SF Einstein Folge mit Informationen zu Google. Was wird über uns seit über einem Jahrzehnt gespeichert, wo liegen Nutzen und Gefahren von personalisierter Suche? Ist es wirklich so, dass wir die Werbung bei Google nicht beachten?
Sehenswert.
Unsere ausgemusterten Computer werden gelöscht, neu aufgesetzt und verkauft. Nun haben einzelne Lehrpersonen der Primarschule gewünscht, den ersetzten Laptop auch noch für Lernsoftware zu behalten. Für diese haben wir aber keine Server CALs, keine Office Lizenzen, keine Virenschutzlizenzen etc. Mit dem originalen Windows XP können sie aber weiter als lokale Übungsstationen ohne Netzwerkverbindung eingesetzt werden.
Dabei bin ich folgendermassen vorgegangen:
Audacity ist eine open-source Software, mit der man Töne aufnehmen, schneiden und bearbeiten kann. Die Software kann in der Schule eingesetzt werden, um beispielsweise ein Hörspiel aufzunehmen und zu schneiden. Eine schon etwas ältere Anleitung findet man hier.
Unter http://www.audacityteam.org/download/windows/ findet man Audacity als EXE für Windows.
Audacity kann aus Lizenzgründen standardmässig keine MP3’s exportieren:
Because of software patents, we cannot distribute MP3 encoding software ourselves. Follow these instructions to use the free LAME encoder to export MP3 files with Audacity.
Die Programmierer von Audacity empfehlen den Lame Encoder, um MP3’s zu erstellen. Auf der Downloadseite von Audacity findet man unter Optional Downloads auch eine für Windows und Audacity geeignete Version.
Die heruntergeladenen Dateien benenne ich um, so dass keine Versionsnummern mehr drin vorkommen (dies, damit ich bei einer neuen Version das gleiche Paket in SCCM verwenden kann – so muss man dann nur die Dateien ersetzen, den Verteilungspunkt aktualisieren und das Programm erneut ausführen)
Die beiden Programme verteile ich über eine Batchdatei (install.cmd) mit dem folgenden Inhalt:
@echo off
%~dp0audacity.exe /VERYSILENT /NORESTART /MERGETASKS=“!desktopicon“
%~dp0Lame.exe /VERYSILENT /NORESTART
REM Return exit code to sccm
exit /B %EXIT_CODE%
Die alte Version (Audacity 1.3 Beta) wird bei der Installation der neuen Version nicht deinstalliert. Es ist möglich, beide Versionen parallel zu betreiben. Somit könnte man auch einfach die alte Verknüpfung aus dem Startmenü entfernen, um die Benutzer nicht zu verwirren.
Ich wollte aber die alte Version vollständig deinstallieren. Daher habe ich ein Skript geschrieben, um diese zu entfernen. (Vorsicht, es hat keinen Zeilenumbruch innerhalb der Zeilen mit “if exist”. Das Skript besteht also aus 3 Zeilen. Wenn man nur x64 oder x86 Maschinen hat, kann man sich die entsprechende Zeile auch sparen).
@echo off
if exist „C:\Program Files (x86)\Audacity 1.3 Beta\audacity.exe“ „C:\Program Files (x86)\Audacity 1.3 Beta\unins000.exe“ /verysilent
if exist „C:\Program Files\Audacity 1.3 Beta\audacity.exe“ „C:\Program Files\Audacity 1.3 Beta\unins000.exe“ /verysilent
Die alte Version wird so korrekt entfernt, aber scheinbar auch die Verknüpfung von Audacity mit den eigenen Projektdaten. Beim ersten Start kommt ein entsprechender Hinweis. Die Benutzer können dies mit “Ja” bestätigen und Audacity 2.0 funktioniert danach einwandfrei.
Wenn man das Hinweisfenster nicht haben möchte, kann man auch nach der Deinstallation der alten Version die neue nochmals installieren. Besser wäre es natürlich gewesen, zuerst die alte Version zu entfernen und danach die neue zu installieren, aber nachher ist man ja häufig schlauer. 
Wir haben sekretariat@ Adressen, die wir auf unserer Homepage für Anfragen ans Sekretariat angeben. Diese Adresse war bisher einfach als zusätzliche E-Mail-Adresse einer unserer Sekretariatsmitarbeiterinnen eingetragen.
Es ist nun aber nicht möglich, dass diese Mitarbeiterin ein Mail verfasst, bei dem die sekretariat@ Adresse als Absender angegeben wird, es wird immer ihr Name angezeigt. Über einen Umweg kann man das trotzdem erreichen.
Dazu muss man einen zusätzlichen Account für das Sekretariat erstellen. In Exchange kann man dann unter “Nachrichtenübermittlungseinstellungen” –> “Übermittlungsoptionen” –> “Weiterleiten an:” die Adresse der Weiterleitung angeben. Die Box “Nachricht an Weiterleitungsadresse und Postfach übermitteln” sollte man nicht ankreuzen, da sonst das Postfach irgendwann “überläuft” (weil ja niemand die Mails darin löscht).
An dieser Stelle könnte man auch unter “Senden im Auftrag von” eine zusätzliche Adresse angeben. Dies führt aber dazu, dass das “im Auftrag von” auch bei der Mail angezeigt wird.
Die richtige Einstellung findet sich im Aktionen Fenster unter “Berechtigung ‘Senden als’ verwalten…”
Um nun ein Mail mit der sekretariat@ Adresse zu verfassen, kann die so berechtigte Person auf der Registerkarte “Optionen” das Von Feld anzeigen lassen und dann die andere Adresse auswählen.
Diese “Senden als” Berechtigung funktioniert aber erst nach einer Exchange Replikation. Also kurz abwarten oder den Information Store Dienst neu starten.
Wenn man den Computer verlässt, sollte man ihn sperren. Dies gilt speziell, aber nicht nur, in einer Schule. Am einfachsten drückt man “Windows-Logo-Taste + L”.
Nun hat das aber an einem Computer nicht mehr funktioniert, obwohl die Windows-Logo-Taste zusammen mit anderen Buchstaben problemlos funktionierte.
Gemäss Internet gibt es scheinbar noch mehr, die dieses Problem hatten, es gibt verschiedene Lösungsansätze. Der letzte ist, das Profil neu zu erstellen. Bei mir hat sich dann gezeigt, dass unter HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System ein Eintrag 1 bei “DisableLockWorkstation” gesetzt war. Wenn man diesen auf 0 abändert, funktioniert auch das Computer sperren wieder.
Mit unseren neuen Computern funktioniert bei Netop Vision Pro der Demomodus nicht. Wenn man eine Demo starten möchte, kommt auf den Clients nur ein kleines Fenster mit einem Countdown und dem Hinweis “Demo startet”:
Es stellte sich heraus, dass es bei diesen Computer notwendig ist, den Hardware-Beschleunigungsmodus zu aktivieren:
Eine Überprüfung mit dem Process Monitor von Sysinternals ergab, dass es sich um den folgenden Registry Key handelt.
HKCU\Software\Netop\Vision\6\Configuration\Demo
Wahrscheinlich schaue ich einmal, ob ich diesen verteilen kann. Besser wäre es, wenn Netop eine Möglichkeit bieten würde, solche Einstellungen direkt bei der Erstellung des MSI’s vorzunehmen.
Gemäss Netop Support müsste die Demo auch funktionieren, ohne dass man die Hardware-Beschleunigung aktiviert. Ich habe dann gemäss Anleitung im Gerätemanager den “Netop Mirror Driver” gelöscht, den Computer neu gestartet und manuell als lokaler Administrator die Datei meddmrrinst.exe im Ordner C:\Program Files (x86)\Netop\Vision\amd64 (bei 32bit Installationen liege die Datei im Ordner TSEngine statt AMD64) ausgeführt.
Nun funktioniert die Demo auch ohne Hardwarebeschleunigung. Wenn ich dann das Informatikzimmer mal wieder neu aufsetze, werde ich versuchen, das Programm direkt aus dem Batch (siehe Vision Pro ersetzt Netop School) aufzurufen.
Wenn man WLAN zuhause einsetzt, verwendet man meistens einen Schlüssel, den man beim Laptop und dem Accesspoint (häufig auch ein Router mit eingebautem Accesspoint) eintragen muss. Dies heisst dann z.B. WPA2-PSK, wobei das WPA2 für die Art der Verschlüsselung und das PSK für “PreShared Key” steht. In einem Firmen- oder eben Schulumfeld macht dies aus diversen Gründen nicht so viel Sinn. Dieser Schlüssel lässt sich nicht ohne weiteres auf die Clients verteilen und ihn auf allen Clients manuell einzutragen kann auch nicht die Lösung sein.
Besser verwendet man einen Radius-Server, der die Clients authentifiziert. Wenn sich jetzt ein Client mit einem Accesspoint verbinden will, wird die Anfrage an diesen Server weitergegeben. Microsoft Server bieten das von Haus aus unter “Netzwerkrichtlinien- und Zugriffsdienste” an.
Man kann auf diesem Radiusserver angeben, wie die Clients authentifiziert werden sollen. Eine Möglichkeit ist eine Benutzernamen/Passwort Kombination. Dann kann dieser Benutzer aber mit jedem Gerät ins interne Netzwerk, was sicherheitstechnisch nicht sinnvoll ist. Ausserdem sollte der Client schon vorher über WLAN verbunden sein, damit die Gruppenrichtlinien vom Server schon beim Computerstart übernommen werden.
Dies kann man z.B. mit Zertifikaten erreichen. Dazu benötigt man eine sogenannte PKI (public-key infrastructure). Auch das bieten die Microsoft Server von Haus aus.
Mit so einer Microsoft CA (Certificate Authority) kann man Zertifikate ausstellen lassen, denen innerhalb einer Domäne vertraut wird und die sich über Gruppenrichtlinien auf die einzelnen Clients verteilen lassen. Mit folgender Einstellung werden die Zertifikate automatisch ausgestellt und erneuert, wenn sie ablaufen.
Vereinfacht sieht der Ablauf dann so aus:
Der Client hat ein Zertifikat installiert, und verbindet sich mit dem Accesspoint. Dieser reicht das Zertifikat an den Netzwerkrichtlinienserver weiter. Dieser überprüft das Zertifikat und erlaubt dem Accesspoint, den Client ins Netzwerk zu verbinden. Die Zertifikate werden automatisch von der CA herausgegeben und erneuert.
Nun zum Problem
Plötzlich konnten sich alle Clients nicht mehr verbinden. Zertifikate und Netzwerkrichtlinienserver schienen aber in Ordnung zu sein. Trotzdem wurde alles nochmals überprüft und diverse Möglichkeiten getestet. Der Ausfall schien zeitnah mit der Installation von Windowsupdates begonnen zu haben. Im Systemlog fand ich dann folgenden Hinweis: Ereignis-ID: 36885, Quelle Schannel.
Scheinbar hatte der Server eine zu lange Liste mit vertrauenswürdigen Zertifizierungsstellen, so dass bei der Übermittlung an den Client ein Teil davon abgeschnitten wurde. Dummerweise darunter auch das unser eigenen CA.
Bei den letzten Updates wurden auch die Stammzertifikate ergänzt (und damit die Liste zu gross).
Gemäss Kollege Google kann man einfach die nicht benötigten Zertifikate aus den “Vertrauenswürdigen Stammzertifizierungsstellen” löschen. Dabei muss man mindestens die eigene CA und die im Knowledgebase Artikel 293781 aufgeführten, von Windows benötigten, drin lassen. Zur Sicherheit habe ich zuerst alle exportiert.
Nun verbinden sich die Clients wieder wie gewünscht…
Unsere Computer werden nach 6 Jahren ausgemustert. Zuerst werden die Festplatten vollständig mit DBAN gelöscht. Danach werden sie an interessierte Schüler/-innen verkauft. Dazu habe ich jeweils eine Linuxdistribution installiert (siehe auch diesen Beitrag). Der Vorteil von Lubuntu ist, dass es für ältere Hardware gemacht ist und auch dort einigermassen schnell läuft. Ein anderer Vorteil ist, dass es viel schneller installiert ist. Aber nachdem mir viele Schüler/-innen zurückgemeldet haben, dass sie halt doch lieber Windows XP installiert hätten, habe ich mir das dieses Jahr angetan…
Man kann in Outlook seinen Hauptkalender oder einen eigens dafür erstellten Kalender für andere Personen freigeben. Einfach einen Rechtsklick auf den entsprechenden Kalender machen und im sich öffnenden Kontextmenü “Freigeben” –> “Kalender freigeben” auswählen.
Nun öffnet sich ein E-Mail an die eingeladene Person. Hier kann man noch ein Häklein setzen, ob diese Person die Kalendereinträge nur sehen darf oder auch bearbeiten.
Nun ist aber bei einer unserer Lehrpersonen bei diesem Vorgang folgende Fehlermeldung aufgetreten:
Dies passiert, wenn man den Empfänger aus der eigenen Kontaktliste auswählt (resp. wenn er von dort vervollständigt wird). Wenn man den Empfänger aus dem Globalen Adressbuch auswählt, funktioniert es wie gewünscht.
ictschule 