Namenskonventionen sind schwer. Jedes Mal rate ich mir einen Ast, wie ich Dinge im Windows-Netzwerk am besten benennen soll. Vor allem wegen den Zeichen die einem vorgegeben werden. Im 21. Jahrhundert in einem Netzwerk auf 2016\/2019 Ebene sollte es da eigentlich keine gro\u00dfen Beschr\u00e4nkungen mehr geben. So kann ein gMSA nur 15 Zeichen (plus Dollar-Zeichen) haben. Das macht eine sinnvolle Trennung zwischen mehreren Standorten\/Sprachen und\/oder Servern ein wenig schwierig.<\/p>\n
<\/p>\n
Die Grouped Managed Service Accounts<\/strong> sind besonders f\u00fcr Dienste und Tasks\/Aufgaben geeignet und sollten auch verwendet werden. Ein gMSA hat nur speziellen Zugriff, den man eventuell auch daf\u00fcr konfigurieren muss. Ein Passwort wird nicht vergeben, dennoch wird eines zwischen dem Account und der Windows Dom\u00e4ne ausgetauscht und auch regelm\u00e4\u00dfig erneuert. Der User bekommt davon nichts mit. Genau deshalb SOLLTE ER VERWENDET WERDEN!<\/p>\n Es gibt viele M\u00f6glichkeiten gMSA\u2019s zu verwenden, daher ist eine Namenskonvention aus 15 Zeichen auch etwas schwer. Standorte, Sprachen, Verwendungszweck etc. Es sollte ja trotzdem irgendwie erkennbar sein, wof\u00fcr der gMSA verwendet wird.<\/p>\n Hier ein Beispiel vom goSecurity Blog<\/a>:<\/p>\n Da wir leider auf mehreren Standorten \u00e4hnliche Servernamen verwenden, ist dies ein wenig schwierig, da ich entweder den gleichen gMSA verwenden m\u00fcsste oder den Standort irgendwie mit einflie\u00dfen lassen muss. Jetzt k\u00f6nnte ich gMSA\u2019s auch einfach durchnummerieren, dann m\u00fcsste ich aber behalten wof\u00fcr ein gMSA eingerichtet wurde.<\/p>\n Erste Versuche liefen also hier hin:<\/p>\n SA_T_PSR_FILE (Service Account, Task, PowerShell Report, FileServer) Momentan versuche ich es daher aus genannten Gr\u00fcnden wie folgt; nicht perfekt, l\u00e4uft aber:<\/p>\n SASD_SQL01_MAIN (Service, Deutschland, SQLServer01, Default Instanz) SA = Service Account. MAIN, weil DEFAULT\/STANDARD w\u00e4re zu lange.<\/p>\n Zum Testen auf den Rechnern: Test-AdServiceAccount -Identity „SA-AccountName“. Damit k\u00f6nnte man die Server durchschleifen und testen, ob ein SA wieder verwendet wird\/wurde. Nat\u00fcrlich sollte ein nicht verwendeter gMSA sofort wieder gel\u00f6scht\/deinstalliert werden, damit solche \u201cLeichen\u201d gar nicht erst auftreten.<\/p>\n Instanzen kann man kaum eine Namenskonvention erzwingen, wenn man externe H\u00e4user\/Software mit im Boot hat. Namen von Instanzen sollten ein Schema haben, bisher habe ich daf\u00fcr keines. Dies im Nachhinein zu \u00c4ndern ziehe ich aber auch nicht in Betracht. Wenn jemand was sinnvolles in mehreren Sprachen hat, darf er sich gerne melden.<\/p>\n Den SQL Alias richten wir ein, damit wir die Datenbank einfacher umziehen k\u00f6nnen. Wenn dann noch ein DNS Alias (CNAME) hinzukommt, kann man das ganze Konstrukt \u00fcber DNSAlias\\SQLAlias erreichen. Einzig f\u00fcr mich sichtbare Problem: Wenn der DNS wegf\u00e4llt, kann niemand den Server erreichen.<\/p>\n DNS Alias Beispiele:<\/p>\n SQL_SharepointFarmS01.PROD.SQL SQL Alias Beispiele (cliconfg in x64 und x86):<\/p>\n SQL_Default Kombiniert:<\/p>\n SQL_SharepointFarmS01.PROD.SQL\\SQL_Sharepoint<\/span><\/strong><\/p>\n Hier komme ich bei meiner letzten Konvention etwas an meine Grenzen, Gruppen sind n\u00e4mlich auf 64 Zeichen begrenzt.<\/p>\n SG-SQL-DE-SQLSRV3-MSSQLSERVER-Database-SharePoint-Administrator (63 Zeichen)<\/p>\n Erkl\u00e4rung:<\/p>\n SG = Security Global Der SQL sa-Account sollte \u00fcbrigens nicht verwendet werden. Am besten wird die Instanz schon gar nicht mit einem solchen installiert. Dieser kann im Nachhinein aber auch deaktiviert werden.<\/p>\n Wenn ich versuche das etwas k\u00fcrzer zu halten, s\u00e4he es in etwa so aus:<\/p>\n So w\u00e4re es nicht ganz so lange und k\u00f6nnte leichter erweitert werden. SQLDB w\u00e4ren dann direkt die Datenbanken, ohne DB w\u00e4ren es die Instanzen.<\/p>\n Maschinen:<\/p>\n DE-VS-SQLC01P01 (Virtuell, Server, SQL Cluster)<\/span><\/strong> Hier sieht man eine m\u00f6gliche Herangehensweise. Man k\u00f6nnte ein zweites Cluster zu Test-Zwecken aufbauen. Der Unterschied hier ist der Buchstabe D\/P. Dies steht f\u00fcr Development\/Produktiv. So k\u00f6nnte man das gleiche f\u00fcr die Anwendungsserver machen und entsprechend Anwendungen und Zugriffe besser\/schneller testen.<\/p>\n Notiz: Mit den 17 Zeichen habe ich mich nat\u00fcrlich ein wenig verrannt. Wichtig ist dabei nat\u00fcrlich auch, dass jeder eigene Pr\u00e4ferenzen hat.<\/p>\n Instanzen: Deutschland, Virtuell, Windows, SQL, Produktiv, Cluster 01, Maschine 1 oder 2<\/p>\n Ist aber noch nicht fertig<\/span><\/strong>, ich teste das demn\u00e4chst mit einem Kollegen.<\/p>\n Damit man die Mailverteiler schneller finden kann, sollten diese auch eine Namenskonvention erf\u00fcllen. Da Verteilergruppen als Distribution Groups eingerichtet werden, bietet sich die Abk\u00fcrzung DG daf\u00fcr an.<\/p>\n DG-MV-DE-ITOperations Relativ einfach hier die Vergabe nach: Gruppen-Typ \u2013 Mail-Verteiler \u2013 Deutschland \u2013 Name des Verteilers.<\/p>\n (Hatte noch einen Gedanken. Ist verloren gegangen)\u2026<\/span><\/strong><\/p>\n Lokale Berechtigungsgruppen lassen sich durch Security Local<\/em> (also SL) erkl\u00e4ren. Diese werden verwendet um in einer relativ flachen Ordner-Hierarchie Berechtigungen im Datei-System zu vergeben. Das sollte vor allem verwendet werden um Ordner-Leichen im System zu vermeiden.<\/p>\n SL-DE-FILE-Daten-List Dazu sollte man dann auch SG-Gruppen anlegen, die man dann in die SL-Gruppen packt. Damit niemand direkten Zugriff auf etwas hat. Beispiele daf\u00fcr:<\/p>\n SG-EDV-DE-All Servernamen und Rechnernamen k\u00f6nnen eine \u00e4hnliche Namenskonvention haben. Ich habe mir dabei mal das folgende \u00fcberlegt, kommt aber immer auf die jeweilige Situation an:<\/p>\n DE-VL-<NAME> Deutschland, Virtuell, Linux, Name.<\/p>\n Aber: DNS = 63 Zeichen, NetBIOS = 15 Zeichen. Namenskonventionen sind schwer. Jedes Mal rate ich mir einen Ast, wie ich Dinge im Windows-Netzwerk am besten benennen soll. Vor allem wegen den Zeichen die einem vorgegeben werden. Im 21. Jahrhundert in einem Netzwerk auf 2016\/2019 Ebene sollte es da eigentlich keine gro\u00dfen Beschr\u00e4nkungen mehr geben. So kann ein gMSA nur 15 Zeichen (plus Dollar-Zeichen) […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3,5,13,386,378],"tags":[410,401,399,403,409,58,407,406,400,412,404,397,402,414,413,415,398,408,405,201,411,416],"class_list":["post-675","post","type-post","status-publish","format-standard","hentry","category-domain","category-it","category-tips","category-windows","category-work","tag-access","tag-account","tag-active","tag-alias","tag-berechtigung","tag-cluster","tag-database","tag-datenbank","tag-directory","tag-distribution-group","tag-dns","tag-gmsa","tag-instanz","tag-machinename","tag-name","tag-rechnername","tag-service","tag-sharepoint","tag-sql","tag-task","tag-verteilergruppe","tag-virtual"],"_links":{"self":[{"href":"https:\/\/lukas.kurth.rocks\/blog\/wp-json\/wp\/v2\/posts\/675","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/lukas.kurth.rocks\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/lukas.kurth.rocks\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/lukas.kurth.rocks\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/lukas.kurth.rocks\/blog\/wp-json\/wp\/v2\/comments?post=675"}],"version-history":[{"count":5,"href":"https:\/\/lukas.kurth.rocks\/blog\/wp-json\/wp\/v2\/posts\/675\/revisions"}],"predecessor-version":[{"id":687,"href":"https:\/\/lukas.kurth.rocks\/blog\/wp-json\/wp\/v2\/posts\/675\/revisions\/687"}],"wp:attachment":[{"href":"https:\/\/lukas.kurth.rocks\/blog\/wp-json\/wp\/v2\/media?parent=675"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/lukas.kurth.rocks\/blog\/wp-json\/wp\/v2\/categories?post=675"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/lukas.kurth.rocks\/blog\/wp-json\/wp\/v2\/tags?post=675"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n\n
\n Name (max. 15 Zeichen)<\/th>\n Dienst oder Task<\/th>\n Beschreibung<\/th>\n<\/tr>\n \n SA_T_B_SRV-XY<\/td>\n Scheduled Task<\/td>\n Backup Skript auf dem Server SRV-XY<\/td>\n<\/tr>\n \n SA_D_SQL_SRV_YX<\/td>\n Dienst<\/td>\n Dienst f\u00fcr SQL_Server auf SRV-YX<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
\nSA_S_SQL_MAIN (Service Account, Service, SQL, Haupt-Instanz)<\/p>\n
\nSASS_SQL01_MAIN (Service, Schweden, SQLServer01, Default Instanz)
\nSATD_PSR_FILE (Task, Deutschland, PowerShell Report, FileServer)<\/strong><\/span><\/p>\nSQL Instanzen, SQL Alias, DNS SQL Alias<\/strong><\/h2>\n
\nSQL_SharepointFarmS01.ENTW.SQL
\nSQL_ExchangeFarm01.PROD.SQL<\/p>\n
\nSQL_Sharepoint<\/p>\nAD Gruppen, SQL Instanz Berechtigungen (64 Zeichen)<\/strong><\/h2>\n
\nMSSQLSERVER = Instanz-Name, Haupt-Instanz
\nDatabase-SharePoint = Damit man sieht, dass es keine Berechtigung f\u00fcr die SharePoint Instanz ist
\nAdministrator = Obvious, aber es ist kein Service Account, nur ein Administrator<\/p>\n
\nSG-SQL-DE-SQL1-MSSQLSERVER-Public
\nSG-SQL-DE-SQL3-MSSQLSERVER-Public
\nSG-SQLDB-DE-SharePoint-Reader
\nSG-SQLDB-DE-SharePoint-User
\nSG-SQLDB-DE-SharePoint-Administrator<\/span><\/strong><\/p>\nSQL Cluster Benennung (erste ihrer Art bei uns)<\/h2>\n
DE-VS-SQL-PC01-01<\/span><\/strong><\/del> (17 Zeichen)<\/span>
\nDE-VS-SQL-PC01-02<\/span><\/strong><\/del><\/p>\n
\nDE-VS-SQLC01P02<\/span><\/strong>
\nDE-VS-SQLC01D01 (Development)
\n<\/strong><\/span><\/p>\nMailverteilergruppen<\/h2>\n
\nDG-MV-DE-ITDevelopment<\/span><\/strong><\/p>\nLokale Berechtigungsgruppen (Rechtevergabe, Rollen-Konzepte, File-Server)<\/h2>\n
\nSL-DE-FILE-Daten-EDV-RW
\nSL-DE-FILE-Daten-EDV-List<\/span><\/strong><\/p>\n
\nSG-EDV-DE-Operating
\nSG-EDV-DE-Development<\/span><\/strong><\/p>\nServer und Rechner-Namen<\/h2>\n
\n\n
\n Abk\u00fcrzung<\/th>\n Bezeichnung<\/th>\n<\/tr>\n \n C<\/td>\n Client<\/td>\n<\/tr>\n \n S<\/td>\n Server<\/td>\n<\/tr>\n \n L<\/td>\n Linux oder Laptop<\/td>\n<\/tr>\n \n LC<\/td>\n Laptop: Client<\/td>\n<\/tr>\n \n F<\/td>\n Firewall<\/td>\n<\/tr>\n \n P<\/td>\n Printer\/Drucker<\/td>\n<\/tr>\n \n M<\/td>\n Mobile Ger\u00e4te<\/td>\n<\/tr>\n \n V<\/td>\n VM Ware VM<\/td>\n<\/tr>\n \n VC<\/td>\n Virtuell: Client<\/td>\n<\/tr>\n \n VS<\/td>\n Virtuell: Server<\/td>\n<\/tr>\n \n W<\/td>\n Workstation oder Windows<\/td>\n<\/tr>\n \n WC<\/td>\n Workstation: Client<\/td>\n<\/tr>\n \n T<\/td>\n VOIP Telefon<\/td>\n<\/tr>\n \n P<\/td>\n Physikalisch<\/td>\n<\/tr>\n \n MX\/EXC<\/td>\n Exchange<\/td>\n<\/tr>\n \n H<\/td>\n Hyper-V VM<\/td>\n<\/tr>\n \n X<\/td>\n Xen VM<\/td>\n<\/tr>\n \n A<\/td>\n Appliance<\/td>\n<\/tr>\n \n C<\/td>\n Cluster<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n
\nDE-VC-<NAME>
\nDE-VS-<NAME>
\nDE-H-<NAME>
\nDE-PC-IT01\/H8V01
\nDE-VS-MX01
\nDE-CL-SQL01 (SQL Cluster)
\nSE-PS-FL01 (File-Server)<\/p>\n
\nDas sollte man beachten, so wird in manchen Systemen der Name abgehackt. Das Gilt auch f\u00fcr die Cluster oben, die ich entsprechend ge\u00e4ndert habe.<\/p>\nWichtig f\u00fcr alles!<\/h2>\n
\n