shielded-
VMs aufbauen. Dazu müssen Sie System
Center Service Provider Foundation und
das Azure Pack einsetzen. Über dieses Pack
erhalten Sie ein einfach zu verwendendes
Webportal, mit dem Sie verschiedene
Dienste im Netzwerk zur Verfügung zu
stellen. Dabei kann es sich um Datenban-
ken, Webseiten, virtuelle Server und andere
Services handeln – und eben auch Shiel-
ded-VMs. Verwaltet werden diese Dienste
Link-Codes
[1] Guarded Fabric and Shielded VMs
gs2m1
[2] Microsoft Web Platform Installer
gs2m2
114 Sonderheft II/2019
über das Webportal, zur Verfügung gestellt
und gewartet werden sie über die beteiligen
Microsoft-Server-Produkte, also Windows
Server und SCVMM.
Die Installation des Microsoft Azure
Packs erfolgt über den kostenlosen "Mi-
crosoft Web Platform Installer" [2]. Die-
sen laden Sie herunter und starten die In-
stallation auf dem Server. Dieser bedarf
dazu einer Internetverbindung, da die
notwendigen Komponenten herunterge-
laden werden müssen.
Wechseln Sie nach dem Start der Instal-
lationsdatei auf die Registerkarte "Pro-
dukte" und geben Sie im Suchfeld "Azure
Pack" ein. Klicken Sie bei "Windows Azu-
re Pack: Portal and API" auf "Hinzufügen"
und danach auf "Installieren". Ist dies ab-
geschlossen, rufen Sie auf dem Server zu-
nächst die Webseite "https://localhost:
30101 auf ". Zum Azure-Portal gelangen
Sie über die Seite "https://localhost:30091/
#Workspaces/ WebSystemAdminExten-
sion/quickStart".
Mit SCVMM haben Sie die Möglichkeit,
eine VM Cloud im Portal zu erstellen.
Anschließend registrieren Sie einen Sys-
tem Center Service Provider. Die Vorge-
hensweise dazu finden Sie ebenfalls über
das Whitepaper [1]. Sobald Sie die Ein-
richtung vorgenommen haben, erzeugen
Sie neue VMs mit der Option "Allow Vir-
tual Machines To Be Shielded" im Web-
portal des Azure Packs.
HTTPS für HGS aktivieren
Per Default kommunizieren Hyper-V-
Hosts und SCVMM über das HTTP-Pro-
tokoll miteinander. In einer produktiven
Umgebung sollten Sie hier natürlich am
besten SSL aktivieren. Dazu öffnen Sie die
PowerShell auf dem HGS-Server und legen
ein selbstsigniertes Zertifikat an, das Sie
für die Kommunikation per SSL nutzen:
$HttpsCertificate = New-SelfSigned-
Certificate -DnsName "$HgsService-
Name.$env:userdnsdomain" -CertSto-
reLocation Cert:\LocalMachine\My
Export-PfxCertificate -Cert
$HttpsCertificate -Password $cer-
tificatePassword -FilePath
"c:\HttpsCertificate.pfx"
Link-Codes eingeben auf www.it-administrator.de
Nachdem Sie das Zertifikat eingerichtet
und exportiert haben, binden Sie es in
den HGS-Server ein. Achten Sie dabei da-
rauf, dass die jeweiligen Variablen korrekt
definiert sind beziehungsweise geben Sie
direkt den jeweiligen Dienstnamen ein:
Initialize-HgsServer -HgsServiceName
$HgsServiceName -EncryptionCerti-
ficateThumbprint $encryptionCert.
Thumbprint -SigningCertificate-
Thumbprint $signingCert.Thumbprint
-CommunicationsCertificateT-
humbprint $signingCert.Thumbprint
-TrustActiveDirectory -http -https
-HttpsCertificatePath ‘C:\Https-
Certificate.pfx’ -HttpsCertifica-
tePassword $certificatePassword
-Force
Arbeiten Sie mit SCVMM 2016, müssen
Sie noch darauf achten, dass Sie die URLs
zur Anbindung an den Host Guardian Ser-
vice auf SSL umstellen. Nutzen Sie selbst-
signierte Zertifikate und nicht die Zertifi-
katdienste aus dem Active Directory,
müssen Sie das Zertifikat auf den beteiligten
Servern noch in die Liste der vertrauens-
würdigen Stammzertifizierungsstellen in-
tegrieren. Auch das erledigen Sie am ein-
fachsten in der PowerShell:
Import-Certificate -FilePath
"C:\temp\HttpsCertificate.cer"
-CertStoreLocation Cert:\LocalMa-
chine\Root
Fazit
Shielded-VMs können sensible virtuelle
Server mit heiklen Daten recht zuverlässig
schützen. Die Konfiguration ist nicht ein-
fach und Sie benötigen dazu mehrere Ser-
ver, auf denen der Host Guardian Service
installiert ist. In einer idealen Umgebung
setzen Sie noch auf den System Center
Virtual Machine Manager. Doch auch
wenn es sich lohnt, sich mit Shielded-VMs
auseinanderzusetzen, ist der Betreib al-
lerdings eher teuer. Sie benötigen min-
destens einen Cluster mit Windows Ser-
ver 2016 Datacenter Edition und viel Zeit
für die Einrichtung, denn für Shielded-
VMs sind Vorlagen die Voraussetzung.
Das Setup ist also nicht in wenigen Mi-
nuten abgeschlossen, sondern benötigt
viel Planung und Konzeption. (jp)

Replikation mit Storage Replica
Identisch
von Thomas Joos
Mit Storage Replica lassen sich ganze
Festplatten blockbasiert zwischen Servern
verschiedener Rechenzentren und der Cloud
replizieren. So sind Daten georedundant
gesichert und im Katastrophenfall sehr gut
geschützt. Aber auch in der Virtualisierung
bieten Storage Replica Vorteile. Doch beim
Einsatz der Technologie sind einige Anforde-
rungen zu beachten. Wir erklären, wie Ad-
mins diese Technik am besten anwenden.
S
torage Replica ist der Replikation
von DFS (Distributed File System)
deutlich überlegen. Deshalb ist zu erwar-
ten, dass Unternehmen, die bisher auf
DFS-Replikation setzen, mit Windows Ser-
ver 2019 auf Storage-Replikation umstellen.
Auch diese arbeitet mit DFS zusammen,
kann aber besser Daten replizieren als das
Dateisystem. Zusätzlich erlaubt Storage
Replica die Verschlüsselung von Daten.
Nicht zuletzt kooperiert Storage Replica
auch perfekt mit Storage Spaces Direct,
dem Zusammenfassen mehrerer physi-
scher Festplatten von Cluster-Knoten zu
einem gemeinsamen Datenspeicher.
In Windows Server 2012 R2 waren die Sto-
rage-Funktionen der Editionen Standard
und Datacenter noch identisch. Mit Win-
dows Server 2016 hat Microsoft allerdings
Unterschiede in den Storage-Features in-
tegriert. So unterstützt nur die Datacen-
ter-Edition alle Funktionen, während in
der Standard-Edition Storage Spaces Direct
und Storage Replica fehlen. Wollen Sie also
die Speicherreplikation nutzen, müssen
Sie auf einen Cluster mit Windows Server
2019 auf Basis der Datacenter-Edition set-
zen. Wobei Windows Server 2019 auch in
der Standard-Edition erlaubt, ein Volume
mit einem Ziel zu replizieren.
Die Funktion wird als neues Server-Fea-
ture über den Server-Manager installiert
www.it-administrator.de
und steht danach zur Verfügung. Die Ver-
waltung erfolgt zum großen Teil über die
PowerShell. Die Lösung dient aber nicht
dem Datenschutz, sondern überwiegend
der Replikation von Daten in einem Clus-
ter. Daher findet die Verwaltung in der
grafischen Oberfläche auch vor allem
über den Failover-Clustermanager statt.
Szenarien für Storage Replica
Die Speicherreplikation bietet vor allem
drei verschiedene Einsatzszenarien. Im
ersten Szenario replizieren Sie wichtige
Datenträger schnell und einfach auf an-
dere Server (von Server A auf Server B),
auch in andere Rechenzentren. Dadurch
erhalten Sie eine recht hohe Absicherung
Ihrer Daten, vor allem im Katastrophen-
fall. Sie können also auch ohne Cluster
komplette Server oder deren Datenträger
zwischen verschieden Servern replizieren.
Das geht natürlich auch zwischen RZs.
Das zweite Einsatzgebiet ist das Replizie-
ren von wichtigen Daten in einem Geo-
Cluster, auch Stretched Cluster genannt
(also von Cluster-Knoten 1 zu Cluster-
Knoten 2). Ein Anwendungsfall kann
zum Beispiel die Replikation von virtu-
ellen Servern und deren Konfigurations-
daten sowie virtueller Festplatten zwi-
schen verschiedenen Rechenzentren sein.
Dabei sind die Cluster-Knoten auf ver-
schiedene Rechenzentren verteilt.
Storage Replica Storage
Quelle: Serhii Yaremenko – 123RF
Die beiden Szenarien lassen sich auch
zu einem gemeinsamen Einsatzszenario
verbinden. In diesem replizieren Sie die
Daten eines Clusters zu einem anderen
Cluster in einem anderen Rechenzen-
trum (von Cluster-Knoten 1, Cluster 1
zu Cluster-Knoten 1, Cluster 2). Dabei
sind die Cluster aber nicht auf verschie-
dene Rechenzentren aufgeteilt, sondern
Bestandteil eines einzelnen Rechenzen-
trums. Die Daten werden also nicht in-
nerhalb eines Clusters repliziert, sondern
zwischen verschiedenen Clustern. Die
Cluster selbst sind dann natürlich idea-
lerweise über verschiedene Rechenzen-
tren verteilt.
Das kann Storage Replica
Einfach ausgedrückt bietet Storage Replica
die Möglichkeit, auf Block-Level den In-
halt ganzer Festplatten zwischen Servern
mit Windows Server 2019 zu replizieren.
Administratoren verfügen dazu über zahl-
reiche Einstellungsmöglichkeiten. Die Re-
plikation kann synchron und asynchron
konfiguriert werden. Mit dem Server-Fea-
ture von Windows Server 2019 lassen sich
Dateiserver oder andere Server absichern
und hochverfügbar betreiben, indem Da-
ten zwischen den Servern automatisiert
repliziert werden. Größere Unternehmen
können mit der Technologie auch auf
Cluster-Ebene Daten zwischen Rechen-
zentren replizieren (Stretched Cluster).
Sonderheft II/2019 115
 Storage Storage Replica
Bild 1: Storage Replica wird als Server-Feature mit der Bezeichnung "Speicherreplikat"
auf Servern mit Windows Server 2019 installiert.
Dadurch lassen sich Geo-Cluster aufbau-
en, also Cluster, deren Knoten interna-
tional in verschiedenen Rechenzentren
verteilt sind.
Der Vorteil der Technologie ist die voll-
ständige Unabhängigkeit von Speicher-
produkten und -herstellern. Sie können
jeden beliebigen Speicher replizieren, so-
lange dieser mit einem Server auf Basis
von Windows Server 2019 verbunden ist
und funktioniert. Die Replikation erfolgt
über das SMB-Protokoll 3.x. Dabei kann
das Protokoll auf die ganze Bandbreite
zurückgreifen, die durch die Adapter zur
Verfügung gestellt werden. Sie müssen
natürlich darauf achten, dass die Fest-
platten des Zielsystems mindestens so
groß sind wie die des Quellsystems. Sie
können auf NTFS oder das ReFS-Datei-
system setzen, um Daten mit Storage Re-
plica zu synchronisieren. Wichtig dabei
ist aber, dass Sie auf dem GPT-Partiti-
onsformat aufbauen. Die Einrichtung der
beteiligten Datenträger müssen Sie vor
der Konfiguration von Storage Replica
vornehmen.
Die Netzwerkverbindung zwischen den
Servern muss leistungsstark sein, am
besten verwenden Sie eine 10-GbE-Ver-
bindung. Für Testzwecke reichen aber
auch langsamere Verbindungen. Stellen
Sie für die beteiligten Windows-Server
116 Sonderheft II/2019
statische IP-Adressen und die DNS-Na-
mensauflösung sicher. Beide Server müs-
sen sich gegenseitig im Netzwerk auflö-
sen können.
Storage Replica bietet die synchrone Re-
plikation ganzer Festplatten zwischen
Standorten und kann daher dem Daten-
verlust durch defekte Server oder Proble-
men mit dem Dateisystem vorbeugen. Sie
können in der Konfiguration des Dienstes
aber auch mit einer asynchronen, also
zeitverzögerten Replikation arbeiten.
RDMA mit Storage Replica
Interessant für Cluster ist das Zusammen-
spiel mit RDMA (Remote Direct Memory
Access). Bei dieser Funktion tauschen Ser-
ver über das Netzwerk Daten des Arbeits-
speichers auf anderen Servern aus. Diese
Technik wird vor allem im Hochverfüg-
barkeitsbereich von Hyper-V-Clustern ge-
nutzt. Darüber hinaus ist SMB Direct zwi-
schen Servern mit Windows Server 2012
R2 und höher ständig aktiv. Sie müssen
dazu keine Einstellungen vornehmen oder
Funktionen installieren. Damit Netzwerk-
verbindungen optimal funktionieren und
Sie große Datenmengen über das Netz-
werk oder WAN mit Storage Replica über-
tragen können, muss das Netzwerk natür-
lich extrem schnell sein und die Netzwerk-
adapter die Funktion unterstützen. Hier
sind Adapter der Typen iWARP, Infini-
band und RDAM over Converged Ether-
net (RoCE) sinnvoll. Übertragen lassen
sich die Daten aber auch mit TCP/IP, ohne
dass RDAM im Einsatz ist.
Storage Replica unterstützt zudem andere
Speicherfunktionen. Sie können BitLo-
cker-Laufwerke replizieren sowie Daten-
träger, auf denen die Datendeduplizierung
aktiviert ist. Ebenso sind Multichannel
und Multipath möglich, was vor allem
für die Replikation in Clustern eine wich-
tige Rolle spielt. Die Daten lassen sich
während der Übertragung zwischen
Quell- und Zielserver verschlüsseln und
signieren. Wollen Sie Failover-Szenarien
umsetzen, können Sie auch nur einzelne
Laufwerke verwenden, Sie müssen das
Failover nicht für alle replizierten Lauf-
werke eines Servers auf einmal starten.
Einer der sinnvollsten Einsatzgebiete von
Storage Replica ist mit Sicherheit die Ver-
wendung mit Hyper-V-Clustern. Sie kön-
nen zum Beispiel zwei Cluster in physisch
getrennten Rechenzentren betreiben und
den gemeinsamen Speicher beider Cluster
replizieren lassen. Fällt ein Rechenzen-
trum aus, kann das andere Rechenzen-
trum sofort übernehmen.
Mit GPT-Partitionen
und ReFS arbeiten
Nutzen Sie Storage Replica, sollten Sie am
besten mit GPT-Datenträgern und dem
ReFS-Dateisystem arbeiten. Aktuelle Fest-
platten sind so groß, dass neue Partiti-
onstabellen und Dateisysteme gefordert
sind, um die Daten sicher und vor allem
performant zu speichern. Das GPT-For-
mat für große Festplatten gibt es schon
länger, findet jetzt aber immer mehr Ein-
satz, eben vor allem bei Storage Replica.
Bauen Sie in einen Server eine neue Fest-
platte ein, haben Sie die Möglichkeit, zwi-
schen zwei Datenträgerpartitionsformaten
auszuwählen. Große Datenträger mit mehr
als 3 TByte profitieren deutlich davon,
wenn Sie als Datenträgerformat GPT nut-
zen und als Dateisystem ReFS verwenden.
Das Datenträgerpartitionsformat MBR
(Master Boot Record) unterstützt Festplat-
ten mit einer Größe von bis zu 2 TByte.
Im Vergleich dazu unterstützt das Partiti-
onsformat GPT (GUID-Partitionstabelle)
www.it-administrator.de

HDDs mit einer Größe von bis zu 18 Exa-
bytes und bis zu 128 Partitionen.
Datenträger mit dem GPT-Partitionsfor-
mat sind besser vor Ausfällen geschützt.
Sie besitzen redundante Primär- und Si-
cherungspartitionstabellen. Nachdem Sie
den Partitionierungsstil festgelegt haben,
arbeiten Sie auf beiden Systemen iden-
tisch. Für die Verwaltung spielt es keine
Rolle, ob Sie auf MBR oder GPT setzen.
Sie legen Partitionen und Volumes an, er-
stellen Verzeichnisse und Freigaben und
vergeben Berechtigungen.
Auch wenn Sie zwischen MBR und GPT
wechseln können, sollten Sie die Aus-
wahl des Partitionierungsstils genau
überdenken. Auf dem Datenträger, auf
dem Sie das Betriebssystem und die An-
wendungen installieren, müssen Sie bei
einer Konvertierung alles neu installie-
ren. Das lohnt sich in den seltensten Fäl-
len. Die Konvertierung eines MBR-Da-
tenträgers in einen GPT-Datenträger
und umgekehrt kann nur durchgeführt
werden, wenn der Datenträger leer ist.
Die Vorgänge sollten Sie daher in jedem
Fall vor der Einrichtung von Storage Re-
plica vornehmen, da ansonsten alle be-
reits replizierten Daten neu repliziert
werden müssen.
Für eine solche Konvertierung klicken
Sie in der Datenträgerverwaltung von
Bild 2: Den Partitionsstil einer Festplatte wählen Sie beim Initialisieren aus.
www.it-administrator.de
Windows den Datenträger mit der rech-
ten Maustaste an und wählen den ent-
sprechenden Befehl aus. Sie können die
Konvertierung aber auch in der Befehls-
zeile durchführen:
1. Starten Sie eine Eingabeaufforderung
2. Tippen Sie diskpart ein.
3. Geben Sie list disk ein.
4. Tippen Sie select disk Nummer der
Disk, die Sie konvertieren wollen ein.
5. Geben Sie clean ein.
6. Tippen Sie convert gpt ein, den umge-
kehrten Weg gehen Sie mit convert mbr.
Beim Einsatz von Servern oder Compu-
tern mit UEFI-System können Sie GPT
und MBR-Datenträger zwar mischen,
aber 32-Bit-Systeme können dann nur
sehr eingeschränkt oder gar nicht mehr
zugreifen.
In der Datenträgerverwaltung (diskmgmt.
msc) finden Sie den Partitionierungsstil
auf der Registerkarte "Volumes" bei den
Eigenschaften des Datenträgers.
In der PowerShell lassen Sie sich den Par-
titionierungsstil mit
Get-Disk | select FriendlyName,
PartitionStyle
anzeigen. Sie können auf diesem Weg eine
Festplatte auch offline oder online schal-
ten. Dazu zeigen Sie mit get-disk zunächst
Storage Replica Storage
die Platten im System an. Anschließend
schalten Sie die Platte mit dem folgenden
Befehl online:
Set-Disk Nummer -isOffline $false
Den Partitionierungsstil legen Sie dann
mit diesem Kommando auf GPT fest:
Initialize-Disk Nummer
-PartitionStyle GPT
Ein weiteres Beispiel, um einen Daten-
träger zu erstellen und danach gleich zu
formatieren, lautet:
Get-Disk 1 | Clear-Disk
–RemoveData New-Partition
-DiskNumber 1
-Use-MaximumSize -IsActive
-DriveLetter Z | Format-Volume
-FileSystem NTFS
-NewFileSystemLabel Data
ReFS versus NTFS
Neben dem Partitionsstil spielt noch das
Dateisystembei der Replikation eine wich-
tige Rolle. Für Datenfestplatten bietet
Windows Server seit Version 2012 wie
angesprochen das Dateisystem ReFS (Re-
silent File System). Es ist stabiler und
schützt besser vor Ausfällen des Servers
sowie vor Schäden der Hardware als
NTFS. In ReFS können Dateien nur sehr
unwahrscheinlich beschädigt werden. Das
spielt bei der Replikation natürlich eine
besonders wichtige Rolle. Außerdem kann
ReFS mit einer größeren Anzahl an Da-
teien und größeren Datenträgern umge-
hen und sich selbst bei Ausfall schneller
reparieren. Das alles sind Punkte, die für
die Storage-Replikation von großer Be-
deutung sind.
ReFS arbeitet besser mit Storage Spaces
Direct zusammen und bietet vollständige
Kompatibilität mit NTFS-Anwendungen
und -Dateifreigaben. Windows-Rechner,
die auf Windows Server 2019 zugreifen
können, haben auch die Möglichkeit,
ReFS zu lesen. Entdeckt ReFS einen Feh-
ler in einem Speicherplatz, veranlasst das
Dateisystem eine Reparatur. Dazu ver-
wendet es gespeicherte Prüfsummen und
Metadaten des Systems. Allerdings ist
dazu bei der Erstellung eines Speicher-
platzes eine Ausfallsicherheit notwendig.
Sonderheft II/2019 117
 Storage Storage Replica
Auf der anderen Seite lässt sich auf ReFS-
Datenträgern weder die Komprimierung
noch das verschlüsselte Dateisystem ein-
setzen, auch Windows-Datenträgerkon-
tingente funktionieren nicht. Außerdem
können Sie Datenträger nicht verklei-
nern oder vergrößern wie mit NTFS. Das
spielt bei der Storage-Replikation aber
ohnehin keine Rolle.
Um einen Datenträger von FAT32 zu
NTFS umzuwandeln, arbeiten Sie in der
Eingabeaufforderung mit dem Befehl con-
vert Laufwerksbuchstabe/fs:ntfs. Ein sol-
ches Kommando gibt es für ReFS aber
nicht, hier müssen Sie für eine Umwand-
lung immer neu formatieren.
Sie können die Formatierung aber ohne
weiteres in der Befehlszeile durchführen:
format /fs:ReFS Laufwerksbuchstabe:
Auch in der PowerShell klappt das gut:
Format-Volume –DriveLetter Lauf-
werksbuchstabe: -FileSystem ReFS
–Full
Eine Schnellformatierung starten Sie in
der Befehlszeile mit
format /fs:ReFS /q
Laufwerksbuchstabe:
Auch für Software-RAIDs in Windows
Server 2019 lässt sich ReFS verwenden.
Die Erstellung und Verwaltung ist iden-
tisch mit der Verwendung von NTFS.
Storage Replica in der Praxis
Die Storage-Replikation läuft im Grunde
genommen immer gleich ab. Das Betriebs-
system oder Anwendungen schreiben Blö-
cke auf den Quellserver (Schritt 1). Storage
Replica erkennt das und speichert die
Vorgänge in der Protokolldatei. Außer-
dem überträgt der Quellserver die Daten
mit SMB 3.1.1 sowie RDMA zum Ziel-
server (Schritt 2). Anschließend schreibt
der Server im Zielstandort die Daten in
sein Protokoll (Schritt 3). Danach bestä-
tigt der Zielserver die erfolgreiche Repli-
kation (Schritt 4) und der Quellserver
meldet, dass er die Bestätigung empfan-
gen hat (Schritt 5). Anschließend werden
118 Sonderheft II/2019
auch die Protokolle entsprechend ange-
passt (Schritt 6).
Um die Speicherreplikation zu nutzen,
müssen Sie über den Server-Manager
das Feature "Speicherreplikat" installie-
ren. Die Installation erfolgt nicht über
die Serverrollen, sondern als Serverfea-
ture wie die Cluster-Funktion. Die Ser-
ver, die Sie mit Storage Replica synchro-
nisieren, müssen in einer gemeinsamen
Active-Directory-Gesamtstruktur be-
trieben werden. Hier bedarf es aber nicht
eines Active Directory mit Windows Ser-
ver 2016 oder 2019, auch Server 2012
R2 ist möglich. Die beteiligten Server
müssen aber mit Windows Server 2016
oder 2019 installiert sein. Die Features
für "Windows-Clustering" und "Spei-
cherreplikat" installieren Sie entweder
über den Server-Manager oder in der
PowerShell mit:
Install-WindowsFeature -Name
Storage-Replica,FS-FileServer
-IncludeManagementTools -Restart
Die Features müssen Sie natürlich auf bei-
den Servern installieren, deren Festplatten
Sie replizieren. Dazu können Sie ebenfalls
die PowerShell nutzen, indem Sie die Na-
men der Server in die Variablen speichern
und dann auf den Servern die notwendi-
gen Features aufspielen:
$Replica = " SRV1", "SRV2"
$ReplicaServer | % {Install-Wind-
owsFeature -ComputerName $_ -Name
Storage-Replica,FS-Fileserver
-IncludeManagementTools}
Für die Einrichtung benötigen Sie min-
destens zwei Server mit Windows Server
2019, die Mitglied der Domäne sind und
jeweils über einen Datenträger verfügen,
den Sie replizieren. Sie können dazu
SAS, JBODs, Fibre-Channel-SAN oder
iSCSI-SAN nutzen. Am besten verwen-
den Sie einen Mix aus HDD und SSD.
Sie können aber problemlos auch iSCSI-
Ziele auf Windows Server 2012 R2 oder
Windows Server 2016/2019 erstellen
und den Cluster-Knoten zuweisen. Da-
mit die Replikation eingerichtet werden
kann, auch für eine Testumgebung, er-
stellen Sie für beide Knoten zwei eigene
iSCSI-Ziele und weisen diese als Lauf-
werke zu. Verbinden Sie die Laufwerke
mit dem iSCSI-Initiator. Erstellen Sie
danach einen Cluster und fügen Sie die
beiden iSCSI-Laufwerke des Quellser-
vers als CSV-Laufwerke hinzu (Cluster
Shared Volume).
Für die Verwaltung Storage-Replica-
Funktion in der grafischen Oberfläche in
einem Cluster nutzen Sie den Failover-
Clustermanager. Über den Bereich "Spei-
cher / Datenträger" sehen Sie alle Daten-
träger, die an den Cluster angebunden
sind. Über das Kontextmenü der Daten-
träger starten Sie den Assistenten für die
Einrichtung von Storage Replica über "Re-
plikation / Aktivieren".
Im Failover-Clustermanager nehmen Sie
die Einstellungen im Assistenten vor.
Nachdem Sie das Quelllaufwerk im As-
sistenten des Failover-Clustermanagers
ausgewählt haben, wählen Sie das Ziel-
laufwerk für die Replikation aus. In die-
sem Rahmen bestimmen Sie auch ein
Laufwerk für das Speichern der Logda-
teien. Dieses erreichen Sie in der Power-
Shell durch die Option "DestinationLog-
VolumeName".
Danach können Sie im Failover-Cluster-
manager noch auswählen, ob die Zielfest-
platte schon Daten der Quellfestplatte ent-
hält. In diesem Fall muss der Server nur
geänderte Daten übertragen, was Band-
breite spart. Vor allem bei der Replikation
in Geo-Clustern kann es daher sinnvoll
sein, die erste Replikation offline vorzu-
nehmen und anschließend erst die Spei-
cherreplikation einrichten. Danach ist der
Assistent abgeschlossen und beginnt mit
der Einrichtung der Replikation. Den Sta-
tus sehen Sie im Failover-Clustermanager.
In der Oberfläche ist auch zu erkennen,
ob es sich bei diesem Datenträger um die
Quelle, das Ziel, oder den Datenträger
für Logdateien handelt.
Den Status der Replikation ermitteln Sie
in der PowerShell mit dem Get-SRGroup-
oder Get-SRPartnership-Cmdlet. Die La-
tenz und die Leistung der Replikation
überprüfen Sie mit dem Test-SRTopolo-
gy-Befehl.
www.it-administrator.de

Storage Replica
per PowerShell steuern
Für die Replikation alleinstehender Server
oder für Skripte können Sie auch die
PowerShell verwenden, um die Replika-
tion einzurichten. Dazu definieren Sie die
wichtigsten Werte zunächst als Variablen
und erstellen dann auf Basis der Variablen
die Replikations-Partnerschaft.
Wollen Sie zwei Datenträger auf allein-
stehenden Servern mit Storage Replica
replizieren, benötigen Sie auch hier zwei
Server mit Windows Server 2016 oder
2019, die Mitglied einer Domäne sind.
Bei der Domäne kann es sich auch um
eine Vorgängerversion von Windows Ser-
ver 2016 handeln. Zunächst richten Sie
auf dem Quellserver eine Storage-Repli-
ca-Partnerschaft ein, zum Beispiel mit:
New-SRPartnership -SourceComputer-
Name win1001 -SourceRGName rg01
-SourceVolumeName e: -SourceLog-
VolumeName e: -DestinationCompu-
terName win10 -DestinationRGName
rg02 -DestinationVolumeName e:
-DestinationLogVolumeName e:
-LogSizeInBytes 8gb
Alternativ können Sie die wichtigsten
Daten als Variable speichern und danach
die Einrichtung vornehmen. Hier legen
Sie auch gleich die Namen der Gruppen
fest, in denen sich Quell- und Zielserver
befinden.
$quelle = "Node01"
$Ziel = "Node02"
$GroupNameSource = "SyncA"
$GroupNameDest = "SyncB"
New-SRPartnership -ReplicationMode
Synchronous -SourceComputerName
$quelle -SourceRGName $ GroupName-
Source -SourceVolumeName D:
-SourceLogVolumeName L:
-DestinationComputerName $Ziel
-DestinationRGName $GroupNameDest
-DestinationVolumeName D:
-DestinationLogVolumeName L:
-LogSizeInBytes 8GB
Generell kann es sinnvoll sein, die Win-
dows-Firewall auf den beteiligten Ser-
vern zu deaktivieren – vor allem, wenn
Sie die Funktion noch testen. Die Datei-
www.it-administrator.de
und Druckerfreigabe müssen Sie auf je-
den Fall freischalten. Das ist notwendig,
damit die Kommunikation funktioniert.
Am besten verwenden Sie die PowerShell
und folgende Befehle auf einem der be-
teiligten Server:
Enable-NetFirewallRule -CimSession
Quellserver,Ziel-Server -Display-
Group "Remote Desktop","File and
Printer Sharing"
Nach der Einrichtung überprüfen Sie in
der Ereignisanzeige auf den Servern, ob die
entsprechenden Einträge für die Erstellung
der Gruppe vorhanden sind. Sie finden die
Informationen in der Ereignisanzeige über
"Anwendungs- und Dienstprotokolle / Mi-
crosoft / Windows / StorageReplica / Ad-
min". Auch mit Hilfe der PowerShell brin-
gen Sie die Informationen auf den Schirm:
Get-WinEvent –ProviderName Micro-
soft-Windows-StorageReplica
-MaxEvents 15 | fl
Als Ereignisse für den Quellserver kom-
men die Events 5002, 2200 und 5015 in
Betracht, während für den Zielserver die
Ereignisse 2200, 5005, 5015, 5001 und
5009 möglich sind. Mit
Get-NetFirewallRule -CimSession
Server1,Server2 -DisplayGroup
"Remote Desktop","File and Printer
Sharing"
lassen Sie sich die Einstellungen anzeigen.
Stellen Sie sicher, dass die Datenträger auf
beiden Servern verbunden sind, deren Spei-
cher Sie replizieren wollen. Legen Sie auf
den Datenträgern zum Beispiel zwei Par-
titionen an, wenn Sie die Funktion testen.
Eine Partition dient für Protokolldateien,
die andere für Daten, die Sie in der Test-
umgebung replizieren. In einer produktiven
Umgebung speichern Sie die Protokollda-
teien natürlich am besten auf einer eigenen
Festplatte. Da das System auf Basis der Pro-
tokolldateien repliziert, bietet es sich an,
auf einen sehr schnellen NVMe-Datenträ-
ger zu setzen. Wollen Sie die Replikations-
quelle umdrehen, verwenden Sie:
Set-SRPartnership -NewSourceCompu-
terName Node02 -SourceRGName
Storage Replica Storage
GroupNameDest -DestinationCompu-
terName Node01 -DestinationRGName
GroupNameSource -Confirm $true
Sie müssen bei der Einrichtung darauf
achten, wie der Name des Zielservers und
der Zielgruppe ist. Arbeiten Sie mit Va-
riablen, ist die alte Quelle das neue Ziel
und umgekehrt. Das müssen Sie in den
Befehlen natürlich berücksichtigen. Um
die Replikationspartner zu löschen und
neu einzurichten verwenden Sie:
Get-SRPartnership |
Remove-SRPartnership
Get-SRGroup | % { Remove-SRGroup
-Name $_.name }
Storage Spaces Direct
und Storage Replica
Zusammen bieten Storage Spaces Direct
und Storage Replica die Möglichkeit, geo-
grafisch getrennte Cluster aufzubauen und
deren Daten zu synchronisieren. Dabei
kommt kein gemeinsamer Speicher im
Cluster zum Einsatz, sondern die lokal an-
geschlossenen Datenträger im Cluster stel-
len den gemeinsamen Datenträger zur
Verfügung. Sinnvolles Einsatzgebiet ist das
Replizieren von Daten zwischen verschie-
denen Clustern, die in unterschiedlichen
Rechenzentren verteilt sind. Jedes Cluster
nutzt dabei sein eigenes Storage-Spaces-
Direct-System. Die Daten in den beiden
Storage Spaces Direct werden dann durch
Storage Replica zwischen verschiedenen
Rechenzentren synchronisiert. Natürlich
lassen sich Storage Spaces Direct und Sto-
rage Replica auch getrennt nutzen.
Fazit
Storage Replica erlaubt die Absicherung
von wichtigen Servern durch Replikation
in verschiedene Rechenzentren oder den
Aufbau eines Geo-Clusters. Damit lassen
sich vor allem Hyper-V-Cluster oder Da-
teiserver absichern. Durch die Möglichkeit,
einzelne Server, Cluster-Knoten und ganze
Cluster zu replizieren, bietet Storage Re-
plica eine sehr effiziente Replikation von
Daten. Unternehmen, die bisher auf DFS-
Replikation setzen, sollten besonderes Au-
genmerk auf Storage Replica richten, da
die neue Replikationsvariante in jedem
Fall effizienter repliziert. (ln/jp)
Sonderheft II/2019 119
 Quelle: Ian Iankovskii – 123RF
Storage Migration Services

Beweglich
von Thomas Joos

Eine wichtige Aufgabe bei der Servermigration ist

die Übernahme von Dateien und Freigaben auf
den neuen Windows Server 2019. Neu ist hier der
Storage-Migration-Dienst, aber auch mit Robocopy
und dem Dateiserver-Migrationstoolkit lassen sich
Daten übernehmen. Wir zeigen, wie Sie Daten mit
diesen drei Werkzeugen bewegen.

D
en Anfang unseres Workshops
macht Robocopy, das die schnelle
und einfache Übernahme von Daten über
die Kommandozeile erlaubt.
Robocopy im Einsatz
Robocopy ist ein Tool für die Eingabeauf-
forderung, das ähnlich wie Xcopy funk-
tioniert, aber deutlich mehr Möglichkeiten
bietet. Das Tool gehört zu den Bordmitteln
von Windows. Der einfache Aufruf von
Robocopy sieht folgendermaßen aus:
robocopy Quelle Ziel Datei(en)
/Option
Platzhalter sind erlaubt. Wenn Sie keine
Dateien oder Platzhalter eingeben, verwen-
det Robocopy standardmäßig *.*, kopiert
also alle Dateien. Als Quelle und Ziel kann
ein Ordner, ein Laufwerk oder auch ein
UNC-Pfad angegeben sein ("\\Server\Frei-
gabe"). Die Optionen werden hinter dem
Befehl angehängt. Sie können beliebig viele
Optionen miteinander kombinieren.
Schlägt der Kopiervorgang einer Datei fehl,
führt Robocopy innerhalb eines definierten
Zeitraums einige weitere Versuche durch,
um den Kopiervorgang noch erfolgreich
abzuschließen. Robocopy wartet standard-
mäßig 30 Sekunden und eine Millionen
Versuche, um den Kopiervorgang durch-
zuführen. Diese beiden Werte lassen sich
mit den Optionen "/w" und "/r" steuern
sowie mit "/reg" als Standard in der Regis-
try festlegen. Bei jedem Vorgang verwendet
der Kopiervorgang die Optionen "/w" und
"/r". Sind im Befehlsaufruf diese Optionen
nicht gesetzt, nutzt das Tool die Standard-
werte. Die Optionen verwendet es dabei
von links nach rechts. Nach unserer Er-
fahrung greifen die meisten Administra-
toren auf die Option "/mir" zurück, um so
schnell und einfach eine Spiegelung eines
Ordners anzulegen. Wenn Sie Datei- oder
Ordnernamen kopieren, die ein Leerzei-
chen enthalten, geben Sie den Pfad in An-
führungszeichen an, zum Beispiel
Robocopy "\fs01\einkauf\
lieferanten 2011"
Um die Daten in einer Freigabe auf einen
anderen Rechner zu spiegeln, schreiben
Sie am besten ein Skript mit dem Befehl
robocopy Quellordner Sicherungslauf-
werk:\Sicherungsordner /mir
Mit dem Kommando
robocopy c:\users\thomas\documents
y:\backup /mir
kopiert Windows die Ordner und Da-
teien aus dem "Dokumente"-Ordner auf
das Laufwerk Y: in den Ordner "backup".
Die Option "/mir" kopiert nur geänderte
Dateien und löscht Dateien im Zielord-
ner, die im Quellordner nicht mehr vor-
handen sind. Das heißt, der erste Ko-
piervorgang dauert recht lang, da erst
alle Dateien kopiert werden müssen. Der
zweite geht aber deutlich schneller, da
nur geänderte Dateien kopiert werden.
Löschen Sie im Quellordner eine Datei,
entfernt der Kopiervorgang diese auch
im Backupordner. So erhalten Sie immer
eine 1:1-Kopie Ihrer wichtigsten Daten.
Sie können ohne weiteres auch mehrere
Ordner sichern. Verwenden Sie in die-
sem Fall einfach mehrmals den Befehl
nacheinander in einem Skript.
Nur Freigaben und
deren Rechte übernehmen
Wollen Sie keine Daten kopieren, sondern
nur die bestehenden Freigaben und Rech-
te vom Quell- auf den Zielserver über-
tragen, benötigen Sie die Registry:
1. Öffnen Sie auf dem Server die Registry
durch Eingabe von regedit.
2. Navigieren Sie zu "HKEY_LOCAL_
MACHINE \ SYSTEM \ CurrentControl-
Set \ services \ LanmanServer \ Shares".
3. Exportieren Sie diesen Schlüssel über
das Kontextmenü.
4. Wollen Sie nicht alle Freigaben über-
nehmen, öffnen Sie die exportierte Da-
tei und löschen Sie die Einträge der ent-
sprechenden Freigaben.

120 Sonderheft II/2019 www.it-administrator.de


Bild 1: Daten lassen sich mit dem Storage Migration Service übernehmen.
5. Kopieren Sie die Datei auf den Zielser-
ver und klicken Sie doppelt auf die Da-
tei, um sie auf dem Zielserver zu im-
portieren. Beachten Sie aber, dass
dieser Import die Einträge der vorhan-
denen Freigaben auf dem Zielserver
überschreibt.
6. Starten Sie nun den Server neu.
7. Überprüfen Sie auf dem Server, ob die
Freigaben vorhanden sind.
Windows Server Storage
Migration Service
Mit dem in Windows Server 2019 vor-
handenen Dienst lassen sich Daten von
Freigaben einfacher auf die neue Server-
version migrieren. Der Windows Server
Storage Migration Service nimmt dabei
auch die Benutzerrechte und weitere Ein-
stellungen für die Freigaben mit. Gesteu-
ert wird der Service über das Windows
Admin Center und die PowerShell. Er
lässt sich parallel zu Robocopy oder dem
Dateiserver-Migrationstoolkit einsetzen.
Der Dienst kann über einen Assistenten
auch die IP-Adressen, DNS-Namen und
lokale Benutzer übernehmen. Microsoft
beschreibt in einem Blog-Beitrag [1] die
Vorgehensweise.
Als Quellserver dienen ältere Windows-
Server, als Zielserver Windows Server
2019. Der Hintergrund: Bisher war die
Übernahme von Daten und Freigaben auf
neue Dateiserver sehr kompliziert. Das
will Microsoft mit Windows Server 2019
ändern. Sollen Daten von einem auf einen
anderen Server übertragen werden, kann
das über einen Storage-Migration-Proxy
erfolgen. Dieser kann als Serverfeature in
Windows Server 2019 installiert werden.
Der Dienst selbst wird über den Punkt
"Storage Migration Service" aufgespielt.
www.it-administrator.de
Storage Migration Services
Die Übernahme von Daten kann aber
nicht nur von älteren Windows-Versionen
aus erfolgen. Auch andere Storage-Syste-
me wie NAS-Server lassen sich dazu nut-
zen, um Daten zu übernehmen. Aktuell
unterstützt der Windows Storage Migra-
tion Service alle Windows-Server ab 2003
bis hin zu 2019. Wenn Windows Server
2019 verfügbar ist, können auch Daten
von anderen Servern übernommen wer-
den; in der Vorschauversion müssen die
Server alle Mitglied in einem Active Di-
rectory sein.
Die Verwaltung erfolgt über das neue
Windows Admin Center. Wenn auf einem
Server das Feature für den Storage Migra-
tion Service installiert ist, zeigt das Win-
dows Admin Center beim Verbinden den
Menüpunkt an. Durch einen Klick auf
"Storage Migration Service" starten Sie die
Migration. Die Datenübernahme kann
daneben auch mit der PowerShell erfolgen.
Hierzu dient ein PowerShell-Modul mit
der Bezeichnug "StorageMigration-Ser-
vice". Die zur Verfügung stehenden Be-
fehle werden über get-command -Module
StorageMigrationService angezeigt.
Migration Service einrichten
Zur Steuerung des Storage Migration Ser-
vice dient das Windows Admin Center.
Um Daten auf Server mit Windows Server
2019 zu migrieren, installieren Sie wie er-
wähnt den Storage Migration Service und
den Storage Migration Service Proxy als
Serverfeature. Außerdem benötigen Sie
das angesprochene Windows Admin Cen-
ter. Die Installation des Gateways besteht
aus der Bestätigung weniger Fenster. Hier
richten Sie auch Zertifikate und Ports ein.
Erscheint eine neue Version des Windows
Admin Centers, können Sie diese auf dem
Storage
Gateway installieren. Dadurch wird die
alte Version aktualisiert und Sie können
die neuen Funktionen nutzen.
Die Installation des Admin Centers kann
auch über die Befehlszeile laufen. Das ist
zum Beispiel sinnvoll, wenn das Gateway
auf einem Core-Server installiert werden
soll. Die Installation erfolgt in der Form
msiexec /i InstallerName.msi /qn
/L*v log.txt SME_PORT=Port
SSL_CERTIFICATE_OPTION=generate
Ein Beispiel sieht so aus:
msiexec /i WindowsAdminCenter-
1809.msi /qn /L*v log.txt
SME_PORT=6516 SSL_CERTIFICATE_
OPTION=generate
msiexec /i WindowsAdminCenter-
1809.msi /qn /L*v log.txt
SME_PORT=Port SME_THUMBPRINT=
Thumbprint SSL_CERTIFICATE_
OPTION=installed
Wenn das Admin Center auf dem Core-
Server installiert ist, ist auch hier der
Zugriff über das Netzwerk mit einem
Webbrowser möglich. Um Core-Server
wiederum mit dem Admin Center zu ver-
walten, muss auf dem entsprechenden
Server die Remoteverwaltung aktiviert
sein. Eine zusätzliche Software ist auf den
Servern, die mit dem Admin Center ver-
waltet werden, nicht notwendig. Nur das
Gateway muss installiert sein. Die Ver-
waltung der angebundenen Server erfolgt
mit den Standard-Verwaltungstools von
Windows Server, die Verbindung über
den Webbrowser.
Im Netzwerk können durchaus auch
mehrere Proxys für den Windows Server
Storage Migration Service zum Einsatz
kommen, die durch einen zentralen Or-
chestrator-Dienst gesteuert werden; das
beschleunigt Migrationen. Wird der Ser-
ver an das Windows Admin Center an-
gebunden, steht der Menüpunkt zur Mi-
gration als eigenständiger Bereich im
Windows Admin Center zur Verfügung.
Über den Bereich der Storage Migration
erstellen Sie anschließend neue Migrati-
Sonderheft II/2019 121
 Storage Storage Migration Services
Bild 2: Das Hinzufügen vom Servern zur Migrationsliste.
onsjobs, ähnlich zum Umzug von Post-
fächern auf Exchange-Servern. Zunächst
legen Sie einen neuen Auftrag an und
wählen mit "Gerät hinzufügen" die Server
und Speichergeräte aus, deren Daten
Sie zu Windows Server 2019 migrieren
möchten. Sobald die Server angebunden
sind, muss eine Inventur der Quellserver
stattfinden. Dazu wählen Sie "Überprü-
fung starten". Hier legen Sie fest, welche
Daten übernommen werden sollen. Tau-
chen Fehler auf, können Sie über den
Link "Ereignisse" überprüfen, was diese
verursacht. Die Inventur dauert natürlich
einige Zeit, da der Storage Migration Ser-
vice alle Freigaben, Daten und Berechti-
gungen einlesen und verarbeiten muss.
Bei diesem Schritt der Migration werden
noch keine Daten übernommen. Klicken
Sie nach der Überprüfung den Server an,
erhalten Sie einen Überblick zu den Da-
ten, die sich transferieren lassen.
Danach erfolgt die Verschiebung der Da-
ten auf Basis der Einstellungen, die Sie
festgelegt haben. Über den Assistenten
geben Sie nochmals die Anmeldedaten
für die Migration ein und wählen den
Zielserver aus, auf den die Daten über-
nommen werden sollen. Anschließend
wird auch der Zielserver gescannt. Nun
kann der Zielserver die Identität des
Quellservers übernehmen. Die Konfigu-
ration findet dabei über einen Assistenten
statt. Mit "Überprüfen" testet der Storage
Migration Service das Zielgerät. Anschlie-
ßend starten Sie den Vorgang mit "Über-
tragung starten". Dabei wird auch die
Namensauflösung entsprechend konfi-
guriert. Bei der Übernahme werden Frei-
gabe und Berechtigungen genauso über-
122 Sonderheft II/2019
nommen wie die Daten in den Freigaben.
Der Status ist im Fenster zu sehen. Die
Daten auf dem Quellserver bleiben er-
halten, Sie können diese bei Bedarf aber
auch löschen.
Nach der erfolgreichen Übertragung be-
ginnt Schritt 3 der Migration. Hier führen
Sie die letzten Einstellungen der Migra-
tion über einen Assistenten durch. Im
Rahmen der Umstellung wird zunächst
wieder der Quellserver gescannt. Auch
lokale Benutzer und Gruppen lassen sich
auf neue Dateiserver mit Windows Server
2019 umziehen. Dabei kann der Dienst
auch Dateien migrieren, die derzeit in
Verwendung sind, sowie Dateien und
Freigaben übernehmen, für die der Ad-
ministrator keine Zugriffsrechte hat. Die
Datei-Attribute finden ebenfalls ihren
Weg auf den neuen Server. Gleiches gilt
für Netzwerkeinstellungen und den Na-
men des Servers.
Der Storage Migration Service über-
nimmt übrigens nicht nur lokale Daten,
sondern unterstützt auch hybride Umge-
bungen. So migrieren Sie beispielsweise
Daten von verschiedenen Dateiservern,
auch Windows Server 2019, zu Microsoft
Azure. Dabei verwenden Sie als Ziel "Azu-
re File Sync" oder "Azure Files" sowie an-
dere Freigaben in der Cloud. Der Storage
Migration Service bildet so eine Schnitt-
stelle zwischen verschiedenen Servern in
allen Richtungen.
Installieren des
Dateiserver-Migrationstoolkit
Auch wenn das Dateiserver-Migrations-
kit [2] schon älter ist, funktioniert es
noch problemlos für die Migration zu
Windows Server 2019. Das Tool über-
nimmt komplette Ordner, legt Verzeich-
nisse und Freigaben an, kopiert Dateien
und setzt die NTFS-Rechte korrekt um.
Auch Berichte erstellt die Software. Die
ganze Übernahme findet mit einem ein-
fach zu bedienenden Assistenten statt.
Beim Kopieren der Daten zeigt sich das
Tool sehr fix, sodass auch mehrere hun-
dert GByte kein Problem darstellen. Selbst
das Kopieren nur geänderter Daten ist
möglich, sodass Sie zunächst eine Daten-
sicherung zurücksichern können und
dann erst die Daten übernehmen. Das
Dateiserver-Migrationstoolkit führt alle
Aufgaben in einem Aufwasch durch und
Sie können die Konfiguration sehr detail-
liert über einen Assistenten oder durch
Anpassen einer XML-Datei steuern.
Ein weiterer Vorteil des Dateiserver-Mi-
grationstoolkits liegt in der Möglichkeit,
mehrere Dateiserver auf einen neuen Ser-
ver umzuziehen, auch zu DFS – und zwar
unabhängig vom Betriebssystem. Mit
dem Dateiserver-Migrationstoolkit kön-
nen Sie sowohl zu DFS-Stämmen als
auch zu ganz normalen Dateiservern mi-
grieren. DFS als Quelle ist jedoch nicht
möglich, sondern nur als Zielsystem. Da
die Software auch Server 2008 R2 unter-
stützt, lässt sich die Migration von der
bald nicht mehr unterstützten Version
zum aktuellen Server-Betriebssystem
deutlich vereinfachen.
Selbst Clusterdienste unterstützt das Tool
als Quelle und als Ziel. Gibt es bei der
Datenübernahme Probleme, kann das
Toolkit einen Rollback durchführen. Er-
kennt das Tool bei der Eintragung von
Rechten, dass sich bestimmte SIDs nicht
auflösen lassen, entfernt es automatisch
die problematischen Berechtigungen von
den Freigaberechten. Diese Option kön-
nen Sie aber einstellen, dazu später mehr.
Der generelle Ablauf ist ganz einfach:
1. Sie installieren einen neuen Server mit
Windows Server 2019.
2. Im Anschluss installieren Sie das Da-
teiserver-Migrationstoolkit und kon-
figurieren den Prozess der Migration.
Sie benötigen für den Einsatz die .NET
Framework-Features, die Sie als Ser-
www.it-administrator.de

verfeature über den Server-Manager
installieren.
3. Wollen Sie nachträglich noch Daten am
Prozess anpassen, konfigurieren Sie ein-
fach die entsprechende XML-Datei des
Projekts. Das ist zum Beispiel sinnvoll,
wenn Sie den Zielpfad ändern wollen,
da das Tool als Stammordner immer
den Namen des Quellservers verwen-
det. Diese Konfiguration können Sie
nur in der XML-Datei vornehmen.
4. Sie starten das Projekt und kopieren die
Daten auf den neuen Server. Das Da-
teiserver-Migrationstoolkit kopiert die
Daten, die Ordnerstruktur und die Be-
rechtigungen auf den neuen Server. Die
Daten auf dem alten Server bleiben er-
halten, die Freigaben auf Wunsch auch.
Dateiserver-Migrationstoolkit
in der Praxis
Nachdem Sie das Dateiserver-Migrati-
onstoolkit auf dem neuen Dateiserver
installiert haben, rufen Sie aus der Pro-
grammgruppe den Dateiservermigrati-
ons-Assistenten auf. Dieser führt Sie
durch die Migration. Wollen Sie zu DFS
migrieren, müssen Sie zunächst Vorar-
beiten durchführen. Dazu später mehr.
Wenn Sie den Assistenten gestartet haben,
können Sie entweder ein neues Migrati-
onsprojekt anfangen oder ein abgespei-
chertes fortsetzen. Wenn Sie ein neues
Bild 3: Die Übertragung der Daten auf den neuen Dateiserver mit dem Migration Service.
Link-Codes eingeben auf www.it-administrator.de
Storage Migration Services
Migrationsprojekt beginnen, erscheint
zunächst der Willkommensbildschirm
des Dateiserver-Migrationstoolkit.
Nachdem Sie diesen Bildschirm bestätigt
haben, legen Sie einen Projektnamen und
den Speicherort für die Projektdatei fest.
Die Daten des zu migrierenden Datei-
servers werden nicht in diesen Ordner
migriert. Im Projektordner liegen nur die
Konfigurationsdaten des Projekts, die Sie
bei einem erneuten Start laden können.
Die Konfiguration speichert das Tool in
einer XML-Datei, die Sie nachträglich
bearbeiten können. Sie können später
den Ordner festlegen, in den die Daten
kopiert werden.
Im nächsten Fenster des Assistenten legen
Sie fest, ob Sie einen DFS-Stamm migrie-
ren möchten. Wenn Sie einen normalen
Dateiserver migrieren wollen, können Sie
in diesem Fenster das Kontrollkästchen
deaktivieren. Im nächsten Fenster legen
Sie den Speicherort der Dateien und Ord-
ner fest, die von dem zu migrierenden
Dateiserver auf den neuen Server kopiert
werden sollen. Wenn Sie diese Angaben
vorgenommen haben, beenden Sie den
Assistenten mit "Fertigstellen". An dieser
Stelle sind keine weiteren Maßnahmen
notwendig und der Assistent ist bereit zur
Migration.
Storage
Sie sollten sicherstellen, dass Sie diese Mi-
gration außerhalb der Geschäftszeiten
durchführen, da während des Kopiervor-
gangs alle Anwender von ihren Freigaben
auf dem Quelldateiserver getrennt wer-
den. Bis zu dieser Stelle brauchen Sie
nichts zu befürchten. Hier nehmen Sie
nur allgemeine Angaben vor, ohne Ak-
tionen durchzuführen.
Nach dem Beenden des Assistenten be-
ginnt die eigentliche Migration. Zunächst
müssen Sie mit "Server hinzufügen" den
Namen des zu migrierenden Quellservers
eingeben. Nachdem Sie den Server hin-
zugefügt haben und der Assistent den Na-
men des Servers auflösen kann, zeigt das
Tool alle Freigaben auf diesem Server in
der Liste an und markiert diese automa-
tisch. Sie können mit dem Tool auch Da-
ten zwischen Dateiservern mit Windows
Server 2019 migrieren.
Fazit
Um Dateifreigaben auf einen neuen Server
zu migrieren, können Administratoren
entweder auf Robocopy, den Windows
Server Storage Service oder auf das betagte
Dateiserver-Migrationstoolkit setzen. Na-
türlich stellt der Server Storage Migration
Service in Windows Server 2019, zusam-
men mit der Verwaltung über das Win-
dows Admin Center, die modernste Mög-
lichkeit dar und kann auch Dateien von
NAS-Systemen zu Windows Server 2019
migrieren.
Durch die Möglichkeit, auch die Namen
und andere Einstellungen anpassen zu
können, bietet der Windows Storage Mi-
gration Service sicher die besten Mög-
lichkeiten, aber auch die beiden anderen
Methoden haben ihre Berechtigungen,
unter Umständen sogar parallel. Vor der
eigentlichen Migration sollten Sie sich
aber mit den einzelnen Möglichkeiten
auseinandersetzen und diese in einer Um-
gebung testen. (dr)
Link-Codes
[1] Vorstellung des
Storage Migration Toolkits
j3p71
[2] Dateiserver-Migrationskit
fs1a2
Sonderheft II/2019 123
Exchange 2019 auf
physischem Server einrichten
Handarbeit
von Christian Schulenburg
Es muss nicht immer virtuell oder in der Wolke
sein: In diesem Workshop zeigen wir Ihnen die
Schritte hin zu einer lokalen und hochverfügba-
ren Exchange-2019-Umgebung. So durchlaufen
wir zunächst die eigentliche Installation und
beschäftigen uns dann mit dem Einrichten der
Zugriffspunkte, die für den ein- und ausgehen-
den Datenverkehrs eine entscheidende Rolle
spielen. Auch das Anbinden via Connectoren
sowie die Absicherung des Exchange-Servers
stehen auf der Agenda.
P
hysisch oder virtuell ist heute
kaum noch eine Frage, denn in
den meisten Serverräumen haben virtu-
elle Strukturen Einzug gehalten. Im Be-
reich von Exchange hat Microsoft diesen
Pfad seit Exchange 2016 jedoch verlassen
und bevorzugt den Einsatz von physi-
schen Low-Cost-Servern – nicht zuletzt,
um die Komplexität der zusätzlichen Vir-
tualisierungsschicht zu entfernen. In die-
sem Beitrag schaffen wir eine Umgebung
aus zwei Windows-2019-Servern, die über
Database Availability Groups (DAG) und
DNS Round Robin (DNS RR) abgesichert
werden. Sollten Sie bereits über eine vir-
tuelle Umgebung verfügen, ist eine Inte-
gration von Exchange natürlich problem-
los möglich. Wie Sie hier vorgehen, lesen
Sie in im Beitrag auf Seite 141.
Über die Verteilung der Rollen müssen Sie
sich keine Gedanken machen, denn Mi-
crosoft hat diese weiter reduziert und es
ist nur noch die Rolle "Mailbox" übrigge-
blieben. "Hub/Transport", "Client Access"
und "Unified Messaging" sind in der Rolle
"Mailbox" aufgegangen. Auf diesem Weg
kommen immer der gleiche Installations-
prozess und die gleiche Konfiguration zum
Einsatz. Durch die Vereinheitlichung ver-
einfacht sich auch die Administration.
124 Sonderheft II/2019
Weiterhin steht durch das Setzen einer
Rolle auf allen Servern ein größerer Pool
an Servern dieser Rolle zur Verfügung, so-
dass sich die Last besser verteilt und die
Ausfallsicherheit weiter erhöht.
Als Client unterstützt Exchange 2019 Out-
look ab 2013. Die Installationsmedien von
Exchange 2019 lassen sich leider nicht
mehr direkt bei Microsoft-Downloads he-
runterladen. Sie beschaffen es zukünftig
nur noch über das Volume Licensing Ser-
vice Center, eine Volume-Lizenz voraus-
gesetzt. Alternativ besteht nur die Mög-
lichkeit über ein Visual-Studio-Abon-
nement, das eine Testversion bereithält.
Das aktuellste Kumulative Update (CU)
enthält die vollständigen Installationsda-
teien [1], sodass die Exchange-Umgebung
sich im Anschluss direkt auf dem neusten
Stand befindet.
Sizing der Server
War in vorangegangenen Exchange-Ver-
sionen die Festplattenperformance noch
ein wichtiger Faktor, so hat sich dies seit
Exchange 2016 deutlich verändert und
die notwendigen Festplatten-IOPS haben
sich bezogen auf Exchange 2003 über 90
Prozent reduziert. Die Datenbanken ver-
teilen Sie auf möglichst große SAS-Fest-
F
3R
12
o int
–
lfp
ha
uel
le:
Q
platten mit 7200 RPM in einem JBOD.
SAS-Festplatten sind SATA-Festplatten
aufgrund der besseren Performance und
der geringeren Fehlerrate vorzuziehen.
Ein teure SAN-Umgebung ist für einen
hochverfügbaren Betrieb von Exchange
nicht nötig. Um die Performance weiter
zu optimieren, setzt Microsoft auf ein op-
tionales Tiering mit SSDs. Auf diesen wer-
den die sogenannten MetaCache Data-
bases (MCDB) abgelegt, die bis zu 10
Prozent der eigentlichen Postfachdaten
enthalten und die Nutzererfahrung zum
Beispiel bei der Anmeldung oder den Da-
tenabruf weiter verbessern. Details zur
MCDB finden Sie in einem eigenen Bei-
trag in diesem Heft auf Seite 150.
Microsoft hat für das Sizing der Umge-
bung einen Requirement Calculator für
Exchange 2019 veröffentlicht, der auch
MCDB berücksichtigt und an dem Sie
sich orientieren. In der Excel-Tabelle ge-
ben Sie Ihre Rahmendaten ein und am
Ende erhalten Sie eine Konfigurations-
empfehlung für die Zusammenstellung
der Festplatten und die Verteilung der
Datenbanken (Bild 1). Den Kalkulator
und eine Beschreibung zum Sizing [2]
finden Sie ebenfalls im TechNet sowie im
Artikel ab Seite 132.
www.it-administrator.de

Bild 1: Der Exchange Server Role Requirements Calculator unterstützt Sie bei der Planung der Server
und befindet sich in der ISO-Datei im Verzeichnis "Support".
Umgebung vorbereiten
Für Exchange 2019 müssen alle Domain-
controller auf Windows 2012 R2 Server
laufen. Das Gleiche gilt für die Gesamt-
strukturfunktionsebene sowie die Domä-
nenfunktionsebene. Um die Gesamtstruk-
turfunktionsebene zu prüfen, öffnen Sie
das Active-Directory-Domänen und -Ver-
trauensstellungen-Snap-In und klicken mit
der rechten Maustaste auf "Active Directo-
ry-Domänen und -Vertrauensstellungen"
und danach auf "Gesamtstrukturfunkti-
onsebene heraufstufen". Für die Domä-
nenfunktionsebene klicken Sie im gleichen
Snap-In mit rechts auf die Domäne und
schauen nach der Domänenfunktionsebe-
ne. Sind die Voraussetzung für Exchange
2019 nicht erfüllt, können Sie an dieser
Stelle Funktionsebenen heraufstufen.
Im nächsten Schritt bereiten wir die Acti-
ve-Directory-Struktur vor. Zunächst er-
stellen Sie mit der Setup-Erweiterung
"/PrepareSchema" die Exchange-Attribute
global. Im Anschluss heben Sie mit "/Pre-
pareAD" die globalen Exchange-Objekte
und universelle Sicherheitsgruppen aus
der Taufe. Als Nächstes passt "/Prepare-
Domain" noch einzelne Domänen an, in
denen Exchange auch genutzt wird. Zum
Ausführen müssen Sie Mitglied der Grup-
pen Schema-Admins, Domänen-Admins
und Organisations-Admins sein. Erwei-
tern Sie das Schema direkt von dem zu-
künftigen Exchange-Server, müssen Sie
www.it-administrator.de
Exchange 2019 auf physischem Server einrichten
mit Install-WindowsFeature RSAT-ADDS
die Remoteverwaltungstools für das Acti-
ve-Directory unter Windows Server 2019
installieren.
Führen Sie nun die Exchange-2019-Se-
tupdatei mit den folgenden Erweiterun-
gen aus. Den Namen der Exchange-Or-
ganisation legen Sie über den zweiten
Schritt fest. Im Beispiel lautet diese Or-
ganisation FirstOrg:
.\setup.exe /PrepareSchema
/IAcceptExchangeServerLicenseTerms
.\setup.exe /PrepareAD
/IAcceptExchangeServerLicenseTerms
/on:FirstOrg
Bild 2: Die Verwaltung von Exchange 2019 erfolgt über das Exchange Administration Center.
Exchange 2019
.\setup.exe /PrepareDomain
/IAcceptExchangeServerLicenseTerms
Die Befehle bauen aufeinander auf – ein
nachgelagerter Befehl fragt die vorherge-
henden Anpassungen ab und holt diese
gegebenenfalls nach. Die Vorbereitung
des Active Directory wird auch beim Star-
ten des Exchange-Setups geprüft und not-
falls nachgeholt, sofern der Installations-
benutzer über die nötigen Rechte verfügt.
Ist die Aktualisierung abgeschlossen, fra-
gen Sie mit repadmin ab, ob die Replizie-
rung zu allen Domaincontrollern durch-
geführt wurde. In größeren Umgebungen
kann das etwas Zeit in Anspruch nehmen.
Beachten Sie, dass sich nach Abschluss
des Vorganges keine älteren Exchange-
Server mehr installieren lassen.
Installation von
Exchange Server 2019
Nachdem nun alle Vorbereitungen im
Active Directory getroffen wurden, kön-
nen Sie mit der Installation des ersten Ex-
change-Servers beginnen. Die dafür be-
nötigten Windows-Features spielen Sie
vorab über folgenden Befehl auf:
Install-WindowsFeature Server-Media-
Foundation, NET-Framework-45-Fea-
tures, RPC-over-HTTP-proxy, RSAT-
Clustering, RSAT-Clustering-
CmdInterface, RSAT-Clustering-
Mgmt, RSAT-Clustering-PowerShell,
WAS-Process-Model, Web-Asp-Net45,
Web-Basic-Auth, Web-Client-Auth,
Web-Digest-Auth, Web-Dir-Browsing,
Sonderheft II/2019 125
Exchange 2019 Exchange 2019 auf physischem Server einrichten
Web-Dyn-Compression, Web-Http-Er-
rors, Web-Http-Logging, Web-Http-
Redirect, Web-Http-Tracing, Web-
ISAPI-Ext, Web-ISAPI-Filter,
Web-Lgcy-Mgmt-Console, Web-Metaba-
se, Web-Mgmt-Console, Web-Mgmt-
Service, Web-Net-Ext45, Web-Re-
quest-Monitor, Web-Server,
Web-Stat-Compression, Web-Static-
Content, Web-Windows-Auth, Web-
WMI, Windows-Identity-Foundation,
RSAT-ADDS
Alternativ lassen sie sich während der In-
stallation von Exchange automatisch
nachinstallieren. Während des Setups
müssen Sie hierfür den Punkt "Für die
Installation von Exchange Server erfor-
derlichen Windows Server-Rollen und -
Funktionen automatisch installieren" ak-
tivieren. Einzig das Windows-Feature
"Media Foundation" müssen Sie bereits
vorab mit Install-WindowsFeature Server-
Media-Foundation auf die Hardware brin-
gen, damit sich die Unified Communica-
tions Managed API aufspielen lässt.
Als Nächstes installieren Sie Visual C++
und das .NET Framework 4.8, das in
kommenden CUs zur Voraussetzung wird
[3]. Installieren Sie im Anschluss noch
die Microsoft Unified Communications
Managed API 4.0 Runtime [4].
Damit sind alle Voraussetzung erfüllt. Ru-
fen Sie nun das Exchange-2019-Setup auf
und folgen Sie den Anweisungen auf dem
Bildschirm. Während Sie die Setup-Routine
ausführen, wird auch die Bereitschaft des
Servers geprüft, was nun ohne Beanstan-
dungen durchlaufen sollte, sodass am Ende
Exchange 2019 installiert wird. Kommt es
während der Installation zu Fehlern, kön-
nen Sie das Setup durch ein erneutes Auf-
rufen fortsetzen. Das Setup erkennt dabei
die offenen Punkte und holt diese nach.
Eine unbeaufsichtigte Installation ist eben-
so möglich. Hierfür müsse Sie die Setup-
datei mit den entsprechenden Parametern
in einer Commandline ausführen:
Setup /mode:Install /role:MB
/OrganizationName:"FirstOrg"
/IAcceptExchangeServerLicenseTerms
/InstallWindowsComponents
126 Sonderheft II/2019
Weitere Informationen zum Setupverlauf
hält das Exchange-Setup-Log vor, das Sie
im Verzeichnis "C:\ ExchangeSetupLogs \
ExchangeSetup.log" finden. Dies ist eine
gute Anlaufstelle, falls es während der In-
stallation zu Problemen kommt. Installie-
ren Sie nach der Bereitstellung des ersten
Servers direkt den zweiten Exchange-2019-
Server nach dem gleichen Muster.
Administration Center
und Installationsprüfung
Die Administration erfolgt in Exchange
2019 über das Exchange Administration
Center (EAC), das Sie im Browser über
"https://servername/ecp" aufrufen. Das
EAC unterstützt alle gängigen Browser.
Alternativ erfolgt die Konfiguration per
Exchange Management Shell (EMS), über
die Sie wesentlich mehr Konfigurations-
möglichkeiten als über das EAC haben.
Das EAC als auch die EMS können Sie
über den Startbildschirm aufrufen. Um
sicherzustellen, dass alles funktioniert
und richtig installiert wurde, prüfen Sie
zunächst mit
Get-ExchangeServer |ft Name,
ServerRole –AutoSize
welche Server mit welcher Rolle sich nun
im Netzwerk befinden. Schauen Sie auch
gleich mit Test-ServiceHealth und Get-
HealthReport nach, ob alle Dienste auf
den neuen Servern laufen. Bevor es wei-
tergeht, verschieben Sie am besten die be-
reits angelegten Datenbanken an den vor-
gesehenen Ort und geben Sie ihnen einen
sprechenden Namen. Am schnellsten geht
das mit folgendem Befehl:
Get-MailboxDatabase -Server EX1 |
Set-MailboxDatabase -Name DB01
Move-DatabasePath DB01 -EdbFilePath
D:\Datenbanken\DB01\MBXDB01.edb
-LogFolderPath
D:\Datenbanken\DB01\
Richten Sie nun im EAC über den Punkt
"Nachrichtenfluss / Akzeptierte Domä-
nen" eine neue akzeptierte Domain ein,
für die Sie senden und empfangen möch-
ten. Im letzten Schritt erstellen Sie, eben-
falls im Bereich "Nachrichtenfluss" im
EAC, noch eine neue Adressrichtlinie
unter dem Punkt "E-Mail-Adressrichtli-
nie" und fügen die neue Domain hinzu.
Damit diese Richtlinie zum Tragen
kommt, nutzen Sie den Link "anwenden"
im linken Fenster.
Einrichten der Zugriffspunkte
In Exchange 2019 wird ein Großteil des
Datenverkehrs über HTTPS abgewickelt,
weshalb die Zugangspunkte umso wich-
tiger sind. Um zu verstehen, welche URLs
Sie für welchen Dienst nutzen, finden Sie
im Folgenden einen Überblick über die
verschiedenen virtuellen Verzeichnisse
und ihrer Funktion:
- Outlook Anywhere: Dabei handelt es
sich um den Zugriffspunkt für Outlook.
- Exchange ActiveSync (EAS): Über die-
sen Dienst kommunizieren mobile
Clients mit dem Server. Auch Windows
Mail und Outlook ab Version 2013 las-
sen sich über dieses Protokoll anbinden.
- Exchange-Webdienste (EWS): Diese
sind eine wichtige Schnittstelle für Ap-
plikationen, um auf Inhalte von Ex-
change zuzugreifen. Outlook nutzt die
Dienste unter anderem zum Abrufen
des Verfügbarkeitsdienstes und den Ab-
wesenheitsassistenten.
- Offline Address Book (OAB): stellt den
Clients das Offline-Adressbuch zur Ver-
fügung.
- Outlook Web App (OWA): bietet den
Nutzern einen Browserclient zur E-
Mail-Bearbeitung.
- Exchange Admin Center (ECP): ist die
Administrationsoberfläche in Exchange
2019 und wird über das IIS-Verzeichnis
ECP angesprochen.
- Autodiscover: Über die URL fragen die
Clients die Zugriffspunkte am Server ab.
- Powershell: ist der Zugriffspunkt bei
der Nutzung der RemotePowerShell.
Seit Exchange 2007 empfiehlt Microsoft
die Nutzung des gleichen Namensbereichs
für die interne und externe Anbindung.
Als Name für sämtliche Clientzugriffe auf
allen Servern einer Umgebung reicht
"mail.domäne.de". Neben dem Zugriffs-
punkt für die Clients erstellen Sie als zwei-
ten DNS-Eintrag ein Autodiscovereintrag:
"autodiscover.domäne.de". Optional rich-
ten Sie noch Namen für andere Dienste,
wie "imap.domäne.de" oder "smtp.domä-
ne.de" ein. Einen Überblick zur Namens-
auflösung finden Sie in Bild 3.
www.it-administrator.de

Sofern die interne Domäne nicht dem ex-
ternen Domänennamen entspricht, führen
Sie ein Split-DNS in Ihrer Domain ein.
Beim Split-DNS richten Sie eine lokale Zo-
ne mit dem externen Namen ein, die mit
den passenden Namen auf die internen IP-
Adressen der Server referenziert. Dies wird
auch notwendig, da offizielle Zertifikats-
stellen zukünftig keine internen Domänen-
namen beziehungsweise IP-Adressen in
neuen Zertifikaten hinterlegen, sodass Sie
um eine einheitliche Benennung kaum he-
rumkommen. Für ein Split-DNS legen Sie
zunächst im DNS eine zusätzliche Reverse
Lookup Zone mit dem öffentlichen Do-
mänennamen an. Im Anschluss erstellen
Sie A-Records für die externen Namen mit
den IP-Adressen der internen Server.
Sollte der Name Ihrer Website der E-
Mail-Domäne entsprechen, wird die
Auflösung der Website intern zunächst
nicht mehr funktionieren. Generieren
Sie zur Fehlerbeseitigung einen zusätz-
lichen A-Record mit dem Name "www"
und geben Sie diesem Eintrag die IP-
Adresse der externen Website. Die IP-
Adresse der Website erhalten Sie über
eine nslookup-Abfrage von einem Client,
der noch Zugriff auf die Domäne hat,
also nslookup www.domäne.de. Eine aus-
führliche Beschreibung zur Einrichtung
eines Split-DNS finden Sie im Web [5].
Die Namen der Zugriffspunkte ändern
Sie im Exchange Administration Center
unter dem Punkt "Server / Virtuelle Ver-
zeichnisse". Als weitere Möglichkeit zur
Einrichtung der URLs steht Ihnen die
PowerShell mit den folgenden Befehlen
und den Parametern "InternalUrl" und
"ExternalUrl" zur Verfügung:
Set-ActiveSyncVirtualDirectory
Set-EcpVirtualDirectory
Set-MapiVirtualDirectory
Set-OabVirtualDirectory
Set-OwaVirtualDirectory
Set-PowerShellVirtualDirectory
Set-WebServicesVirtualDirectory
www.it-administrator.de
Exchange 2019 auf physischem Server einrichten
Bild 3: Über DNS Round Robin richten Sie in Exchange 2019 eine Hochverfügbarkeit des Client-
zugriffs ein. Client-Anfragen werden automatisch zum richtigen Mailboxserver weitergeleitet.
Den Eintrag für "Autodiscover" finden
Sie in der EAC unter dem Punkt "Server".
Diese Einstellung müssen Sie für jeden
Server gezielt eintragen. Alternativ nutzen
Sie den Befehl Set-OutlookAnywhere mit
dem Paramater "InternalHostname" und
"ExternalHostname". Darüber hinaus set-
zen Sie zum Abschluss noch die Autodis-
cover-URL – dies erfolgt ausschließlich
über die EMS:
Set-ClientAccessService
-Identity Ex1
-AutoDiscoverServiceInternalUri
https://autodiscover.domäne.de/
Autodiscover/Autodiscover.xml
Haben Sie die DNS-Einträge und die vir-
tuellen Verzeichnisse konfiguriert, kön-
nen Sie die HA-Funktion über DNS
Round Robin bereits testen. Durch die
zwei DNS-Einträge je Name mit der IP-
Adresse der verschiedenen Server sollte
immer ein Server erreichbar sein. Sofern
Outlook eine Verbindung zu Ihrem Ex-
change-Server aufgebaut hat, sehen Sie
anhand der IP-Adresse im Ressourcen-
monitor, mit welchem Server Sie ver-
bunden sind. Fahren Sie den Server nun
herunter oder deaktivieren Sie temporär
die Netzwerkverbindung, baut Outlook
automatisch eine Verbindung zum alter-
nativen DNS-Eintrag auf. Ist Outlook
weiterhin verbunden, haben Sie die
Hochverfügbarkeit des Clientzugriffes
erfolgreich getestet.
Exchange 2019
Neben den internen DNS-Einträgen rich-
ten Sie auch die externen Einträge für je-
den Server bei Ihrem Provider ein. Hier
sind ebenso die MX-Einträge zu erstellen,
damit Ihre E-Mail-Domäne zu Ihren Ser-
vern aufgelöst wird. Extern testen Sie die
Exchange-Funktionalitäten mit dem Mi-
crosoft Remote Connectivity Analyzer
(ExRCA) [6]. Dabei handelt es sich um
ein kostenloses webbasiertes Tool, mit
dem Sie die verschiedenen Exchange-
Funktionen abfragen.
Zertifikat einrichten
Zur sicheren Kommunikation zum Ex-
change-Server benötigen Sie Zertifikate.
Dabei bringt Exchange von Haus aus ein
Zertifikat mit, das aber noch nicht die Na-
men der neuen Zugriffspunkte enthält.
Grundsätzlich haben Sie drei Möglichkeit
Zertifikate zu erstellen: Neben einem öf-
fentlichen Zertifikat können Sie ein Zer-
tifikat einer internen Zertifizierungsstelle
oder ein selbstsigniertes Zertifikat ver-
wenden. Letzteres können Sie zwar nut-
zen, aber es bedarf eines hohen zusätzli-
chen Aufwands, damit Clients diesem
uneingeschränkt vertrauen. Sollen nur do-
mänenintegrierte Clients auf den Server
zugreifen, können Sie die Kosten für ein
öffentliches Zertifikat einsparen. In diesem
Fall bietet sich eine eigene domaininte-
grierte Zertifizierungsstelle (CA) an.
Da nur ein Zertifikat auf den IIS-Dienst
gebunden werden kann, müssen Sie ein
Sonderheft II/2019 127
Exchange 2019 Exchange 2019 auf physischem Server einrichten
SAN-Zertifikat (Subject Alternate Name)
mit verschiedenen Namen hinterlegen.
Als Namen werden die Zugriffspunkte
definiert. Servernamen sollten nicht im
Zertifikat stehen. Wie bereits beschrieben
ist es sinnvoll, die Anzahl der Namen
möglichst zu minimieren.
Alles zu den Zertifikaten finden Sie im
Hauptmenüpunkt "Server" im Bereich "Zer-
tifikate". Um mit einer Zertifikatanforde-
rung zu beginnen, wählen Sie über das "+"
die Erstellung eines neuen Exchange-Zer-
tifikats. Beginnen Sie die Anforderung eines
Zertifikats über eine Zertifikatstelle. An
diesem Punkt erzeugen Sie alternativ auch
ein selbstsigniertes Zertifikat. Tragen Sie
im nächsten Schritt den Anzeigenamen für
das Zertifikat ein und übergehen Sie das
Wildcard-Zertifikat. Nachdem Sie den Ser-
ver ausgewählt haben, wählen Sie die zu
nutzenden Dienste des Servers aus. Da-
durch werden automatisch die nötigen
URLs ergänzt, die im folgenden Schritt zu-
sammengefasst werden (Bild 4).
Den Request speichern Sie in einer Netz-
werkfreigabe und reichen ihn an einer Zer-
tifizierungsstelle ein. Das Erstellen der Zer-
tifikatsanforderung kann alternativ über
den PowerShell-Befehl New-ExchangeCer-
tificate erfolgen. Nachdem Sie das Zertifikat
von der Zertifikatstelle erhalten haben,
schließen Sie die Zertifikatanforderung
über das EAC ab und weisen dem Zertifikat
im Anschluss die nötigen Dienste (IIS,
SMTP, POP3 und IMAP) zu. Zum Testen
starten Sie die OWA-Website des Servers
und prüfen über das Schloss im Browser,
ob das neue Zertifikat genutzt wird.
Es sei noch kurz erwähnt, dass vor dem
Auslaufen eines Zertifikats in Exchange
2019 im EAC gewarnt wird. Ältere Ex-
change-Versionen haben diese Meldung
nur im EventLog angezeigt, sodass der
eine oder andere Administrator von dem
Auslaufen eines Zertifikats überrascht
wurde. Die Benachrichtigung startet im
Übrigen 30 Tage vor dem Ablauf und
wird täglich fortgesetzt.
Connectoren einrichten
Exchange 2019 geht nach der Installation
automatisch auf Empfang und richtet die
nötigen Empfangsconnectoren ein. Eine
128 Sonderheft II/2019
Bild 4: Kurz vor Abschluss zum Erstellen einer Zertifikatanforderung werden
Ihnen alle Namen für das Zertifikat angezeigt.
Übersicht der Connectoren erhalten Sie über
das EAC im Bereich "Nachrichtenfluss /
Empfangsconnectors". Die vielen Con-
nectoren sind eine Folge der verschiedenen
Transportinstanzen, die sich auf Clientzu-
griffsdienst und Postfach-Server aufteilen.
Die eingehende Kommunikation sollte mit
den vorhandenen Connectoren gewähr-
leistet sein, trotzdem schadet es nicht, ein
Grundverständnis für die verschiedenen
Connectoren mitzubringen. Ein neuer
Multi-Role-Server hat insgesamt fünf Emp-
fangsconnectoren. Drei davon sind dem
Clientzugriff mit der Funktion FrontEnd-
Transport und zwei dem Mailboxserver
mit dem HubTransport zugeordnet.
Die Funktion FrontEndTransport fungiert
in Exchange 2019 als Proxy für den ein-
und ausgehenden SMTP-Verkehr. Mit Hil-
fe der Connectoren "Default Frontend
Server" (Port 25) und "Client Frontend
Server" (Port 587) wird der Standardemp-
fang zur Exchange-Umgebung gewähr-
leistet. Darüber hinaus existiert der "Out-
bound Proxy Frontend Server", der alle
Nachrichten von einem Sendeconnector
eines Mailbox-Servers annimmt, sofern
der Front-End-Proxy aktiviert ist und die
Nachrichten nach extern weiterleitet.
Weiterhin existieren zwei Empfangscon-
nectoren auf dem Postfachserver. Der
Connector "Default Server" (Port 2525)
akzeptiert primär Verbindungen von
Mailbox-Servern, auf denen der Trans-
portdienst ausgeführt wird. Der "Client-
proxy Server" (Port 465) ist das Gegen-
stück zu den Front-End-Connectoren
und nimmt die E-Mails vom Clientzu-
griffsdienst entgegen.
Müssen Sie einen weiteren Server vorhal-
ten, um speziellen Rechnern das anonyme
Relayen zu ermöglichen, richten Sie einen
Empfangsconnector am FrontEnd ein. Auf
diesem Weg vereinfachen und vereinheit-
lichen Sie den Nachrichtenfluss. Intern kön-
nen Sie auch direkt den HubTransport an-
geben, sodass die E-Mails direkt am Post-
fachdienst auflaufen. Testen können Sie
den eingehenden E-Mailverkehr über einen
SMTP-Client oder direkt über Telnet.
Um das Senden zu gewährleisten, richten
Sie in der EAC einen neuen Sendecon-
nector ein. Das erledigen Sie im Bereich
"Nachrichtenfluss". Wählen Sie hier als
Adressraum "*", damit über den Con-
nector der gesamte E-Mailverkehr abge-
wickelt wird, und als Typ "Internet". An
dieser Stelle konfigurieren Sie weiterhin,
ob E-Mails direkt oder über einen Smar-
thost versendet werden. Zum Abschluss
fügen Sie die neuen Server in der Be-
reichsdefinition als Quellserver hinzu,
damit beide Server über den Connector
senden können. Nach dem Erstellen öff-
nen Sie den Sendeconnector und tragen
unter dem Punkt "FQDN" im Bereich
"Bereichsdefinition" den Hostnamen
"mail.domain.de" ein, der ebenfalls im
Zertifikat vorkommen muss.
Postfachserver hochverfügbar
Bisher haben wir zwei Server installiert und
den Zugriff hochverfügbar ausgelegt. Um
www.it-administrator.de
 Exchange 2019 auf physischem Server einrichten Exchange 2019

auch die Mailbox-Funktion abzusichern,

greifen Sie auf die Database Availability
Group (DAG) zurück. Dabei werden Da-
tenbankkopien über die Windows-Clus-
ter-Technologien auf bis zu 16 verschiedene
Mailbox-Server verteilt, um eine passive
Kopie kurzfristig zu aktivieren.

Die Einrichtung erfolgt dabei komplett über

Exchange, ohne dass Sie sich mit dem Fai-
lover-Cluster-Manager näher beschäftigen
müssen. Bei der Nutzung einer DAG laufen
alle DAG-Mitglieder unter der gleichen
Betriebssystemversion und weisen die glei-
che Verzeichnisstruktur für die Datenban-
ken auf. Darüber hinaus laufen alle Mem-
ber-Server einer DAG unter der gleichen
Exchange-Version. Eine DAG richten Sie
mit folgendem Befehl ein:
New-DatabaseAvailabilityGroup -Name
DAG01 -DatabaseAvailability-
GroupIpAddresses ([system.net.
ipaddress])::none
Den Vorgang können Sie ebenfalls über
das EAC durchführen. Fügen Sie dabei
die DAG-IP-Adresse 0.0.0.0 in der Kon-
figurationsmaske hinzu. Durch die gerade
Anzahl an Servern in der DAG müssen
Sie noch einen Witness Server definieren.
Nutzen Sie hierfür einen Windows Server
Share mit Berechtigungen für die Gruppe
"Exchange Trusted Subsystem".
Beim Hinzufügen eines Servers zur DAG
wird auch weiterhin automatisch das Fail-
over-Cluster-Feature installiert. Im Unter-
schied zu einer klassischen DAG werden
Ihnen im Failover-Cluster-Manager zur
DAG beziehungsweise zum Cluster keine
Informationen mehr angezeigt.
Wundern Sie sich also nicht, wenn Sie ei-
nen Blick in den Manager werfen und Ih-
nen augenscheinlich Informationen fehlen.
Im nächsten Schritt fügen Sie die Server
der DAG hinzu und verteilen die Mail-
boxdatenbanken auf die Exchange-Server.
Im folgenden Beispiel wird der Server
"Ex1" der DAG01 hinzugefügt und auf
dem Server "Ex1" eine Kopie der Daten-
bank DB01 eingerichtet:
Bild 5: Exchange 2019 bringt nach der Installation fünf Empfangsconnectoren mit
und ist direkt empfangsbereit.
Add-MailboxDatabaseCopy -Identity
DB01 -MailboxServer Ex1 -Activati-
onPreference 2
Damit haben Sie die Datenbank DB01 auf
zwei Servern hochverfügbar gemacht und
bei einem Ausfall übernimmt die Post-
fachkopie automatisch die Arbeit.
Sicherung mit
Windows Server Backup
Bevor Sie in den produktiven Betrieb ge-
hen, sollten Sie das Thema Backup bedacht
haben. Exchange 2019 bringt eine Erwei-
terung für die Windows-Server-Sicherung
(WSB) mit, damit sich VSS-basierte Siche-
rungen von Exchange mit Bordmitteln von
Windows durchführen lassen. Die Erwei-
terung hört auf den Namen "Microsoft Ex-
change Server Extension for Windows Ser-
ver Backup", kurz WSBExchange und läuft
als eigenständiger Dienst, der bei Anfor-
derung gestartet wird.
Bei der Sicherung über WSB müssen Sie
folgende Punkte beachten:
- Die Sicherungen erfolgen auf Volume-
Ebene und zum Sichern einer Daten-
bank und deren Protokolle muss das
komplette Volume gesichert werden,
sodass Sie nicht gezielt einzelne Daten
auswählen können.
- Darüber hinaus muss die Sicherung lo-
kal erfolgen; es ist keine Remotesiche-
rungen möglich.
- Sie können nur vollständige Sicherun-
gen durchführen und nach einer er-
folgreichen Sicherung wird das Proto-
koll abgeschnitten.
- Bei einem Restore können Sie gezielt
Exchange-Datenbanken wiederherstel-
len. Diese können am ursprünglichen
oder einem temporären Speicherort ab-
gelegt werden.
- Das direkte Recovery in eine Wiederher-
stellungsdatenbank (Recovery Database,
RDB) ist nicht möglich und die wieder-
hergestellten Daten müssen an den RDB-
Speicherort verschoben werden.
- Es können während einer Wiederherstel-
lung keine einzelnen DBs wiederherge-
stellt, sondern nur alle DBs zusammen,

Add-DatabaseAvailabilityGroupServer Bild 6: Mit einer DAG verteilen Sie Kopien von Postfachdatenbanken über mehrere Postfachserver,
-Identity DAG01 -MailboxServer Ex1 wodurch Sie den Ausfall eines Servers absichern.

www.it-administrator.de Sonderheft II/2019 129

Exchange 2019 Exchange 2019 auf physischem Server einrichten
Bild 7: Windows kann Exchange über Windows Server Backup mit Bordmitteln sicher – Sie müssen
nur das Laufwerk mit den Datenbanken angeben.
die gesichert wurden. Dabei spielt es keine
Rolle, ob die Datenbanken auf einem
oder verschiedenen Volumes lagen.
Um Ihren Exchange-Server mit den Win-
dows-Bordmitteln zu sichern, installieren
Sie zunächst über den PowerShell-Befehl
Add-WindowsFeature Windows-Server-
Backup die Windows-eigene Sicherungs-
software nach. Danach können Sie die GUI
nutzen oder die Sicherung über die Power-
Shell konfigurieren. Weitere Details zu den
Befehlen finden Sie im TechNet [7].
Standardmäßig erfolgt ein Copy-Backup,
bei dem die Transaktionsprotokolle nicht
abgeschnitten werden. Um diese ab-
schneiden zu lassen, wählen Sie während
des Backups in den "Erweiterten Optio-
nen" die "Vollsicherung" aus. Die Art der
Sicherung prüfen Sie über Get-Mailbox-
Database -status | fl Name, *Backup* und
die Felder "LastCopyBackup" bezie-
hungsweise "LastFullBackup". Um eine
Sicherung von Exchange durchzuführen,
starten Sie Windows Server Backup. Be-
ginnen Sie mit einer Einmalsicherung
und wählen Sie das Laufwerk mit den
Datenbanken und dem Exchange-Pro-
grammverzeichnis aus. Dadurch sichern
Sie die Exchange-Datenbanken und Ex-
change-Protokolldateien.
Bei der Wiederherstellung stellen Sie zu-
nächst die Datenbanken wieder her und
binden diese über die Exchange-Wieder-
herstellungsdatenbank ein, bevor Sie aus
dieser die Daten extrahieren. Bei der Ex-
change-Wiederherstellungsdatenbank han-
delt es sich um eine spezielle Datenbank,
deren Verwaltung nur über die PowerShell
erfolgt. Ein direkter Zugriff auf die Daten
über OWA ist nicht möglich. Auch kann
130 Sonderheft II/2019
ein Postfach nicht mit einem Benutzerkon-
to verbunden werden. Mehr zum Thema
Sicherung und Wiederherstellung finden
Sie ebenfalls im TechNet [8].
Exchange absichern:
Anti-Spam und Anti-Malware
Ein wichtiger Aspekt bei der Implemen-
tierung einer E-Mail-Umgebung ist das
Thema Spam und Malware. Sofern Sie
nicht über eine vorgelagerte Anti-Spam-
Lösung verfügen, bringt Exchange 2019
eine kostenlose Lösung mit, die aber stan-
dardmäßig nicht installiert ist. Installieren
können Sie die Funktion über das Skript
"Install-AntispamAgents.ps1", das sich im
Installationsverzeichnis von Exchange be-
findet. Aufrufen können Sie das Verzeichnis
am schnellsten über die Variable "$Ex-
Scripts". Im Anschluss müssen Sie den
Transportdienst mit Restart-Service MSEx-
changeTransport neu starten und die inter-
nen SMTP-Server bekannt machen:
Bild 8: Über Install-AntispamAgents.ps1 installieren Sie die Anti-Spam-Funktion von Exchange 2019,
die nicht automatisch vorhanden ist.
Set-TransportConfig -Internal-
SMTPServers @{Add="10.0.0.5",
"10.0.0.6"}
Das Microsoft-Werkzeug bringt verschie-
dene Agenten mit, um Spam-E-Mails ab-
zufangen. Auf einem Postfach-Server sind
die folgenden Filter vorhanden:
- Die Absenderfilterung überprüft den
Absender im SMTP-Befehl "MAIL
FROM:" mit einer definierten Liste der
Absender oder Absenderdomänen, die
keine Nachrichten an die Organisation
senden dürfen.
- Der Sender ID-Agent verwendet die
IP-Adresse des sendenden Servers und
die angegebene Antwortadresse (Pur-
ported Responsible Address, PRA) des
Absenders, um zu bestimmen, ob der
Absender gefälscht ist.
- Die Inhaltsfilterung beurteilt den Inhalt
einer Nachricht und führt definierte
Aktionen aus. Um zu verhindern, dass
fälschlicherweise erkannte E-Mails
nicht mehr zugestellt werden können,
werden E-Mails in einem Spam-Qua-
rantänepostfach aufbewahrt.
- Der Protokollanalyse-Agent implemen-
tiert die Absenderzuverlässigkeitsfunk-
tion (Sender Reputation Level, SRL),
die eine E-Mail aufgrund verschiedener
Merkmale klassifiziert.
Darüber hinaus bietet die Rolle des Edge-
Server noch einen Verbindungsfilter-Agen-
ten, der die IP-Adresse des Remoteservers
www.it-administrator.de
 Exchange 2019 auf physischem Server einrichten Exchange 2019

den. Als Aktion legen Sie fest, ob nur die

PowerShell-Cmdlets für Anti-Spam in Exchange 2019
Cmdlet
Set-SenderFilterConfig
Set-SenderIDConfig
Set-ContentFilterConfig
Set-SenderReputationConfig
Set-IPAllowListConfig
Set-IPBlockListConfig
Set-IPAllowListProvidersConfig
Set-IPBlockListProvidersConfig
Funktion
Über das Cmdlet ändern Sie die Konfiguration des
Absenderfilter-Agenten.
Verwenden Sie das Cmdlet, um die Konfiguration des
SenderID-Agenten durchzuführen.
Durch das Cmdlet ändern Sie die Inhaltsfilterkonfiguration.
Über das Cmdlet steuern Sie die Konfiguration der
Absenderzuverlässigkeit.
Das Cmdlet ändert die Konfiguration der Liste zugelasse-
ner IP-Adressen, die vom Verbindungsfilter-Agenten auf
Edge-Transport-Servern verwendet wird.
Verwenden Sie das Cmdlet, um die Konfiguration der
Liste blockierter IP-Adressen zu ändern, die vom
Verbindungsfilter-Agent auf Edge-Transport-Servern
verwendet wird.
Durch das Cmdlet ändern Sie die Einstellungen der
konfigurierten IP-Zulassungslistenanbieter auf dem
Edge-Transport-Server.
Verwenden Sie das Cmdlet zum Ändern der Einstellun-
gen, die sich auf alle auf dem Edge-Transport-Server
konfigurierten IP-Sperrlistenanbieter auswirken.
Anlage oder die gesamte E-Mail zu lö-
schen ist und wer zu benachrichtigen ist.
Neben der Standardrichtlinie erstellen Sie
benutzerdefinierte Richtlinien, die auf de-
finierte Benutzer oder Gruppen wirken.
In der PowerShell richten Sie die Richtli-
nien über Set-MalwareFilterPolicy ein.
Die Definitions-Updates zur Erkennung
von Schadsoftware werden automatisch
von Microsoft heruntergeladen. Den Sta-
tus prüfen Sie über den Befehl Get-Engi-
neUpdateInformation. Vorab müssen Sie
allerdings das folgende Kommando ein-
geben, damit Exchange den PowerShell-
Befehl überhaupt kennt:
Add-PsSnapin Microsoft.Forefront.
Filtering.Management.Powershell
Über das Script "Update-MalwareFiltering-
Server.ps1" aus dem Exchange-Skriptver-
zeichnis stoßen Sie ein Update gezielt an.

gegen verschiedene IP-Adress-Sperrlisten tentFilterConfig". Über die folgenden At- Fazit

prüft, einen Anlagenfilter-Agenten, der die
Anlagen tiefergehend prüft sowie einen
Empfängerfilter, der die Nachrichtenemp-
fänger im SMTP-Befehl "RCPT TO:" mit
einer vom Administrator definierten Emp-
fängersperrliste prüft. Der Empfängerfilter
vergleicht darüber hinaus Empfänger in
eingehenden Nachrichten mit dem lokalen
Empfängerverzeichnis, um zu bestimmen,
ob die Nachricht an gültige Adressen ge-
richtet ist. Ist das nicht der Fall, wird sie
zurückgewiesen. Die Konfiguration der
verschiedenen Filter findet in Exchange
2019 komplett in der PowerShell statt.
Wichtige Befehle zur Konfiguration ent-
nehmen Sie der Tabelle "PowerShell-
Cmdlets für Anti-Spam in Exchange 2019".
Sämtliche Prüfungen werden im Header
einer E-Mail vermerkt, sodass Sie jederzeit
nachvollziehen können, wie eine E-Mail
bewertet wurde und wie vertraulich diese
ist. Dazu zählt auch der SpamConfidence-
Level (SCL), der die E-Mail beurteilt.
Über den SCL definieren Sie verschiedene
Regeln, zum Beispiel wann eine E-Mail
abgelehnt, in ein Quarantänepostfach
oder in den Outlook-Junk-Ordner ver-
schoben wird. Die Konfiguration erfolgt
über das PowerShell-Cmdlet "Set-Con-
tribute lassen sich die Aktionen steuern:
- SCLDeleteEnabled
- SCLDeleteThreshold
- SCLRejectEnabled
- SCLRejectThreshold
- SCLQuarantineEnabled
- SCLQuarantineThreshold
- SCLJunkThreshold
In den Organisationseinstellungen defi-
nieren Sie über das Cmdlet Set-Organi-
zationConfig allgemein gültige Schwel-
lenwerte, die Sie bei Bedarf für Mailboxen
gezielt anpassen:
Set-Mailbox User -SCLJunkEnabled
$True -SCLJunkThreshold 6
Neben einer Anti-Spam-Lösung bringt
Exchange auch eine Anti-Malware-Funk-
tion mit, die Exchange vor Schadsoftware
wie Viren oder Spyware schützt. Im Ge-
gensatz zur Anti-Spam-Lösung erfolgt die
Konfiguration über das Exchange Admi-
nistration Center (EAC) im Menüpunkt
"Schutz / Schadsoftware". Alternativ nut-
zen Sie die PowerShell zur Konfiguration.
Über Antischadsoftware-Richtlinien de-
finieren Sie organisationsweit Aktionen,
die bei einer Erkennung umgesetzt wer-
Der Beitrag zeigte die wichtigsten Schritte
zur Einrichtung einer hochverfügbaren
Umgebung und deren Absicherung. Dabei
haben wir vor allem dargelegt, dass Ad-
ministratoren in kleineren Umgebungen
nicht auf Hochverfügbarkeit und Sicherheit
verzichten müssen und beides mit Bord-
mitteln umsetzen können. (ln/dr)
Link-Codes
[1] Kumulatives Update 2
für Exchange Server 2019
h4z12
[2] Exchange 2019 Server Role
Requirements Calculator
i2p23
[3] Microsoft .NET Framework 4.8
h4z14
[4] Unified Communications Managed
API 4.0 Runtime
h4z15
[5] Setting Up Split DNS
h4z16
[6] Remote Connectivity Analyzer
h4z17
[7] Windows Server Backup Cmdlets
in der PowerShell
h5p81
[8] Exchange: Sicherung, Wiederherstel-
lung und Notfallwiederherstellung
h5p82

Link-Codes eingeben auf www.it-administrator.de Sonderheft II/2019 131

Exchange 2019 Migration zu Exchange 2019

Migration zu Exchange 2019

Umsteigen
von Christian Schulenburg

Wer schon von Exchange 2013 nach 2016 migriert ist,

kann viel von diesem Wissen in den Übergang zur
Version 2019 einbringen. Dennoch gibt es einige

RF
an – 123
Besonderheiten und Stolpersteine, die wir in diesem
Workshop betrachten, um sicherzustellen, dass der

g Chinnap
Umstieg reibungslos abläuft.

E
ine Migration zu Exchange 2019
ist nur von den Versionen 2013
und 2016 möglich. Sollten Sie von Ex-
change 2007 oder 2010 auf Exchange 2019
migrieren wollen, müssen Sie eine Zwi-
schenmigration auf Exchange 2013 oder
2016 durchführen. Exchange 2013, 2016
und 2019 sind sich sehr ähnlich, wodurch
sich eine Migration zwischen diesen Ver-
sionen im Vergleich zu einer Migration
von Exchange 2010 sehr einfach darstellt.
Ein Inplace-Upgrade, also die direkte Ak-
tualisierung eines Servers, ist jedoch auch
bei Exchange 2019 nicht möglich. Sie in-
stallieren bei einer Exchange-Migration da-
her in den allermeisten Fällen einen neuen
Server in die Organisation und übertragen
die Funktionen nach und nach auf diesen.
Diese sogenannte Swing-Migration werden
wir im Folgenden detailliert betrachten.
Exchange 2019 fügt sich übrigens nahtlos
in eine vorhandene 2013/2016-Umgebung
ein und arbeitet mit Outlook ab Version
2013 als E-Mail-Client zusammen. Für die
Migration dürfen sich in der Organisation
keine Exchange-2010-Server oder älteren
Versionen befinden. Sollte dies der Fall
sein, müssen Sie diese zunächst deinstal-
lieren, bevor Sie auf Exchange 2019 wech-
seln können. Ausführliche Hinweise zu die-
ser Migration finden Sie unter anderem im
IT-Administrator Sonderheft I/2018 [1].
Pre-Migration-Check durchführen
Bevor Sie mit der Migration beginnen, geht
es darum, sich einen Überblick über die
Infrastruktur zu verschaffen. Dabei hilft
unter anderem das Power-
Shell-Skript namens "Ex-
change Environment Re-
port" [2]. Damit erhalten Sie
einen grafischen Einblick in
die Anzahl der Server und
deren genauen Versionsstän-
de. Weiterhin sehen Sie die
Datenbanken und die genaue Zahl der
Postfächer mit ihren Durchschnittsgrößen
je Datenbank. Auf diese Infos kommen wir
später während des Sizings zurück.
Wichtig bei der Planung eines neuen Ex-
change-Servers ist weiterhin die Erfassung
statistischer Daten, wie die durchschnitt-
liche Größe der E-Mails sowie die Anzahl
gesendeter und empfangener E-Mails pro
Tag. Diese Informationen rufen Sie bei
Exchange 2013/2016 über das PowerShell-
Skript "MessageStats.ps1" [3] ab.
Das Skript wertet die Message Tracking
Logs eines Tages nach den Benutzern aus
und speichert das Ergebnis in einer CSV-
Datei ab. In Excel importieren Sie das Er-
gebnis und fügen dann noch die Funktio-
nen hinzu, um genaue Werte für die
gesendeten und empfangenen E-Mails pro
Tag und deren Durchschnittsgröße zu er-
halten. Das genaue Vorgehen beschreibt
die verlinkte Seite detailliert. Auch diese
Daten nutzen Sie später im Sizing. Den
Pfad zu den benötigten Protokollen fragen
Sie am Exchange-Server über folgendes
Cmdlet ab:
Get-TransportServer |fl MessageTra-
ckingLogPath
mroen
Quelle: Su
Connectoren und
URLs dokumentieren
Beim Dokumentieren der Einstellungen
für die Sende- und die Empfangsconnecto-
ren stellt sich oft die Frage, wer über wel-
chen Sendeconnector sendet und welcher
Empfangsconnector als Relay zum Einsatz
kommt. Sollten Sie bei der Relay-Nutzung
unsicher sein, finden Sie mit folgendem
PowerShell-Befehl heraus, welche Con-
nectoren sich zum Relayen nutzen lassen:
Get-ReceiveConnector | Get-ADPermis-
sion | Where-Object { $_.Extended-
Rights -like "*ms-Exch-SMTP-
Accept-Any-Recipient*" }
Oft ist ein Exchange-Server schon meh-
rere Jahre produktiv im Einsatz und es ist
immer wieder interessant, wer ihn alles
nutzt. Abgesehen von Management- und
Backupprogrammen kommen oft unbe-
kannte Clients zum Vorschein, angefan-
gen von lokalen Newsletter-Tools bis hin
zu alten POP3/SMTP-Clients.
Verschaffen Sie sich vor der Umstellung
einen Überblick über die Postfachbegren-
zungen. Die Limits lesen Sie direkt über
das Exchange Admin Center (EAC) an
den Datenbanken aus. Alternativ ist die

132 Sonderheft II/2019 www.it-administrator.de


Bild 1: Einen ersten Überblick zu den Servern und Postfachgrößen gewinnen Sie
mit dem Exchange Environment Report.
Abfrage der Postfachbeschränkungen
über die PowerShell möglich:
Get-MailboxDatabase | ft Name,
ProhibitSend*,Issue*
Da die Standardvorgaben direkt an einem
Postfach verändert werden können, lassen
sich die Ausnahmen zusammentragen:
Get-Mailbox -ResultSize Unlimited |
Where {$_.UseDatabaseQuotaDefaults
-eq $False} | ft Name,
ProhibitSend*,Issue*
Dokumentieren Sie im nächsten Schritt
die Exchange-URLs. Mit Hilfe der Power-
Shell (oder einem Blick ins EAC) verschaf-
fen Sie sich Überblick über die URLs der
internen und externen Zugriffspunkte:
Get-ClientAccessServer | fl
id*,*uri*
Get-OutlookAnywhere | fl id*,*host*
Get-OabVirtualDirectory | fl
id*,*url*
Get-OwaVirtualDirectory | fl
id*,*url*
Get-WebServicesVirtualDirectory | fl
id*,*url*
Get-ActiveSyncVirtualDirectory | fl
id*,*url*
Get-AutodiscoverVirtualDirectory |
fl id*,*url*
www.it-administrator.de
Migration zu Exchange 2019
Get-EcpVirtualDirectory | fl
id*,*url*
Get-MapiVirtualDirectory | fl
id*,*url*
Achten Sie darauf, dass diese URLs auch
im Zertifikat hinterlegt sind. Versuchen
Sie die Anzahl der Namen auf möglichst
wenige zu beschränken. Auf dem neuen
Server kommen die gleichen Namen für
die Dienste zur Anwendung.
Korrektes Sizing tut Not
Bevor Sie sich an die Migration machen,
definieren Sie den Sollzustand der Um-
gebung und führen Sie ein Sizing durch.
Exchange Server 2019 hat gegenüber Ex-
change 2016 andere und höhere Anfor-
derungen an Arbeitsspeicher und CPU.
Als Voraussetzung benötigt Exchange
Server 2019 128 GByte Arbeitsspeicher.
Der Sprung von unrealistischen 8 GByte
Bild 2: Die Domänen- und die Gesamtstrukturebene müssen für Exchange 2019 mindestens
auf Windows Server 2012 R2 ausgeführt werden.
Exchange 2019
in Exchange Server 2016 ist dabei riesig.
Da Exchange so viele Daten wie möglich
im Arbeitsspeicher ablegt, sollten Sie hier
nicht geizen. Die Voraussetzungen spie-
geln jetzt das wirkliche Nutzungsverhal-
ten von Exchange wider.
Microsoft hat für das Sizing für Exchange
2019 erst kürzlich einen eigenen Require-
ments Calculator veröffentlicht. Diesen
finden Sie auf der Exchange-DVD, eine
Alietung bietet das TechNet unter [4]. Um
die Tabelle möglichst schnell an Ihre Be-
dürfnisse anzupassen, sind nun die Daten
aus dem Pre-Migration-Check wie die An-
zahl der Postfächer und das Sendeverhal-
ten relevant. Am Ende erhalten Sie dann
den empfohlenen Aufbau der Server.
Umgebung vorbereiten
Für Exchange 2019 müssen sich alle DCs
auf Windows 2012 R2 befinden und die
Gesamtstrukturfunktionsebene sowie die
Domänenfunktionsebene müssen mindes-
tens auf Windows Server 2012 R2 laufen.
Um dies zu überprüfen, öffnen Sie das
Snap-in "Active Directory-Domänen und
-Vertrauensstellungen" und klicken mit der
rechten Maustaste auf "Active Directory-
Domänen und -Vertrauensstellungen" und
danach auf "Gesamtstrukturfunktionsebene
heraufstufen". Für die Domänenfunktions-
ebene klicken Sie im gleichen Snap-in mit
der rechten Maustaste auf die Domäne und
schauen nach der Domänenfunktionsebe-
ne. Sind die Voraussetzung für Exchange
2019 nicht erfüllt, können Sie an dieser
Stelle die Funktionsebenen heraufstufen,
sofern alles vorbereitet ist.
Sonderheft II/2019 133
Exchange 2019 Migration zu Exchange 2019
Bevor Sie nun das Schema aktualisieren,
schauen Sie, ob die vorhandenen Exchange-
Server auf einem aktuellen Stand sind. Bei
einem Upgrade von Exchange 2013 muss
mindestens das Cumulative Update 21 für
Exchange 2013 auf allen Exchange-2013-
Servern in der Organisation, einschließlich
Edge-Transport-Servern, installiert sein.
Welche Exchange-Versionen im Einsatz
sind, erkennen Sie unter anderem im En-
vironment Report. Für eine Koexistenz mit
Exchange 2016 spielen Sie mindestens des-
sen Cumulative Update 11 auf.
Active Directory aktualisieren
Im nächsten Schritt bereiten Sie die AD-
Struktur vor. Zunächst aktualisieren Sie
mit der Setup-Erweiterung "/PrepareSche-
ma" die Exchange-Attribute global. Im
Anschluss kümmert sich "/PrepareAD"
um die globalen Exchange-Objekte und
universellen Sicherheitsgruppen. Als
Nächstes passt "/PrepareDomain" noch
einzelne Domänen an, in denen Exchange
genutzt wird. Zum Ausführen müssen Sie
Mitglied der Gruppen "Schema-Admins",
"Domänen-Admins" und "Organisations-
Admins" sein.
Erweitern Sie das Schema direkt von dem
zukünftigen Exchange-Server, müssen Sie
die Remoteverwaltungstools für das Active
Directory mit Install-WindowsFeature
RSAT-ADDS vorab installieren. Führen Sie
nun die Exchange-2019-Setupdatei mit
den folgenden Erweiterungen aus:
setup /PrepareSchema /IAccept-
ExchangeServerLicenseTerms
setup /PrepareAD /IAcceptExchange-
ServerLicenseTerms
Bild 3: Mit Get-ExchangeServer und Test-ServiceHealth prüfen Sie, ob der neue Server
die gewünschten Rollen besitzt und ob alle Dienste laufen.
134 Sonderheft II/2019
setup /PrepareDomain /IAccept-
ExchangeServerLicenseTerms
Die Befehle bauen aufeinander auf; ein
nachgelagerter Befehl fragt die vorherge-
henden Anpassungen ab und holt diese
gegebenenfalls nach. Die Vorbereitung
des Active Directory wird auch beim Star-
ten des Exchange-Setups geprüft und not-
falls nachgeholt, sofern der Installations-
benutzer über die nötigen Rechte verfügt.
Ist die Aktualisierung abgeschlossen, fragen
Sie mit repadmin ab, ob die Replizierung
zu allen Domaincontrollern erfolgt ist. In
größeren Umgebungen kann das etwas Zeit
in Anspruch nehmen. Das Ergebnis des
Schema-Updates prüfen Sie mit dsquery.
Beachten Sie, dass nach Abschluss keine
älteren Exchange-Server installiert werden
können, sofern sich diese nicht während
der Migration in der Umgebung befinden.
Eigentlicher Installationsbeginn
Nachdem nun alle Vorbereitungen ge-
troffen sind, beginnen Sie mit der Instal-
lation auf einem Windows-2019-Server.
Ältere Versionen sind nicht nutzbar. Die
reine Installation des neuen Servers hat
dabei keine Auswirkungen auf die Pro-
duktivumgebung. Die Windows-Features
können Sie bereits vorab aufspielen oder
Sie lassen diese automatisch während des
Setups nachinstallieren. Aktivieren Sie
hierfür den Punkt "Für die Installation
von Exchange Server erforderliche Win-
dows-Server-Rollen und -Funktionen au-
tomatisch installieren".
Spielen Sie zunächst noch Visual C++
und im Anschluss die Microsoft Unified
Communications Managed API 4.0 Run-
time ein. Was Exchange betrifft, haben
Sie nun alle Voraussetzung für das Setup
getroffen. Bevor Sie es jedoch starten,
richten Sie Ausnahmen für den Virens-
canner ein, damit es während der Instal-
lation und des Betriebs von Microsoft Ex-
change zu keinen Verzögerungen kommt.
Eine genaue Beschreibung zu den Aus-
nahmen bei Antivirusprogrammen fin-
den Sie unter [5].
Als Installationsmedium nutzen Sie wie
bereits beschrieben das aktuellste kumu-
lative Update für Exchange. Rufen Sie
einfach das Setup auf und folgen Sie den
Anweisungen auf dem Bildschirm. Die
Routine prüft auch die Bereitschaft des
Servers und sollte ohne Beanstandungen
durchlaufen, sodass am Ende Exchange
2019 installiert wird.
Kommt es während der Installation zu
Fehlern, können Sie das Setup durch das
erneute Aufrufen fortsetzen. Offene
Punkte werden erkannt und automatisch
nachgeholt. Weitere Informationen zum
Setupverlauf finden Sie im Exchange-Se-
tup-Log im Verzeichnis "C:\Exchange-
SetupLogs\ExchangeSetup.log" – eine
gute Anlaufstelle, falls es während der
Installation zu Problemen kommt.
Prüfen der Installation
Um sicherzustellen, dass alles richtig in-
stalliert wurde, prüfen Sie zunächst mit
Get-ExchangeServer |ft Name,
ServerRole –AutoSize
welche Server mit welchen Rollen sich
nun im Netzwerk befinden. Sehen Sie
dabei gleich mit Test-ServiceHealth und
Get-HealthReport nach, ob alle Dienste
auf dem neuen Server laufen. Nach der
Installation befinden sich die Mailboxen
noch auf dem Exchange-2013/2016-Ser-
ver und der Traffic läuft ebenfalls über
diese Server.
Bevor es weitergeht, verschieben Sie am
besten die bereits angelegten Datenban-
ken an den vorgesehenen Ort und geben
ihnen einen sprechenden Namen. Am
schnellsten geht dieser Vorgang mit dem
folgenden Befehl:
www.it-administrator.de

Bild 4: Die virtuellen Verzeichnisse sind im EAC in einem eigenen Menüpunkt zusammengefasst
und lassen sich in Exchange 2019 schnell bearbeiten.
Get-MailboxDatabase MailboxDataba-
seEX19 | Set-MailboxDatabase
-Name DB01
Move-DatabasePath DB01
-EdbFilePath D:\Datenbanken\DB01\
MBXDB01.edb
-LogFolderPath D:\Datenbanken\DB01\
Richten Sie die Postfachdatenbanken und
Datenbankverfügbarkeitsgruppen (DAG)
auf dem neuen Server nach Ihren Vor-
gaben ein. Sofern Sie bereits eine DAG
nutzen, dürfen Sie in dieser nur Exchange-
Server mit der gleichen Version hinzufü-
gen. Das EAC lässt zwar das Hinzufügen
eines Exchange-2019-Servers zu einer
DAG mit Exchange 2016 zu, Sie sollten
davon aber dringend Abstand halten.
Connectoren und
Zertifikat einrichten
Exchange 2019 bringt wieder eine Viel-
zahl von Empfangsconnectoren mit. Eine
Übersicht erhalten Sie über das EAC im
Bereich "Nachrichtenfluss" und den Punkt
"Empfangsconnectors". Die vielen Con-
nectoren sind eine Folge der verschiede-
nen Transportinstanzen, die sich auf CAS
und Mailbox-Server aufteilen. Die einge-
hende Kommunikation sollte mit den
vorhandenen Connectoren gewährleistet
sein. Richten Sie gegebenenfalls noch zu-
sätzliche ein oder passen Sie die Rechte
der Connectoren entsprechend des Pre-
Migration-Tests an. Testen können Sie
bereits jetzt über einen SMTP-Client oder
über Telnet.
www.it-administrator.de
Migration zu Exchange 2019
Um das Senden zu gewährleisten, müssen
Sie dies dem neuen Server über die vor-
handenen Sendeconnectoren ermögli-
chen. Das erledigen Sie direkt im EAC,
ebenfalls im Bereich "Nachrichtenfluss
durchführen". Öffnen Sie zur Anpassung
den gewünschten Connector und fügen
Sie den neuen Server in der Bereichsde-
finition als Quellserver hinzu.
Vergessen Sie bei dieser Gelegenheit
nicht, die Limits der Connectoren zu
prüfen und gegebenenfalls anzupassen,
damit E-Mails nicht unerwartet abgelehnt
werden. Standardmäßig liegt das Limit
für Sende-/Empfangsconnectoren bei 35
MByte. Für andere Beschränkungen bei
OWA oder EWS müssen Sie wieder die
Datei "web.config" anpassen – eine An-
leitung hierzu finden Sie im Web [6]. Än-
dern Sie dabei die Grenzwerte der Da-
tenbanken und der Postfächer, die bei
neuen Datenbanken automatisch gesetzt
sind. Weitere Informationen finden Sie
unter [7]. Die Organisationslimits sind
durch die Installation des Servers in eine
vorhandene Umgebung bereits definiert.
In Abhängigkeit von den Zugriffspunkten
nutzen Sie das vorhandene Zertifikat des
Exchange-2016/2019-Servers oder gene-
rieren ein neues. Für diesen Beitrag nut-
zen wir das vorhandene Zertifikat des
Servers. Alles zu den Zertifikaten finden
Sie im Hauptmenüpunkt "Server" im Be-
reich "Zertifikate". Am einfachsten ist es,
das Zertifikat über die MMC und das
Snap-in "Zertifikate" zu importieren. Im
Exchange 2019
Anschluss steht es Ihnen im EAC zur Ver-
fügung, wo Sie beim Zertifikat noch die
Exchange-Dienste SMTP, IMAP, POP
und IIS aktivieren.
URLs und Namespace umstellen
Als Nächstes richten Sie auf dem neuen
Server die URLs im Serverbereich des
EAC unter den virtuellen Verzeichnissen
ein. Die internen URLs wurden bereits
während der Konfiguration auf den Na-
men des Servers gesetzt. Interne Server-
namen sollten Sie nach Möglichkeit nicht
verwenden. Orientieren Sie sich an den
ausgelesenen URLs des alten Servers. Da-
rüber hinaus konfigurieren Sie den ex-
ternen Outlook-Anywhere-Zugangspunkt
in den Eigenschaften des neuen Servers.
Diese Einstellung finden Sie ebenfalls im
EAC-Menüpunkt "Server", aber im Un-
terpunkt "Outlook Anywhere".
Nun würde der DNS-Name der Zugriffs-
punkte auf den neuen Server umgelegt
werden, sodass der Verkehr über diesen
läuft. Bevor Sie jetzt im zentralen DNS
die IP-Adressen der virtuellen Namen än-
dern, empfiehlt es sich zunächst, die
Hosts-Datei an einem Client anzupassen
und die IP-Adresse auf den Namen zu
binden. Auf diesem Weg führen Sie erste
Tests mit einem Client durch. Läuft alles
erwartungsgemäß, lenken Sie die DNS-
Einträge auf Exchange-2019-Server um.
Nutzen Sie den kostenlosen Microsoft
Remote Connectivity Analyzer (ExRCA)
[8], um den externen Zugriff zu testen.
Postfächer verschieben
Im nächsten Schritt verschieben Sie die
Postfächer hin zu den neuen Postfachda-
tenbanken. Übertragen Sie zunächst die
Systempostfächer auf den neuen Server.
Führen Sie die Aktion auf dem Exchange-
2019-Server mit der PowerShell durch:
Get-Mailbox -Database DB16
-Arbitration | New-MoveRequest
-TargetDatabase DB19
Den Abschluss der Verschiebeaktion prü-
fen Sie mit dem Cmdlet Get-MoveRequest.
Warten Sie, bis die Aktion abgeschlossen
ist, bevor Sie weitermachen. Alles zu den
Verschiebeanforderungen finden Sie im
Sonderheft II/2019 135
Exchange 2019 Migration zu Exchange 2019
EAC-Menüpunkt "Empfänger" unter dem
Punkt "Migration". Dort sehen Sie eine
Übersicht aktueller Verschiebeaktionen
und über das "+" starten Sie eine neue
Aktion, um die Mailboxen der Benutzer
zu bewegen. In unserem Fall wählen Sie
den Eintrag "In eine andere Datenbank
verschieben", durch den Sie eine lokale
Verschiebeaktion starten.
Hier wählen Sie zunächst die zu verschie-
benden User aus. Alternativ lesen Sie eine
CSV-Datei mit den primären E-Mail-
Adressen ein. Bewegen Sie mehrere User
zusammengefasst, spricht man von einem
Batch-Move. Im EAC starten Sie einzelne
Moves und Batch-Moves über den glei-
chen Assistenten. In der Shell unterschei-
den sich die Befehle. Hier kommen New-
MoveRequest und New-MigrationBatch
zum Einsatz.
Haben Sie die Nutzer ausgesucht, wählen
Sie im nächsten Schritt das Ziel und den
Postfachtyp (Archiv und/oder Postfach)
aus. Nachdem Sie diese Punkte mit "Wei-
ter" bestätigt haben, definieren Sie, ob
die Aktion direkt starten soll oder zu-
nächst ausgesetzt wird. Gleiches legen
Sie auch für den Abschluss der Aktion
fest. In diesem Fall würde die Mailbox
in der Zieldatenbank erstellt und die Ver-
Link-Codes
[1] IT-Administrator Sonderheft I/2018
Exchange Server 2016
j3p21
[2] Exchange Environment Report
j3p22
[3] Skript MessageStats.ps1
is163
[4] Exchange 2019 Server Role
Requirements Calculator
i2p23
[5] Running Antivirus Software
on Exchange Server
j3p25
[6] Clientspezifische
Nachrichtengrößenbegrenzungen
j3p26
[7] Größenbeschränkungen
von Nachrichten
j3p27
[8] Remote Connectivity Analyzer
(ExRCA)
h4z17
136 Sonderheft II/2019
schiebung vor dem Abschluss angehalten.
Auf diese Weise bereiten Sie Migrationen
gezielt vor und haben mehr Kontrolle
über den Abschluss, sodass der Einfluss
auf den Client minimiert wird. Fände der
Abschluss während einer aktiven Out-
look-Verbindung statt, würde der Mitar-
beiter zum Neustart des E-Mail-Clients
aufgefordert werden. Führen Sie den letz-
ten Schritt in Ruhe in einem Wartungs-
fenster durch. Das Fortsetzen und andere
Aktionen zu einer Verschiebeaktion zeigt
das EAC nach dem Status einer Anfor-
derung individuell an.
Eine interessante Funktion ist die auto-
matische Benachrichtigung per E-Mail
bei Abschluss eines Migrationsschrittes.
So bekommen Sie alle Informationen zu
dem Abschluss in Ihr Postfach und sehen
über den verknüpften Report die Details
ein. Es empfiehlt sich, zunächst Benut-
zerpostfächer zu verschieben, bevor Sie
mit Shared Mailboxes, Raumpostfächern
und Gerätepostfächern weitermachen.
Wenn fast alle Postfächer verschoben
sind, sollten sich als Letztes noch die Dis-
covery Search Mailbox und die AuditLog
Mailbox auf dem alten Server befinden.
Deren Verschiebung starten Sie wie folgt:
Get-Mailbox -Database DB16
-AuditLog | New-MoveRequest
-TargetDatabase DB19
Get-Mailbox -Database DB16
-RecipientTypeDetails Discovery
Mailbox | New-MoveRequest
-TargetDatabase DB19
Nachdem die Move Requests abgeschlos-
sen wurden, räumen Sie etwas auf und lö-
schen die zugehörigen Informationen:
Get-MoveRequest | where {$_.status
-eq "Completed"} | Remove-Move-
Request
Migration öffentlicher Ordner
Über die Migration der öffentlichen Ord-
ner müssen Sie sich mit Exchange 2013/
2016 keine allzu großen Gedanken mehr
machen, da diese in eigenen Postfächern
liegen. Verschieben Sie die öffentlichen
Ordner einfach in eine Datenbank auf
dem Exchange-2019-Server:
Link-Codes eingeben auf www.it-administrator.de
Get-Mailbox -PublicFolder |
New-MoveRequest -TargetDatabase
MBX19PF01
Den Erfolg der Aktion testen Sie wieder
mit Get-MoveRequest. Je nach Größe der
öffentlichen Ordner kann etwas Zeit ver-
gehen, bis die Migration abgeschlossen
ist. Am Ende sollten sich alle öffentlichen
Ordner auf dem neuen Server befinden.
Sie prüfen den Ablageort der öffentlichen
Ordner mit folgendem Befehl:
Get-Mailbox -PublicFolder |
ft Name,Alias,Servername,Database
Altes Exchange deinstallieren
Der letzte Schritt der Migration ist es, den
alten Server aus der Organisation zu ent-
fernen. Sicherheitshalber lassen Sie den
Exchange-2013/2016-Server aber zu-
nächst noch etwas mitlaufen oder fahren
diesen nur herunter, um das Verhalten
zu beobachten.
Tauchen dann keine Probleme auf, ent-
fernen Sie den Server komplett und schal-
ten ihn nicht einfach dauerhaft aus, bevor
Sie ihn aus dem Rack herausnehmen. Ex-
change speichert seine Konfiguration im
AD und nur über die Deinstallation be-
kommen Sie die Hinterlassenschaften kor-
rekt gelöscht. Bevor Sie die Deinstallation
starten, entfernen Sie zunächst die Daten-
banken auf dem alten Server über das
EAC. Dadurch stellen Sie sicher, dass keine
Postfächer mehr auf dem Server liegen
und dies nicht erst bei der Deinstallation
auffällt. Rufen Sie im nächsten Schritt die
Deinstallation des Exchange-Servers über
die Systemsteuerung unter "Programme
und Funktionen" auf und folgen Sie den
Hinweisen des Assistenten. Wählen Sie alle
Rollen und die Verwaltungstools ab. Nach-
dem die Deinstallation abgeschlossen wur-
de, entfernen Sie den Server noch aus der
AD-Domäne, damit auch das Computer-
konto gelöscht wird.
Fazit
Die Migration auf Exchange Server 2019
gleicht früheren Exchange-Migrationen.
In Abhängigkeit von der Größe der alten
Datenbanken ist die Migration jedoch eine
zeitliche Herausforderung, die sich über
Wochen ziehen kann. (ln)

Exchange 2019 Preferred Architecture
Gut geplant
von Christian Schulenburg
Exchange ist ein äußerst komplexes Produkt, das verschiedenste Konfigurationsmöglichkeiten
kennt. Dieser Workshop bringt Ihnen einige Empfehlungen zur Konfiguration von Exchange
2019 näher, damit Sie sich bei der Entwicklung Ihrer Umgebung besser an den Vorgaben von
Microsoft orientieren können. Dabei gehen wir unter anderem auf Server, Storage, Lastenver-
teilung und DNS-Namen ein.
M
icrosoft hat bereits viele White-
paper und Best-Practice-Anlei-
tungen veröffentlicht. Für Exchange 2019
wurden die vielen Änderungen für Ex-
change 2016 weitestgehend übernom-
men, da die beiden Versionen vom Ent-
wicklungsstand sehr nahe beieinander
liegen. Microsoft Engineers haben dabei
die Federführung übernommen und ein
empfohlenes Deployment [1] veröffent-
licht, dass sich vor allem auf das eigene
Rollout für Office 365 bezieht. Die dabei
betrachteten Aspekte wollen wir in die-
sem Artikel näher beschreiben und teil-
weise ausbauen.
Jede Umgebung birgt eigene Anforderun-
gen, sodass für die Erarbeitung immer
betriebliche Anforderungen zugrunde lie-
gen. Das Thema Hochverfügbarkeit im
Bereich Rechenzentrum als auch auf Da-
tenbankebene spielt eine wichtige Rolle,
genauso wie die Kostenreduzierung der
Infrastruktur sowie die Erhöhung der
Verfügbarkeit durch Reduzierung der
Komplexität. Andere Architekturen wer-
den unterstützt und finden Support, Mi-
crosoft bemerkt aber ganz klar, dass diese
nicht empfohlen sind.
www.it-administrator.de
Je komplexer die Umgebung, desto un-
vorhersehbarer sind Fehler. Es gibt keinen
Bereich in der IT, der gegen Fehler gefeit
ist. Microsoft hat dies als Grundsatz ge-
nommen, um die Architektur der emp-
fohlenen Installation deutlich zu verän-
dern. Redundanzen, angefangen von
einem zweiten Netzteil bis hin zu einer
ausgereiften SAN-Infrastruktur, spielen
in der Betrachtung für Exchange 2019 kei-
ne Rolle. Die Umgebung wird vereinfacht
und der Fehlerfall planbar, sodass alles in
einem vorhersehbaren Wiederherstel-
lungsmodel mündet. Gerade die Verein-
fachung – Symplicity – ist ein sehr wich-
tiger Punkt, der uns durch den Artikel
begleiten wird. Dies bezieht sich nicht nur
auf die reine Konfiguration, sondern auch
auf die Ausstattung der Server.
Keine Virtualisierung,
weniger IOPS
Physisch oder virtuell ist heute kaum
noch eine Frage, denn in die meisten Re-
chenzentren haben virtuelle Strukturen
Einzug gehalten, um Ressourcen effizient
zu nutzen. Im Bereich von Exchange hat
Microsoft diesen Pfad seit Exchange 2016
verlassen und bevorzugt den Einsatz von
Quelle: rawpixel – 123RF
physischen Low Cost-Servern – vor allem
um Ressourcen umfänglicher zu nutzen
und die Komplexität durch die zusätzliche
Virtualisierungsschicht zu entfernen. Da-
bei wird auf verschiedenste Redundanzen
auf Serverebene verzichtet und auf inte-
grierte Sicherungsmechanismen für Ex-
change gesetzt.
In diesem Zusammenhang spricht Mi-
crosoft von "Exchange Native Data Pro-
tection", das auch ohne Backup die Mail-
box-Datenbank umfänglich schützt.
Dabei müssen mindestens drei Kopien
einer Mailbox-Datenbank vorhanden
sein, damit im Fehlerfall eine andere Da-
tenbank aktiviert und ein Reseed der de-
fekten Datenbank nach Fehlerbeseitigung
durchgeführt wird. Eine vierte Kopie läuft
zusätzlich als Lagged Mailbox Database
Copy. Ein Backup ist nur noch optional
und richtet sich an die Bedürfnisse der
Organisation.
Ein wichtiger Faktor bei der Konfiguration
eines Servers war bisher die Festplatten-
performance. Die Anforderungen in die-
sem Bereich hat Microsoft in Exchange
2019 bezogen auf ältere Versionen deutlich
Sonderheft II/2019 137
Exchange 2019 Exchange 2019 Preferred Architecture
reduziert. Im Vergleich zu Exchange 2003
verringern sich die notwendigen IOPS um
über 90 Prozent. Dies hat auch Auswir-
kungen auf die Speicherarchitektur: Für
das Betriebssystem, die Exchange-Dateien
sowie -Protokolle sollte jedem Server ein
RAID1-Festplattenpaar zur Verfügung ste-
hen. Neu ist seit Exchange 2013, dass die
Datenbanken auf möglichst große SAS-
Festplatten mit 7.200 RPM in einem JBOD
verteilt werden. SAS-Festplatten sind SA-
TA-Festplatten aufgrund der besseren Per-
formance und der geringeren Fehlerrate
vorzuziehen. Als Dateisystem sollte für
die Datenbanken das Resilient File System
(ReFS) zum Einsatz kommen und Bit-
Locker sorgt in dabei für die Verschlüs-
selung der Daten. Eine teure SAN-Um-
gebung ist für einen hochverfügbaren
Betrieb von Exchange nicht nötig.
Mit Exchange 2019 hat sich das Storage
Design geändert und es wurde ein Tiering
mit Solid State Disks (SSDs) eingeführt.
Nachdem das Exchange-Team über Jahre
rein auf Low-Cost-Speicher gesetzt hat,
kam es hier zu einer Strategieänderung.
Auf den SSDs werden bestimmte Daten
ausgelagert, um die User-Experience zum
Beispiel bei der Anmeldung oder den Da-
tenabruf weiter zu verbessern. Die neue
Cache-Datenbank hat den Namen Meta-
Cache Database (MCDB) und wird auf
den schnellen SSDs ausgelagert. Diese
Datenbank enthält bis zu 10 Prozent der
eigentlichen Postfachdaten. Ein Disk-Lay-
out nach Microsoft Best Practice sieht zu-
künftig wie folgt aus:
- Zwei HDDs für das Betriebssystem und
Exchange 2019,
- 12 HDDs für Exchange Datenbanken
und Logs,
- eine HDD als DAG AutoReseed Spare
Disk und
- vier SSDs für die Metacache Database.
Microsoft hat für das Sizing der Umge-
bung einen Requirement Calculator für
Exchange 2019 veröffentlicht, an dem Sie
sich zu den Anforderungen an die Hard-
ware orientieren sollten [2]. Leider wird
der Calclator in der aktuellen Version
nicht mehr direkt veröffentlicht, sondern
über das Installationsmedium von Ex-
change bereitgestellt. Die Excel-Datei fin-
den Sie im Unterordner "Support".
138 Sonderheft II/2019
Alle Rollen auf allen Servern
Exchange 2016 arbeitete nur noch mit ei-
ner Rolle, in der die früheren Rollen Hub
Transport, Client Access und Unified Mes-
saging (UM) aufgegangen sind. Exchange
2019 arbeitet auch weiterhin nur mit einer
Rolle, aber aus dieser verabschieden sich
nun die Unified-Messaging-Bestandteile.
Für Umgebungen, bei denen UM im Ein-
satz ist, kann das ein Show Stopper für eine
Migration sein. Microsoft empfiehlt hier
die Nutzung von Clouddiensten. Der Fo-
kus von Exchange liegt somit auf einem
performanten Enterprise-Messaging-Sys-
tem und nicht auf Collaboration.
Mit nur einer Rolle kommen immer der
gleiche Installationsprozess und die gleiche
Konfiguration zum Einsatz. Durch diese
Vereinheitlichung soll sich auch die Ad-
ministration vereinfachen lassen. Weiter-
hin steht durch diesen Schritt ein größerer
Pool an Servern für jede Aufgabe zur Ver-
fügung, sodass die Last besser verteilt und
die Ausfallsicherheit weiter erhöht wird.
Ausfallsicherheit und
Lastenverteilung neu aufgelegt
Die Auswirkungen des Ausfalls eines
Clientzugriffsservers (CAS) an einem
Standort kompensieren Sie üblicherweise
über Loadbalancing-Mechanismen. Unter
Exchange 2010 wurde meist eine Client-
zugriffsserver-Array zusammen mit einem
Hard-/Software-Loadbalancer bereitge-
stellt, um Fehlertoleranz und eine effizien-
te Auslastung von Servern zu erzielen. Die
Loadbalancer mussten dabei eine Sitzung
zwischen dem Client und einem bestimm-
ten Clientzugriffsserver herstellen und
halten (Sitzungsaffinität). Durch diese Vo-
raussetzung war bei Exchange 2010 die
Verwendung einer Layer-7-Lastenaus-
gleichslösung Voraussetzung, die als "Las-
tenausgleich auf Anwendungsebene" be-
kannt ist.
Seit Exchange 2013 ist dies nicht mehr
nötig. Der CAS arbeitet als statusloser
Lightweight-Proxyserver, über den Clients
eine Verbindung zu Exchange-Postfach-
servern herstellen. Sitzungsaffinität ist
keine Voraussetzung mehr und eingehen-
de Verbindungen werden an einen ver-
fügbaren Mailboxserver umgeleitet. Die
Lastenausgleichsarchitektur ist dadurch
flexibler, bietet mehr Auswahl und ist we-
niger komplex.
Zur Auswahl standen bisher nur Win-
dows Network Loadbalancing (WNLB)
oder Hard-/Software-Loadbalancer. Ge-
gen WNLB sprachen vor allem die feh-
lende Diensteprüfung und die fehlende
Kompatibilität des Windows-Netzwerk-
lastenausgleichs mit Windows-Failover-
clustering, das die Voraussetzung für Da-
tabase Availability Groups (DAG) ist. Da
sich WLNB nicht auf einem DAG-Server
einrichten lässt, sind zusätzliche Server
zu installieren, was die Komplexität deut-
lich erhöht. Ein Ausfall eines Webdienstes
auf einem Exchange-Server wird durch
WLNB nicht erkannt und Anfragen wer-
den weitergeleitet, solange die IP-Adresse
des Servers erreichbar ist.
Die Gründe, die gegen WLNB sprechen,
sprechen für Loadbalancer: Diensteprü-
fung und die Nutzung von Multi-Role-
Servern. Mit der beschriebenen Archi-
tekturveränderung ab Exchange 2013
können Sie in Exchange 2019 DNS Round
Robin als zusätzliche Option nutzen. Ge-
rade in Hinblick auf die Vereinfachung
ist dies der empfohlene Weg von Micro-
soft. Hierüber erfolgt keine Lastenvertei-
lung, aber eine erhöhte Verfügbarkeit ist
gegeben. Browser und Outlook-Clients
wenden diese Art der Auflösung nahezu
ohne Einschränkungen an und finden oh-
ne Probleme das richtige Ziel, selbst wenn
ein CAS nicht erreichbar ist. Loadbalancer
sind weiterhin eine nützliche Ergänzung,
im Exchange-Umfeld spielen Sie aber eine
untergeordnete Rolle.
Über interne und
externe Namensbereiche
Eine der großen Diskussionen bei der Pla-
nung einer Exchange-Umgebung ist im-
mer wieder die Festlegung der DNS-Na-
men. Microsoft empfiehlt die Nutzung
des gleichen Namensbereiches für die in-
terne und externe Anbindung. Sofern die
interne Domain nicht dem externen Do-
mainnamen entspricht, führen Sie ein
Split-DNS in Ihrer Domain ein. Beim
Split-DNS richten Sie eine lokale Zone
ein, die mit den passenden Namen auf
die internen IP-Adressen referenziert.
Dies ist auch notwendig, da offizielle Zer-
www.it-administrator.de

tifikatstellen zukünftig keine internen Do-
mänennamen beziehungsweise IP-Adres-
sen in neuen Zertifikaten hinterlegen, so-
dass Sie um eine einheitliche Benennung
kaum herumkommen.
Für ein Split-DNS legen Sie zunächst im
DNS eine zusätzliche Reverse Lookup Zone
mit dem öffentlichen Domänenamen an.
Im Anschluss erstellen Sie A-Records für
die externen Namen mit den IP-Adressen
der internen Server. Sollte der Name Ihrer
Website der E-Mail-Domäne entsprechen,
wird die Auflösung der Website intern zu-
nächst nicht mehr funktionieren.
Richten Sie zur Fehlerbeseitigung einen
zusätzlichen A-Record mit dem Namen
www ein und geben Sie diesem Eintrag die
IP-Adresse der externen Website. Die IP-
Adresse der Website erhalten Sie über eine
nslookup-Abfrage von einem Client, der
noch Zugriff auf die Domain hat:
nslookup www.domain.de
Eine ausführliche Beschreibung zur Ein-
richtung eines Split-DNS finden Sie unter
[3] in Internet.
So bestimmen Sie
den DNS-Namen
Nachdem geklärt ist, dass interne und ex-
terne Namen identisch sind, stellt sich die
Frage, welche Namen zur Anwendung
kommen und damit in das Zertifikat müs-
sen. Zunächst einige Hintergrundaspekte:
Beim Namen wählen Sie ein ungebunde-
nen Namensbereich für Ihre Rechenzen-
tren, sofern Sie über verschiedenen Zu-
gangspunkte aus dem Internet verfügen.
Im Gegensatz zum gebundenen Namens-
bereich findet ein Name für alle Rechen-
zentren Verwendung. Die öffentlichen IP-
Adressen der verschiedenen Zugriffspunkte
werden über den gleichen Namen im öf-
fentlichen DNS registriert und die Auflö-
sung erfolgt, wie bereits beschrieben, extern
über DNS Round Robin.
Auf diesem Weg erhalten anfragende
Clients abwechselnd eine andere IP-Adres-
se zurück. Der Netzwerkverkehr wird in-
folge auf beide Rechenzentren verteilt und
circa 50 Prozent der Anfragen werden zwi-
schen den Datacentern weitergeleitet. Die
www.it-administrator.de
Exchange 2019 Preferred Architecture
Namensentscheidung ist auch von der
Netzwerktopologie abhängig und es kann
Sinn ergeben, einen gebundenen Namens-
bereich zu nutzen. Dies ist zum Beispiel
der Fall, wenn ein Datencenter in Europa
und eines in Nordamerika angesiedelt ist
und Sie den Traffic zwischen den Locations
begrenzen wollen.
Zum Einsatz kommt also nur ein Name
für sämtliche Clientzugriffe auf allen Ser-
vern einer Umgebung: "mail.domain.de".
Neben dem Zugriffspunkt für die Clients
erstellen Sie als zweiten DNS-Eintrag ein
Autodiscover-Eintrag: "autodiscover.
domain.de". Optional richten Sie noch
Namen für andere Dienste ein, etwa
"imap.domain.de" oder "smtp.domain.de".
Die Namen der Webzugriffe ändern Sie
im Exchange Administration Center un-
ter dem Punkt "Server / Virtuelle Ver-
zeichnisse". Als weitere Möglichkeit zur
Einrichtung der URLs steht Ihnen die
PowerShell mit den folgenden Befehlen
und den Parametern "InternalUrl" und
"ExternalUrl" zur Verfügung:
Set-ActiveSyncVirtualDirectory
Set-WebServicesVirtualDirectory
Set-OabVirtualDirectory
Set-OwaVirtualDirectory
Set-EcpVirtualDirectory
Bild 1: Sofern mehrere Rechenzentren zum Einsatz kommen,
verwenden Sie einen einheitlichen DNS-Namen.
Exchange 2019
Set-PowerShellVirtualDirectory
Get-MapiVirtualDirectory
Einzig die Autodiscover-URL richten Sie
direkt über den Server ein:
Set-ClientAccessServer -Identity
LABEX19 –AutoDiscoverService-
InternalUri https://autodiscover.
domain.de/Autodiscover/Autodisco-
ver.xml
DAG richtig konfiguriert
Seit Exchange 2010 gehören DAGs zum
festen Bestandteil von Exchange und sind
der einfachste Weg, um Mailbox-Server
abzusichern. Dabei werden Datenbank-
kopien über die Windows-Cluster-Tech-
nologien auf bis zu 16 verschiedene Mail-
box-Server verteilt, um eine passive Kopie
kurzfristig zu aktivieren. Die Einrichtung
erfolgt dabei komplett über Exchange,
ohne dass Sie sich mit dem Failover-Clus-
ter-Manager näher beschäftigen.
Bei der Nutzung einer DAG laufen alle
DAG-Mitglieder unter der gleichen Be-
triebssystemversion und weisen die glei-
che Verzeichnisstruktur für die Daten-
banken auf. Darüber hinaus verfügen alle
Member-Server einer DAG über die glei-
che Exchange-Version. Bis Exchange 2013
benötigte jede DAG ein Cluster Name
Object (CNO). Dabei handelt es sich um
ein AD-Objekt, das Exchange für die in-
terne Cluster-Kommunikation nutzt. Der
Name der DAG entspricht dem CNO.
Sonderheft II/2019 139
Exchange 2019 Exchange 2019 Preferred Architecture
Bild 2: In Exchange 2019 lautet die Empfehlung, dass interne und externe Namensbereiche identisch
sind. Die Konfiguration nehmen Sie über das EAC oder die PowerShell vor.
Bei Exchange 2013 vor dem SP1 muss-
ten Sie zunächst das CNO vorbereiten.
Mit dem Update auf Exchange 2013 SP1
und in Verbindung mit Windows 2012
R2 führt Microsoft die AD-unabhängige
Cluster-Konfiguration ein. Damit sind
auch keine IP-Adressen aus den Subnet-
zen der DAG-Mitglieder mehr nötig.
Ein Pre-Staging des CNOs ist somit
nicht mehr erforderlich und die Ein-
richtung fällt deutlich leichter. Eine
DAG neuen Typs richten Sie mit folgen-
dem Befehl ein:
New-DatabaseAvailabilityGroup -Name
DAG01 -DatabaseAvailabilityGroup-
IpAddresses ([system.net.ipad-
dress])::none
Eine AD-unabhängige DAG können Sie
ebenfalls über die EAC einrichten. Fügen
Sie bei der Erstellung einfach die DAG-
IP-Adresse 255.255.255.255 in der Kon-
figurationsmaske hinzu.
Beim Hinzufügen eines Servers zur DAG
wird auch weiterhin automatisch das Fai-
lover-Cluster-Feature installiert. Im Un-
terschied zu einer klassischen DAG wer-
den Ihnen im Failover-Cluster-Manager
zur DAG beziehungsweise zum Cluster
keine Informationen mehr angezeigt.
Wundern Sie sich nicht, wenn Sie zukünf-
tig einen Blick in den Manager werfen
und Ihnen augenscheinlich Informatio-
nen fehlen.
Im nächsten Schritt fügen Sie die Server
der DAG hinzu und verteilen die Mail-
boxdatenbanken auf die Exchange-Server.
140 Sonderheft II/2019
Hier gibt es keine Änderungen zum bis-
herigen Vorgehen. Im folgenden Beispiel
fügen wir den Server LABEX161 der
DAG01 hinzu und richten auf dem Ser-
ver LABEX162 eine Kopie der Datenbank
DB01 ein:
Add-DatabaseAvailabilityGroupServer
-Identity DAG01 -MailboxServer
LABEX161
Add-MailboxDatabaseCopy -Identity
DB01 -MailboxServer LABEX162
–ActivationPreference 2
Dieses Vorgehen stellt ein weiterer Schritt
zur Vereinfachung der Architektur dar
und beschleunigt die Einrichtung einer
DAG deutlich.
DAG-Netzwerk
und Zeugenserver
DAG-Netzwerke werden bei der Einrich-
tung einer DAG automatisch angelegt und
für den Replikations- oder MAPI-Verkehr
verwendet. Jede DAG enthält maximal ein
MAPI-Netzwerk und beliebige Replikati-
onsnetzwerke. Bei Exchange 2010 war die
Trennung zwischen Clientzugriffs- und
das Replikationsnetz noch Best Practice,
während Microsoft von der logischen
Trennung zu Gunsten der Vereinfachung
ab Exchange 2013 abrückt. Dies ist zum
einen der höheren Netzwerkbandbreiten
geschuldet – 10 GBit verbreitet sich immer
mehr – sodass Performanceengpässe der
Vergangenheit angehören.
Zum anderen nutzt Exchange meist die
gleiche Netzwerkinfrastruktur, sodass
Link-Codes eingeben auf www.it-administrator.de
eine Trennung aus Sicherheitsgründen
wenig Sinn ergibt. Ein Fehler des Servers
oder im Netzwerkbereich führt immer
zur Aktivierung einer Kopie eines ande-
ren DAG-Mitglieds und eine Vereinfa-
chung der Konfiguration ist zu empfeh-
len. Eine manuelle Konfiguration ist
nicht notwendig. Ein Eingriff ist nur bei
iSCSI-Netzwerken nötig. Deaktivieren
Sie diese, sofern diese vorhanden sind:
Set-DatabaseAvailabilityGroupNetwork
-Identity DAG10\DAGNetwork02
-ReplicationEnabled:$false
-IgnoreNetwork:$true
Zeugenserver kommen weiterhin nur
dann zur Anwendung, wenn eine gerade
Anzahl von Mitgliedern in der DAG vor-
liegt. Ist eine DAG über zwei Standorte
verteilt und kommt ein Witness-Server
zum Einsatz, sollte der Server nach Mög-
lichkeit in einem dritten Standort liegen.
Sofern keine dritte Lokation vorhanden
ist, bietet sich auch die Nutzung von Mi-
crosoft Azure an. Voraussetzung ist, dass
ein Netzwerkfehler zwischen den pri-
mären Standorten keinen Einfluss auf
den dritten Standort hat. Dadurch kann
immer ein automatischer Failover erfol-
gen, egal welches Rechenzentrum be-
troffen ist.
Fazit
Bei der Konfiguration von Microsoft Ex-
change 2019 hat sich nur wenig verändert.
Vor allem durch das Tiering mit SSD-
Festplatten für MCDB müssen Sie bei der
Festplattenkonfiguration einmal genauer
hinschauen. Dem Weg zurück auf physi-
sche Server mit einfachen Festplatten
bleibt Microsoft treu. Das Mantra "ein-
facher ist besser" ist stark spürbar und er-
leichtert die Arbeit der Administratoren
deutlich. (ln/dr)
Link-Codes
[1] The Exchange 2019
Preferred Architecture
f7p51
[2] Exchange 2019 Server Role
Requirements Calculator
i2p23
[3] Setting Up Split DNS
f7p53

Exchange Server virtualisieren
Stolperfallen
vermeiden
von Christian Schulenburg
Auch wenn Microsoft eine andere Empfehlung ausspricht, liebäugeln doch viele IT-Abteilung
mit dem Gedanken, Exchange genauso virtuell zu betreiben wie die meisten der anderen Server
im Unternehmen. Dieser Artikel zeigt, welche Stolperfallen beim lokalen Betrieb eines
virtualisierten Exchange-Servers drohen.
O
b Exchange 2019 virtualisiert wird,
hängt hauptsächlich von der Stra-
tegie des Unternehmens ab. In den meis-
ten Unternehmen ist die Virtualisierung
fester Bestandteil des IT-Plans und es
spricht nichts dagegen, auch Exchange in
diese einzubeziehen. Microsoft bevorzugt
jedoch grundsätzlich einen physischen
Rollout, was wir im Artikel zur Microsoft
Preferred Architecture für Exchange 2019
ab Seite 137 im Detail aufgreifen.
208 Hypervisoren zur Wahl
Als Hypervisor unterstützt Exchange sämt-
liche Versionen von Hyper-V. Darüber hi-
naus finden Hypervisoren von Drittanbie-
tern Unterstützung, die über das "Windows
Server Virtualization Validation Program"
(SVVP) validiert wurden. Über dieses sind
aktuell über 230 Hypervisoren von ver-
schiedensten Herstellern gegen verschie-
dene Windows-Versionen zertifiziert. Hier-
zu zählen nicht nur die bekannten wie
VMware oder Citrix, sondern auch eine
ganze Reihe von Exoten [1].
Über die verlinkte Liste des SVVP stellen
Sie sicher, dass die gewählte Plattform zu-
sammen mit dem Guest-Betriebssystem
supported ist. Das ist die Grundvoraus-
setzung für eine von Microsoft unterstüt-
ze Exchange-Installation. Da Exchange
2019 zwingend Windows 2019 voraus-
setzt, stehen nur 17 Produkte zur Verfü-
www.it-administrator.de
gung, wovon allein VMware neun durch
die verschiedenen Versionen beisteuert.
Das heißt aber nicht, dass der Betrieb
von Exchange über andere Hypervisoren
mit allen Funktionen direkt unterstützt
wird. Dies wird innerhalb des SVVP
nicht getestet und eine detailliertere Aus-
sage gegenüber Drittanbietern gibt es
nicht. Achten Sie unbedingt auf die Kon-
figurationsempfehlung des Lieferanten,
damit Sie im Problemfall einen zuver-
lässigen Ansprechpartner auch auf dieser
Seite haben.
Sofern Microsoft bei einem Support-Call
von einem Problem des Hypervisors aus-
geht, sind Sie in Pflicht, das Problem in
einer physischen Umgebung oder in Hy-
per-V zu reproduzieren. Exchange 2019
installieren Sie dann innerhalb des Hy-
pervisors auf Windows Server 2019. Die
physische Host-Maschine nutzen Sie aus-
schließlich für virtuelle Maschinen. Auf
dem Host darf nur Managementsoftware
wie Antivirus oder Backup installiert wer-
den. Andere Applikationen wie SQL Ser-
ver oder Active Directory hingegen nicht.
Einfluss von Cloudumgebungen
Heute spielt nicht nur die eigene virtuelle
Umgebung eine Rolle in der IT-Strategie,
sondern auch Infrastructure-as-a-Service
(IaaS). Gerade bei IaaS haben Sie oft we-
Quelle: flynt – 123RF
nig Einfluss auf die eingesetzte Hardware
und den Hypervisor, weshalb Sie hier ge-
nau prüfen müssen, ob die Installation
von Exchange in der virtuellen Umge-
bung vom Anbieter unterstützt wird.
Bei Azure ist es zum Beispiel Vorausset-
zung, dass Sie für alle Laufwerke mit Ex-
change-Datenbanken und -Protokollen
Azure Premium Storage nutzen. Zudem
bringt Azure mit sich, dass Sie E-Mails
an externe Domänen von Azure nur über
definierte Smart Hosts oder SMTP-Re-
lay-Anbieter wie Microsoft Exchange
Online Protection versenden können.
Andere Dienstleister haben andere Vo-
raussetzungen und oft gibt es umfang-
reiche Ressourcen und Guides, wie auch
bei Amazon [2].
Sizing von CPU und RAM
Beim Sizing orientieren Sie sich an den
grundsätzlichen Exchange-Vorgaben. Die
Umgebung planen Sie mit dem "Office
Exchange Server Role Requirements Cal-
culator" [3]. Leider wird der Calculator
in der aktuellen Version nicht mehr di-
rekt veröffentlicht, sondern über das In-
stallationsmedium von Exchange bereit-
gestellt. Die Excel-Datei finden Sie im
Unterordner "Support". Einige Punkte
sind dabei in einer virtuellen Umgebung
zu beachten: Bei der Berechnung der
Prozessoren geben Sie im Requirements
Sonderheft II/2019 141
Exchange 2019 Exchange Server virtualisieren
Bild 1: Beim Sizing des Exchange-Servers für eine virtuelle Umgebung spielt bei der Berechnung
der CPUs im "Office Exchange Server Role Requirements Calculator" die Anzahl der virtuellen
Prozessoren eine wichtige Rolle.
Calculator an, dass es sich um eine vir-
tuelle Umgebung handelt. Dabei sollte
das Verhältnis der logischen Prozessoren
bezogen auf die im Hypervisor zugewie-
senen virtuellen Prozessoren den Wert
von eins zu zwei nicht übersteigen. Emp-
fohlen wird ein Verhältnis von eins zu
eins. Bei einem Server mit zwei Prozes-
soren, die je über acht Kerne verfügen,
darf die Anzahl virtuellen Prozessoren
32 nicht übersteigen.
Während Sie Hyperthreading in physi-
schen Umgebungen zwingend deaktivie-
ren sollten, spielt dies in virtuellen Um-
gebungen keine Rolle. Durch die Er-
höhung der logischen Prozessoren,
kommt es bei physischen Servern zu einer
erhöhten Speichernutzung und gelegent-
lich auch zu einer erhöhten CPU-Belas-
tung. Virtuelle Server sind davon nicht
betroffen, da sie die zusätzlichen Prozes-
soren nicht direkt im Zugriff haben. Ach-
ten Sie aber darauf, dass Sie nicht mehr
CPUs als im Calculator vorgegeben zu-
weisen, da es ansonsten zu ähnlichen Pro-
blemen wie in physischen Umgebungen
kommen kann. Beim Thema Hyperthrea-
ding richten Sie sich nach den Vorgaben
Ihres Virtualisierungsanbieters.
Beim Arbeitsspeicher sind die Support-
richtlinien wesentlich strenger und es darf
den virtuellen Servern nicht mehr Spei-
cher zugewiesen werden, als physischer
Arbeitsspeicher im Host-System vorhan-
142 Sonderheft II/2019
den ist. Dabei müssen Sie den Arbeits-
speicher dem Exchange-Server fest zutei-
len – eine dynamische Speicherzuweisung
ist nicht gestattet! Dies ist eine logische
Konsequenz, da Exchange viele Daten im
Arbeitsspeicher-Cache hält und dynami-
scher Speicher somit zu einer schlechten
Systemperformance führt.
Storage für
virtualisiertes Exchange
Speicherseitig unterstützt ein virtuali-
siertes Exchange nur Blocklevel-Storage.
Zum Einsatz als Speicher für die Daten-
banken kommt fest zugeordneter Storage
und bei Hyper-V auch dynamischer Spei-
cher zur Anwendung. Hinzu gesellen sich
SCSI-Pass-Through-Speicher und iSCSI-
Storage, den Sie direkt aus der virtuellen
Maschine ansprechen. NAS wird nicht
unterstützt und es ist auch nicht suppor-
ted, diesen in der virtuellen Maschine als
Blocklevel-Storage einzubinden.
Sofern Windows Server 2012 Hyper-V
zum Einsatz kommt, lassen sich auch vir-
tuelle Festplatten mit einer festen Größe
auf einer SMB-3.0-Freigabe nutzen. Eine
direkte Einbindung des SMB-3.0-Shares
innerhalb von Exchange ist nicht möglich.
Speichern Sie die virtuellen Festplatten
des Betriebssystems und der Datenban-
ken auf unterschiedlichen Festplatten-
spindeln. Prüfen Sie die Umgebung vor
der Installation von Exchange mit Jet-
stress, um sicherzustellen, dass der Sto-
rage Ihren Anforderungen genügt. Die
Konfiguration des Exchange-Servers fra-
gen Sie nach der Installation mit dem
PowerShell-Skript "Healthchecker" [4]
ab. Dies liefert Ihnen neben allgemeinen
Hinweisen zu Exchange, wie Informatio-
nen zur genauen Exchange- oder .Net-
Version, Details zur den eingesetzten
CPUs und anderen wichtigen Punkten
der Voraussetzungen.
Failover und
Snapshots in der Praxis
Ein geplantes Verschieben eines virtuellen
Exchange-Servers von einem Host zu ei-
nem anderen über Livemigration oder
vMotion ist supported. Anders verhält es
sich im Fehlerfall des Hosts, bei dem der
virtuelle Server auf einem anderen Host
durch eine Cluster-Funktion verfügbar
gemacht wird. Hier unterstützt Exchange
nur den "Cold Boot", bei dem der virtuelle
Server auf der Gegenseite ganz normal
gestartet wird.
Würde der Server auf einem alternativen
Host aus einem Standby aktiviert, vergin-
gen auch in diesem Fall einige Sekunden,
in denen der Heartbeat zwischen den
DAG-Mitgliedern unterbrochen ist und
ein Exchange-Failover zu einem anderen
Exchange-Server stattfindet. Wird nun
der virtuelle Server einfach aus dem
Standby reaktiviert, kommt es zu einem
inkonsistenten Zustand, den es zu vermei-
den geht.
Erst mit Windows 2016 und den neuen
"Production Checkpoints" von Hyper-V
wird die Snapshot-Technologie auch für
Exchange wieder unterstützt. Dabei wer-
den über den Volumenschattenkopie-
Dienst (VSS) innerhalb der virtuellen Ma-
schinen Checkpoints des Servers erstellt,
sodass auch Programme korrekt gesichert
werden. Trotz dieser Möglichkeit sollten
Sie die Funktion nur mit Bedacht anwen-
Azure einfach testen
Um die Virtualisierung von Exchange mit
Azure und IaaS-Schritte zu testen, liefert [7]
eine detaillierte Beschreibung, wie Sie sich in
Azure eine Exchange-2019-Test- und Ent-
wicklungsumgebung aufbauen.
www.it-administrator.de

Bild 2: Das Healthchecker-Skript gibt nützliche Hinweise zu den Exchange-Voraussetzungen und zeigt
auch die Anzahl der Prozessoren an – egal, ob physisch oder logisch.
den, da Exchange oft in einer Datenbank-
verfügbarkeitsgruppe (DAG) läuft und die
meisten Konfigurationen direkt im Active
Directory speichert.
Neben Snapshots ist auch das Starten des
Exchange-Servers aus einem gespeicherten
Status oder einem Standby-System nicht
gestattet. Aus diesem Grund beachten Sie,
dass beim Beenden oder Neustarten des
Hypervisors dieser den Exchange-Server
herunterfährt und nicht einfriert. Dadurch
werden alle Änderungen in die Exchange-
Datenbanken geschrieben und der Server
ordentlich heruntergefahren. Optimal wäre
es, wenn Sie im virtuellen Exchange aktive
Datenbanken vor dem Beenden des Hosts
auf andere Server verteilen, um einen Fail-
over im Exchange zu vermeiden.
Die Konfiguration zum Verhalten beim
Herunterverfahren des Hypervisors neh-
men Sie bei Hyper-V zum Beispiel in den
Eigenschaften jedes virtuellen Servers un-
ter dem Punkt "Automatische Stoppakti-
on" vor. Bei VMware konfigurieren Sie
die Einstellungen zum Herunterfahren
der virtuellen Maschine für jeden Server
in den allgemeinen Einstellungen im
vSphere-Client unter "Verwalten / Ein-
stellungen". Passen Sie bei jedem Server
Link-Codes eingeben auf www.it-administrator.de
Exchange Server virtualisieren
das Shutdown-Verhalten an und setzen
Sie es auf "Herunterfahren des Gastes".
Zeitsynchronisation
und Hochverfügbarkeit
In den Eigenschaften des virtuellen Ser-
vers deaktivieren Sie unbedingt die Zeit-
synchronisation zwischen Host und
Gast. Exchange ist Mitglied der Active-
Directory-Domäne und die Zeit sollte
der Server unbedingt über die Mecha-
nismen eines Domänencontrollers syn-
chronisieren. Bei Hyper-V konfigurieren
Sie dies in den Eigenschaften der VM
unter dem Punkt "Integrationsdienste",
in VMware nutzen Sie unter anderem
den vSphere-Client zur Konfiguration
über die erweiterten Einstellungen der
virtuellen Maschine [5]. Grundsätzlich
sollten Sie die Zeitsynchronisierung bei
jedem virtuellen Domänenmitglied dau-
erhaft deaktivieren.
Durch den Hypervisor erhalten Sie eine
physische Hochverfügbarkeit. Dies be-
zieht sich nicht auf die Anwendungsebene
und damit nicht auf Exchange, sodass die-
ses weiterhin durch Datenbankverfüg-
barkeitsgruppen abgesichert werden
muss. Achten Sie dabei darauf, dass Sie
Server einer DAG nicht auf dem gleichen
Exchange 2019
Server betreiben, da im Fehlerfall des
Hosts gegebenenfalls die gesamte Ex-
change-Umgebung ausfällt.
Bei der Virtualisierung von Exchange be-
denken Sie immer, dass es dabei lediglich
um die physische Hochverfügbarkeit des
Servers handelt und diese nicht anwen-
dungsorientiert ist. Die Hochverfügbarkeit
des Exchange Servers muss immer geson-
dert betrachtet werden – mehr zu dem The-
ma lesen Sie im HA-Beitrag ab Seite 144.
Nutzen Sie Hyper-V 2012 und erhalten
Sie eine Fehlermeldung beim Erstellen
beziehungswiese beim Hinzufügen eines
Exchange-Servers zu einer DAG, prüfen
Sie den Microsoft Knowledge Base Artikel
"2872325" [6]. Das Problem wird durch
den "Microsoft Failover Cluster Virtual
Adapter Performance Filter" verursacht
und der Artikel beschreibt, wie Sie das
Problem lösen.
Fazit
Beim Aufbau einer virtuellen Exchange-
Umgebung gibt es die betrachteten Punk-
te, die es zu beachten gilt. Ob das Thema
Virtualisierung von Exchange, trotz der
Empfehlung eines physischen Rollouts
infrage kommt, muss jedes Unternehmen
individuell erwägen. Grundsätzlich stellt
sich hier die Frage, ob nicht direkt Ex-
change Online mit Office 365 eine Alter-
native ist. (jp/dr)
Link-Codes
[1] Windows Server Catalog /
Server Virtualization
is101
[2] Microsoft Exchange Server on AWS
is102
[3] Office Exchange Server Role
Requirements Calculator
i2p23
[4] Healthcheck-Skript
is103
[5] VMware: Disabling Time
Synchronization
is104
[6] Guest Cluster nodes in Hyper-V
may not be able to create or join
is105
[7] Exchange dev/test environment
in Azure
is106
Sonderheft II/2019 143
Exchange 2019 Hochverfügbarkeit
Hochverfügbarkeit für Exchange Server 2019
Robust
von Christian Schulenburg
Das E-Mail-System ist das Rückgrat der
Unternehmenskommunikation – Ausfälle
sind kaum zu tolerieren. Dieser Workshop zeigt
den Aufbau einer hochverfügbaren Exchange-
Umgebung. Dabei gehen wir vor allem darauf
ein, was Exchange 2016 und 2019 von Haus aus
gegen Datenverlust mitbringen.
S
eit Exchange 2016 gibt es nur noch
die Mailbox-Rolle – neben der
Edge-Rolle, die in diesem Beitrag außen
vor bleibt. Die Mailbox-Rolle entspricht
dem empfohlenen Multi-Rollen-Server
bei Exchange 2013, der aus den Rollen
Client Access und Mailbox bestand. Diese
Funktionalitäten wurden in die Mailbox-
Rolle aufgenommen. Clientzugriff und
Transportdienst sind weiterhin wichtige
Bestandteile und bei der Absicherung der
Verfügbarkeit sind alle Bestandteile zu
berücksichtigen.
Grundsätzlich bieten Exchange 2016 und
2019 bei der Hochverfügbarkeit nahezu
die gleichen Möglichkeiten wie vorange-
gangene Exchange-Versionen. Es gibt aber
auch Unterschiede und so ist die Instal-
lation eines Clients Access Servers (CAS)
als reiner Front-End-Server nicht mehr
möglich. Hier bietet sich sowohl bei Ex-
change 2016 als auch bei Exchange 2019
DNS Round Robin an. Damit können Sie
eine hochverfügbare Umgebung bereits
mit zwei Exchange-Servern aufbauen, so-
wohl für die Postfachdatenbanken als
auch für den Clientzugriff. Bei älteren Ex-
change-Versionen benötigten Sie hingegen
zwingend zusätzliche Loadbalancer oder
zwei CAS in einem Hochverfügbarkeits-
verbund vor den Datenbankservern – auf
die Loadbalancer können Sie verzichten.
Transporthochverfügbarkeit
Der Transportdienst als Bestandteil des
Postfach-Servers wird automatisch durch
die Funktionen Shadow-Redundanz und
144 Sonderheft II/2019
Safety Net abgesichert.
Die Shadow-Redun-
danz erstellt redundan-
te Kopien aller einge-
henden Nachrichten
auf einem weiteren
Mailbox-Server, bevor
diese dem sendenden
Server bestätigt werden
und die Nachrichten
weiterverarbeitet werden. Auf diesem Weg
ist sichergestellt, dass von allen Nachrichten
in der Exchange-Transportpipeline eine re-
dundante Kopie vorhanden ist. Die E-Mail
wird in der Transportdatenbank von Ex-
change erst gelöscht, wenn der nächste Hop
im Übermittlungspfad die Übermittlung
beendet hat. Sofern beim nächsten Hop ein
Fehler auftritt, bevor der Hop die erfolgrei-
che Übermittlung bestätigt, wird die Nach-
richt erneut gesendet.
Shadow-Redundanz ist bei Exchange 2016
und Exchange 2019 standardmäßig aktiv
und den Status prüfen Sie über "Sha-
dowRedundancyEnabled" mit dem Power-
Shell-Cmdlet "Get-TransportConfig".
Voraussetzung ist eine DAG mit zwei
Mailbox-Servern oder mindestens zwei
Exchange-Server an einem lokalen Acti-
ve-Directory-Standort. Die Einstellungs-
möglichkeiten bringen Sie mit Get-Trans-
portConfig | fl *Shadow* auf den Schirm.
Gespeichert werden die E-Mails in der
Datei "mail.que", die durch Shadow-Re-
dundanz und Safety Net größer ist als in
den vorangegangenen Exchange-Versio-
nen. Die E-Mails können Sie sich im
Quelle: kostsov – 123RF
QueueViewer anschauen. Sie erkennen
die Warteschlange am Delivery Type "Sha-
dow Redundancy".
Nachdem die E-Mail die Shadow-Redun-
danz verlassen hat, übernimmt das Safety
Net. Beide Funktionen arbeiten Hand in
Hand und das Safety Net ist eine Weiter-
entwicklung des Transportdumpsters aus
Exchange 2010. Dabei handelt es sich um
eine Warteschlange des Transportdienstes,
in der erfolgreich verarbeitete E-Mails auf-
bewahrt werden. Die erneute Zustellung
kommt bei zwei Szenarien zum Tragen:
zum einen bei einem automatischen oder
manuellen Failover einer Postfachdaten-
bank in einer DAG und zum anderen nach
dem Aktivieren einer verzögerten Kopie
einer Postfachdatenbank. Für Safety Net
muss die Funktion Shadow-Redundanz
aktiv sein und es müssen ebenfalls mehrere
Server vorhanden sein. Die erneute Über-
mittlung wird durch den Active Manager
automatisch ausgelöst und es ist kein Ein-
greifen nötig. Die Aufbewahrungszeit im
Sicherheitsnetz konfigurieren Sie über das
Cmdlet "Set-TransportConfig" und das At-
tribut "SafetyNetHoldTime".
www.it-administrator.de

Bild 1: Schon bevor eine eingehende E-Mail dem sendenden Server quittiert wird,
erstellt Exchange automatisch eine Kopie auf einem anderen Server.
E-Mails absichern
Um das Senden von E-Mails sicherzustel-
len, reicht es aus, beim Sendeconnector
einfach mehrere Exchange-Server einzu-
tragen, die E-Mails nach extern versenden
dürfen. Ein häufiger Fehler ist es, für jeden
Exchange-Server einen eigenen Sendecon-
nector einzurichten. Das sollten Sie ver-
meiden, da bei gleichen Kosten und glei-
cher Nähe immer der Connector mit dem
niedrigsten alphanumerischen Wert zum
Einsatz kommt, auch wenn dieser nicht
verfügbar ist. Durch die Zuordnung von
zwei Servern zu einem Sendeconnector
lässt sich der Ausfall eines Servers beim
Versand kompensieren. Die zugeordneten
Server eines Connectors prüfen Sie am
einfachsten über die PowerShell:
Bild 2: Das Senden über Exchange sichern Sie mittels mehrerer Quellserver in einem Sendeconnector ab.
www.it-administrator.de
Hochverfügbarkeit
Get-SendConnector | ft Name,
SourceTransportServers -autosize.
Alternativ sehen Sie sich die Einträge unter
dem Punkt "Quellserver" im Exchange
Administrator Center (EAC) an, zu finden
in den Eigenschaften des Sendeconnectors
unter "Nachrichtenfluss / Sendeconnector /
Bereichsdefinition" (Bild 2).
Sofern bei der ausgehenden Übermittlung
mehrere Smarthosts zum Einsatz kom-
men, tragen Sie diese in den gleichen Sen-
deconnector ein. Exchange sorgt auf diese
Weise für das Loadbalancing über Round
Robin und die Fehlertoleranz zwischen
den Smarthosts. Um den eingehenden E-
Mail-Traffic ausfallsicher zu gestalten,
Exchange 2019
veröffentlichen Sie mindestens zwei MX-
Records, die zu verschiedenen E-Mail-
Servern Ihrer Domain zeigen.
Ausfallsicherheit
bei CAS-Servern
Den Ausfall eines Clientzugriffsservers an
einem Standort kompensieren Sie übli-
cherweise über Loadbalancing-Mechanis-
men. In älteren Exchange-Versionen wurde
meist ein Clientzugriffsserver-Array zu-
sammen mit einem Hard-/Software-Lo-
adbalancer (LB) bereitgestellt, um Fehler-
toleranz und eine effiziente Auslastung
von Servern zu erzielen. Mit der Architek-
turveränderung ab Exchange 2013 hielt
DNS Round Robin als zusätzlicher Redun-
danzmechanismus Einzug. Dies ist – seiner
Einfachheit geschuldet – der von Microsoft
empfohlene Weg zur Absicherung des
Clientzugriffs. Hierüber erfolgt keine Las-
tenverteilung, aber eine erhöhte Verfüg-
barkeit ist gegeben. Browser und Outlook-
Clients wenden diese Art der Auflösung
nahezu ohne Einschränkungen an und fin-
den ohne Probleme das richtige Ziel, auch
wenn ein CAS nicht erreichbar ist. Load-
balancer sind weiterhin eine nützliche Er-
gänzung, im Exchange-Umfeld spielen sie
aber eine untergeordnete Rolle.
Um DNS Round Robin nutzen zu kön-
nen, müssen Sie für die Zugriffsnamen
zwei A-Records im DNS registrieren. Mi-
crosoft empfiehlt die Nutzung des glei-
chen Namensbereichs für die interne und
externe Anbindung. Sofern die interne
Domain nicht dem externen Domain-
namen entspricht, führen Sie ein Split-
DNS in Ihrer Domain ein. Dies ist not-
wendig, da offizielle Zertifikatsstellen
keine internen Domainnamen bezie-
hungsweise IP-Adressen in neuen Zerti-
fikaten hinterlegen. Für ein Split-DNS
legen Sie zunächst im DNS eine zusätz-
liche Reverse Lookup Zone mit dem öf-
fentlichen Domainnamen an. Im An-
schluss erstellen Sie A-Records für die
externen Namen mit den IP-Adressen
der internen Server. Im Internet richten
Sie die entsprechenden Namen mit den
A-Records zu den öffentlichen IP-Adres-
sen beider E-Mail-Server ein.
Als Subdomain für sämtliche Clientzugriffe
auf allen Servern einer Umgebung reicht
Sonderheft II/2019 145
Exchange 2019 Hochverfügbarkeit
ein Name, etwa "mail.domain.de". Neben
dem Zugriffspunkt für die Clients erstellen
Sie mit "autodiscover.domain.de" als zwei-
ten DNS-Eintrag einen Autodiscover-Ein-
trag. Optional richten Sie noch Namen für
andere Dienste ein, etwa "imap.domain.de"
oder "smtp.domain.de".
Die Namen der Webzugriffe ändern Sie
im Exchange Administration Center unter
dem Punkt "Server / Virtuelle Verzeich-
nisse". Als weitere Möglichkeit zu Einrich-
tung der URLs stehen Ihnen PowerShell-
Befehle mit den Parametern "InternalUrl"
und "ExternalUrl" zur Verfügung. Einzig
die Autodiscover-URL richten Sie über
einen gesonderten PowerShell-Befehl ein.
Ein vollständiges Skript [1] liefert Ihnen
alle URLs in einem Durchgang.
Haben Sie die DNS-Einträge und die vir-
tuellen Verzeichnisse konfiguriert, können
Sie die HA-Funktion testen. Sofern Out-
look eine Verbindung zu Ihrem Exchange-
Server aufgebaut hat, sehen Sie anhand der
IP-Adresse im Ressourcenmonitor, mit
welchem Server Sie verbunden sind. Fah-
ren Sie den Server nun herunter oder de-
aktivieren Sie temporär die Netzwerkver-
bindung, baut Outlook automatisch eine
Verbindung zum alternativen DNS-Eintrag
auf. Ist Outlook auch weiterhin verbunden,
haben Sie die Hochverfügbarkeit des
Clientzugriffs erfolgreich getestet.
Hochverfügbarer Postfach-Server
Seit Exchange 2010 gehören DAGs zum
festen Bestandteil von Exchange und sind
der einfachste Weg, um Mailbox-Server
abzusichern. Dabei werden Datenbank-
kopien über die Windows-Cluster-Tech-
nologien auf bis zu 16 verschiedene Mail-
box-Server verteilt, um eine passive Kopie
kurzfristig zu aktivieren. Die Einrichtung
erfolgt dabei komplett über Exchange,
ohne dass Sie sich näher mit dem Fail-
over-Clustermanager beschäftigen müs-
Link-Codes
[1] Exchange 2016/2019: URLs und Host-
namen per PowerShell konfigurieren
j6z31
[2] Ausführen des Wartungsprozesses
auf DAG-Mitgliedern
j6z32
146 Sonderheft II/2019
sen. Bei der Nutzung einer DAG laufen
alle DAG-Mitglieder unter der gleichen
Betriebssystemversion und weisen die
gleiche Verzeichnisstruktur für die Da-
tenbanken auf. Darüber hinaus verfügen
alle Member-Server einer DAG über die
gleiche Exchange-Version.
Seit Exchange 2013 SP1 und in Verbin-
dung mit Windows 2012 R2 bietet Micro-
soft die AD-unabhängige Cluster-Konfi-
guration an. Damit sind keine IP-Adressen
aus den Subnetzen der DAG-Mitglieder
mehr nötig. Ein Pre-Staging des CNOs ist
somit nicht mehr erforderlich und die Ein-
richtung wird um einiges vereinfacht. Eine
DAG neuen Typs richten Sie mit folgen-
dem Befehl ein:
New-DatabaseAvailabilityGroup -Name
DAG01 -DatabaseAvailabilityGrou-
pIpAddresses ([system.net.ipad-
dress])::none
Eine AD-unabhängige DAG können Sie
ebenfalls über die EAC einrichten. Tippen
Sie bei der Erstellung einfach die DAG-IP
"0.0.0.0" in der Konfigurationsmaske ein.
Im nächsten Schritt fügen Sie die Server
der DAG hinzu und verteilen die Mailbox-
datenbanken auf die Exchange-Server. Hier
gibt es keine Änderungen zum bisherigen
Vorgehen. Im folgenden Beispiel wird der
Server "Ex191" der "DAG01" hinzugefügt
und auf dem Server "Ex192" eine Kopie
der Datenbank "DB01" eingerichtet:
Add-DatabaseAvailabilityGroupServer
-Identity DAG01
-MailboxServer Ex191
Add-MailboxDatabaseCopy -Identity
DB01 -MailboxServer Ex192
-ActivationPreference 2
Mit diesen Schritten haben Sie die Da-
tenbank DB01 schnell auf zwei Servern
hochverfügbar gemacht.
Wiederherstellung und
Upgrade bei HA
Bei der Wiederherstellung eines Servers
aus einer DAG mit der Option "Recover-
Server" ist einiges zu beachten. Entfernen
Sie vor der Wiederherstellung mit Re-
Link-Codes eingeben auf www.it-administrator.de
move-MailboxDatabaseCopy zunächst alle
Datenbankkopien vom Server. Im An-
schluss tilgen Sie den Server auch aus der
DAG, und zwar mit dem PowerShell-Be-
fehl Remove-DatabaseAvailabilityGroup-
Server. Danach können Sie den Server mit
der Option "RecoverServer" wiederher-
stellen. Zum Abschluss fügen Sie den Ser-
ver der DAG mit den Befehlen Add-Da-
tabaseAvailabilityGroupServer und Add-
MailboxDatabaseCopy wieder hinzu.
Bei der Wartung in einer hochverfügba-
ren Umgebung sind ebenfalls einige
Punkte zu beachten. Theoretisch laufen
die hochverfügbaren Dienste weiter und
ändern automatisch aktive Knoten. Einen
Failover-Test sollten Sie aber geplant
durchführen und nicht bei einem Update
oder ähnlichen Aktionen. Als Erstes len-
ken Sie die Clientanfragen zu einem an-
deren Server um. Kommt DNS Round
Robin zum Einsatz, löschen Sie einfach
temporär den DNS-Eintrag des zu war-
tenden Servers, damit Clients die IP des
Servers nicht mehr erhalten. Sofern ein
Loadbalancer Verwendung findet, deak-
tivieren Sie den Zugriff auf den Server.
Bezüglich der DAG ist der Aufwand etwas
größer: Zunächst leeren Sie die Transport-
komponente des Servers und leiten alle E-
Mails aus der Warteschlange zu einem an-
deren Server. Im nächsten Schritt pausieren
Sie den Cluster-Knoten und deaktivieren
die automatische Aktivierung einer Mail-
boxkopie. Aktive Datenbanken werden in
diesem Schritt auf anderen DAG-Mitglie-
dern aktiviert. Auf dem Server sollten sich
nun keine aktiven Datenbanken mehr be-
finden. Als Letztes aktivieren Sie den War-
tungsmodus. Sie können nach diesen
Schritten den Server in Ruhe aktualisieren.
Die Aktivierung nach einer erfolgreichen
Wartung erfolgt in umgekehrter Reihen-
folge. Das genaue Vorgehen beschreibt
Microsoft unter [2].
Fazit
Exchange 2019 macht es Administratoren
mit den etablierten Verfahren der DAG und
den Möglichkeiten von DNS Round Robin
einfach, auch in kleinen Umgebungen mit
wenigen Handgriffen eine hochverfügbare
Umgebung aufzubauen. (ln)
E-Mail-Sicherheit in Exchange Server 2019

Ungebetene Gäste
von Christian Schulenburg

Ein großer Anteil der täglichen E-Mails ist nach wie vor
Spam. Als harmlose Werbung raubt er den Anwendern Zeit,
als Träger für Malware stellt diese Unart der Kommunikation
ein ernstes Sicherheitsrisiko dar. Unser Workshop zeigt, wie
Sie diese unerwünschten Nachrichten aussortieren. Quelle: olegdudko – 123RF

D
er Großteil der Nutzer einer loka-
len Exchange-Version hat eine ei-
genständige Anti-Spam- und Anti-Mal-
ware-Lösung im Einsatz. Sofern Sie noch
keinen Schutz haben, bringt Exchange
2019 Bordmittel mit, die eine Grundab-
sicherung bieten. Die Möglichkeiten von
Office 365 sind hingegen so umfangreich,
dass sie eine Alternative zu selbstgehos-
teten Security-Tools darstellen.
Anti-Spam-Filter einrichten
Das Exchange-2019-eigene, kostenlose An-
ti-Spam ist standardmäßig nicht installiert.
Sie nehmen die Funktion über das Skript
"Install-AntispamAgents.ps1" in Betrieb,
das sich im Installationsverzeichnis von
Exchange findet. Das Verzeichnis rufen
Sie am schnellsten über die Variable "$Ex-
Skripts" auf. Nach der Installation starten
Sie den Transportdienst neu (Restart-Ser-
vice MSExchangeTransport) und machen
die internen SMTP-Server mit folgendem
Befehl bekannt:
Set-TransportConfig -Internal-
SMTPServers @{Add="10.0.2.4",
"10.0.2.5"}
Jetzt helfen Ihnen verschiedene Agenten,
um Spam-E-Mails auszusperren. Die
Konfiguration der verschiedenen Filter
findet in Exchange 2019 komplett in der
Exchange Management Shell (EMS) statt,
wichtige Befehle zur Konfiguration ent-
nehmen Sie der entsprechenden Tabelle.
Auf einem Postfach-Server stehen nun
einige Spamfilter zur Verfügung. Die "Ab-
senderfilterung" prüft den Absender im
SMTP-Befehl "MAIL FROM:" mit einer
definierten Liste der Absender oder Ab-
senderdomänen, die keine Nachrichten
an die Organisation senden dürfen. Der
"Empfängerfilter" vergleicht die Nach-
richtenempfänger im SMTP-Befehl
"RCPT TO:" mit einer vom Administrator
definierten Empfängersperrliste. Bei einer
Übereinstimmung darf die Nachricht
nicht in die Organisation gelangen. Der
Empfängerfilter vergleicht darüber hinaus
Empfänger in eingehenden Nachrichten
mit dem lokalen Empfängerverzeichnis,
um zu bestimmen, ob die Nachricht an
gültige Empfänger adressiert ist. Wenn
eine Nachricht nicht an gültige Empfän-
ger gerichtet ist, wird sie zurückgewiesen.
Als weiterer Filter verwendet der "Sender
ID-Agent" die IP-Adresse des sendenden
Servers und die angegebene Antwortadres-
se (Purported Responsible Address; PRA)
des Absenders, um zu bestimmen, ob der
Absender gefälscht ist. Die "Inhaltsfilte-
rung" beurteilt den Inhalt einer Nachricht
und führt definierte Aktionen aus. Um zu
verhindern, dass fälschlicherweise erkannte
E-Mails nicht mehr zugestellt werden kön-
nen, landen diese in einem Spam-Quaran-
tänepostfach. Der "Protokollanalyse-Agent"
implementiert schließlich die Absender-
zuverlässigkeitsfunktion (Sender Reputa-
tion Level; SRL), die eine E-Mail aufgrund
verschiedener Merkmale klassifiziert.
Der Empfängerfilter ist auf Mailbox-Ser-
vern vorhanden, von einer Konfiguration
sehen Sie aber besser ab. Findet der Filter
in einer E-Mail gültige als auch ungültige
Empfänger, würde die E-Mail für alle
Empfänger abgelehnt werden. Neben die-
sen Filtern bietet die Rolle des Edge-Ser-
vers noch einen Verbindungsfilter-Agen-
ten, der die IP-Adresse des Remoteservers
gegen verschiedene IP-Sperrlisten prüft,
sowie einen Anlagenfilter-Agenten, der
die Anlagen tiefergehend prüft.
Spam klassifizieren
Sämtliche Prüfungen werden im Header
einer E-Mail vermerkt, sodass Sie jederzeit
nachvollziehen können, wie eine E-Mail
bewertet wurde und wie vertraulich diese
ist. Dazu zählt auch der "SpamConfidence-
Level" (SCL), der die E-Mail beurteilt. Über
den SCL definieren Sie verschiedene Re-
geln, zum Beispiel, wann eine E-Mail ab-
gelehnt wird in ein Quarantänepostfach
beziehungsweise in den Outlook-Junk-
Ordner verschoben wird. Die Konfigura-
tion erfolgt über das Set-ContentFilter-
Config-Cmdlet mit folgenden Attributen:
- SCLDeleteEnabled
- SCLDeleteThreshold
- SCLRejectEnabled
- SCLRejectThreshold
- SCLQuarantineEnabled
- SCLQuarantineThreshold
- SCLJunkThreshold
In den Organisationseinstellungen defi-
nieren Sie über das Set-OrganizationCon-
fig-Cmdlet allgemeine Schwellenwerte, die
Sie bei Bedarf für Mailboxen anpassen:
Set-Mailbox User -SCLJunkEnabled
$True -SCLJunkThreshold 6

www.it-administrator.de Sonderheft II/2019 147

Exchange 2019 E-Mail-Sicherheit
Anti-Spam-Konfiguration per PowerShell in Exchange 2019
Cmdlet
Set-SenderFilterConfig
Set-SenderIDConfig
Set-ContentFilterConfig
Set-SenderReputationConfig
Set-IPAllowListConfig
Set-IPBlockListConfig
Set-IPAllowListProvidersConfig
Set-IPBlockListProvidersConfig
SCL kann Werte zwischen "-1" und "9"
aufweisen, die grob gesagt Folgendes be-
deuten: Eine SCL-Bewertung von "-1"
kennzeichnet eine E-Mail als kein Spam
von einem sicheren Absender, Empfänger
oder einer als sicher gelisteten IP-Adresse
(vertrauenswürdiger Partner). Die Werte
"0" und "1" besagen, dass es sich ebenfalls
nicht um Spam handelt, weil die Nach-
richt überprüft und als spamfrei einge-
stuft wurde. Werte von "5" oder "6" deu-
ten eindeutig auf eine Spamnachricht,
bei einem Wert von "9" können Sie ganz
sicher von Spam ausgehen.
Für einen Überblick der durch die Anti-
Spam-Agenten getätigten Aktionen bleibt
Ihnen nur das Auswerten der Agenten-
Protokolle. Die Eigenschaften der Proto-
kolle inklusive des Ablageortes prüfen Sie
mit dem Befehl
Get-TransportService|fl Agent*
Über Get-AgentLog und das Skript "Get-
AntiSpamFilteringReport.ps1" durchsu-
chen Sie die Protokolle. Letzteres befindet
sich im Exchange-Skriptverzeichnis, wo
Sie auch weitere Skripte wie "Get-Anti-
spamTopBlockedSenderDomains.ps1"oder
"Get-AntispamTopRecipients.ps1" finden.
Anti-Spam mit EOP
Als Alternative zur lokalen Anti-Spam-
Lösung bietet Microsoft "Exchange On-
line Protection" (EOP) an. EOP buchen
Sie direkt als Subskription über Office
148 Sonderheft II/2019
Beschreibung
Konfiguration des Absenderfilter-Agenten.
Konfiguration des Sender-ID-Agenten.
Anpassung der Inhaltsfilterkonfiguration.
Steuerung der Absenderzuverlässigkeit.
Konfiguration der Liste zugelassener IP-Adres-
sen, die vom Verbindungsfilter-Agenten auf
Edge-Transport-Servern verwendet wird.
Anpassung der Liste blockierter IP-Adressen,
die vom Verbindungsfilter-Agenten auf Edge-
Transport-Servern verwendet wird.
Einstellung der konfigurierten IP-Zulassungslis-
tenanbieter auf dem Edge-Transport-Server.
Einstellungen aller auf dem Edge-Transport-Ser-
ver konfigurierten IP-Sperrlistenanbieter.
365 oder es ist bereits Bestandteil einer
Exchange-Online-Subskription. Die Li-
zenzierung von EOP erfolgt dabei direkt
über einzelne Benutzer. Die Kosten liegen
aktuell bei 0,84 Euro je Benutzer und Mo-
nat. Alternativ gibt es aus der lokalen Ex-
change-Umgebung auch eine spezielle
Enterprise-CAL mit Diensten, die eben-
falls die Nutzung von EOP beinhaltet.
Dient die lokale Lösung einer Grundabsi-
cherung, ist EOP die bessere Wahl, da die
Erkennungsrate wesentlich höher ist.
Nachdem sich Microsoft aus dem Bereich
der lokalen Sicherheitslösungen mit Fore-
front zurückgezogen hat, ist EOP der von
Microsoft favorisierte Weg zur Absiche-
rung von lokalen Exchange-Umgebungen.
Im Vergleich zur lokalen Version bietet es
eine einfachere Konfiguration durch eine
Bild 1: Exchange Online Protection bietet im Gegensatz zum lokalen Exchange-Server
die Konfiguration der E-Mail-Sicherheit über das Exchange Admin Center.
Anti-Spam-Benutzeroberfläche, die Sie
über das Exchange Admin Center (EAC)
aufrufen. Die PowerShell-Befehle können
Sie für Exchange Online nicht nutzen. Ge-
genüber der lokalen Exchange-Version bie-
tet Office 365 ebenfalls ein wesentlich bes-
seres Reporting und bringt einige Berichte
zum Thema gleich mit. Darüber hinaus
bietet EOP eine verbesserte Verbindungs-
filterung, die ansonsten einen Edge-Trans-
port-Server bedingt sowie einen umfang-
reicheren Inhaltsfilter.
Bordmittel gegen Malware
Exchange 2019 bringt auch eine Anti-
Malware-Funktion mit, die Exchange vor
Schadsoftware wie Viren oder Spyware
schützt. Im Gegensatz zur Anti-Spam-
Lösung erfolgt die Konfiguration über
das EAC im Menüpunkt "Schutz / Schad-
software". Alternativ nutzen Sie in der
PowerShell die Set-MalwareFilterPolicy-
und Set-MalwareFilterRule-Cmdlets.
Über Antischadsoftware-Richtlinien de-
finieren Sie organisationsweit Aktionen,
die bei einer Erkennung umgesetzt werden.
Als Aktion legen Sie fest, ob nur die Anlage
oder die gesamte E-Mail zu löschen ist und
wer benachrichtigt wird. Neben der Stan-
dardrichtlinie erstellen Sie benutzerdefi-
nierte Richtlinien, die auf definierte Be-
nutzer oder Gruppen wirken. Damit die
Signaturen immer die aktuellsten Defini-
tionen erhalten, lädt Exchange diese regel-
mäßig aus dem Internet. Grundsätzlich
werden die Defintionsupdates zur Erken-
nung von Schadsoftware automatisch bei
Microsoft heruntergeladen. Den Status
www.it-administrator.de

Bild 2: Richtlinien gegen Schadsoftware lassen sich in EOP und lokal über das EAC konfigurieren.
prüfen Sie über den Get-EngineUpdateIn-
formation-Befehl. Über das Skript "Up-
date-MalwareFilteringServer.ps1" stoßen
Sie ein Update gezielt an.
Anti-Malware
und ATP in Office 365
In EOP ist direkt eine Anti-Malware-
Funktion eingebunden, die immer aktiv
ist und alle E-Mails und Anlagen scannt.
Eine Konfiguration durch den Adminis-
trator ist nicht nötig und die Signaturen
gegen Viren, Schadsoftware, Rootkits,
Würmer und so weiter werden ständig
auf dem Laufenden gehalten. Ähnlich der
lokalen Version konfigurieren Sie die
Standardrichtlinie im EAC. So deaktivie-
ren Sie zum Beispiel spezielle Dateitypen
oder passen Benachrichtigungseinstel-
lungen im EAC an.
Die bisher vorgestellten Komponenten bie-
ten bereits einen Grundschutz für Ihr E-
Bild 3: EOP bietet über das "Security & Compliance Center" ausführliche
Informationen zur aktuellen Bedrohungslage bei E-Mails.
Link-Codes eingeben auf www.it-administrator.de
Mail-System. Erweitern lässt sich der
Schutz durch "Advanced Threat Protec-
tion" (ATP), das ausschließlich online zur
Verfügung steht und gegen unbekannte
Schadsoftware hilft. Dadurch wird ein bes-
serer Schutz vor bisher unbekannten Ze-
ro-Day-Attacken gewährleistet. Zur Prü-
fung werden alle Anlagen mit einer unbe-
kannten Signatur einer Verhaltensanalyse
unterzogen. Erst wenn Microsoft keine
Auffälligkeiten festgestellt hat, wird die E-
Mail in das Benutzerpostfach zugestellt.
Neben den Anlagen prüft ATP auch die
Links in E-Mails. Hyperlinks zu böswilli-
gen Seiten, wie zum Beispiel Pishing-Sei-
ten, die Anmeldedaten erschleichen wol-
len, werden automatisch ersetzt.
Die Funktion ist nur in wenigen Office-
365-Plänen wie "Office 365 Enterprise E5"
enthalten. In den meisten Fällen abonnie-
ren Sie ATP als zusätzlichen Dienst für circa
2 Euro je Benutzer und Monat. Haben Sie
E-Mail-Sicherheit Exchange 2019
den Dienst aktiviert, erfolgt die Konfigu-
ration über das EAC in dem Punkt "Kom-
plexe Bedrohungen". Die Richtlinien für
den Schutz vor böswilligen Anlagen und
Links sind hier schnell eingerichtet und er-
möglichen einen ausführlicheren Schutz.
Die Konfiguration über die EMS erfolgt
mit den Set-SafeAttachmentPolicy- und
Set-SafeLinkPolicy-Cmdlets. Berichte dazu
liefert Ihnen das EAC über den Punkt
"Berichte anzeigen". Informationen zu
Schadlinks erhalten Sie im Bereich "Nach-
richtenfluss" im Abschnitt "URL-Ablauf-
verfolgung".
EOP mit lokalem Server nutzen
EOP lässt sich relativ einfach auch zur
Absicherung lokaler Exchange-Versionen
nutzen. Dabei bleiben die Postfächer in
der lokalen Instanz und nur der ein- und
ausgehende Datenverkehr fließt über
EOP. E-Mails innerhalb der Organisation
werden dabei nicht mittels EOP über-
prüft. Der Vorteil ist, dass Sie keine zu-
sätzliche Hard- beziehungsweise Software
benötigen und Sie die Prüfung außerhalb
Ihres Netzwerks durchführen.
Zur Einrichtung verifizieren Sie zunächst
in Ihrem Office-365-Mandanten alle Do-
mains, über die Sie E-Mails senden und
empfangen. Im Anschluss passen Sie die
Connectoren sowohl lokal als auch online
an, damit die Nachrichten zwischen der lo-
kalen Instanz und EOP ausgetauscht wer-
den. Als Letztes erfolgt der Schwenk der
MX-Records, damit im Anschluss der ge-
samte E-Mail-Verkehr über Exchange On-
line geführt wird [1].
Fazit
E-Mails stellen oft das zentrale Einfallstor
für Cyberattacken dar. Phishing- und Vi-
renmails sehen zunehmend täuschen echt
aus und lassen sich von Mitarbeitern nur
noch schwer von seriösen E-Mails unter-
scheiden. Microsoft bietet mit seiner Anti-
Spam- und Anti-Malware-Lösung einen
Schutz, der mit Office 365 Advanced Threat
Protection auch eine Alternative zur selbst
gehosteten Lösung darstellt. (jp)
Link-Codes
[1] Einrichten des EOP-Diensts
j5z41
Sonderheft II/2019 149
Exchange 2019 MetaCache Database

Exchange 2019 MetaCache Database

Höhere

Quelle: Aleksandr Baidin – 123RF

Drehzahlen
von Christian Schulenburg

Eine der spektakulären Neuerungen in

Exchange 2019 ist die MetaCache Database,
die die Speicherstruktur des E-Mail-Servers
auf den Kopf stellt. Bisher setzte Exchange
ausschließlich auf langsame SATA-Festplat-
ten, nun sorgt ein Tiering mit SSDs als Basis
der MetaCache- Datenbanken für mehr
Dampf unter der Haube, wenn die Nutzer
auf ihre Nachrichten zugreifen.

S
eit Exchange 2007 reduziert Mi-
crosoft in jeder Version kontinu-
ierlich die IOPS. Einfache SATA-Fest-
platten wurden für Exchange in den
letzten Versionen als ausreichend dekla-
riert, doch mit Exchange 2019 hat sich
das Storage-Design geändert und Micro-
soft führte ein Tiering mit Solid State
Disks (SSDs) ein. Nachdem das Ex-
change-Team über Jahre rein auf Low-
Cost-Speicher gesetzt hatte, kam es hier
zu einer Strategieänderung. Die SSDs la-
gern bestimmte Daten, um die User Ex-
perience zum Beispiel bei der Anmel-
dung oder dem Datenabruf weiter zu
verbessern. Die neue Cache-Datenbank
hat den Namen "MetaCache Database"
(MCDB) und werkelt auf den schnellen
SSDs. Diese Datenbank enthält bis zu 10
Prozent der eigentlichen Postfachdaten.
Die Funktion richtet sich primär an grö-
ßere Umgebungen und so setzt sie Micro-
soft auch in Office 365 ein. Hier arbeiten
über 175.000 physische Server mit über
5,5 Milliarden Postfächern [1] und die An-
wendererfahrung ist dabei enorm wichtig.
Neben der MCDB trägt auch eine opti-
mierte Arbeitsspeichernutzung zur Per-
formanceverbesserung bei. Zusammen mit
MCDB soll die Mailboxanmeldung 50 Pro-
zent und der E-Mail-Zugriff zwei- bis drei-
mal schneller vonstattengehen. Auch sind
durch die Funktion bis zu 20 Prozent mehr
Nutzer auf einem Server möglich. Sogar
in kleineren Umgebungen kann sich somit
der Einsatz von MCDB lohnen, weil da-
durch weniger Server nötig sind.
Anleitungen zu MCDB sucht man im
Internet noch vergebens und auch valide
Benchmarks fehlen. Microsoft hat im
Mai 2019 einen Guide [2] veröffentlicht,
der aber einige Fragen aufwirft, die wir
im Folgenden klären. Auf jeden Fall soll-
ten Sie mit MCDB zunächst in einer
Testumgebung Erfahrungen sammeln,
bevor Sie es in einer produktiven Um-
gebung nutzen.
Voraussetzungen
des Speichersystems
Die Voraussetzungen für MCDB sind über-
schaubar und neben Exchange 2019 muss
eine Database Availability Group (DAG)
mit mindestens zwei Servern vorhanden
sein, die auf "Auto-Reseed" eingestellt ist.
Kontrollieren Sie die Einstellung mit
Get-DatabaseAvailabityGroup|fl
Name, Auto*

Bild 1: Das Einrichten der MetaCache Database erfolgt in der PowerShell über das Manage-MCDB-Cmdlet.
Anschließend finden sich die Pfade in den Eigenschaften der Datenbanken.

150 Sonderheft II/2019 www.it-administrator.de

Der Wert "AutoDagAutoReseedEnabled"
muss dabei auf "True" stehen. Werfen Sie
auch gleich einen Blick auf die Einträge
"AutoDagTotalNumberOfDatabases" und
"AutoDagTotalNumberOfServers", die
nicht auf Null stehen dürfen.
Ein entsprechendes Disk-Layout gehört
ebenfalls zu den Anforderungen. Dabei
sollte pro drei klassischen Festplatten eine
SSD eingesetzt werden, die über eine Ka-
pazität von 5 bis 10 Prozent der HDDs
verfügen sollte. Ein RAID ist für die SSDs
nicht erforderlich, da diese als Read-
Cache anzusehen sind. Bei Problemen
mit einer SSD erfolgt ein Failover zu ei-
nem anderen DAG-Knoten.
Die Festplatten sollten mindestens einen
"Drive Writes Per Day" (DWPD) von "1"
aufweisen. Dies bedeutet, wie häufig eine
Festspeicherplatte pro Tag in der Garan-
tiezeit mit ihrer vollen Kapazität über-
schrieben werden kann. Um die Festplat-
teneinschübe zu reduzieren, sind M.2-
SSDs favorisiert. Ein Disk-Layout nach
Microsoft Best Practises sieht zukünftig
wie folgt aus:
- Zwei HDDs für das Betriebssystem und
Exchange 2019
- Zwölf HDDs für Exchange-Datenban-
ken und -Logs
- Eine HDD als DAG AutoReseed Spare
Disk
- Vier SSDs für die MetaCache Database
Die MCDB-Pfade sind auf Datenbank-
ebene eingerichtet und lassen sich in den
Eigenschaften der Datenbank einsehen.
Die Pfade müssen auf allen DAG-Mit-
glieder identisch sein (Bild 1). Im Ver-
zeichnis "C:\ExchangeMCDBVolumes"
sind die aktuell genutzten SSD-Volumes
als Mountpoints zu sehen. Im Unterver-
zeichnis "ExchangeMetaCacheDbs" fin-
den Sie wiederum Mountpoints zu den
MCDBs der einzelnen Datenbanken.
Die Festplatte muss vom Media-Typ "SSD"
sein, was Sie mit Get-PhysicalDisk prüfen.
Der "PartitionStyle" muss auf "RAW" ste-
hen, was Sie mit Get-Disk kontrollieren.
Die SSD darf somit noch nicht partitio-
niert und formatiert sein. Mit dem Disk-
part-Befehl "Clean" setzen Sie eine Fest-
platte wieder zurück.
Link-Codes eingeben auf www.it-administrator.de
MCDB einrichten
Die Verwaltung der neuen Datenbank er-
folgt über den Befehl Manage-MCDB.
Dieser ist in den Standard-Exchange-
Cmdlets nicht enthalten und Sie müssen
ihn zunächst aus dem Skriptverzeichnis
Worüber
"C:\Program Files\Microsoft\Exchange\
V15\Scripts" (alternativ öffnen Sie den Administratoren
Pfad über die Variable "$ExScripts") über
den Aufruf MetaCacheDatabase.ps1 ein- morgen reden
binden. Sollte der Befehl nicht verfügbar
sein, nutzen Sie zu dessen Import
Import-Module "C:\Program Files\
Microsoft\Exchange Server\V15\
Scripts\Manage-MetaCache-Data-
base.ps1"
Sichern Sie sich den
E-Mail-Newsletter des
Mit dem Befehl und verschiedenen Pa-
rametern richten Sie nun die MCDB in IT-Administrator und
drei Schritten ein. Zunächst bereiten Sie
mit dem Attribut "ConfigureMCDBPre-
erhalten Sie Woche für
requisite" den Active-Directory-Status für Woche die
das DAG-Objekt vor. In größeren Um-
gebungen warten Sie, bis die Änderungen
zu allen Domaincontrollern repliziert
wurden. Bei der Ausführung müssen Sie > neuesten TIPPS & TRICKS
den DAG-Namen, die Speichergröße und
die Anzahl der SSDs je Server angeben:
> praktischsten TOOLS
Manage-MCDB -DagName Name der DAG
-ConfigureMCDBPrerequisite
> interessantesten WEBSITES
-SSDSizeInBytes 9663676416
-SSDCountPerServer 1 > unterhaltsamsten GOODIES
Die Speichergröße entspricht dabei nicht
der zur Verfügung stehen Festplattengrö-
ße, sondern dem zu nutzenden Speicher- sowie einmal im Monat
platz für die MCDBs.
die Vorschau auf die
Im nächsten Schritt aktivieren Sie die kommende Ausgabe des
MCDB-Beschleunigung für jeden Server.
Dies geschieht mit der Erweiterung "Ser- IT-Administrator!
verAllowMCDB" und muss für jeden Ser-
ver einzeln ausgeführt werden:
Manage-MCDB -DagName Name der DAG
-ServerAllowMCDB:$true
-ServerName "EX19"
Über "ServerAllowMCDB" können Sie
Jetzt einfach
MCDB auch wieder deaktivieren: anmelden unter:
Manage-MCDB -DagName Name der DAG
-ServerAllowMCDB:$false
-ServerName "EX19"
www.it-administrator.de/newsletter
Exchange 2019 MetaCache Database
Bild 2: Im letzten Schritt der MCDB-Einrichtung wird die SSD formatiert und über einen Mountpoint eingebunden.
Im dritten Schritt konfigurieren Sie die
Server. Dabei werden die unformatierten
SSDs erkannt, formatiert und die ent-
sprechenden Mountpoints eingerichtet.
Dazu nutzen Sie das Attribut "Confi-
gureMCDBOnServer":
Manage-MCDB -DagName Name der DAG
-ConfigureMCDBOnServer
-ServerName "EX19"
-SSDSizeInBytes 9663676416
Sollte Ihnen hier eine Fehlermeldung mit-
teilen, dass die definierten Festplatten
nicht zur Verfügung stehen, prüfen Sie
zunächst "Mediatyp" und "PartitionStyle",
wie in den Voraussetzungen beschrieben.
Hat alles geklappt, wird an dieser Stelle
die SSD-Festplatte mit NTFS und einer
Blockgröße von 64K formatiert. Außer-
dem legt das System den Mountpoint zur
Festplatte unter "C:\ExchangeMCDBVol-
umes" an. Den letzten Befehl nutzen Sie
ebenfalls, um eine defekte SSD auszutau-
schen und neu einzubinden.
Sind alle Schritte ausgeführt, wird der
MCDB-Status zunächst als "Storage Off-
line" markiert. Das bedeutet, dass die Um-
gebung vorbereitet ist, die Meta-Cache-
Datenbanken aber noch nicht angelegt
sind und die Beschleunigung nicht aktiv
ist. Das Aktivieren erreichen Sie erst durch
einen Failover der Postfachdatenbank, den
Sie über
Move-ActiveMailboxDatabase
152 Sonderheft II/2019
erwirken. Alternativ ist der Aufruf über
den Parameter "ForceFailover" mit dem
Manage-MCDB-Befehl möglich:
Manage-MCDB -DagName Name der DAG
-ServerName "EX19"
-ForceFailover:$true
Auf dem Exchange-Server wird nun die
Datenbank auf dem zusätzlichen Daten-
träger eingerichtet. Das Volume findet
sich als verknüpftes Volume unter Lauf-
werk "C:" im Verzeichnis "ExchangeMe-
taCacheDbs". Hier ist ein Ordner mit
dem Namen der Datenbank enthalten,
in dem sich die MCDB befindet. Ex-
change nutzt nun den zusätzlichen Ca-
che und verbessert damit die Anwen-
dererfahrung.
MCDB-Status prüfen
Den Status der MCDB prüfen Sie über
das Get-MailboxDatabaseCopyStatus-
Cmdlet, wobei Sie explizit die Meta-
CacheDatabase-Attribute abfragen:
Get-MailboxDatabaseCopyStatus|fl
Name, Meta*
Neben allgemeinen Informationen zum
Cache, wie den Pfad, erhalten Sie hierbei
auch den Status. Dieser kann folgende
Einstellungen aufweisen:
- Disabled: MCDB ist deaktiviert.
- StorageOffline: Die Basisinfrastruktur
fehlt oder ist nicht zugänglich, wie zum
Beispiel Mountpoints oder Dateipfade.
Link-Codes eingeben auf www.it-administrator.de
Dies ist der Zustand, in dem sich MCDB
nach einem SSD-Fehler befindet.
- Offline: Logischer Fehler, wie etwa eine
nicht vorhandene MCDB-Instanz.
- Initializing: Vorübergehender Zustand.
Das System bestimmt, in welchem an-
deren Zustand es sich befinden soll.
- Healthy: Bereit.
Fazit
MCDB hat das Potenzial, die Perfor-
mance Ihrer Exchange-Umgebung spür-
bar zu verbessern. Leider gibt es bisher
nur sehr wenige Anleitungen, was an-
gesichts der Verbreitung von Exchange
doch überrascht. In einer einfachen Um-
gebung lässt sich MCDB leicht einrich-
ten. Offen sind aber weiterhin Themen
wie zum Beispiel das Einbinden neuer
Datenbanken oder die Zuordnung der
HDDs zu den SSDs – beide Aspekte sind
nirgends beschrieben. Durch die nied-
rigen Preise für SSDs lässt sich aber mit
überschaubaren Kosten die Nutzerer-
fahrung deutlich verbessern. Hoffen wir,
dass Microsoft mehr Informationen zu
diesem Thema veröffentlicht und die
Funktion dann auch eine größere Ver-
breitung erfährt. (jp)
Link-Codes
[1] Accelerating Exchange 2019
with SSDs
j9z41
[2] MetaCache Database Setup
j9z42
 Über Office 365 senden Exchange 2019

E-Mail-Versand für Kopierer

und Anwendungen über Office 365

Quelle: NejroN – 123RF

Zusatzqualifikation
von Christian Schulenburg

Sind alle E-Mail-Dienste zu Office 365 ausgelagert, stellt

sich schnell die Frage, wie Scan-to-E-Mail am Kopierer
oder das Weiterleiten aus einer Fachanwendung funk-
tioniert. Wir zeigen Ihnen in diesem Beitrag die notwen-
digen Schritte, um Office 365 zu mehr als dem reinen
Senden über Outlook zu bewegen.

V
oraussetzung für das Senden über
Office 365 sind in der Firewall frei-
geschaltete ausgehende Ports für die Geräte
und Anwendungen. Zum Senden von E-
Mails über Office 365 steht sowohl die
SMTP-Clientübermittlung als auch die di-
rekte SMTP-Übermittlung ohne Authen-
tifizierung bereit (siehe Tabelle). Der ein-
fachste und von Microsoft empfohlene
Weg ist die Clientübermittlung mittels ei-
nes Office-365-Postfachbenutzers. Dieser
Benutzer wird am Gerät oder der Anwen-
dung zur Authentifizierung hinterlegt und
benötigt dabei eine feste Lizenz. Ein Res-
sourcenpostfach kann hier somit nicht
zum Einsatz kommen. Über diesen Weg
senden Sie E-Mails an Personen innerhalb
und außerhalb der Organisation. Die in
Office 365 eingehende E-Mail wird zu-
nächst als interne Nachricht angesehen
und es erfolgt keine Spamprüfung bei den
Empfängern. Der Versand kann von jedem
beliebigen Ort erfolgen. Es ist somit egal,
ob die E-Mails aus dem lokalen Netzwerk
oder von einem Hostinganbieter gesendet
werden – eine Überprüfung der IP-Adresse
findet nicht statt.
Zur Nutzung tragen Sie im Gerät als
SMTP-Server "smtp.office365.com" ein.
Die DNS-Auflösung des SMTP-Servers
muss dabei am Gerät möglich sein, denn
die Eingabe einer IP-Adresse zur Verbin-
dung mit Office 365 ist nicht möglich. Als
Port nutzen Sie 578 oder 25. TLS/StartTLS
muss aktiviert sein und als Benutzername
und Kennwort hinterlegen Sie die Anmeld-
einformationen des Benutzers. Wichtig ist,
dass TLS vom Gerät unterstützt wird, denn
SSL 3.0 darf nicht mehr verwendet werden.
Auch TLS 1.0 und TSL 1.1 werden nächs-
tes Jahr deaktiviert, weshalb TLS 1.2 zur
Anwendung kommen sollte [1]. Durch die
genutzte SMTP-Clientübermittlung sind
die Absender an die Grenzwerte von 30
Nachrichten pro Minute oder 10.000 Emp-
fängern pro Tag gebunden.
Direktes Senden einrichten
Sofern der erste Weg nicht in Betracht
kommt und Sie nur E-Mails an Postfächer
in Ihrem Unternehmen zustellen müssen,
können Sie E-Mails auch direkt an den
Office-365-mx-Record senden lassen. Da-
bei sind keine Anmeldeinformationen
nötig. Als SMTP-Server hinterlegen Sie
im Gerät den mx-Eintrag Ihrer Subskrip-

Übersicht der E-Mail-Weiterleitung an Office 365

Clientübermittlung Direktes Senden SMTP-Relay

Authentifizierung Office-365-Anwenderkonto Nicht nötig Über IP-Adresse oder Zertifikat

contoso- contoso-
Server smtp.office365.com
com.mail.protection.outlook.com com.mail.protection.outlook.com
Innerhalb und außerhalb Innerhalb und außerhalb
Empfänger Innerhalb der Organisation
der Organisation der Organisation

TLS erforderlich Ja Optional Optional

Anti- Keine Anti-SPAM-Prüfung bei internen

Anti-SPAM-Prüfung Anti-SPAM-Prüfung
Spam-Prüfung Empfängern.
10.000 Empfänger pro Tag beziehungs-
Beschränkungen Keine Keine
weise 30 Nachrichten pro Minute
Eigener Receive-Connector in Office 365
Bemerkung Keine Anpassung des SPF-Eintrags nötig
und Anpassung des SPF-Eintrags nötig

www.it-administrator.de Sonderheft II/2019 153

Exchange 2019 Über Office 365 senden
tion ein. Nachvollziehen können Sie den
Namen in den DNS-Einstellungen der Do-
mainkonfiguration in der Office-365-Ad-
ministration im Punkt "Domänen". Der
Eintrag entspricht Ihrer Domain, wobei
die Punkte durch Striche ersetzt und um
".mail.protection.outlook.com" ergänzt
werden. Der Name unserer Domain "schu-
lenburg.co" lautet somit "schulenburg-
co.mail.protection.outlook.com".
Als Port kommt wieder Port 25 zur An-
wendung und TLS sollte aktiviert sein,
dies ist aber optional. Als Absenderad-
resse nutzen Sie eine beliebige Adresse
einer in Office 365 akzeptierten Domäne.
Diese Adresse muss dabei keinem Benut-
zer zugeordnet sein, wir empfehlen eine
Adresse wie "do_not_reply@contoso.
com". Da die E-Mail von extern zugestellt
wird, erfolgt in Office 365 eine Absen-
derprüfung, weshalb Sie die öffentliche
IP-Adresse, von der die E-Mail kommt,
im SPF-Record ergänzen müssen. Den
SPF-Eintrag erweitern Sie einfach um den
IP4-Eintrag "v=spf1 ip4:Statische IP-
Adresse include:spf.protection.outlook.
com". Den Standardeintrag des SPF-Re-
cords finden Sie ebenfalls in den Domain-
einstellungen.
Das Senden an lokale Empfänger sollte
nun möglich sein und Sie können es testen.
Versuchen Sie so, E-Mails an unbekannte
Personen oder Personen außerhalb Ihrer
Umgebung zu senden, werden diese zu-
rückgewiesen. Das direkte Senden unter-
liegt dabei keinen Sendegrenzwerten und
Sie können auch mehr als 30 Nachrichten
pro Minute beziehungsweise an mehr als
10.000 Empfänger pro Tag senden.
Bild 2: Am Gerät muss der SMTP Server hinterlegt sein. Bei der direkten SMTP-Übermittlung wie hier
sind keine Credentials zur Authentifizierung nötig.
154 Sonderheft II/2019
Bild 1: Das Senden über einen Benutzer in Office 365 ist der schnellste
und empfohlene Weg, um E-Mails zu versenden.
Beachten Sie, dass jeder, der über die öf-
fentliche IP-Adresse surft auch E-Mails zu
Ihrem Office-365-Server weiterleiten kann.
Es erfolgt keine zusätzliche Autorisierung
und Sie sollten an Ihrer Firewall genau de-
finieren, wer Port 25 nutzen darf – nicht,
dass ein unbedarfter Client Massen an E-
Mails versendet und Sie auf einer Blacklist
landen. Die Antispam-Listen sollten Sie
dabei unbedingt im Blick behalten. Sollte
Ihre IP-Adresse hier auftauchen, wird ein
Senden zu Office 365 von Ihrer öffentlichen
IP-Adresse sehr schnell unterbunden. Ob
Sie auf einer Blacklist stehen, zeigt Ihnen
zum Beispiel [2].
Sollten Ihre ersten Sendeversuche Richtung
Office 365 mit dem Fehler "550 5.7.606-
649 Access denied, banned sending IP"
fehlschlagen, ist Ihre genutzte IP-Adresse
von Microsoft zunächst blockiert und Sie
müssen Sie unter [3] freischalten. Auf der
Seite geben Sie die freizugebene IP-Adresse
sowie eine administrative E-Mail-Adresse
an, die im Anschluss eine Freischaltungs-
E-Mail erhält.
Relayen ermöglichen
Möchten Sie auf ein Postfach verzichten
und auch E-Mails an externe Adressaten
senden, müssen Sie einen Schritt mehr
machen und das Relayen über Office 365
ermöglichen. Hierfür benötigen Sie einen
Empfangs-Connector in Office 365. Die-
ser nimmt die E-Mails von Ihrem Gerät
entgegen und hat die entsprechenden
Rechte, diese auch nach extern weiterzu-
leiten. Am Gerät kommen zunächst wie-
der die zuvor beschriebenen Verbindungs-
einstellungen zu Anwendung, wobei auch
der SPF-Eintrag gesetzt werden muss.
Nutzen Sie Port 25 und aktivieren Sie
nach Möglichkeit TLS/StartTLS. Als Ab-
senderadresse dient wieder eine beliebige
Adresse Ihrer Subskription.
Wechseln Sie nun in das Exchange Admin
Center von Exchange Online zum Punkt
"Nachrichtenfluss / Connectoren". Hier
richten Sie einen Connector für den Emp-
fang von E-Mails von der lokalen Umge-
bung ein. Der Empfangs-Connector ist
schnell eingerichtet. Starten Sie den Vor-
gang über das Pluszeichen und wählen Sie
im Bereich "Von" den Eintrag "E-Mail-Ser-
www.it-administrator.de

ver Ihrer Organisation" und bei "An" "Of-
fice 365". Geben Sie dem neuen Connector
einen Namen und tragen Sie die externe
IP-Adresse der sendenden Geräte ein. Al-
ternativ können Sie auch eine Domain hin-
terlegen, sodass eine Authentifizierung über
das Zertifikat erfolgt. Ist der neue Con-
nector gespeichert, steht Office 365 auf
Empfang und leitet über den Connector
eingehende E-Mails nach extern weiter.
Ausnahmefälle behandeln
Unterstützt die Anwendung oder der
Drucker nur SSL 3.0, ist eine direkte
Übermittlung nicht möglich. Auch wenn
kein direkter Internetzugang verfügbar
ist, müssen Sie einen kleinen Umweg ge-
hen und einen lokalen SMTP-Relay-Ser-
ver einrichten. Dieser dient als zentraler
Knoten zum Weiterleiten an Office 365.
Bei dem Server muss es sich nicht um Ex-
change handeln, denn es reicht die Rolle
des SMTP-Servers auf einem Windows-
IS zu aktivieren.
Installieren Sie zunächst über den Server-
Manager auf einem Windows-Server die
Rolle "Webserver (IIS)". Ist das geschehen,
spielen Sie im Anschluss das Feature
"SMTP-Server" auf dem gleichen Server
ein. Nun öffnen Sie über das Startmenü
oder den Server-Manager unter "Tools"
die Konsole "Internet Informationsdienste
(IIS) 6.0". Erweitern Sie den aktuellen Ser-
ver und klicken Sie mit der rechten Maus-
taste auf den virtuellen SMTP-Server. Wäh-
len Sie im Folgenden die Eigenschaften
aus und fügen Sie unter der Registerkarte
Bild 4: Können Geräte nicht direkt an Office 365 senden, bietet ein lokaler Windows-SMTP-Server
die Möglichkeit, E-Mails intern zu Office 365 zu relayen.
Link-Codes eingeben auf www.it-administrator.de
Über Office 365 senden
Bild 3: Soll kein Postfachnutzer verwendet und auch E-Mails an extern gesendet werden,
ist in Office 365 ein zusätzlicher Empfang-Cconnector notwendig.
"Allgemein" zunächst die IP-Adresse des
lokalen SMTP-Servers, auf der der Server
E-Mails annehmen soll, und den Port hin-
zu. Als Port nutzen Sie im Standard wieder
Port 25. In der Registerkarte "Zugriff "
wählen Sie in der Zugriffssteuerung den
"Anonymen Zugriff für die lokalen Clients"
aus. Tragen Sie ebenfalls auf der Register-
karte in den Computerlisten die Geräte
ein, die an den Server senden und weiter-
leiten dürfen. Mit diesen Einstellungen ha-
ben Sie nun definiert, wie E-Mails zum lo-
kalen Server gelangen.
Im nächsten Schritt richten Sie den Ver-
sand zu Office 365 ein. Wählen Sie in der
Registerkarte "Zustellung" bei der ausge-
henden Sicherheit zunächst den "Anony-
Exchange 2019
men Zugriff " aus und aktivieren Sie TLS.
In den "Erweiterten Übermittlungsein-
stellungen" hinterlegen Sie nun den mx-
Eintrag Ihrer Subskription als Smarthost,
etwa "contoso-com.mail.protection.out-
look.com". Das genaue Vorgehen zum
Einrichten eines lokalen SMTP-Servers
über einen Windows-Webserver zeigt [4].
Nun müssen Sie noch an den Geräten den
lokalen SMTP-Server hinterlegen. Ist das
geschehen, ist alles bereit und E-Mails
von den Geräten werden über den lokalen
SMTP-Server an Office 365 weitergeleitet.
Fazit
Es gibt verschiedene Wege, um E-Mails
von lokalen Geräten oder Anwendungen
an Office 365 weiterzuleiten. Mit den be-
schriebenen Technologien sind Sie in der
Lage, auch ohne lokalen Exchange-Server
E-Mails weiterzuleiten. So können die Kol-
legen dann auch komfortable Scans per E-
Mail senden und werden den lokalen E-
Mail-Server nicht missen. (jp)
Link-Codes
[1] Preparing for TLS 1.2 in Office 365
js2x1
[2] Blacklist-Check
js2x2
[3] Office 365 Anti-Spam IP Delist Portal
js2x3
[4] Konfigurieren von IIS
für Relay mit Office 365
js2x4
Sonderheft II/2019 155

Sicherheit im E-Mail-Verkehr
Genau geprüft
von Christian Schulenburg
Neben den verschiedenen Möglichkeiten im Bereich Anti-
Spam und Anti-Malware gilt es auch, die eigene E-Mail-Do-
mäne abzusichern. Dieser Workshop bringt Ihnen die Aspek-
te der Absenderreputation über SPF, DKIM und DMAC näher,
um so Phishern das Leben schwer zu machen.
K
ein Unternehmen möchte, dass
von seiner E-Mail-Domäne aus
bösartige E-Mails versendet werden, doch
ausschließen können Administratoren
entsprechende Versuche von Angreifern
nicht. Verfahren in Sachen Sender- und
Empfängerreputation gibt es seit Jahren,
doch ist die Durchdringung in Firmen
nicht sehr hoch. Durch die immer neuen
und intelligenteren Bedrohungen, die in
vielen Fällen per E-Mail ihren Weg in die
Unternehmen finden, gilt es hier aufzu-
klären. Mit verhältnismäßig geringen Mit-
teln lässt sich eine wesentlich höhere Si-
cherheit erreichen.
Dabei gilt es vor allem festzustellen, ob
eine E-Mail von dem Absender stammt,
von dem sie zu kommen scheint. Darüber
hinaus gilt es herauszufinden, ob der sen-
dende Server auch berechtigt ist, von die-
ser Domäne zu senden. Möglich wird das
durch spezielle Methoden der Absende-
ridentifizierung, die zu Standardinstru-
menten der E-Mail-Sicherheit gehören:
SPF, DKIM und DMARC. Mit DANE
kommt noch eine Möglichkeit zur Vali-
dierung des Empfängers hinzu.
Bei allen Verfahren veröffentlichen Sie
Informationen, die externen Kommuni-
kationspartnern zur Verfügung gestellt
werden. Auf diesem Weg kann zum ei-
nen Ihr Partner zweifelsfrei feststellen,
ob eine E-Mail tatsächlich von Ihnen
kommt und zum anderen steigt Ihre ei-
gene Reputation.
156 Sonderheft II/2019
Während SPF, DKIM und DMARC schnell
einzurichten sind, ist die Voraussetzung
von DNS-based Authentication of Named
Entities (DANE) wesentlich umfangreicher.
DANE verknüpft das Zertifikat mit dem
Domänenamen. Der Grundschutz mittels
einer Transportverschlüsselung (TLS) ver-
hindert nur das Mithören und mit DANE
wird dieser um eine sichere Identifizie-
rungsfunktion erweitert. DANE benötigt
zwingend DNSSEC und die zusätzlichen
Informationen werden im DNS über einen
TLSA-Record veröffentlicht. Aufgrund der
schnellen Einrichtung konzentrieren wir
uns im folgenden Artikel auf die Verfahren
SPF, DKIM und DMARC.
SPF ist der Anfang
Das Sender Policy Framework (SPF) ist
eine einfache Methode, um gefälschte Ab-
sender zur identifizieren und zu blockie-
ren. SPF geht von der Annahme aus, dass
alle E-Mails einer Senderdomäne von au-
torisierten Mailservern versendet werden.
Um die Mailserver zu autorisieren, wird
in der DNS-Zone ein TXT-Record als
SPF-Eintrag hinterlegt. In diesem Eintrag
sind IP-Einträge, A-Records oder MX-
Records gespeichert, über die der Versand
erfolgt. In folgendem Beispiel darf somit
nur der Server von der angegebenen IP-
Adresse autorisiert E-Mails versenden:
v=spf1 ip4: 194.59.16.20 -all
Der empfangende Mailserver kann nun
im DNS prüfen, ob der sendende Server
Quelle: alphaspirit – 123RF
berechtigt ist, E-Mails zu versenden. Da-
bei werden bei jedem Verbindungsaufbau
die Domänenangaben des Sendeservers
ausgelesen und zusammen mit der Ab-
senderadresse verifiziert. Server, für die
es keinen Eintrag gibt, sind nicht auto-
risiert, im Namen der angegebenen Ab-
senderdomäne Nachrichten zu versen-
den. Wie der Empfangsserver mit dem
Fehler umgehen soll, beschreiben wir im
Laufe des Workshops unter dem Punkt
DMARC ausführlicher.
Im DNS-Eintrag wird auch eine Anwei-
sung für empfangende Server hinterlegt,
die festlegt, wie diese verfahren sollen,
wenn E-Mails von unautorisierten Ser-
vern eintreffen. Dabei stehen "Hard Fail
(-all)", "Soft Fail (~all)" und "Neutral
(?all)" zur Auswahl. Bei einem Hard Fail
sollen E-Mails direkt abgelehnt werden,
während bei einem Soft Fail noch andere
Kriterien zur Bewertung herangezogen
werden. Neutral weist den Empfangs-
server an, E-Mails ebenfalls anzuneh-
men, was die SPF-Funktion mit dieser
Einstellung aushebelt. Bei SPF ist zudem
darauf zu achten, dass E-Mails oft von
verschiedenen Servern gesendet werden,
wie zum Beispiel Massenmailern oder
der eigenen Homepage, die Sie ebenfalls
autorisieren müssen.
Die aktuelle Einstellung Ihrer Domäne
prüfen Sie am besten mit einem der vielen
Onlinetools, wie auf der Webseite von
Mx-Toolbox [1] (Bild 1). an gleicher Stelle
www.it-administrator.de
 S i c h e r h e i t i m E - M a i l - Ve r k e h r Exchange 2019

einem privaten und einen öffentlicher

Schlüssel. Nutzen Sie Exchange Online,
übernimmt diesen Teil Microsoft für Sie
und Sie müssen nur die DNS-Einträge
veröffentlichen und DKIM aktivieren.

Erstellen Sie im DNS zunächst zwei "cna-

me Selector"-Einträge. Der Name des
Eintrags lautet "Keyselector" und auf die-
sen wird im Header einer E-Mail hinge-
wiesen, sodass der richtige Schlüssel ge-
funden wird. Das Ziel des Eintrags ist
dynamisch auf Ihre Subskription bezo-
gen und beinhalten einen Hinweis zur
E-Mail-Domäne als auch die Initialdo-
mäne bei Microsoft:
Bild 1: Auf mxtoolbox.com prüfen Sie alle sicherheitsrelevanten Einträge Ihrer E-Mail-Domäne,
hier am Beispiel von SPF. Host name: selector1._domainkey
Value: selector1-domainGUID._domain-
finden Sie auch gleich einen SPF Wizard, SMTP-Kommunikation sowie die Adresse key.initialDomain
der Sie bei der Erstellung eines korrekten aus dem Nachrichtenkopf geprüft. Gän-
Eintrags unterstützt. gige E-Mail-Programme zeigen lediglich Eine genaue Beschreibung zu den DNS-
die "Body from"-Adresse einer E-Mail an Einträgen finden Sie unter [2]. Prüfen
Sofern Sie Office 365 nutzen, wird Ihnen und Empfänger lassen sich so leicht täu- können Sie den Eintrag im Anschluss
bei der Domänenkonfiguration automa- schen. Diesen Umstand machen sich bei- wieder mit MxToolbox unter [3]. Sind die
tisch ein SPF-Eintrag angezeigt. Dieser spielsweise Angreifer zunutze, die einem DNS-Einträge gesetzt, aktivieren Sie im
muss gegebenenfalls noch um zusätzliche Unternehmen mit der Chef-Betrugsma- Anschluss DKIM über das Exchange Ad-
Server ergänzt werden, falls Sie nicht aus- sche, die häufig auch CEO-Fraud bezeich- ministration Center unter dem Punkt
schließlich über Office 365 senden. net wird, angreifen. "Schutz / dkim" für die entsprechende
Domäne. Die Einrichtung ist in Exchange
DKIM stellt Um DKIM zu nutzen, benötigen Sie zu- Online somit sehr einfach möglich und
Authentizität her nächst ein Schlüsselpaar bestehend aus es ist bereits fast alles vorbereitet.
DKIM (DomainKeys Identified Mail) ist
ein Verfahren, um die Authentizität einer
E-Mail festzustellen. Dabei werden vom
sendenden Server die Prüfsummen des
Bodys und des Headers erzeugt und im
Header einer E-Mail mit einem privaten
Schlüssel abgelegt. Der empfangende
Server berechnet die Prüfsummen eben-
falls und vergleicht diese mit dem Ein-
trag. Hierfür nutzt er den öffentlichen
Schlüssel, um sicherzustellen, dass der
Header-Eintrag von einem gültigen Ser-
ver erstellt wurde. Sind die Werte iden-
tisch, gilt die E-Mail als unverfälscht und
sie kann zugestellt werden. Wird die
Nachricht nach dem Absenden verän-
dert, ist die Signatur nicht stimmig und
die Manipulation wird ersichtlich.

Im Unterschied zu SPF kommt bei DKIM

im Übrigen die Absenderdomäne aus
dem "Body from" der E-Mail zum Tragen.
Nutzen Sie sowohl SPF als auch DKIM, Bild 2: Office 365 zeigt Ihnen bei der Einrichtung einer Domäne den empfohlenen TXT-Eintrag an.
werden die Umschlagsadresse aus der Aufpassen müssen Sie nur, wenn auch von anderer Stelle versendet wird.

www.it-administrator.de Sonderheft II/2019 157

Exchange 2019 S i c h e r h e i t i m E - M a i l - Ve r k e h r

In einer lokalen Exchange-Umgebung
müssen Sie ein paar Schritte mehr gehen.
Zu beachten ist, dass Exchange selbst kein
DKIM unterstützt und die Header-Ergän-
zung durch Zusatzsoftware oder eigene
Appliances erfolgt. Oft ist diese Funktion
in den E-Mail-Sicherheitslösungen der
verschiedenen Anbieter integriert.
Zur Einrichtung von DKIM erstellen Sie
zunächst ein Schlüsselpaar. Am Schnells-
ten geht das mit dem Programm Open-
SSL [4]. Die Anwendung installiert sich
in das Programmverzeichnis, von dem
Sie es über die Kommandozeile die
openssl.exe mit entsprechenden Parame-
tern aufrufen. Einen privaten Schlüssel
erstellen Sie mit
openssl.exe genrsa -out DKIM_Priva-
te_Key_2019.key 2048
Der öffentliche Schlüssel wird im An-
schluss mit dem privaten Schlüssel er-
zeugt, sodass eine Schlüsselpaar vorliegt:
openssl.exe rsa -in
DKIM_Private_Key_2019.key -out
DKIM_Public_Key.public -pubout
-outform PEM
Die beiden Dateien liegen nun im "Bin"-
Verzeichnis unterhalb des OpenSSL-In-
stallationsverzeichnisses. Damit der öf-
fentliche Schlüssel im DNS hinterlegt
werden kann, entfernen Sie die Zeilen-
umbrüche sowie die erste und die letzte
Zeile mit "—–BEGIN PUBLIC KEY—–"
und "—–END PUBLIC KEY—–". Der
Schlüssel wird im Anschluss im DNS als
TXT-Eintrag zusammen mit der DKIM-
Version (v=DKIM1) und dem Schlüssel-
typ (k=rsa) veröffentlicht. Der Name des
Eintrags entspricht wieder dem Keyse-
lector, auf den im Header einer E-Mail ver-
wiesen wird, sodass der korrekte Schlüssel
für den empfangenen Server verfügbar ist.
E-Mail an die folgende Adresse "check-
auth@verifier.port25.com". Als Antwort
auf Ihre E-Mail erhalten Sie einen aus-
führlichen Report mit einem Hinweise
zur Nutzung von DKIM.
Umgang mit Missbrauch
über DMARC-Regeln
Die Funktion "Domain-based Message
Authentication, Reporting and Confor-
mance" (DMARC) ist kein eigenständiges
Sicherheitsfeature, sondern baut auf SPF
und DKIM auf. SPF und DKIM geben
nämlich keinen Aufschluss darüber, wie
mit einer fehlgeschlagenen Prüfung weiter
umgegangen werden soll. Diese Lücke
schließt DMARC.
Das Verfahren hilft, die eigene Domäne
gegen Missbrauch zu schützen, indem ver-
öffentlicht wird, wie der Empfänger einer
E-Mail den Domäneninhaber bei Miss-
brauch informieren soll. Mit DKIM findet
also keine zusätzliche Prüfung über SPF
und DKIM hinaus statt, sondern es defi-
niert Statusmeldungen und Zusammen-
fassungen. Dabei zeigt sich, dass Domänen
mit DMARC-Einstellungen seltener Opfer
von Phishing-Angriffen werden.
Voraussetzung für DMARC ist, dass SPF
als auch DKIM eingerichtet sind. Zur
Nutzung von DMARC wird wieder ein
TXT-Eintrag im DNS veröffentlich. Die-
ser enthält die DMARC-Einstellungen
mit den folgenden Möglichkeiten:
- v: Kennzeichnet die aktuelle Version 1.
- p: Definiert, wie der Empfänger mit E-
Mails umgehen soll, die nicht korrekt
mit SPF oder DKIM überprüft werden
konnten. Zur Wahl stehen "none", "qua-
rantine" und "reject".
- pct: Beschreibt den Prozentsatz der E-
Mails, die von "p" gefiltert werden.
- rua: An diese Adresse wird ein Sum-
menbericht gesendet, was in der Regel
einmal täglich erfolgt.
- ruf: An diese Adresse sendet der Emp-
fänger einen forensischen Report über
die fehlerhafte E-Mail.
- adkim: Hier definieren Sie, wie restrik-
tiv die DKIM-Prüfung vorgeht. Bei "s"
(=Strict) muss die Domäne genau über-
einstimmen, während bei "r" (Relaxed)
auch Subdomänen gestattet sind.
- aspf: Hier definieren Sie, wie restriktiv
die SPF-Prüfung ist, vergleichbar zu
adkim.
In folgendem Beispiel wird nur eine Zu-
sammenfassung gesendet und der Emp-
fänger soll dabei E-Mails zunächst weiter-
hin, unabhängig vom Testergebnis, weiter
annehmen:

Den Eintrag prüfen Sie mit dem bereits

erwähnten Tool auf der MxToolbox-Seite.
Im nächsten Schritt hinterlegen Sie den
privaten Schlüssel in Ihrer Security-Lö-
sung und konfigurieren DKIM, damit bei
ausgehenden E-Mails der Hash gebildet
wird. Um nun die Header-Erweiterung
einer E-Mail zu testen, senden Sie eine Bild 3: MxToolbox hält auch für die DMARC-Prüfung alles bereit.

158 Sonderheft II/2019 Link-Codes eingeben auf www.it-administrator.de

 S i c h e r h e i t i m E - M a i l - Ve r k e h r Exchange 2019

v=DMARC1; p=none; rua=mailto:chris- um sich mit den Meldungen in Ruhe zu
tian@schulenburg.co; adkim=r; beschäftigen. Damit Sie den Eintrag nicht
aspf=r; pct=100; sp=none manuell erstellen müssen, gibt es wieder
einige Wizards, die Sie dabei unterstützen
Gerade für die ersten Schritt mit DMARC [5]. Die Einstellungen testen Sie ebenfalls
wählen Sie zunächst die Aktion "p=none", mit der MxToolbox und dem entspre-
chenden Tool [6].
Link-Codes
Die definierten Reporte kommen klassi-
[1] MxToolbox scherweise in einzelnen E-Mails mit einer
js2y1 XML-Anlage. Die Auswertung kann unter
[2] DKIM zum Überprüfen von E-Mails Umständen etwas Zeit in Anspruch neh-
js2y2 men. Hier haben sich einige Anbieter
[3] Eintrag mit MxToolbox prüfen dem Thema angenommen und die Be-
js2y3 richte lassen sich an diese direkt senden
oder einfach weiterleiten. Die Anbieter
[4] OpenSSL
bereiten die Daten entsprechend auf und
js2y4
Sie bekommen schnell einen guten Über-
[5] DMARC Deployment Tools blick. An dieser Stelle sei exemplarisch
js2y5
auf den kostenlosen Service von Postmark
[6] DMARC-Tool auf MxToolbox [7] verwiesen.
js2y6
[7] Postmark Wie bereits erwähnt, stellen Sie durch die
js2y7 Kombination sicher, dass die Envelope-
[8] DMARC und die DSGVO Sender-Adresse mit der "Body from"-
js2y8 Adresse einer E-Mail übereinstimmt. Zu
beachten ist, dass DMARC über das Re-
porting gegebenenfalls auch vertrauliche
Daten weitergibt, weshalb nicht alle Funk-
tionen mit der EU-Datenschutz-Grund-
verordnung vereinbar sind. So sind ag-
gregierte Reports (rua) bezogen auf ihre
Versand-IP bedenklich, während Failure
Reports (ruf) eine Vielzahl personenbe-
zogener Daten enthält und von der Nut-
zung abzuraten ist. Eine Empfehlung zur
Vereinbarkeit von DMARC mit der EU-
Datenschutz-Grundverordnung wurde
von der eco-Kompetenzgruppe E-Mail
unter [8] veröffentlicht.
Fazit
Phishing- und Virenmails sehen zuneh-
mend täuschend echt aus und lassen sich
von Mitarbeiter nur noch schwer von
seriösen E-Mails unterschieden. Mit den
vorgestellten Funktionen SPF, DKIM
und DMAC können Sie Ihre Domäne
sehr gut absichern. Vergessen Sie aber
nicht, auch selber diese Funktionen zu
nutzen, wenn Sie E-Mails annehmen. Je
mehr die Funktionen Sie einsetzen, desto
besser lassen sich SPAM und Co. früh-
zeitig aussortieren. (dr)

Praxis-Know-how für Admins:

Das IT-Administrator Sonderheft I/2019

Erfahren Sie auf 180 Seiten

alles rund um das Thema:

Virtualisierung
Infrastrukturen mit vSphere, Hyper-V
und Open Source planen und umsetzen

Bestellen Sie jetzt zum Abonnenten-

Vorzugspreis* von nur 24,90 Euro!

Abo- und Leserservice

* IT-Administrator Abonnenten erhalten das Sonderheft I/2019 für € 24,90. Nichtabonnenten zahlen € 29,90.
IT-Administrator Alle Preise verstehen sich inklusive Versandkosten und Mehrwertsteuer.
vertriebsunion meynen Tel: 06123/9238-251
Herr Stephan Orgel
D-65341 Eltville
Fax: 06123/9238-252
leserservice@it-administrator.de shop.heinemann-verlag.de
Exchange 2019 TLS 1.2 mit Exchange nutzen

TLS 1.2 mit Exchange nutzen

Sicherer Transport
von Christian Schulenburg

Seit dem 31. Oktober 2018 nimmt

Office 365 nur noch Verbindungen von
Exchange-Servern über TLS in der Version
1.2 an. Alle anderen Versionen und
Verschlüsselungsprotokolle werden nicht
mehr unterstützt. Doch auch ohne
Nutzung von Microsofts Cloudangebot
bringt es ein Plus an Sicherheit, Exchange-

Quelle: andreacrisante – 123RF

Server für TLS 1.2 vorzubereiten. Denn
neben möglichen Einschränkungen in der
Kommunikation ist auch die Absicherung
der eigenen Umgebung ein wichtiger
Aspekt für den Umstieg auf TLS 1.2.

T
LS steht für "Transport Layer Secu-
rity" und ist ein Protokoll zur siche-
ren Übertragung von Daten über das In-
ternet. TLS ist unter seinem alten Namen
SSL weitläufiger bekannt. SSL 3.0 war dabei
die letzte Version unter diesem Namen und
wurde beginnend mit der Version TLS 1.0
weiterentwickelt. TLS kommt dabei nicht
nur beim Zugriff auf Webseiten über
HTTPS zur Anwendung, sondern auch zur
Absicherung bei anderen Protokollen wie
LDAP, SIP, IMAP, POP3 oder SMTP.
TLS 1.0 wurde 1999 veröffentlicht und TLS
1.2 ist bereits 2008 erschienen. Aufgrund
dieser langen Verfügbarkeit unterstützen
es bereits nahezu alle Anwendungen. Es
kommen aber weiterhin verschiedenste
Protokollversionen zum Einsatz, die oft
weniger sicher sind. Dies hat sich unter an-
derem die Sicherheitslücke "Poodle" zu
Nutze gemacht, sodass ein Fallback auf SSL
3.0 erfolgte und die Verschlüsselung ange-
griffen werden konnte. Die darauf folgende
Empfehlung war, SSL 3.0 zu verbieten [1].
Für mehr Sicherheit in dem Verfahren
gehen große Firmen hier voran und Mi-
crosoft hat bei Office 365 bereits 2014
SSL 3.0 deaktiviert. Zum 31. Oktober
2018 wurden nun auch TLS 1.0 und TLS
1.1 abgeschaltet, sodass Office 365 nur ist nach der Installation als einziges aktiv,
noch die Kommunikation über TLS 1.2 sodass Sie hier keine Anpassungen vorneh-
ermöglicht [2]. Aus diesem Grund sollten men müssen. Achten Sie hierbei vor allem
Sie sicherstellen, dass Ihre lokale Ex- auf die Clients. Setzen Sie noch Windows-
change-Installation ebenfalls über TLS 7-Clients ein, werden diese zunächst keine
1.2 kommunizieren kann und dies nicht Verbindung zu Exchange 2019 aufnehmen
deaktiviert ist. Unser Workshop betrachtet können, da TLS 1.2 in Windows 7 stan-
nur Exchange-Versionen ab Exchange dardmäßg nicht aktiviert ist [3].
2010, denn ältere Versionen befinden sich
nicht mehr im Support und werden von Vorraussetzungen für TLS 1.2
Microsoft nicht weiterentwickelt. Viele Teile der Verschlüsselung waren in
Exchange hart codiert, doch wurden diese
Setzen Sie bereits Exchange 2019 ein, müs- nach und nach ausgetauscht, sodass zur
sen Sie nicht tätig werden, denn TLS 1.2 Verschlüsselung die Funktion der darun-
Exchange-Voraussetzung zur Nutzung von TLS 1.2
Exchange-Version Voraussetzung
- TLS 1.2 wird als einziges Protokoll direkt nach der Installation
Exchange 2019
unterstützt.
- Cumulative Update (CU) 8 für die Nutzung von TLS 1.2 und
Exchange 2016 CU9, sofern TLS 1.0 und TLS 1.1 deaktiviert werden sollen.
- Aktuellste .NET-Version und relevante Patches (aktuell 4.7.1).
- Cumulative Update 19 für die Nutzung von TLS 1.2 und CU20,
Exchange Server 2013
sofern TLS 1.0 und TLS 1.1 deaktiviert werden sollen.
- Aktuellste .NET-Version und relevante Patches (aktuell 4.7.1).
- SP3 Rollup (RU) 19 für die Nutzung von TLS 1.2 und RU20,
Exchange Server 2010
sofern TLS 1.0 und TLS 1.1 deaktiviert werden sollen.
- Aktuellste .NET-Version und relevante Patches (aktuell 3.5.1).
Exchange Server älter - Diese Produkte sind aus dem Support und eine Unterstützung
als Exchange 2010 ist nicht mehr gegeben.

160 Sonderheft II/2019 www.it-administrator.de


terliegenden Windows-Schicht genutzt
wird. Auch änderten sich oft Exchange-
Konfigurationen nach einem Update und
führten gerne dazu, dass eigene Einstel-
lungen nach einer Aktualisierung zurück-
gesetzt wurden. Dieses Verhalten galt
auch für die Verschlüsselung, was das Ex-
change-Team jedoch mittlerweile geän-
dert hat, sodass die Einstellungen nicht
mehr zurückgesetzt werden.
Anders verhält es sich bei einer Neuin-
stallation von Exchange oder der Repa-
ratur mit /M:RecoverServer. In diesen bei-
den Fällen übernimmt der Mailserver die
Standardeinstellungen. Sollten Sie eigene
Standardeinstellungen haben, müssen Sie
diese nach der ersten Installation von Ex-
change erneut ausrollen. Die Vorausset-
zungen zum Aktivieren von TLS 1.2
müssen Sie nach Exchange und dem in-
stallieren Betriebssystem getrennt be-
trachten. Eine Übersicht der Bedingun-
gen finden Sie für Exchange in und für
in den gleichnamigen Tabellen.
TLS 1.2 aktivieren
Da Exchange bei eingehenden Verbin-
dungen meist als Server und bei ausge-
henden Verbindung als Client fungiert,
unterscheiden wir zwischen Server- und
Clienteinstellungen. Als Client agiert Ex-
change zum Beispiel beim Senden einer
E-Mail zu einem anderen Server, während
es bei eingehenden Clientverbindungen
selbst als Server arbeitet.
Das Aktivieren oder Deaktivieren ist stark
vom Betriebssystem abhängig und erfolgt
über die Registry, wobei jede TLS-Version
gezielt aktiviert und deaktiviert werden
kann. Die Pfade sind auf allen Betriebs-
systemen identisch. Aktivieren Sie zu-
nächst TLS 1.2 für den SChannel (Secure
Channel) über folgende Registry-Werte
unter den aufgeführten Schlüsseln:
- HKEY_LOCAL_MACHINE \ SYSTEM \
CurrentControlSet \ Control \ SecurityP-
roviders \ SCHANNEL \ Protocols \ TLS
1.2 \ Client: DisabledByDefault DWORD
= 0; Enabled DWORD = 1
-HKEY_LOCAL_MACHINE \ SYSTEM \
CurrentControlSet \ Control \ SecurityP-
roviders \ SCHANNEL \ Protocols \ TLS
1.2 \ Server: DisabledByDefault DWORD
= 0; Enabled DWORD = 1
www.it-administrator.de
TLS 1.2 mit Exchange nutzen Exchange 2019
Windows-Voraussetzung zur Nutzung von TLS 1.2
Version Voraussetzung
- TLS 1.2 ist das Standard-Sicherheitsprotokoll und ist als
Windows Server 2019
einziges aktiviert
- TLS 1.2 ist das Standard-Sicherheitsprotokoll für Secure Chan-
nel und wird von WinHTTP verwendet.
Windows Server 2016 - Stellen Sie sicher, dass Sie das neueste monatliche Qualitäts-
Update zusammen mit allen anderen angebotenen Windows-
Updates installiert haben.
- TLS 1.2 ist das Standard-Sicherheitsprotokoll für Secure
Channel und wird von WinHTTP verwendet.
- Stellen Sie sicher, dass Ihr Server bei den Windows-Updates
Windows Server 2012 R2
auf dem neuesten Stand ist. Dies sollte das Sicherheitsupdate
KB3161949 für die aktuelle Version von WinHTTP enthalten.
- Wenn Sie sich SHA512-Zertifikate nutzen, muss auch das
Update KB2973337 installiert sein.
- TLS 1.2 ist das Standard-Sicherheitsprotokoll für Secure
Channel.
- Stellen Sie sicher, dass Ihr Server bei den Windows-Updates
auf dem neuesten Stand ist. Dies sollte das Sicherheitsupdate
Windows Server 2012
KB3161949 für die aktuelle Version von WinHTTP enthalten.
- Wenn Sie sich SHA512-Zertifikate nutzen, muss auch das
Update KB2973337 installiert sein.
- Bei Exchange 2010: Installieren Sie das Update KB3154519
für .NET Framework 3.5.1.
- TLS 1.2 wird vom Betriebssystem unterstützt, ist aber standard-
mäßig deaktiviert.
- Stellen Sie sicher, dass Ihr Server auf dem neuesten Stand ist.
Dies sollte neben dem Update KB3080079 auch das Sicher-
heitsupdate KB3161949 für die aktuelle Version von WinHTTP
Windows Server 2008 R2 enthalten.
SP1 - Das Update KB3080079 sollte auch auf allen Windows-7-
Rechnern, von denen Sie eine Verbindung über Remote Destop
herstellen möchten, eingespielt werden.
- Wenn Sie SHA512-Zertifikate nutzen, muss auch das
Update KB2973337 installiert sein.
- Bei Exchange 2010: Installieren Sie das Update KB3154518 für
.NET Framework 3.5.1.
- TLS 1.2 wird standardmäßig nicht unterstützt.
- Stellen Sie sicher, dass Ihr Server auf dem neuesten Stand ist.
Dies sollte das Update KB4019276 enthalten. Dieses Update
fügt die TLS-1.2-Fähigkeit als sicheres Standardprotokoll für
Secure Channel hinzu. Weiterhin sollte das Sicherheitsupdate
Windows Server 2008 SP2
KB3161949 für die aktuelle Version von WinHTTP in dieser
Konstellation installiert sein.
- Wenn Sie SHA512-Zertifikate nutzen, muss auch das
Update KB2973337 installiert sein.
- Bei Exchange 2010: Installieren Sie 3154517 für .NET
Framework 3.5.1.
Über "DWORD Enabled" definieren Sie, sprochen wird, steht DisabledByDefault
ob das Protokoll genutzt werden kann. auf "0" wird es zur Nutzung angeboten.
Steht der Wert auf "0" lässt sich TLS 1.2 in
keiner Situation einsetzen. Der Wert "Dis- Für Exchange 2010 und das .NET-Fra-
abledByDefault" kommt zum Tragen, mework 3.5 müssen Sie darüber hinaus
wenn das Protokoll nicht direkt angespro- folgende Werte konfigurieren:
chen wird und es über die Standardliste - HKEY_LOCAL_MACHINE \ SOFT-
der verfügbaren Protokolle zur Verfügung WARE \ Microsoft \ .NETFramework \
steht. Stehen beide Werte auf "1" kann TLS v2.0.50727: SystemDefaultTlsVersions
nur genutzt werden, wenn es direkt ange- DWORD = 1
Sonderheft II/2019 161
Exchange 2019 TLS 1.2 mit Exchange nutzen
Bild 1: Mit dem kostenlosen IIS Crypto setzen Sie die TLS-Einstellungen etwas schneller als über regedit.
- HKEY_LOCAL_MACHINE \ SOFT-
WARE \ Wow6432Node \ Microsoft \
.NETFramework \ v2.0.50727: System-
DefaultTlsVersions DWORD = 1
Ist "SystemDefaultTlsVersions" auf "0" ge-
setzt, kommt SSL 3.0 oder TLS 1.0 zum
Einsatz, steht der Wert auf "1", kommt die
Standardliste der verfügbaren Protokolle
aus dem ersten Teil über "DisabledByDe-
fault" zum Tragen. Sofern kein Wert de-
finiert ist, wird dieser als "0" angenommen
und in diesem Fall automatisch SSL 3.0
und TLS 1.0 eingesetzt.
Nutzen Sie Exchange 2013 oder 2016 zu-
sammen mit dem .NET-Framework 4.x,
tätigen Sie folgende Einstellungen:
- HKEY_LOCAL_MACHINE \ SOFT-
WARE \ Microsoft \ .NETFramework \
v4.0.30319: SystemDefaultTlsVersions
DWORD = 1
- HKEY_LOCAL_MACHINE \ SOFT-
WARE \ Wow6432Node \ Microsoft \
.NETFramework \ v4.0.30319: System-
DefaultTlsVersions DWORD = 1
Bei einem Wert von "1" kommen die ver-
fügbaren Protokolle aus dem ersten Teil
wieder zum Tragen.
Über eine Gruppenrichtlinie (GPO) las-
sen sich die Einstellungen nicht direkt
verteilen. Sie können aber die Registry-
Einstellungen in eine Registry-Datei
schreiben und importieren. Diese Werte
162 Sonderheft II/2019
lassen sich auch in einer GPO einbinden.
Alternativ nutzen Sie das Tool "IIS Cryp-
to" [4], das die Einstellungen über eine
grafische Oberfläche setzt.
Prüfung der
genutzten TLS-Version
Wie schon beschrieben, kommt TLS bei
verschiedensten Diensten zur Anwendung
und je nach Dienst erfolgt die Prüfung
über verschiedene Wege. Ab Windows
2012 R2 loggen Sie Informationen zur Ver-
schlüsselung bei HTML, das bei OWA
oder MAPI over HTTP aktiv ist, im IIS-
Log. Diese Informationen werden nicht
standardmäßig im Protokoll abgelegt, son-
dern Sie aktivieren es zunächst in der Kon-
figurationsdatei "applicationHost.config"
des Exchange-Servers. Die Datei finden
Sie im Verzeichnis "\ system32 \ inetsrv \
config". Nach dem Aktivieren erhalten Sie
weitere Information in den Protokollen
des IIS-Servers [5].
In Windows 2008 und 2012 gibt es diese
Möglichkeit nicht und Sie müssen auf die
Protokolle von Firewall und Loadbalancer
zurückgreifen. Sofern Ihr Server von ex-
tern erreichbar ist, nutzen Sie den On-
line-Test von "Qualys SSL Labs" [6]. Hier
erhalten Sie eine ausführliche Information
dahingehend, welche TLS-Versionen von
Ihrem Server unterstützt werden. Es zeigt
Ihnen zwar nicht, welches Protokoll aktiv
zum Einsatz kommt, aber welche ange-
boten werden.
Neben HTTP ist der Status zur Verschlüs-
selung auch beim SMTP-Protokoll rele-
vant. Hier prüfen Sie zunächst den Hea-
der einer E-Mail, um zu ermitteln, ob
diese über TLS 1.2 eingegangen ist. Die
entsprechenden Informationen werden
Ihnen bei den übermittelten Servern und
dessen Typ angezeigt. Um diese Informa-
tion schneller zu identifizieren, nutzen
Sie den "Message Header Analyzer" [7].
In dieses Online-Werkzeug kopieren Sie
den gesamten Header und erhalten die
Details übersichtlich angezeigt.
Die Prüfung des einzelnen Headers ist
umständlich und betrifft nur eingehende
E-Mails. Einfacher geht es über SMTP.
Bei einer eingehenden Verbindung finden
Sie je nach TLS-Version folgende Infor-
mationen im Log:
- TLS protocol SP_PROT_TLS1_0_
SERVER
- TLS protocol SP_PROT_TLS1_1_
SERVER
- TLS protocol SP_PROT_TLS1_2_
SERVER
In den ausgehenden Verbindungen werden
die Informationen entsprechend abgelegt:
- TLS protocol SP_PROT-TLS1_0_
CLIENT
- TLS protocol SP_PROT-TLS1_1_
CLIENT
- TLS protocol SP_PROT-TLS1_2_
CLIENT
Auf diesem Weg identifizieren Sie Clients,
die ältere Protokolle nutzen, die Sie ab-
lösen sollten. Darüber hinaus lassen sich
mit Logparser den Protokollen ausführ-
liche Statistiken entlocken. Weitere In-
formationen zu den Protokollen und der
Ablageort bietet [8].
TLS 1.0 und 1.1 abschalten
Die Abschaltung alter Protokollversionen
muss gut geplant sein, stellt es doch einen
kritischen Eingriff da, der bei einem feh-
lerhaftem Vorgehen die Kommunikation
komplett unterbrechen kann. Teilbereiche
können Sie gegebenenfalls kurzfristig
umstellen, während es in der Breite noch
an der Unterstützung fehlen kann. Dabei
gibt es auch noch ausreichend Server, die
E-Mails komplett unverschlüsselt oder
mit veralteten TLS-Versionen versenden.
www.it-administrator.de

Bild 2: Ist Ihr Server online erreichbar, erlaubt ein Webtool, die angebotenen Protokolle zu prüfen.
In den meisten Fällen wird eine Umstel-
lung dieser Server schwer möglich sein,
sofern die Kommunikation ungestört
weiterlaufen soll.
Bevor Sie mit dem Deaktivieren begin-
nen, stellen Sie sicher, dass TLS 1.2 auf
allen Server aktiviert ist. Neben der reinen
Absicherung der Kommunikation sind
jedoch weitere Bereiche von Exchange
betroffen:
- Outlook Client Connectivity
- Exchange Active Sync
- Outlook on the Web (beziehungsweise
Outlook Web App / Outlook Web
Access)
- Exchange Admin Center (EAC) und
Exchange Control Panel (ECP)
- Autodiscover
- Exchange Web Services (EWA)
- PowerShell über Exchange over HTTPS
- POP and IMAP (Exchange Server 2013
und später)
TLS 1.0 und 1.1 werden letztendlich so
über die Registry deaktiviert, wie TLS 1.2
aktiviert wurde. Hier passen Sie in den
Bereichen der Versionen die DWORD-
Link-Codes eingeben auf www.it-administrator.de
TLS 1.2 mit Exchange nutzen
Werte für die Einträge "Enabled" und
"DisabledByDefault" an. Die Einstellungen
unterscheiden wieder nach eingehenden
und ausgehenden Verbindungen:
- HKEY_LOCAL_MACHINE \ SYSTEM \
CurrentControlSet \ Control \ SecurityP-
roviders \ SCHANNEL \ Protocols \ TLS
1.0 beziehungsweise TLS 1.1 \ Client: Dis-
abledByDefault DWORD = 1; Enabled
DWORD = 0
-HKEY_LOCAL_MACHINE \ SYSTEM \
CurrentControlSet \ Control \ SecurityP-
roviders \ SCHANNEL \ Protocols \ TLS
1.0 beziehungsweise TLS 1.1 \ Server: Dis-
abledByDefault DWORD = 1; Enabled
DWORD = 0
Sind diese Einstellungen gesetzt, kommt
nur noch TLS 1.2 zur Anwendung.
Vorsicht bei POP3 und IMAP
Sofern Sie POP3 und IMAP nutzen, hängt
das Verhalten von der eingesetzten Ex-
change-Version ab. Bei Exchange 2010 ist
der Verschlüsselungsweg in der Anwen-
dung hart codiert und kann nur SSL 3.0
und TLS 1.0 einsetzen. Haben Sie nun TLS
1.0 deaktiviert, versucht die Kommunika-
Exchange 2019
tion auf SSL 3.0 zurückzufallen. Ist dieses
ebenfalls deaktiviert, schlägt die Client-
Aushandlung fehl. Sollten Sie in der Kom-
munikation im Bereich SMTP/HTTPS
zwingend auf TLS 1.2 setzen müssen, ist
ein eigenständiger Exchange-Server zur
Nutzung von POP3/IMAP notwendig, der
weiter TLS 1.0 anbietet. SSL 3.0 sollten Sie
zwingend deaktivieren.
Ähnlich wie bei Exchange 2010 ist bei Ex-
change 2013 die Nutzung von TLS 1.2 bei
POP3/IMAP fest hinterlegt. TLS 1.0 und
1.2 können Sie somit problemlos deakti-
vieren. Schwierig wird es in diesem Fall,
wenn die Unterstützung für TLS 1.3
kommt. Hier muss zukünftig entschieden
werden, ob Exchange-Endpunkte mit äl-
teren TLS-Versionen in diesem Fall zur
Anwendung kommen.
Fazit
Die Verschlüsselung ist ein wichtiger
Punkt, um die Sicherheit von Exchange
zu gewährleisten. Microsoft hatte die un-
terstützten Versionen bis vor kurzem
noch in der Anwendung fest hinterlegt,
doch wurde das Verhalten geändert, so-
dass Sie sich bei der Konfiguration von
TLS zukünftig allein auf das Betriebssys-
tem konzentrieren können und neuere
Versionen, wie TLS 1.3, schneller in Ex-
change einbinden. (jp/dr)
Link-Codes
[1] Vulnerability in SSL 3.0 –
Poodle attack and Exchange 2010
or Exchange 2013
i8zb1
[2] An Update on Office 365
Requiring TLS 1.2
i8zb2
[3] TLS 1.2 in Windows 7
i8zb7
[4] IIS Crypto
i8zb3
[5] New IIS functionality to help
identify weak TLS usage
i8zb4
[6] Online-Test von Qualys SSL Labs
i8zb5
[7] Message Header Analyzer
is1n6
[8] Protokollierung der
SMTP-Aktivitäten in Exchange
i8zb6
Sonderheft II/2019 163
Exchange 2019 Migration zu Office 365
Migration zu Office 365
Neue Postfächer
von Christian Schulenburg
Wollen Unternehmen ihre E-Mail-
Kommunikation in die Office-365-Cloud
verschieben, stehen verschiedene Migrations-
wege bereit, damit es E-Mails, Kalendereinträge
und Kontakte in die Cloud schaffen. Schon für
reine Exchange-Umgebungen gibt es eine statt-
liche Anzahl von Migrationsoptionen, sollen
auch andere IMAP-Postfächer mit umziehen,
stehen weitere Maßnahmen an.
D
ie Migration zu Office 365 hat das
Ziel, in einem definierten Zeit-
raum alle Postfächer in Microsofts cloud-
basierte Arbeitsumgebung zu transferie-
ren und die lokale Exchange-Installation
im Anschluss abzuschalten. Zeitlich ge-
sehen zählen die Übernahmemigration
und die mehrstufige Migration zu den
ersten direkten Wegen, um E-Mails aus
einer lokalen Exchange-Umgebung zu
Office 365 zu bewegen. Die beiden Vari-
anten haben den großen Nachteil, dass
IT-Verantwortliche nach der Migration
der Daten die Benutzerprofile mit einem
erheblichen Mehraufwand auf den Clients
neu erstellen müssen.
Migration via
Hybridkonfigurationen
Dies lässt sich nur umgehen, wenn IT-
Abteilunge eine aufwändige Hybridkon-
figuration zwischen den Exchange-Welten
einrichten, die jedoch eigentlich für den
parallelen Betrieb vorgesehen ist. Denn
bei der Hybridkonfiguration geht es nicht
um die Verschiebung, sondern um den
zeitgleichen Betrieb und die Verteilung
der Postfächer auf die lokale Exchange-
Umgebung und Exchange Online. Post-
fächer lassen sich in der vollständigen
Hybridkonfiguration zwischen den Um-
gebungen einfach verschieben, ohne dass
die Nutzer etwas davon mitbekommen.
Diese Option bietet sich für Migrationen
förmlich an, doch gestaltet sich die Kon-
164 Sonderheft II/2019
figuration für eine reine Migration als
sehr aufwändig.
Daher kommen nun die zusätzlichen
klassischen Hybridkonfigurationen mit
einer deutlichen einfacheren Einrichtung
zur Anwendung: die minimale Hybrid-
konfigurationen und die Expresskonfi-
guration. Zu den bisher möglichen hy-
briden Migrationswege gesellt sich seit
Juli 2019 noch der Hybrid Agent als mo-
derne Hybridkonfiguration hinzu. Gerade
während der Übergangsphase bietet der
Betrieb über den Agenten einige Verbes-
serungen, auf die wir im Laufe des Arti-
kels ausführlicher eingehen.
Im Vergleich zur vollständigen Hybrid-
konfiguration werden bei einer minima-
len Hybridkonfiguration nicht alle Funk-
tionen auf einen dauerhaften Parallel-
betrieb ausgerichtet, was die Einrichtung
deutlich erleichtert. Außerdem unterstüt-
zen die Hybridkonfigurationen Exchange-
Server ab der Version 2010, während die
Übernahmemigration und die mehrstu-
fige Migration nur für Exchange 2003
und Exchange 2007 vorgesehen sind, ob-
wohl sie auch mit aktuelleren Exchange-
Versionen funktionieren würden.
Wir stellen Ihnen die verschiedenen Mög-
lichkeiten vor und werfen daneben auch
einen Blick auf die Möglichkeit der IMAP-
Migration und den PST-Import-Service.
Quelle: liravega258 – 123RF
Übernahme- und
mehrstufige Migration
Für die Migration stehen verschiedene Op-
tionen zur Verfügung und die mehrstufige
Methode und die Übernahmemethode
sind die klassischen Varianten. Die Über-
nahmemethode richtet sich dabei an ältere
Exchange-Version (2003 und 2007) mit we-
niger als 2000 Postfächern. Empfohlen ist
dabei eine Umgebung von 150 und weniger
Nutzern. Postfächer werden bei diesem
Vorgehen in einem Durchgang übernom-
men und im Anschluss wird alles direkt
auf Office 365 umgeschwenkt. Ein paral-
leles Arbeiten ist nicht vorgesehen. Mit die-
ser Variante legen Sie Office-365-Accounts
entsprechend der lokalen Postfächer auto-
matisch an und übertragen deren Postfach-
inhalte in die neuen Postfächer.
Wichtig ist, dass Sie bei dieser Migrations-
art nach Abschluss der Übernahme sämt-
liche Profile am Client neu einrichten müs-
sen. Ebenfalls ist zu beachten, dass Outlook
Anywhere für die lokale Exchange-Um-
gebung funktioniert und eine bereits aktive
Active-Directory-Synchronisierung zwi-
schen Office 365 und der lokalen AD-
Umgebung vorher deaktiviert ist.
Gestartet wird die Migration über das Ex-
change Admin Center (EAC) von Ex-
change Online unter dem Menüpunkt
"Empfänger / Migrationen". Hier erstellen
Sie zunächst einen neuen Migrationsend-
www.it-administrator.de

Bild 1: Die Übernahme von Daten lässt sich unter anderem im Exchange Admin Center unter
dem Menüpunkt "Migrationen unter den Empfängern" starten.
punkt, bevor Sie im Anschluss einen neu-
en Migrationsbatch starten. Dieser Batch-
job überträgt alle Daten und Sie überwa-
chen den Vorgang im EAC. Am Ende der
Übernahme wird der MX-Eintrag umge-
stellt und ein letztes Mal synchronisiert.
Nachdem die Profile der Benutzer aktua-
lisiert wurden, greifen diese nun auf das
neue Postfach in Office 365 zu. Zum Ab-
schluss weisen Sie den Nutzern noch eine
Lizenz zu, damit diese nicht nach 30 Ta-
gen gelöscht werden. Weiter passen Sie
noch die Autodiscover-Einträge an, damit
diese zu Office 365 zeigen.
In Umgebungen mit mehr als 2000 Post-
fächern steht für Exchange 2003 und 2007
die mehrstufige Migration zur Verfügung.
Im Unterschied zur Übernahmemethode
ist dieses Vorgehen für eine längere Mi-
grationsphase vorgesehen. Dabei werden
zunächst die Benutzer aus der lokalen
Umgebung über das "Microsoft Azure
Active Directory Synchronization Tool"
oder die "Microsoft Azure Active Directo-
ry Sync Services" (AAD Sync) in Office
365 angelegt und synchronisiert. Im
nächsten Schritt legen Sie wieder einen
Migrationsendpunkt an, wobei Sie die
mehrstufige Migration auswählen und
anschließend über eine CSV-Datei die zu
übertragenen Postfächer definieren.
Sind die Postfächer migriert, zeigt sich ein
weiterer Unterschied zur Übernahmemi-
gration: Es findet sich nun ein Teil der
Nutzer in Exchange Online und der E-
Mail-Verkehr läuft weiter über die lokale
Umgebung. Damit nun E-Mails zu Office
www.it-administrator.de
Migration zu Office 365
365 weitergeleitet werden, konvertieren
Sie das lokale Postfach zu einem E-Mail-
aktivtierten Benutzer mit einer Proxy-
Adresse aus Office 365. Weisen Sie im An-
schluss den Benutzer noch Lizenzen zu.
Diese Schritte wiederholen Sie mehrmals,
bis sich alle Postfächer in Office 365 be-
finden. Sind alle Nutzer in Exchange On-
line, stellen Sie den MX-Eintrag auf Ex-
change Online um und konfigurieren
Autodiscover. Die Lizenzen der Benutzer
dürfen an der Stelle nicht vergessen wer-
den. Details zu den klassischen Migratio-
nen finden Sie unter [1] und [2].
Hybridkonfiguration nutzen
Die Hybridkonfiguration ermöglicht Ih-
nen eine Verbindung zwischen der loka-
len Exchange-Installation und Exchange
Online. Dabei müssen Sie bei der mini-
malen Hybridkonfiguration auf verschie-
dene Funktionen zwischen den Umge-
bungen verzichten, die bei einer vollstän-
digen Hybridkonfiguration zur Verfü-
gung stehen. Hier sei vor allem auf die
Bild 2: Über den Hybrid Configuration Wizard starten Sie sowohl die
klassische als auch die moderne Hybridkonfiguration.
Exchange 2019
Frei-/Gebucht-Informationen und die
zentrale Suche verwiesen (Tabelle "Rah-
menbedingungen der verschiedenen Mi-
grationsszenarien").
Seit 2019 steht neben den klassischen
Hybridkonfigurationen (minimale Hy-
bridkonfiguration und Express-Konfigu-
ration) auch der Hybrid Agent zur Ver-
fügung. Die minimale Konfiguration und
Express-Konfiguration unterscheiden sich
in der Art des Nutzerabgleichs. Bei der
Expressvariante wird diese nur einmalig
durchgeführt, während bei der Minimal-
variante die Active-Directory-Synchro-
nisation dauerhaft erfolgt.
Der Hybrid Agent ist der modernere Weg
zur Migration und bietet in der Über-
gangsphase mehr Funktionen, wie zum
Beispiel das Teilen von Frei-/Gebucht-In-
formationen oder MailTipps. Der Agent
ist ebenfalls Teil des Hybrid Configuration
Wizards (HCW), weshalb alle Hybrid-
konfigurationen über den gleichen Weg
starten. Dem Hybrid-Agenten widmen
wir in diesem Sonderheft einen eigenen
Artikel ab Seite 168.
Die Hybridmigration starten Sie über das
Exchange Online EAC und den Punkt
"Datenmigration" unter den Eintrag "Se-
tup". Hier wählen Sie " Exchange" aus,
um den "Office 365 Hybrid Configuration
Wizard" (HCW) zu starten. Alternativ
initiieren Sie die Einrichtung über das lo-
kale Exchange Admin Center über den
Menüpunkt "Hybrid". Beim HCW han-
delt es sich um eine Click-To-Run-An-
wendung, die direkt über Microsoft he-
runtergeladen wird, sodass immer die
aktuellste Version im Einsatz ist. Wichtig
Sonderheft II/2019 165
Exchange 2019 Migration zu Office 365

ist, dass die Benutzer in Exchange Online
noch nicht über ein Postfach verfügen.
Eine Migration wäre in diesem Fall nicht
möglich und Sie müssten die Postfächer
zunächst löschen.
Nach dem Start des Wizards geben Sie zu-
erst die Login-Daten zu den Exchange-
Umgebungen ein, bevor Sie im nächsten
Schritt die minimale Hybridkonfiguration
auswählen. Hier bestimmen Sie im Fol-
genden, ob Sie die klassische oder die mo-
derne Variante nutzen. Bei der klassischen
Variante definieren Sie – je nach Größer
der Umgebung – ob die Active-Directo-
ry-Synchronisation einmalig oder dauer-
haft genutzt wird. Im Anschluss wird die
Hybridumgebung eingerichtet, sodass bei-
de Umgebungen zusammenarbeiten.
Nachdem die Nutzer synchronisiert sind,
vergeben Sie zunächst die Lizenzen in Of-
fice 365. Als Nächstes starten Sie unter
dem Punkt "Datenmigration / Exchange"
die Verschiebung der Benutzerpostfächer.
Hier sehen Sie eine Liste der Benutzer, die
zur Migration anstehen. Wählen Sie zum
Testen zunächst zwei bis drei Nutzer aus.
Eine ausführliche Übersicht zum Status
der Migration finden Sie im EAC unter
dem Punkt "Empfänger / Migration", wo
Sie auch alternativ neue Verschiebeaktio-
nen zwischen Ihrer lokalen Exchange-
Umgebung und Exchange Online ansto-
ßen. Zum Abschluss ändern Sie noch den
MX-Record, damit dieser wieder zu Ex-
change Online zeigt und E-Mails hier zen-
tral empfangen werden.
Migrationen über IMAP
Die bisher beschriebenen Migrationsme-
thoden beziehen sich alle auf Exchange,
aber es lassen sich auch andere E-Mail-
Systeme über das Internet Message Access
Protocol (IMAP) [3] migrieren. Dieses
Vorgehen ist bei verschiedenen Anbietern,
wie der G Suite, Outlook.com oder Hot-
mail möglich. Beachten müssen Sie, dass
nur E-Mail-Ordner und deren Inhalt über-
tragen werden. Weiterhin dürfen Nach-
richten nicht größer als 35 MByte sein und
ein zu übertragendes Postfach darf maxi-
mal 500.000 Elemente enthalten.
Bei dieser Migration legen Sie zunächst
die Nutzer getrennt von der Datenüber-
nahme an und lizenzieren diese. Es ist
nicht zwingend notwendig, dass die E-
Mail-Domains identisch sind, da die Da-
ten unabhängig von dieser in ein Postfach
geleitet werden. Über eine CSV-Datei ver-
knüpfen Sie die Office-365-Postfächer
mit den entsprechenden Anmeldedaten
des IMAP-Servers. Zum IMAP-Server le-
gen Sie wieder über das EAC unter "Emp-
fänger / Migration" einen Migrationsend-
punkt an. Als Nächstes erstellen Sie einen
Migrationsbatch, in dem Sie eine Migra-
tion zu Exchange und den Punkt "IMAP-
Migration" auswählen. Nutzen Sie nun
die bereits erstellte CSV-Datei und starten
Sie die Migration. In der Übersicht unter
"Migration" sehen Sie wieder einen Status
der laufenden Migrationen. Sind alle Post-
fächer übertragen, stellen Sie den MX-
Eintrag um, damit E-Mails zu Office 365

Rahmenbedingungen der verschiedenen Migrationsszenarien

Klassische Hybridkonfiguration Moderne
Übernahme- Mehrstufige
Express-Hybrid- Minimale Hybrid- Hybridkonfiguration
migration Migration
konfiguration konfiguration Hybrid Agent

Primär 2003 und 2007,

Exchange 2003 Exchange 2010 Exchange 2010 Exchange 2010
Exchange aber auch mit Exchange
und 2007 bis 2016 möglich bis 2016 möglich bis 2019 möglich
2010 bis 2016 möglich
Empfohlen Empfohlen
Anzahl Postfächer Mehr als 2000 Mehr als 2000 -
für 150 bis 2000 für 150 bis 2000
Dauer Wenige Tage Wenige Wochen Wenige Tage Wenige Wochen Wenige Wochen
Auswahl zu migrie-
Nein Ja Ja Ja Ja
render Postfächer
Migrations- Office 365 Office 365
EAC EAC EAC
verwaltung Admin Center Admin Center
Ja,
AD-Synchronisation Nein Ja Ja Ja
einmalig zur Migration
E-Mail-Austausch
zwischen lokal und Nein Ja Ja Ja Ja
Exchange Online
Kombinierte GAL Nein Ja Ja Ja Ja
Interne Abwesen-
Nein Nein Nein Nein Ja
heitsmeldung
Übergreifende
Nein Nein Nein Nein Ja
MailTips
Übergreifende
Nein Nein Nein Nein Nein
Suche
Frei-/Gebucht-
Nein Nein Nein Nein Ja
Informationen
Neuerstellung des
Ja Ja Nein Nein Nein
Outlook-Profils

166 Sonderheft II/2019 www.it-administrator.de


Bild 3: Nicht nur über das EAC von Exchange Online lassen sich Datenmigrationen anstoßen,
sondern auch über das Office 365 Admin Center.
geroutet werden. Die E-Mail-Daten liegen
nun in Office 365 und damit die Benutzer
darauf zugreifen können, passen Sie noch
die Profile der Mitarbeiter an. Der Weg
der Migration über das Online EAC und
eine CSV-Datei ist vor allem für mehr als
50 Nutzer vorgesehen.
Sind es dagegen weniger Nutzer, bietet sich
eine Migration ohne CSV-Datei über das
Office 365 Admin Center unter "Setup /
Datenmigrationen" an. Die Benutzer müs-
sen auch bei diesem Weg in Office 365
vorhanden sein. Haben Sie einen Provider
ausgewählt, zeigt Ihnen das nächste Fenster
alle Office-365-Nutzer. Hier tragen Sie in
der Übersicht die Zugangsdaten zu den
IMAP Postfächern ein. Ist Ihr Provider
nicht gelistet, wählen Sie den Punkt "An-
dere" aus und tragen die Serverinforma-
tionen in dem Fenster ein. Die Postfächer
werden fortlaufend synchronisiert, bis die
Migration gestoppt wird.
Wie bereits beschrieben, werden bei die-
sem Vorgehen keine Kalender oder Kon-
takte übertragen. Um das Problem bei
Gmail zu umgehen, bietet Office 365 ei-
nen Assistenten an, der Sie bei der Mi-
gration von Kontakten und Kalendern
unterstützt. Sie finden diesen ebenfalls
unter "Datenmigrationen" im Bereich
"Onboarding- und Migrationsanleitung".
PST-Dateien migieren
Liegen Ihre Daten in vielen PST-Dateien
vor, können Sie auch deren Inhalt zu Ex-
change Online migrieren. Hierfür steht
Ihnen der "Office 365 Import Service" zur
Link-Codes eingeben auf www.it-administrator.de
Migration zu Office 365
Verfügung, über den Sie PST-Dateien di-
rekt hochladen oder an ein Microsoft-
Rechenzentrum senden. Einsammeln
können Sie die PST-Dateien mit dem "Ex-
change PST Capture Tool" [4] von Mi-
crosoft. Darüber hinaus erlaubt Ihnen das
Tool, die gefundenen Dateien über eine
Import-Liste auch direkt zu Exchange
Online zu übertragen.
Liegen Ihnen die PST-Dateien vor, starten
Sie den Importprozess über den Menü-
punkt "Datenmigration" unter "Setup" im
Office 365 Admin Center. Wählen Sie hier
zunächst den Eintrag "PST-Dateien hoch-
laden" aus. Sie werden im Anschluss zu
"Office 365 Security & Compliance" wei-
tergeleitet, wo Sie einen neuen Import-
auftrag anlegen. Hierbei entscheiden Sie
sich für den Upload in einen Azure-Spei-
cher oder den Versand zu Microsoft. Auch
hierbei erstellen Sie eine Mapping-Datei,
über das Sie die PST-Dateien den Ex-
change-Online-Postfächern zuweisen. In
dem Prozess können Sie Filter definieren,
um zu bestimmen, welche Daten übertra-
gen werden sollen. Den Status des Import-
jobs überwachen Sie ebenfalls im Security
& Compliance Center und beim Ab-
schluss wechselt dieser auf "Completed".
Mehr Details zu den einzelnen Schritten
finden Sie unter [5].
An die Hand genommen
Damit Sie nicht völlig den Überblick über
die verschiedenen Pfade der Migration
verlieren, bietet Microsoft den Office-
365-E-Mail-Migrationsratgeber [6]. Die-
ser führt Sie je nach Ausganglage zum
Exchange 2019
passenden Migrationsweg und auch
durch die Migration. Nach dem Start des
Assistenten fügen Sie zunächst ein neues
Quell-E-Mail-System hinzu. Dazu stehen
Ihnen die verschiedenen Exchange-Ver-
sionen als auch IMAP oder Gmail zur
Verfügung. Durch Angeben der Anzahl
der zu migrierenden Postfächer und die
Dauer der Migration wird Ihnen einer
der bereits beschriebenen Migrationswege
angeboten.
Haben Sie das E-Mailsystem und den Mi-
grationspfad gespeichert, finden Sie die-
sen in der Übersicht. Wählen Sie ihn nun
aus und klicken Sie auf "Weiter". Der As-
sistent durchläuft nun die verschiedenen
Phasen der Migration, angefangen von
der Prüfung der Voraussetzung, über die
Lizensierung, die eigentliche Migration
und den Abschluss. Dabei liefert der As-
sistent ausführliche Schritt-für-Schritt-
Anleitungen mit vielen Hinweisen.
Fazit
Eine Migration ist immer eine Heraus-
forderung und gerade die zu Office 365
nimmt sich davon nicht aus. Der Beitrag
führte Sie durch die zahlreichen verschie-
denen Migrationswege. Damit sollten Sie
den passenden Weg und dessen Umset-
zung finden. Wichtig ist, dass Sie sich in-
tensiv mit der Migration beschäftigen und
diese ausführlich testen, denn es gibt
kaum eine Migration ohne unerwartete
Vorkommnisse. (jp)
Link-Codes
[1] Perform a staged migration
of email to Office 365
js2m1
[2] Migrieren von E-Mails mithilfe
der Exchange-Cutover-Methode
js2m2
[3] What you need to know about
migrating your IMAP mailboxes
to Office 365
js2m3
[4] Exchange PST Capture Tool
js2m4
[5] Importieren von PST-Dateien in
Office 365
js2m5
[6] Office-365-E-Mail-Migrationsrat-
geber (Login erforderlich)
js2m6
Sonderheft II/2019 167

Hybrid Agent für Exchange
Einfache
Übung
von Christian Schulenburg
Microsoft unterstützt den Umzug der
lokalen Exchange-Umgebung zu Office
365 mit dem Microsoft Hybrid Wizard.
Dieser hat zuletzt durch den Hybrid Agent
Unterstützung erhalten. Wir zeigen den
Einsatz des Agenten und wie sich dadurch
die Einrichtung einer Hybridumgebung
deutlich erleichtert.
D
ie Migration der Postfächer zu Ex-
change Online ist eine der großen
Herausforderungen bei der Nutzung von
Office 365. Daher ist es wichtig, diesen
Schritt möglichst einfach zu gestalten.
Anders als bei einer Migration innerhalb
einer Organisation ist das Verschieben zu
Exchange Online problematisch, da die
Postfächer zwischen zwei separat verwal-
teten Organisationen verschoben werden.
Die Verbindung einer lokalen Exchange-
Instanz mit Exchange Online wird als Hy-
bridanbindung bezeichnet. Der Hybrid
Agent ist ein neues Tool, um diese zu er-
leichtern. Von Microsoft wird dieses Ver-
fahren als "Modern Hybrid" bezeichnet
und erweitert so den "Hybrid Configu-
ration Wizard" (HCW). Der neue Hybrid
Agent stellt eine Verbindung zwischen
der lokalen Exchange-Version und Ex-
change Online her. Dabei reduziert der
Hybrid Agent die Anforderungen um ex-
terne DNS-Einträge, Zertifikataktualisie-
rungen und eingehende Netzwerkverbin-
dungen der Firewall, die das Unterfangen
in der Vergangenheit komplex machten.
Praxistauglich
durch Mehrfachinstallation
Der Hybrid Agent unterstützt keine "Hy-
brid Modern Authentication". Dazu zählt
168 Sonderheft II/2019
zum Beispiel eine Multifaktorauthentifi-
zierung oder eine Authentifizierung mit
Clientzertifikaten. Kommt diese bereits
zur Anwendung, nutzen Sie weiterhin die
klassische Exchange-Hybrid-Topologie.
Darüber hinaus werden MailTips, die
Nachrichtenverfolgung und die Multi-
Mailbox-Search nicht über den Hybrid
Agent abgewickelt. Sollen diese Funktio-
nen übergreifend zur Anwendung kom-
men, nutzen Sie das klassische Modell.
Der Agent wird stetig optimiert und so
wurden bereits zwei Monate nach dem
ersten Launch Verbesserungen der Pre-
view bereitgestellt. Unterstützte der Hy-
brid Agent in der ersten Veröffentlichung
nur die Einzelinstallation, lassen sich in
der aktuellen Version auch mehrere Agen-
ten in einer lokalen Organisation instal-
lieren. Dies war eine große Einschränkung
der ersten Version vom Februar 2019, bei
der es keine Redundanzmöglichkeiten
gab, Frei/Gebucht-Informationen sich im
Offline-Fall nicht einsehen ließen und
Verschiebeaktionen nicht durchgeführt
wurden. Mit dem Update des Hybrid
Agent im April 2019 besserte Microsoft
an dieser Stelle nach und er unterstützt
nun wie erwähnt mehrere Agenten. Da-
rüber hinaus gibt es nun auch Statusin-
formationen zum Hybrid Agent und Sie
Quelle: Orlando Rosu – 123RF
können jetzt auch Loadbalancer anstelle
spezifischer Exchange-Server über den
Hybrid Agent ansprechen.
Vorbereitungen
für den Hybrid Agent
Den Hybrid Agent installieren Sie entwe-
der auf einem eigenständigen Server
(Agenten-Server) oder auf einem Ex-
change-Server mit der CAS-Rolle. Dabei
kommt Exchange ab Version 2010 zur
Anwendung, das auf Windows Server
2012 R2 oder 2016 mit .NET Framework
4.6.2 oder höher installiert sein muss. So-
fern Agent und Exchange auf einem ge-
meinsamen Server laufen sollen, achten
Sie darauf, dass die Kompatibilität zwi-
schen Exchange und .NET [1] gewähr-
leistet ist, damit Sie keine unsupportete
Kombination nutzen. Darüber hinaus
muss der Server nur Mitglied der Domain
sein und Zugriff auf das Internet haben.
Als Ausgangsverbindungen benötigen Sie
nur Port 443 und Port 80 – letzterer dient
einzig der Zertifikatsperrlistenprüfungen.
Der Agent kommuniziert mit einem Azu-
re-Proxy-Dienst mit mandantenspezifi-
schem Endpunkt, der zu Ihrer Online-Um-
gebung führt. Verfügbarkeitsinformationen
als auch Postfachmigrationen werden über
diesen "Azure App Proxy" geführt. Sofern
www.it-administrator.de

(Quelle: Microsoft)
Bild 1: Die moderne Hybridtopologie mit dem neuen Hybrid Agent nimmt einige Herausforderungen
bei der Verbindung zwischen lokalem und Online-Exchange.
der Agent nicht auf einem Exchange-Server
mit Client Access Service (CAS) installiert
ist, müssen Sie zusätzlich die Ports 5985
und 5986 zu den CAS-Servern freischalten,
damit die Kommunikation klappt. Weiter-
hin müssen sich alle CAS-Server mit Office
365 über Port 443 verbinden können, um
Frei/Gebucht-Informationen abzurufen.
Um die Verbindungseinstellungen vor der
Installation zu prüfen, stellt Microsoft ein
Skript [2] bereit. Dieses binden Sie zu-
nächst über
Import-Module
.\HybridManagement.psm1
ein. Der eigentliche Test erfolgt mit fol-
gendem Aufruf:
Test-HybridConnectivity
-testO365Endpoints
Damit alles reibungslos läuft, müssen Sie
sicherstellen, dass in beiden Exchange-
Organisationen jeweils mindestens eine
identische E-Mail-Domain als akzeptierte
Domain eingerichtet ist.
Installation des Agenten
Der Hybrid Agent ist Teil des "Office 365
Hybrid Configuration Wizard" (HCW).
Der Installer lädt automatisch im Hinter-
grund die aktuellste Version des Hybrid
Agent herunter. Den HCW starten Sie
am einfachsten über das Exchange Admin
Center über den Menüpunkt "Hybrid".
Beim HCW handelt es sich um eine
www.it-administrator.de
Hybrid Agent für Exchange
Click-To-Run-Anwendung, die Sie direkt
über Microsoft herunterladen, sodass im-
mer die aktuellste Version gestartet wird.
Zum Ausführen benötigen Sie einen glo-
balen Administrator von Exchange On-
line. Die Versionsnummer des HCWs se-
hen Sie oben rechts und während der
weiteren Schritte werden hier zusätzliche
Informationen ergänzt.
Nach dem Start wählen Sie zunächst ei-
nen lokalen Exchange-Server aus, der für
die Hybridanbindung konfiguriert wird.
Der Server muss lizenziert sein, damit Sie
fortfahren können. An dieser Stelle lässt
sich auch ein Exchange-Hybrid-Server li-
zenzieren. Auf diesem dürfen sich bei
Bild 2: Der HCW führt durch die Konfiguration und startet den Hybrid Agent.
Exchange 2019
Nutzung der Hybrid-Lizenz keine Post-
fächer befinden. Die Zielplattform muss
ebenfalls ausgewählt werden. Hier tragen
Sie den Standort Ihrer Online-Umgebung
ein, das kann unter anderem die Deutsch-
land Cloud der Telekom oder die Stan-
dardumgebung von Microsoft sein.
Zunächst entscheiden Sie sich für eine mi-
nimale oder vollständige Hybridkonfigu-
ration. Der Hybrid Agent steht in beiden
Varianten zur Verfügung. Die vollständige
Hybridkonfiguration ist primär für lang-
fristige Koexistenzen vorgesehen und
berücksichtigt neben dem Teilen von
Frei/Gebucht-Informationen auch den
Nachrichtenfluss und das eDiscovery. Da
die Konfiguration vor allem der nahtlosen
Übertragung von Postfächern zu Ex-
change Online dient, konfigurieren wir in
diesem Fall nur die Mindesteinstellungen.
Sofern Sie das Fenster zur Hybridkonfi-
guration nicht sehen, haben Sie bereits
erfolgreich eine Hybridtopologie einge-
richtet. Als Nächstes müssen Sie die Do-
main-Eigentümerschaft überprüfen. Die
Verifizierung ähnelt der Domainverifi-
zierung in Office 365: Tragen Sie den an-
gezeigten DNS-TXT-Eintrag in Ihrer
DNS-Zone ein und bestätigen Sie die In-
haberschaft. Jetzt wählen Sie die Topolo-
gie aus. Hier wird Ihnen nun der Hybrid
Agent als Teil der modernen Exchange-
Hybridtopologie angeboten, den Sie nach
der Bestätigung herunterladen.
Sonderheft II/2019 169
Exchange 2019 Hybrid Agent für Exchange
Ist dies erledigt, richten Sie Sen-
de- und Empfangsconnectoren
ein. Der E-Mail-Verkehr wird
über TLS abgesichert, wofür Sie
im nächsten Schritt ein gültiges
Zertifikat auswählen. Darin muss
der externe Hostname eingetra-
gen sein, der sich extern auflösen
lassen und per Port 25 erreichbar
sein muss. Der Hybrid Agent ist
dabei nicht für das Routen der
E-Mails verantwortlich, sondern
es werden nur entsprechende
Konfigurationen vorgenommen.
Das Ergebnis sehen Sie nach Ab-
schluss der Konfiguration im Bild 3: Nach der erfolgreichen Verbindung der Umgebungen
lassen sich zum Beispiel Postfächer in Exchange Online
EAC unter "Nachrichtenfluss/
aus der lokalen Umgebung einrichten.
Konnektoren".
Nachdem Sie die Vorgaben eingetragen
haben, wird die entsprechende Konfi-
guration in den Exchange-Organisatio-
nen durchgeführt. Klappt alles, ist die
Hybridanbindung Ihrer lokalen Ex-
change-Organisation zu Exchange On-
line erfolgreich abgeschlossen. Während
der Installation werden ebenfalls Ver-
knüpfungen auf dem Server erstellt,
über die Sie bei Änderungen in Ihrer
Exchange-Organisation den HCW er-
neut starten können.
Verbindung testen
Ist die Hybridverbindung eingerichtet,
gibt es einiges zu testen. Als Erstes prüfen
Sie den E-Mail-Transport, in dem Sie E-
Mails zwischen Postfächern der lokalen
und der Online-Umgebung hin und her
senden. Auch von extern sollten Sie die
Erreichbarkeit testen.
Als Nächstes probieren Sie das Erstellen
von Postfächern aus. In der lokalen EAC
legen Sie nun auch Postfächer für Ex-
change Online an. Es dauert einen Au-
genblick, bis der Benutzer in Office 365
verfügbar ist. Zunächst müssen Sie diesem
noch eine Lizenz zuweisen, damit eine
Anmeldung an dem Postfach möglich ist.
Migrieren Sie nun Postfächer in Office
365 von Ihrer lokalen Umgebung zu Ex-
change Online. Hierfür rufen Sie in der
EAC von Exchange Online den Punkt
"Empfänger / Migrationen" auf und wäh-
len "Zu Exchange Online migrieren" aus.
Als Letztes testen Sie noch die Nutzerer-
170 Sonderheft II/2019
fahrung, indem Sie die Frei-/Gebucht-In-
formationen für Postfächer aus den ver-
schiedenen Organisationen in einem neu-
en Termin prüfen.
Einstellungen
zwischen den Welten
Zu berücksichtigen ist, dass beide Ex-
change-Organisationen unabhängig von-
einander sind, was auch die Konfiguration
betrifft. In der EAC wechseln Sie über
den Reiter "Unternehmen" beziehungs-
weise "Office 365" schnell zwischen den
Welten. Grundsätzlich müssen Sie Richt-
linien wie Retention Policy, OWA Policy
oder Mobile Device Policy separat erstel-
len und konfigurieren. Bei der Migration
der Einstellungen hilft Ihnen der "Organi-
zation Configuration Transfer Wizard"
(OCT). Die Version 1 wurde im Juni 2018
veröffentlicht und unterstützte zu diesem
Zeitpunkt nur die Richtlinien. Im Oktober
2018 gab es bereits die nächste Version,
die weitere Eigenschaften wie Active Sync
Device Access Rule, Address Lists oder
Policy Tip berücksichtigt.
Die erste Version unterstützte nur die
erstmalige Übertragung. Erkannte der
Wizard eine Einstellung mit dem glei-
chen Namen, wurde diese ignoriert. Die
Version 2 überschreibt nun Einstellun-
gen in Exchange Online. Die Übertra-
gung stellt zwar keine Synchronisation
dar, aber ist eine einfache Möglichkeit,
Einstellungen schnell weiterzugeben.
OCT benötigt lokal das letzte kumulative
Link-Codes eingeben auf www.it-administrator.de
Update und unterstützt Ex-
change Server ab 2010. OCT
ist ein Bestandteil des HCW
und Sie wählen die Übertra-
gung während der Hybridkon-
figuration aus.
Letzter Exchange-Server
der Hybridkonfiguration
Sind alle Postfächer zu Exchange
Online migriert, dürfen Sie den
letzten Exchange-Server nur
deinstallieren, wenn kein Ab-
gleich der Benutzer über Azure
AD Connect erfolgt. Letzteres
integriert Ihre lokalen Verzeich-
nisse in das Azure Active Di-
rectory, wodurch Benutzer nur
noch eine einzige Identität ha-
ben. Dies ist keine Voraussetzung für die
Nutzung einer Hybridkonfiguration und
wir sind daher in diesem Beitrag nicht wei-
ter darauf eingegangen.
Nutzen Sie diese Funktion, benötigen Sie
einen Exchange-Server, um die lokalen
Exchange-Attribute zu pflegen. Ist dieser
nicht vorhanden, fehlen die Exchange-Er-
weiterungen für die Active-Directory-Ob-
jekte, die für einen reibungslosen Hybrid-
betrieb mit Office 365 notwendig sind.
Diese Anforderung hat zur Folge, dass Sie
auch weiterhin Exchange-Updates mit
möglichen Schema-Erweiterungen ein-
spielen müssen.
Fazit
Microsoft hat viel für die reibungslose
Migration zwischen lokalen Exchange-
Umgebungen und Exchange Online getan
und sehr viel Komplexität aus dem The-
ma genommen. Auch kleinere Unterneh-
men schauen einer Migration nun we-
sentlich entspannter entgegen und müs-
sen die Einrichtung nicht scheuen. Mi-
crosoft sieht KMUs als Nutzer von Office
365 und hat mit dem Hybrid Agent den
Weg geebnet. (jp)
Link-Codes
[1] .NET- und Exchange Supportmatrix
j7p51
[2] Microsoft Hybrid Agent
Public Preview
j7p52
Lokales Exchange mit
Exchange Online Protection verbinden

Quelle: fwstupidio – 123RF

Schutzschild
von Christian Schulenburg

Nicht jeder Administrator hat eine ausreichende Sicherheitslösung im Einsatz oder möchte
parallel zu Exchange ein separates Security-Produkt lokal vorhalten. Wir zeigen Ihnen in dem
Beitrag, wie Sie die E-Mail-Sicherheit auslagern und Ihre lokale E-Mail-Umgebung mit
Exchange Online Protection in der Cloud verbinden.

W
ie in dem Beitrag zu Sicherheit in
Exchange 2019 und Office 365 auf
Seite 147 beschrieben, gehen die Mög-
lichkeiten von Office 365 über viele lokale
Sicherheitslösungen hinaus, wodurch Mi-
crosofts Exchange Online Protection
(EOP) [1] eine Alternative zur selbstge-
hosteten Security-Lösung darstellt. In die-
sem Beitrag schauen wir uns die lokale
Anbindung am Beispiel von Exchange
2019 an, wobei sich jeder SMTP-Server
anbinden lässt und die Nutzung von EOP
nicht auf Exchange Server beschränkt ist.
Dabei bleiben die Postfächer in der loka-
len Instanz und nur der ein- und ausge-
hende Datenverkehr wird über EOP ge-
leitet. E-Mails innerhalb der Organisation
werden somit nicht mittels EOP über-
prüft. Der Vorteil ist, dass Sie keine zu-
sätzliche Hard- beziehungsweise Software
benötigen und die Prüfung außerhalb Ih-
res Netzwerks durchführen.
Verfügbare Lizenzen
Um den Dienst nutzen zu können, benö-
tigen Sie zunächst ein Microsoft-Konto
für Office 365. Haben Sie noch kein Kon-
to, wird die Benutzer-ID während der Be-
stellung der Testversion erstellt. EOP selbst
buchen Sie direkt als Subskription in Of-
fice 365 oder es ist bereits Bestandteil einer
Exchange Online Subscription. Die Lizen-
sierung von EOP erfolgt über die einzelne
Benutzerlizensierung und die Kosten lie-
gen aktuell bei cirka 0,84 Euro je Benutzer
und Monat. Alternativ gibt es aus der lo-
kalen Exchange-Umgebung auch eine spe-
zielle Enterprise CAL mit Diensten, die
ebenfalls die Nutzung von EOP beinhaltet.
Für den Start und zum Testen nutzen Sie
zunächst eine Trial-Version.
Erweitern lässt sich der EOP-Schutz durch
die Advanced Threat Protection (ATP),
das gegen unbekannte Schadsoftware und
Viren hilft. Dies gewährleistet einen bes-
seren Schutz vor Zero-Day-Attacken, die
noch nicht bekannt sind. Zur Prüfung wer-
den alle Anlagen mit einer unbekannten
Signatur einer Verhaltensanalyse unterzo-
gen. Die Funktion ist in wenigen Office-
365-Plänen, wie Office 365 Enterprise E5,
enthalten. In den meisten Fällen abonnie-
ren Sie ATP neben EOP als zusätzlichen
Dienst für circa 2 Euro je Benutzer und
Monat. Eine Übersicht der vorhandenen
Lizenz sehen Sie nach der Buchung im Mi-
crosoft 365 Admin Center unter dem
Punkt "Setup / Produkte".
Einsatz von EOP vorbereiten
Sind die Lizenzen vorhanden, kümmern
Sie sich weiter um die zu nutzende E-Mail-
Domain. Für den Start verwenden Sie eine
Testdomain beziehungsweise eine nicht
genutzten Subdomain, damit Sie das Vor-
gehen in Ruhe ausprobieren können. Rich-
ten Sie die Domain, die Sie über EOP nut-
zen wollen, im Microsoft-365-Dashboard
über den Punkt "Setup / Domänen" ein.
Während der Einrichtung führen Sie zu-
nächst einen Besitzernachweis der Domain
durch, bevor Sie diese nutzen können. Die
Überprüfung erfolgt über einen TXT- oder
MX-Eintrag im DNS Ihres Domain-Pro-
viders. Der Assistent zeigt Ihnen dabei,
welche Einträge zur Prüfung im Detail hin-
terlegt werden müssen.

www.it-administrator.de Sonderheft II/2019 171

Exchange 2019 Lokales Exchange mit Exchange Online Protection verbinden
Bild 1: Haben Sie die Lizenzen bestellt, richten Sie Ihre E-Mail-Domain ein, wobei Sie einen Besitzernachweis der Domain durchführen müssen.
Ist die Domain verifiziert, müssen Sie zu-
nächst keine weiteren DNS-Einträge set-
zen. Die Domain steht Ihnen nun zur
weiteren Einrichtung in Microsoft 365
zur Verfügung.
Wechseln Sie im nächsten Schritt über
die linke Menüleiste in das Admin Center
von EOP. Den Eintrag finden Sie im Me-
nüpunkt "Admin Center / Online Pro-
tection for Exchange". Beim EOP Admin
Center handelt es sich ebenfalls um das
Exchange Administration Center (EAC),
das aber nur Menüpunkte zur Konfigu-
ration von EOP enthält. Passen Sie in der
EAC zunächst die weiteren Eigenschaften
der E-Mail-Domain im Punkt "Nachrich-
tenfluss / Akzeptierte Domänen" an.
Da E-Mails von EOP zur lokalen Exchange-
Umgebung weitergeleitet werden, konfi-
gurieren Sie die neue Domain als internes
Relay. Durch diese Einstellungen werden
alle E-Mails für die Domain angenommen
und weitergeleitet. Sollen ungültige Emp-
fänger abgelehnt werden, stellen Sie die
Domain auf "Authoritative", sofern alle
Empfänger in EOP bekannt sind. Auf diese
Weise aktivieren Sie das "Directory Based
Edge Blocking" (DBEB). Ungültige E-Mails
werden im Anschluss mit folgendem Fehler
abgelehnt: "550 5.4.1 [InvalidAlias@\Do-
main]: Recipient address rejected: Access
denied". Da Verteilergruppen über Azure
AD Connect nicht synchronisiert werden,
172 Sonderheft II/2019
legen Sie für diese einen eigenen Kontakt
in der EAC an, sofern Sie DBEB nutzen.
Benutzer anlegen
Im nächsten Schritt legen Sie die Empfän-
ger in Microsoft 365 an. Hierbei stehen Ih-
nen verschiedene Wege zur Verfügung. Um
einen Abgleich aller Empfänger zu errei-
chen, empfiehlt es sich, die Synchronisation
des lokale Active Directory zum Azure
Active Directory zu nutzen. Die Synchro-
nisation richten Sie über den "Azure Active
Directory Connect" ein. Den Link finden
Sie am schnellsten in der Übersicht unter
"Benutzer / Aktive Benutzer" in Microsoft
365. Klicken Sie hier auf "Mehr" und den
Punkt "Verzeichnissynchronisierung". Nach
dem Download führen Sie die Installation
auf einem Mitgliedsserver aus.
Die Installation auf einem Domänencon-
troller ist nicht empfohlen. Während der
Einrichtung geben Sie die Credentials ei-
nes lokalen Admins und von Microsoft
365 ein. Verwendet das lokale Active Di-
rectoy einen Namen, der nicht der E-
Mail-Domain entspricht, richten Sie einen
zusätzlichen UPN ein. Dieser muss im
Anschluss bei jedem Benutzer angepasst
werden. Nur auf diesem Weg erhalten Sie
eine korrekte Verzeichnissynchronisation.
Mit dem Synchronization Service Mana-
ger, den Sie im Windows-Menü finden,
können Sie den Status des Abgleiches gut
nachvollziehen. Beachten Sie, dass Nutzer
nur Richtung Cloud aktualisiert werden
und nicht andersherum. Eine genauere
Beschreibung zur Einrichtung von Azure
AD Connect finden Sie unter [2].
Sofern Sie auf eine Synchronisation ver-
zichten wollen, legen Sie die Nutzer direkt
in der EAC-Seite von EOP unter "Emp-
fänger / Kontakte" an. Hier sehen Sie eben-
falls alle aktiven Nutzer. Die Vorbereitun-
gen von EOP sind soweit abgeschlossen
und es erfolgt im nächsten Schritt die Kon-
figuration des E-Mail-Routings.
E-Mail-Verkehr regeln
Um die Verbindung zwischen EOP und
Ihrer lokalen E-Mail-Umgebung herzustel-
len, werden zwei Connectoren in EOP be-
nötigt und einer in der lokalen Umgebung.
Richten Sie zunächst in Ihrer Exchange-
Umgebung einen lokalen Send-Connector
ein. Dieser sorgt dafür, dass ausgehende E-
Mails über EOP geleitet werden. Wechseln
Sie zur Einrichtung in der lokalen EAC
zum Punkt "Nachrichtenfluss / Sendcon-
nectors" und starten Sie den Vorgang. Wäh-
rend der Konfiguration geben Sie dem
Connector einen sprechenden Namen und
tragen Sie Ihren EOP-Smarthost ein. Dieser
entspricht Ihrer Domain, wobei die Punkte
durch Striche ersetzt und um den Syntax
".mail.protection.outlook.com" ergänzt wer-
den. Der Name der Subdomain "eop.schu-
lenburg.co" lauten somit "eop-schulenburg-
co.mail.protection.outlook.com".
www.it-administrator.de
 Lokales Exchange mit Exchange Online Protection verbinden
Bild 2: Mit Azure Active Directory Connect übertragen Sie
lokale Benutzerinformationen zu Microsoft 365.
Nachvollziehen können Sie den Namen in
den DNS-Einstellungen der Domainkon-
figuration in der Office-365-Administration
im Punkt "Domänen".
Zum Testen definieren Sie im Connector
zunächst nur eine Zieldomain, zu der über
den Connector gesendet wird, die restlichen
E-Mails werden weiterhin über den Stan-
dard-Sendconnector gesendet. Sollte Ihre
ersten Sendeversuche Richtung EOP mit
dem Fehler "550 5.7.606-649 Access denied,
banned sending IP" fehlschlagen, ist Ihre
genutzte IP-Adresse blockiert. Diese lässt
sich über die folgende Seite sehr schnell
freischalten: "https://sender.office.com/".
Dort geben Sie die freizugebene IP-Adresse
sowie eine administrative E-Mail-Adresse
an, die im Anschluss eine Freischaltungs-
E-Mail erhält.
Ist der Sendeconnector eingerichtet, stel-
len Sie in Ihrer lokalen Umgebung sicher,
Link-Codes
[1] EOP
js2z1
[2] Einrichtung von Azure AD Connect
js2z2
[3] EOP-Quellserver
js2z3
[4] EOP einrichten
j5z41
Link-Codes eingeben auf www.it-administrator.de
dass Sie EOP-E-Mails empfangen können.
Hierfür muss die Verbindung über Port
25 möglich sein. Exchange steht im Stan-
dard bereits auf Empfang, aber die vor-
gelagerte Firewall muss gegebenenfalls
angepasst werden. Um die eingehenden
Adressräume beschränken zu können,
hat Microsoft eine Übersicht der EOP-
Quellserver veröffentlicht [3]. In der lo-
kalen Umgebung ist damit alles einge-
richtet und im nächsten Abschnitt richten
wir die Office-365-Connectoren ein.
Wechseln Sie nun in das Admin Center
von EOP zum Punkt "Nachrichtenfluss /
Connectoren". Hier richten Sie zwei Con-
nectoren ein – einen als Sendeconnector
für den Versand zur lokalen Exchange-Um-
gebung und den zweiten Connector als
Empfangsconnector für E-Mails von der
lokalen Umgebung. Der Empfangscon-
nector ist schnell eingerichtet: Starten Sie
das Erstellen über das Pluszeichen und
wählen Sie im Bereich "Von" den Eintrag
"E-Mail-Server Ihrer Orgnisation" und bei
"An" den Eintrag "Office 365". Geben Sie
dem neuen Connector einen Namen und
tragen Sie die externe IP-Adresse der sen-
denden Server ein. Ist das geschehen, steht
Office 365 auf Empfang und leitet über den
Connector eingehende E-Mails weiter.
Im zweiten Schritt richten Sie einen wei-
teren Connector ein. Dieses Mal wählen
Exchange 2019
Sie im Bereich "Von" den Eintrag "Office
365" und bei "An" den Punkt "E-Mail-
Server Ihrer Organisation". Geben Sie
dem Connector wieder einen Namen und
hinterlegen Sie die Domain, die weiter-
geleitet werden soll. Tragen Sie im Fol-
genden die IP-Adresse oder den FQDN
des lokalen Servers ein. Vor dem Spei-
chern des neuen Connectors fordert der
Assistent noch zu einer Überprüfung auf.
Geben Sie hier eine lokale E-Mail-Adresse
an. Es wird nun versucht eine E-Mail an
den lokalen Server zu übermitteln. Ist der
Test erfolgreich abgeschlossen, werden
von extern eingehende E-Mails über die-
sen Connector zu Ihrem lokalen Mailser-
ver weitergeleitet.
Umstellung des
E-Mail-Verkehrs
Die Connectoren sind jetzt sowohl in der
lokalen Umgebung als auch in Office 365
vorbereitet. Um den eingehenden, exter-
nen E-Mail-Verkehr über EOP zu lenken,
passen Sie den MX-Record bei Ihrem
Provider an und tragen Sie den EOP-
MX-Server Ihrer Subscription "domain-
tld.mail.protection.outlook.com" ein. Den
genauen DNS-Namen finden Sie wieder
im Punkt "Domänen" im Microsoft 365
Admin Center und einem Klick auf "DNS
verwalten".
Um den E-Mail-Verkehr nach extern auch
über EOP zu lenken, deaktivieren Sie den
Standard-Internet-Connector und passen
Sie bei dem EOP-Connector die Zieldo-
main an, sofern diese noch nicht auf "*"
steht. Weiterhin ändern Sie Ihren SPF-
Eintrag auf den empfohlenen Wert aus
der DNS-Konfiguration, damit es hier zu
keinen Fehlern kommt. Die Einrichtung
ist damit abgeschlossen und die Anbin-
dung eingerichtet. Eine noch ausführli-
chere Beschreibung zum Vorgehen finden
Sie bei Microsoft unter [4].
Fazit
Microsoft bringt mit seiner Anti-Spam-
und Anti-Malware-Lösung einen Schutz,
der eine Alternative zur selbstgehosteten
Lösung darstellt und der lokale Mailserver
schnell einbindet. Das Routing der E-
Mails stellt dabei die größte Herausfor-
derung dar, die mit der Anleitung aber
einfach zu nehmen ist. (dr)
Sonderheft II/2019 173
 Exchange 2019 Exchange mit der PowerShell verwalten

Exchange mit der PowerShell verwalten

Quelle: seita – 123RF

Abwesenheits-
management
von Heiko Brenn

Bei der Verwaltung von Exchange-Servern spielt die PowerShell

eine immer wichtigere Rolle. Das liegt zum einem daran, dass ei-
ne ganze Reihe von Funktionen erst gar nicht über das Exchange
Admin Center zur Verfügung steht, zum anderen an der Tatsa-
che, dass die Nutzung der Admin-GUI für regelmäßig wiederkeh-
rende Tasks viel Zeit in Anspruch nimmt. In diesem Workshop
schauen wir uns an, mit welchen Cmdlets sich das Abwesenheits-
management in Exchange umsetzen lässt.

M
it Hilfe der PowerShell können Sie
in Exchange 2019 viele Aufgaben
einfach, schnell und standardisiert erle-
digen. Das Thema Abwesenheitsmana-
gement ist hierfür ein gutes Beispiel, denn
nicht nur zur Urlaubszeit gerät das Ein-
richten beziehungsweise Anpassen der
Out-of-Office-Einstellungen für einzelne
oder mehrere Mitarbeiter immer wieder
zur Herausforderung in den Administra-
tions- und Helpdesk-Teams.
Obwohl wir uns in diesem Workshop mit
der On-Premises-Variante von Exchange
beschäftigen, sind die aufgeführten Power-
Shell-Cmdlets auch für Exchange Online
verfügbar. Damit ist gewährleistet, dass
einmal erstellte One-Liner und Skripte in
der Regel sowohl lokal als auch in Hybrid-
und Cloudumgebungen in gleicher Weise
einsetzbar sind.
Verbindung
zum Server herstellen
Damit Sie mit Hilfe der PowerShell Be-
fehle an den Exchange-Server senden
können, müssen Sie zunächst eine Ver-
bindung zu diesem herstellen.
In unserem Szenario gehen wir davon aus,
dass der Exchange-Administrator sich
nicht direkt etwa per RDP auf dem Ex-
change-Server anmeldet, sondern auf ei-
nem Windows-Client arbeitet. Darüber
hinaus soll die Installation zusätzlicher
PowerShell-Module auf dem Client ver-
mieden werden. Um das zu erreichen, ma-
chen Sie sich das implizite Remoting der
PowerShell zunutze. Sie greifen damit di-
rekt auf den Exchange-Server zu und füh-
ren dort die erforderlichen Cmdlets aus.
Zunächst verwenden Sie das Cmdlet
"New-PSSession", um eine Verbindung
zum Server "Exchange.company.net" auf-
zubauen. Für die erfolgreiche Ausführung
dieser Cmdlets benötigen Sie ein Benut-
zerkonto, das die erforderlichen Rechte
auf diesem Exchange-Server besitzt. Die
Anmeldeinformationen übergeben Sie
dem Cmdlet "Get-Credentials".
Im letzten Schritt importieren Sie dann
mit der Ausführung des "Import-PSSessi-
on"-Befehls die Exchange-Cmdlets in un-
sere lokale PowerShell-Umgebung. Somit
können Sie aus unserer aktuellen Session
direkt auf den Exchange-Server zugreifen.
Hier ein Beispiel für den gesamten Vor-
gang in der PowerShell:
$MyCred = Get-Credential
$Session = New-PSSession -Configura-
tionName Microsoft.Exchange -Con-
nectionUri http://Exchange.compa-
ny.net/PowerShell/ -Authentication
Kerberos -Credential $MyCred
Import-PSSession $Session -Disable-
NameChecking
Ein erster Test mit dem Cmdlet "Get-Mail-
box" zeigt die Liste aller Exchange-Postfä-
cher. Somit ist die Verbindung zum Server
erfolgreich hergestellt und wir können uns
den Abwesenheitseinstellungen widmen.
Bestehende
Einstellungen abfragen
Für die Abfrage der aktuellen Einstellun-
gen steht das Cmdlet "Get-MailboxAu-
toReplyConfiguration" zur Verfügung.
Damit zeigen Sie beispielsweise Angaben
einzelner Benutzer, aller Benutzer oder
Benutzer einer bestimmten Gruppe oder
OU an. Um die Konfiguration eines ein-
zelnen Benutzers zu prüfen, nutzen Sie
den Parameter "-Identity". Für die ein-
deutige Identifizierung eines Users kön-
nen Sie hier beispielsweise Name, Alias,
Distinguished Name oder die E-Mail-
Adresse verwenden, etwa so:
Get-MailboxAutoReplyConfiguration
-Identity thomas@company.net
Get-MailboxAutoReplyConfiguration
-Identity Thomas

174 Sonderheft II/2019 www.it-administrator.de


Bild 1: So sehen die mit der PowerShell abgefragten Abwesenheitsinformationen
für einen einzelnen Benutzer aus.
Als Ergebnis erhalten Sie den aktuellen
Status und sehen in unserem Beispiel, dass
für diesen Benutzer eine Abwesenheit (Au-
toReplyState: Scheduled) vom "29/07/2019
(StartTime)" bis "02/08/2019 (EndTime)"
konfiguriert ist. Darüber hinaus ist er-
kennbar, dass der Text der Abwesenheits-
nachricht für interne Empfänger (Inter-
nalMessage) und externe Empfänger
(ExternalMessage) gesetzt ist.
Schauen wir uns nun an, wie Sie Abwe-
senheitseinstellungen für mehrere Benut-
zer abfragen können. Hierfür bedienen
Sie sich der PowerShell-Pipeline (|). Mit
ihrer Hilfe lassen sich einzelne Befehle
einfach miteinander verketten. Das gibt
uns eine Vielzahl von Möglichkeiten bei
der Ausführung von PowerShell-Befehlen
und Skripten.
Ist die Exchange-Umgebung von der Grö-
ße her überschaubar, können Sie sehr ein-
fach die Out-of-Office-Einstellungen aller
Benutzer anzeigen. Dazu rufen Sie fol-
gendes Kommando auf:
Get-Mailbox | Get-MailboxAutoReply-
Configuration
Als Ergebnis erhalten Sie eine komplette
Liste aller Abwesenheitskonfigurationen.
In größeren Umgebungen kann diese Lis-
te natürlich sehr lang und unübersichtlich
ausfallen. Wenn Sie nur die Benutzer in-
teressieren, die derzeit eine Abwesenheit
www.it-administrator.de
Exchange mit der PowerShell verwalten
terminiert haben, erweitern Sie den obi-
gen Befehl um "Where-Object". Damit
schränken Sie die Ausgabe auf die Post-
fächer ein, bei denen der "AutoReplyState"
auf "Scheduled" gesetzt ist.
Get-Mailbox | Get-MailboxAutoReply-
Configuration | Where-Object
{$_.AutoReplyState -eq
"scheduled"}
Um zusätzlich die aktiven Abwesenheiten
ohne Endzeitpunkt zu sehen, ergänzen
Sie "Where-Object" um "-OR $_.AutoRe-
plyState -eq "enabled". Diese Konfigura-
tion findet sich in der Regel bei Postfä-
chern ausgeschiedener Mitarbeiter. Damit
senden Sie Geschäftspartnern eine Be-
nachrichtigung über den Weggang des
Mitarbeiters mit der gleichzeitigen Infor-
mation über die Kontaktdaten des Nach-
folgers. Im Ergebnis sieht unser Kom-
mando nun wie folgt aus:
Get-Mailbox | Get-MailboxAutoReply-
Configuration | Where-Object
{$_.AutoReplyState -eq "scheduled"
-OR $_.AutoReplyState -eq
"enabled"}
Wollen Sie nur die Namen der Benutzer
wissen, die eine Abwesenheit aktiviert ha-
ben, hilft das Hinzufügen von "fl identity":
Get-Mailbox | Get-MailboxAutoReply-
Configuration | Where-Object {
Exchange 2019
$_.AutoReplyState –eq "scheduled"
-OR $_.AutoReplyState -eq "enab-
led"} | fl identity
Damit sich diese Informationen zum Bei-
spiel für Dokumentationszwecke weiter-
verwenden lassen, schreiben Sie die Liste
mit "Out-file -filepath C:\test\result.txt"
in eine Textdatei:
Get-Mailbox | Get-MailboxAutoReply-
Configuration | Where-Object {
$_.AutoReplyState –eq "scheduled"
-OR $_.AutoReplyState -eq "enab-
led"} | fl identity | Out-file
-filepath C:\test\result.txt
Wiederkehrende
Abfragen durchführen
Unser Beispiel eignet sich natürlich auch
für einen geplanten Task. Die Liste ließe
sich beispielsweise einmal wöchentlich
erstellen und auf einer Dateifreigabe be-
reitstellen. Eine weitere Möglichkeit be-
steht darin, eine E-Mail mit diesem Re-
port regelmäßig an das Personalteam zu
senden. Dazu verwenden Sie das Cmdlet
"Send-MailMessage". Im folgenden Bei-
spiel versenden wir eine E-Mail mit der
Datei "result.txt" und der Absender erhält
eine Zustellbestätigung:
Send-MailMessage -From 'Admin <admi-
nistrator@company.net>' -To 'Theo
<theo@company.net>' -Subject 'Wee-
kly report: Out-of-Office' -Body
"Please find the list attached"
-Attachments C:\test\result.txt
-Priority High -DeliveryNotifica-
tionOption OnSuccess, OnFailure
-SmtpServer 'exchange.company.net'
Um die Bildschirmausgabe größerer Da-
tenmengen einfacher lesbar zu machen,
stellt die PowerShell ebenfalls Möglich-
keiten zur Verfügung. So können Sie mit
"Out-GridView" eine interaktive Tabelle
der Abwesenheitsinformationen erzeugen
und darin filtern und sortieren. Nehmen
Sie unser Anfangsbeispiel Get-Mailbox |
Get-MailboxAutoReplyConfiguration und
ergänzen es mit "| Out-GridView", erhal-
ten Sie ein Ergebnis wie in Bild 2. Natür-
lich haben Sie auch die Möglichkeit fest-
zulegen, welche Informationen die Tabelle
anzeigen soll. Hierfür verwenden Sie "Se-
Sonderheft II/2019 175
Exchange 2019 Exchange mit der PowerShell verwalten
Bild 2: Die Liste der Abwesenheitseinstellungen als interaktive Tabelle.
lect-Object" und geben die Namen der
gewünschten Felder an:
Get-Mailbox | Get-MailboxAutoReply-
Configuration | Select-Object
Identity,Starttime,Endtime,Exter-
nalMessage,InternalMessage |
Out-GridView
Erstellen von
Abwesenheitskonfigurationen
Nachdem Sie bereits einige Möglichkeiten
zum Anzeigen vorhandener Abwesen-
heitseinstellungen kennengelernt haben,
geht es nun um die Bearbeitungsmöglich-
keiten dieser Einstellungen. Dazu schauen
wir uns das Cmdlet "Set-MailboxAuto-
ReplyConfiguration" etwas näher an.
Beginnen wir mit dem Erstellen einer Ab-
wesenheitsbenachrichtigung für einen
User. Nehmen wir an, dieser User hat das
Unternehmen verlassen und bei E-Mails
an dieses Postfach sollen dauerhaft Be-
nachrichtigungen versendet werden. Der
Benachrichtigungstext soll dabei für in-
terne und externe E-Mails identisch sein.
Der entsprechende Befehl würde dann
zum Beispiel so aussehen:
Set-MailboxAutoReplyConfiguration
-Identity Thomas@company.net
-AutoReplyState Enabled
-InternalMessage "This user is no
longer working for us. Please
176 Sonderheft II/2019
write to Sandra@company.net"
-ExternalMessage "This user is no
longer working for us. Please
write to Sandra@company.net"
In einem zweiten Beispiel ist ein Mitar-
beiter krank geworden und kann die ent-
sprechende Abwesenheit nicht selbst
erstellen, also übernimmt das die IT-Ver-
waltung. Auf Basis der Krankmeldung ist
nun auch ein Endzeitpunkt für die Ab-
wesenheit bekannt, und die Out-of-Of-
fice-Konfiguration lässt sich demgemäß
so einrichten:
Set-MailboxAutoReplyConfiguration
-Identity Thomas@company.net
-AutoReplyState Scheduled
-InternalMessage "I'm on sick leave
until 12/07/2019. Your email will
not be forwarded. -ExternalMessage
"I'm on sick leave until 12/07/2019.
Your email will not be forwarded."
-EndTime "12/07/2019 00:00:00"
Die Mitteilungen für interne und externe
Empfänger können Sie hier natürlich im
Bedarfsfall auch unterschiedlich konfi-
gurieren.
Für unser drittes Beispiel wollen wir Ab-
wesenheitsmitteilungen für mehrerer Be-
nutzer erstellen. Ein Szenario hierfür wäre
beispielsweise eine Schulung für ein ge-
samtes Team oder eine Unternehmens-
veranstaltung. Für die Umsetzung benö-
tigen wir zunächst eine Datei, die die zu
verarbeitenden Benutzer enthält. Zum
Erstellen nutzen Sie zum Beispiel folgen-
den Befehl:
Get-Mailbox |Select-Object Prima-
rySmtpAddress | ConvertTo-CSV
-NoTypeInformation | Select-Object
-Skip 1| %{$_ -replace '"',“”}|
out-file C:\test\user.txt
Wir erhalten die primären E-Mail-Adres-
sen aller Mailboxen als Textdatei. Mit "Se-
lect-Object -Skip1" eliminieren wir die
Überschrift und mit "%{$_ -replace '"',“”}"
werden die Anführungszeichen entfernt.
Die Liste können Sie nun über eine For-
Each-Schleife verarbeiten. Dabei erstellen
Sie für jeden Eintrag in der Textdatei
(sprich: Postfach) die festgelegte Abwe-
senheitskonfiguration:
$Users = Get-Content
C:\test\user.txt
$(foreach ($User in $Users)
{Set-MailboxAutoReplyConfiguration
$User –AutoReplyState Scheduled
–StartTime "08/09/2019" –EndTime
"10/09/2019" –ExternalMessage "At
the moment I'm attending a trai-
ning event. I will answer your
www.it-administrator.de

Bild 3: Auch HTML-Benachrichtigung lassen sich mit den entsprechenden Vorlagen konfigurieren.
email asap." –InternalMessage "At
the moment I'm attending a trai-
ning event. I will answer your
email asap."
})
HTML nutzen
Bisher haben wir die Benachrichtigungs-
mitteilungen als reine Textnachricht ver-
fasst, aber auch die Verwendung von
HTML ist selbstverständlich möglich.
In diesem Fall ist der HTML-Nachrich-
tentext zunächst in einer Datei zu spei-
chern. Die Inhalte dieser Datei werden
dann bei der Ausführung von "Set-Mail-
boxAutoReplyConfiguration" an das
Cmdlet übergeben.
In Schritt 1 weisen Sie den Inhalt der vor-
gefertigten Nachricht der Variable "$mes-
sage" zu:
$message = get-content
C:\test\html_oof.txt
Danach konfigurieren Sie "$message" bei
externen und internen Nachrichten:
Set-MailboxAutoReplyConfiguration
-Identity Nora –AutoReplyState
Scheduled –StartTime "08/09/2019"
–EndTime "10/09/2019" –External-
Message $message –InternalMessage
$message
Führen Sie nun "Get-MailboxAutoReply-
Configuration" für diesen Benutzer aus,
sehen Sie ein Ergebnis wie in Bild 3. Ist die
Durchführung der gewünschten Aufgaben
beendet, schließen Sie mit Remove-PSSes-
sion -ID n die aktuelle Session. Die ID der
Session erhalten Sie mit Get-PSSession.
www.it-administrator.de
Exchange mit der PowerShell verwalten
Möglichkeiten zur
Delegations eruieren
Sie haben nun Wege kennengelernt, wie
Administratoren Abwesenheitseinstellun-
gen anzeigen und erstellen können. Was
aber, wenn diese Aufgaben an Helpdesk-
Mitarbeiter oder Benutzer in Fachberei-
chen wie beispielsweise der Personalabtei-
lung delegiert werden sollen? Folgende
Fragen sind dabei zunächst zu beleuchten:
1. Können die Mitarbeiter mit der Power-
Shell umgehen?
2. Dürfen/können Sie diesen Mitarbeitern
Administrationsberechtigungen für die
Bearbeitung von Postfächern vergeben?
Lautet die Antwort auf beide Fragen "Ja",
können Sie die oben aufgezeigten Mög-
lichkeiten problemlos in dieser Form de-
legieren. Sollte das nicht der Fall sein, weil
die Kollegen zum Beispiel kein Power-
Shell-Know-how besitzen oder aber wenn
die Vergabe der Berechtigungen aus or-
ganisatorischen Gründen nicht möglich
ist, müssen Sie sich spezielle Werkzeuge
zu Nutze machen. Diese sollten folgende
Eigenschaften mitbringen:
1. Zentrale Ausführung und Überwa-
chung aller PowerShell-Skripte
2. Zentrale und sichere Speicherung der
erforderlichen Credentials zur Ausfüh-
rung der PowerShell
3. Ausführung von PowerShell-Skripten
auch für Nicht-PowerShell-Experten
Diese Punkte sind beispielsweise mit der
Software ScriptRunner sehr einfach um-
setzbar. Hierbei werden alle PowerShell-
Skripte zentral gespeichert, verwaltet und
ausgeführt.
Darüber hinaus ermöglicht dieser Ansatz
auch das gemeinsame Entwickeln von
Exchange 2019
PowerShell-Skripten im Team. Die benö-
tigten Anmelde-Informationen sind im
Windows Credential Store oder einem
Passwortserver sicher gespeichert. Der
Benutzer, der eine Abwesenheitskonfi-
guration erstellen soll, greift mit einer
komfortablen Weboberfläche auf die
Funktionen zu und hat dabei keinerlei
Berührungspunkte mit der darunterlie-
genden PowerShell-Welt.
Die Oberfläche selbst wird im Übrigen
automatisch aus dem jeweiligen Power-
Shell-Skript erstellt. Damit entfällt zudem
das manuelle Programmieren von GUI-
Code komplett. Ein weiterer Vorteil ergibt
sich aus der Tatsache, dass in der Abwe-
senheitsbenachrichtigung Variablen für
Start und Ende der Abwesenheit zur Ver-
fügung stehen.
Diese Variablen werden automatisch aus
den Datumsangaben übernommen. Das
vereinfacht das Erstellen einer Out-of-
Office-Konfiguration zusätzlich und sorgt
außerdem dafür, dass zukünftig die Be-
nachrichtigungen immer mit korrekten
und aktuellen Datumsinformationen das
Haus verlassen.
Fazit
Die PowerShell ist ein hervorragendes
Werkzeug für die einfache Umsetzung
wiederkehrender Aufgaben bei der Ex-
change-Administration. Mit entsprechen-
den Erweiterungen ist es aber auch eine
perfekte Basis für die sichere und kom-
fortable Delegation festgelegter Anwen-
dungsfälle an Mitarbeiter und Teams au-
ßerhalb der IT-Administration. (ln)
Heiko Brenn ist Head of International Busi-
ness bei der ScriptRunner Software GmbH.
Sonderheft II/2019 177
Vo r s c h a u
Das nächste Sonderheft des
IT-Administrator erscheint im März 2020:
Clientmanagement
Stationäre und mobile Rechner
administrieren und absichern
Die Redaktion behält sich
Themenänderungen aus
aktuellem Anlass vor.
Impressum
Redaktion
John Pardey (jp),
Chefredakteur, verantwortlich
für den redaktionellen Inhalt
john.pardey@it-administrator.de
Daniel Richey (dr),
Stellv. Chefredakteur/CvD
daniel.richey@it-administrator.de
Lars Nitsch (ln),
Schlussredakteur/Textchef
lars.nitsch@it-administrator.de
Janek Müller (jm),
Volontär
janek.mueller@it-administrator.de
Autoren dieses Sonderhefts
Heiko Brenn, Thomas Joos, Dr. Christian
Knermann, Christian Schulenburg
Anzeigen
Anne Kathrin Heinemann,
Anzeigenleitung, verantwortlich
für den Anzeigenteil
kathrin@it-administrator.de
Tel.: 089/4445408-20
Es gilt die Anzeigenpreisliste
Nr. 16 vom 01.11.2018
Aikux S. 02
178 Sonderheft II/2019
– 123RF
a
pova Valeriy
Quelle: Pota
Produktion / Verlag / Herausgeber digitalen oder analogen Medien, nur mit So erreichen Sie den Leserservice
Anzeigendisposition Heinemann Verlag GmbH schriftlicher Genehmigung des Verlags. Leserservice IT-Administrator
Lightrays: Leopoldstraße 87 Aus der Veröffentlichung kann nicht Stephan Orgel
Andreas Skrzypnik, Lorenz Mueller 80802 München geschlossen werden, dass die beschrie- 65341 Eltville
dispo@it-administrator.de Tel.: 089/4445408-0 benen Lösungen oder verwendeten Tel.: 06123/9238-251
Tel.: 089/4445408-88 Fax: 089/4445408-99 Bezeichnungen frei von gewerblichen Fax: 06123/9238-252
Fax: 089/4445408-99 (zugleich Anschrift Schutzrechten sind. E-Mail: leserservice@it-administrator.de
Titelbild: Dmitri Luchinovich – 123RF aller Verantwortlichen)
Haftung Bankverbindung für Abonnenten
Druck Kontoinhaber: Heinemann Verlag
Web: www.heinemann-verlag.de Für den Fall, dass in IT-Administrator
Brühlsche Universitätsdruckerei Volksbank Raiffeisenbank
E-Mail: info@heinemann-verlag.de unzutreffende Informationen oder in
GmbH & Co. Kg Rosenheim-Chiemsee eG
veröffentlichten Programmen, Zeich-
Am Urnenfeld 12 IBAN: DE08 7116 0000 0102 6181 50
Eingetragen im Handelsregister des nungen, Plänen oder Diagrammen Feh-
35396 Gießen BIC: GENODEF1VRR
Amtsgerichts München unter ler enthalten sein sollten, kommt eine
HRB 151585. Haftung nur bei grober Fahrlässigkeit
Vertrieb So erreichen Sie die Redaktion
des Verlags oder seiner Mitarbeiter in
Anne Kathrin Heinemann Redaktion IT-Administrator
Geschäftsführung / Betracht. Für unverlangt eingesandte
Vertriebsleitung Heinemann Verlag GmbH
Anteilsverhältnisse Manuskripte, Produkte oder sonstige
kathrin@it-administrator.de Leopoldstr. 87
Geschäftsführende Gesellschafter zu Waren übernimmt der Verlag keine
Tel.: 089/4445408-20 80802 München
gleichen Teilen sind Anne Kathrin Haftung.
Tel.: 089/4445408-10
und Matthias Heinemann. Fax: 089/4445408-99
Abo- und Leserservice Manuskripteinsendungen
E-Mail: redaktion@it-administrator.de
Vertriebsunion Meynen GmbH & Co. KG Die Redaktion nimmt gerne Manuskrip-
Stephan Orgel ISSN
te an. Diese müssen frei von Rechten So erreichen Sie die Anzeigenabteilung
Große Hub 10 1614-2888 Dritter sein. Mit der Einsendung gibt der Anzeigenverkauf IT-Administrator
65344 Eltville Verfasser die Zustimmung zur Verwer- Anne Kathrin Heinemann
Urheberrecht tung durch die Heinemann Verlag Heinemann Verlag GmbH
leserservice@it-administrator.de Alle in IT-Administrator erschienenen GmbH. Sollten die Manuskripte Dritten
Leopoldstr. 87
Tel.: 06123/9238-251 Beiträge sind urheberrechtlich ge- ebenfalls zur Verwertung angeboten
80802 München
Fax: 06123/9238-252 schützt. Alle Rechte, einschließlich Über- worden sein, so ist dies anzugeben. Die
setzung, Zweitverwertung, Lizenzierung Redaktion behält sich vor, die Manu- Tel.: 089/4445408-20
Internet vorbehalten. Reproduktionen und Ver- skripte nach eigenem Ermessen zu bear- Fax: 089/4445408-99
www.it-administrator.de breitung, gleich welcher Art, ob auf beiten. Honorare nach Vereinbarung. E-Mail: kathrin@it-administrator.de
Thomas Krenn S.180 Inserentenverzeichnis
www.it-administrator.de
 12 Monatsausgaben im
ePaper
Print- & E-Paper-Format

+ Zwei Sonderhefte
im Print- & E-Paper-Format

117mm aussen
18mm innen

Jahres-CD

Enthält alle Ausgaben von

Januar 2019 bis Dezember 2019
+ Jahres Archiv-CD
mit allen Monatsausgaben
im PDF-Format

Abo- und Leserservice

IT-Administrator
vertriebsunion meynen
Herr Stephan Orgel
Das Abo All-Inclusive
D-65341 Eltville
Tel: 06123/9238-251
Fax: 06123/9238-252
shop.heinemann-verlag.de
leserservice@it-administrator.de
Passender
wird’s nicht!
   
"#$%
 

Mit Windows Server 2019 und Storage Spaces Direct (S2D) realisieren Sie auch anspruchsvolle SDS- und HCI-Projekte
 
            
   

Microsoft Azure
Stack HCI

Jetzt erhältlich!
& '* 
thomas-krenn.com/serie

Kontaktieren Sie uns:

+49 (0) 8551.9150-300