Bei uns müssen die Benutzer den Drucker manuell verbinden. Es gibt zu viele Möglichkeiten, als das sich das sinnvoll über Gruppenrichtlinien lösen lassen würde.

Nun wollte ich überprüfen, ob schon einige Lehrkräfte auf den neuen Server umgestellt haben, fand aber in der Ereignisanzeige keine Meldungen zum Drucken. Auf dem alten Server hatte ich das mal manuell eingestellt, weil der Wunsch war, dass nachverfolgt werden kann, wenn z.b. Schüler/-innen auf einem entfernten Drucker unsinnige Dokumente ausdrucken. Dies ist aber in den letzten Jahren nie vorgekommen. Trotzdem habe ich es nun auf dem neuen Server wieder eingerichtet.

Weiterlesen →

Bei der Migration unseres Fileservers bin ich durch einen Tipp gerade auch auf DFS umgestiegen. Dadurch ist (unter anderem) die Freigabe durch einen serverunabhängigen Pfad erreichbar. Bei einer späteren Migration kann ein Replikat auf dem neuen Server angelegt und der alte Server danach entfernt werden, was einiges vereinfachen sollte.

Wenn man nun aber auf dem neuen Userhome eine Officedatei öffnet, kommt ein Hinweis, dass die Datei von einem Internetspeicherort stamme. Man kann sie zwar durch einen Klick auf “Bearbeitung aktivieren” trotzdem bearbeiten. Beim nächsten Öffnen kommt auch der Hinweis nicht mehr. Aber trotzdem ist es sehr umständlich für die Benutzer, dieses Vorgehen für jede bereits gespeicherte Datei durchzuführen.

Man kann dieses Verhalten aber über eine Gruppenrichtlinie steuern. Dazu muss man eine Benutzerrichtlinie erstellen und unter Benutzerkonfiguration –> Richtlinien –> Administrative Vorlagen –> Microsoft Office 2010 –> Sicherheitseinstellungen –> Sicherheitscenter –> Vertrauenswürdiger Speicherort Nr. 1 den DFS Share eintragen:

Ausserdem muss man noch in den gewünschten Officeanwendungen zulassen, dass in der entsprechenden Anwendung Vertrauenswürdige Speicherorte im Netzwerk zugelassen werden. Also z.B. für Word 2010 unter Benutzerkonfiguration –> Richtlinien –> Administrative Vorlagen –> Microsoft Word 2010 –> Word-Optionen –> Sicherheit –> Sicherheitscenter –> Vertrauenswürdige Speicherorte –> Vertrauenswürdige Speicherorte im Netzwerk zulassen.

Hier noch die Übersicht der Gruppenrichtlinie.

Im Moment migriere ich ja laufend alle unseren alten Server auf unseren neuen Failovercluster. Auch der Fileserver wurde neu in einer virtuellen Maschine installiert. Danach muss man noch die neuen Freigaben anlegen und die Dateien kopieren.

Für Freigaben auf einem Fileserver muss man sowohl die Berechtigungen der Freigabe als auch die Berechtigungen auf Dateiebene (NTFS) setzen.

Share permissions and NTFS permissions are independent in the sense that neither changes the other. The final access permissions on a shared folder are determined by taking into consideration both the share permission and the NTFS permission entries. The more restrictive permissions are then applied. (Quelle Technet)

Aus diesem Grund sieht man oft, dass bei der Freigabe “Jeder” Vollzugriff hat und die Berechtigungen nur über NTFS gesetzt werden. Dies ist absolut ein gangbarer Weg. Ich habe mich trotzdem entschieden, auch die Freigabe zu beschränken. Falls also irgendwann ein Fehler bei der NTFS Berechtigung gesetzt werden (und die menschlichen Fehler sind ja die häufigsten Fehler in der IT) sollte, kommen wegen den Freigabeberechtigungen trotzdem keine Schüler/-innen auf die Userhomes der Lehrpersonen.

Nun muss man noch die NTFS Berechtigungen anpassen. Den Benutzern “System” und “Domänen-Admins” sollte man wegen Dingen wie Backup etc. die Berechtigung aber nicht entziehen.

Der entsprechenden Lehrergruppe muss man Leseberechtigung erteilen. Wichtig ist, “Nur diesen Ordner” auszuwählen, damit die Berechtigung nicht auf die Unterordner übertragen wird. Dort soll ja nur jede Lehrperson auf ihr eigenes Userhome Zugriff haben.

Nun kann man die Dateien vom alten Server auf den neuen kopieren:

robocopy <Source> <Destination> [<File>[ …]] [<Options>]

Am besten macht man das ausgehend vom alten Server. <Destination> kann auch ein UNC Pfad sein. Die passenden Parameter findet man im Technet.

In unserem Fall war das dann vom lokalen d: auf die DFS Netzwerkfreigabe:
robocopy d:\lehrerhomes\ \\domänenname\dfs\lehrerhomes\ /e /zb /copyall /r:3 /w:5

Man kann den Robocopy Befehl auch mehrere Male hintereinander durchführen, um zu testen. Vor dem letzten Durchgang entfernt man am Besten zu einem Zeitpunkt wenn niemand am Arbeiten ist die Freigabe auf dem alten Server. Nicht dass sich doch jemand verbindet und noch eine Änderung erstellt, die nicht auf den neuen übernommen wird.

Dies muss man mit allen Freigaben machen, wir haben noch weitere Freigaben wie “Lehreraustausch” zum Austausch zwischen den Lehrpersonen, “Transfer” zum Austausch zwischen Schüler/-innen und Lehrpersonen und “Schülerhomes” auf die die Lehrpersonen auch Zugriff haben.

Nach dem erfolgreichen Kopieren, muss man noch die Pfade anpassen.