Mar 21, 2006, updated at Oct 18, 2012 (UTC)

10100

Active Directory unter WinXP

AD zum Testen unter Windows XP installieren/emulieren...

Hoi, wieder mal ich...

Da ich derzeit nicht dazu komme, mein Script (Windows - Active Directory in PHP) in unserem Netzwerk (mit AD - Server) zu testen, stellt sich mir die Frage, ob es möglich ist, AD irgendwie unter WindowsXP zu instellieren und dann einfach einen Server zu "simulieren"... ?

Ist so etwas möglich? Wenn ja, wie? Danke wie immer im Vorraus.

MFG Stefan

Please also mark the comments that contributed to the solution of the article

Content-Key: 28650

Url: https://administrator.de/contentid/28650

Printed on: April 19, 2024 at 13:04 o'clock

41 Comments

Latest comment

kenne ich nix und hab bisher noch nie sowas gehört oder gesehen..

Du kannst natürlich nen VMWare und nen Windows 2000 Server aufsetzen

aber das wäre glaub ich etwas overkill.
Als Alternative kannst Du natürlich einen LDAP (z.B.OpenLDAP) aufsetzen, dort musst Du aber erstmal die AD Struktur reinbringen, weiss nicht wie gut das klappt, oder ob jm. sowas schon mal gemacht hat.

Unter XP ansich bekommst du kein AD ans Laufen.
Du kansr dir höchsten mit VMware eine virtuelle Maschine aufsetzen. Die Beta vom VMWare Server ist auch kostenlos und eine Testumgebung kann man immer brauchen.

guckst du auch: Info: VMware Introduces Free VMware Server

kenne ich nix und hab bisher noch nie sowas
gehört oder gesehen..

Du kannst natürlich nen VMWare und nen
Windows 2000 Server aufsetzen

aber das
wäre glaub ich etwas overkill.
Als Alternative kannst Du natürlich
einen LDAP (z.B.OpenLDAP) aufsetzen, dort
musst Du aber erstmal die AD Struktur
reinbringen, weiss nicht wie gut das klappt,
oder ob jm. sowas schon mal gemacht hat.

hmm, naja, es geht ja hauptsähnlich um a.) die struktur und b.) ob der login überhaupt klappt

Unter XP ansich bekommst du kein AD ans
Laufen.
Du kansr dir höchsten mit VMware eine
virtuelle Maschine aufsetzen. Die Beta vom
VMWare Server ist auch kostenlos und eine
Testumgebung kann man immer brauchen.

guckst du auch:
Info: VMware Introduces Free VMware Server

hmmm, das braucht aber sicher massen an speicher auf der hdd... und den hab ich ima auch nur im 10gb bereich (auf zwei partitionen aufgeteilt) tur verfügung....
//Edit:
PS: 2. beitrag unter deinem link: Man beachte, dass VMWare Server nicht auf XP läuft
außerdem müsste ich mir erst eine winserver03 lizenz zulegen...

hmmm, das braucht aber sicher massen an
speicher auf der hdd... und den hab ich ima
auch nur im 10gb bereich (auf zwei
partitionen aufgeteilt) tur
verfügung....

Du brauchst soviel Platz wie das Betriebssystem braucht. Beim Server so 1-2 GB. VMWare verwaltet die Platten dynamisch. Sprich, selbst wenn du dort eine 10GB Partition anlegst, werden nur 2 GB gebraucht wenn in der virtullen Maschine nur 2 GB Daten liegen.
Bei chronischen Plattenplatz kann man die Daten auch gut auf DVD brennen und nur bei Bedarf aufspielen. Eine Platte unter VMWare ist nur ein File.

PS: 2. beitrag unter deinem link: Man
beachte, dass VMWare Server nicht auf XP
läuft

weiter lesen..VMWare läuft unter XP.. Ich habs auf meinen XP Rechner hier drauf.

außerdem müsste ich mir erst eine
winserver03 lizenz zulegen...

Oder eine Trial Version nehmen, die es vom Advanced Server ja gibt.

trotzdem: eine windows server 2003 (oder ähnliches) cd/dvd und lizenz wird benötigt.... und der aufwand zum reinen ad testen ist dafür schon etwas groß

:
> PS: 2. beitrag unter deinem link: Man
> beachte, dass VMWare Server nicht auf
XP
> läuft

weiter lesen..VMWare läuft unter XP..
Ich habs auf meinen XP Rechner hier drauf.

> außerdem müsste ich mir erst
eine
> winserver03 lizenz zulegen...

Oder eine Trial Version nehmen, die es vom
Advanced Server ja gibt.

hmmm, link? ;) wie lang läuft die?

http://www.microsoft.com/windowsserver2003/evaluation/trial/default.msp ...

180 Tage.

Edit: Du brauchst im Rechner aber genug Spiecher. 256 MB würde ich der virtuellen Maschine mindestens geben.

> hmmm, link? ;) wie lang läuft die?

http://www.microsoft.com/windowsserver2003/evaluation/trial/default.msp ...

180 Tage.

Edit: Du brauchst im Rechner aber genug
Spiecher. 256 MB würde ich der
virtuellen Maschine mindestens geben.

1280 MB RAM müssten reichen.... werds mir mal anschaun... hoffentlich net zu viel speicher, hab 4gb trafficlimit und die cd dauer zu lange...

//edit: 567 MB + 125 MB müsst sich ausgehn

mir mal anschaun... hoffentlich net zu viel
speicher, hab trafficlimit

Wenn du im Bekanntenkreis Leute hast die MOC Kurse von MS besucht haben, frag die mal. Oft ist bei den Kursen die Trial Version auf CD dabei.

auf irgendeiner C't CD war die VMWare auch dabei, ich weiss nur nicht welche Version.

> > hmmm, link? ;) wie lang läuft
die?
>
>
http://www.microsoft.com/windowsserver2003/evaluation/trial/default.msp ...
>
> 180 Tage.
>
> Edit: Du brauchst im Rechner aber
genug
> Spiecher. 256 MB würde ich der
> virtuellen Maschine mindestens geben.
>
>

1280 MB RAM müssten reichen.... werds
mir mal anschaun... hoffentlich net zu viel
speicher, hab 4gb trafficlimit und die cd
dauer zu lange...

//edit: 567 MB + 125 MB müsst sich
ausgehn

wieso benötigen die für die registrierung für einen download (http://www.microsoft.com/germany/technet/beta/ws03_r2/default.mspx#EJB) "rechnungsanschrift" und "lieferanschrift" ?

> mir mal anschaun... hoffentlich net zu
viel
> speicher, hab trafficlimit

Wenn du im Bekanntenkreis Leute hast die MOC
Kurse von MS besucht haben, frag die mal. Oft
ist bei den Kursen die Trial Version auf CD
dabei.

ich frag morgen mal meinen pr-lehrer

wieso benötigen die für die
registrierung für einen download

Das ist eine gute Frage.
Ich hatte sowas aber auch schon mal, als ich eine Testversion runter laden wollte und da ist nie eine Rechnung oder Lieferung gekommen.

damit die Dir viel Werbung schicken und Dich am Telefon nerven können ;)

> wieso benötigen die für die
> registrierung für einen download

Das ist eine gute Frage.
Ich hatte sowas aber auch schon mal, als ich
eine Testversion runter laden wollte und da
ist nie eine Rechnung oder Lieferung
gekommen.

hmmm, das reskier ich lieber nicht und frag morgen in der schule....

könntest du mir eventuell mal die genaue funktionsweise einer AD identifizierung erklären?

bei allen von mir gefundenen scripten wird einfach überprüft, ob man sich mit den eingegebenen daten am AD selbst anmelden kann... was ist aber wenn ein user keinen zugriff auf das AD hat (was eigentlich nicht selten der fall sein sollte), wie überprüfe ich dann ob dieser user im AD vorhanden ist und ob das von ihm eingegebene passwort korrekt ist???

Greetz: Stefan

damit die Dir viel Werbung schicken und Dich
am Telefon nerven können ;)

Also MS hat meine Adresse über viele Ecken, aber ich kann nicht sagen das von denen Spam kommt. Wenn dann kommt was per Mail und das sind dann Newsletter dich ich bestellt habe. Wenn Umfragen kommen (per Mail), was sehr selten ist, dann führe ich die eher auf meine Zertifizierungen zurück als auf so Aktionen wie mit der Testversion.

Ich fände es toll, wenn alle Firmen mit meiner Mail Adresse so umgehenwürde wie MS.

also ich bekomme sowohl per Mail, Snail-Mail und Telefon von denen Werbung (an die Firmenanschrift). Aber ich hab bewusst ja oben ein

gesetzt. Gibt wirklich schlimmere Firmen als MS diesbezüglich.

@meinereiner:

könntest du mir eventuell mal die genaue funktionsweise einer AD identifizierung erklären?

bei allen von mir gefundenen scripten wird einfach überprüft, ob man sich mit den eingegebenen daten am AD selbst anmelden kann... was ist aber wenn ein user keinen zugriff auf das AD hat (was eigentlich nicht selten der fall sein sollte), wie überprüfe ich dann ob dieser user im AD vorhanden ist und ob das von ihm eingegebene passwort korrekt ist???

Greetz: Stefan

könntest du mir eventuell mal die
genaue funktionsweise einer AD
identifizierung erklären?

sorry, da ist ein bissel tief, soo tief kenne ich MS auch nicht. Da gibts auch einige Möglichkeiten, wie Kerberos NTLM, etc. Die müssen auch nicht immer aktiviert sein. LM muss man ab 2003 z.B. erst aktivieren um es zu benutzen.

den eingegebenen daten am AD selbst anmelden
kann... was ist aber wenn ein user keinen
zugriff auf das AD hat (was eigentlich nicht
selten der fall sein sollte), wie

Was für Benutzerkontoen im AD existieren kann jeder abfragen, dazu muss er sich noch nicht mal authentifizieren. Das kann man aber über eine Richtlinie verbieten.

Aber sorry, jetz hört es so langsam auf bei mir..und programmieren ist soo gar nicht meine Sache.

könntest du mir eventuell mal die
genaue funktionsweise einer AD
identifizierung erklären?

den eingegebenen daten am AD selbst anmelden
kann... was ist aber wenn ein user keinen
zugriff auf das AD hat (was eigentlich nicht
selten der fall sein sollte), wie

ich könnte Dir morgen nen PHP-Script posten, was das macht

ich hab bei uns ein Script, was die kompletten User-Daten (Telefon,Email etc) ausliesst und darauf eine Telefonliste erstellt. (Mir gings irgendwann auf den Zeiger permanent unser Intranet zu pflegen *g)

> könntest du mir eventuell mal die
> genaue funktionsweise einer AD
> identifizierung erklären?

sorry, da ist ein bissel tief, soo tief
kenne ich MS auch nicht. Da gibts auch
einige Möglichkeiten, wie Kerberos
NTLM, etc. Die müssen auch nicht immer
aktiviert sein. LM muss man ab 2003 z.B.
erst aktivieren um es zu benutzen.

> den eingegebenen daten am AD selbst
anmelden
> kann... was ist aber wenn ein user
keinen
> zugriff auf das AD hat (was eigentlich
nicht
> selten der fall sein sollte), wie

Was für Benutzerkontoen im AD
existieren kann jeder abfragen, dazu muss er
sich noch nicht mal authentifizieren. Das
kann man aber über eine Richtlinie
verbieten.

Aber sorry, jetz hört es so langsam auf
bei mir..und programmieren ist soo gar nicht
meine Sache.

hmmm, du meinst als als default kann jeder user (welcher ein account hat) die userdaten/passwörter auslesen bzw auf korrecktheit vergleichen.... hmmm... ok... danke.. ich werds mal so versuchen

ich könnte Dir morgen nen PHP-Script
posten, was das macht

ich hab bei uns ein Script, was die
kompletten User-Daten (Telefon,Email etc)
ausliesst und darauf eine Telefonliste
erstellt. (Mir gings irgendwann auf den
Zeiger permanent unser Intranet zu pflegen
*g)

wow, das wäre nett.... also eine funktion, welche überprüft ob der übergebene username vorhanden ist und das passwort mit dem übergebenen passwort übereinstimmt..... eventuell wäre noch eine art "blacklist" für bestimmte user (gast...) praktisch, aber so etwas müsste ich selber auch hinbekommen ;D

Du kannst das Passwort nicht aus dem AD auslesen (mein ich jedenfalls) und das ist gut so.

Ich habs mal so gelöst, das Du quasi mit den LDAP-Tools eine Anmeldung mit den Userdaten machst und Du dann als Rückmeldung bekommst - Daten richtig oder falsch ( ging da um eine Intranet-Anmeldung gegen AD)

hmmm, du meinst als als default kann jeder
user (welcher ein account hat) die
userdaten/passwörter auslesen bzw auf
korrecktheit vergleichen.... hmmm... ok...
danke.. ich werds mal so versuchen

Die Passwörter nicht. Das wäre ja Fatal, aber die Benutzerkonten. Dazu muss man noch nicht mal Konto haben.

wie oben geschrieben, Du kannst nicht das passwort plain auslesen - aber Du kannst Dir ja z.B. eine Funktion erstellen und wenn Du eine Anmeldung bekommst und etwas auslesen darfst, sind Deine Anmeldedaten richtig - ansonsten falsch.

wie oben geschrieben, Du kannst nicht das
passwort plain auslesen - aber Du kannst Dir
ja z.B. eine Funktion erstellen und wenn Du
eine Anmeldung bekommst und etwas auslesen
darfst, sind Deine Anmeldedaten richtig -
ansonsten falsch.

an beide (xD): ich meinte ja net direkt die passwörter auslesen (werden ja hoffentlich verschlüsselt), sondern einfach irgendwie die übergebenen werte mit denen in AD vergleichen....

bei mir gehts übringens (vereinacht gesagt) um den schutz einer webseite mit den userdaten ausm AD....

PS: is sowas eigentlich eine sicherheitslücke, so mit bruteforce atacken mein ich.... vielleicht sollt ich so eine ip sperre einbauen bzw. einem AD account maximal 3 logins/10 minuten erlauben.... nur mal theoretisch, vielleicht blockt der AD serverso etwas ja automatisch!?

PS: is sowas eigentlich eine
sicherheitslücke, so mit bruteforce
atacken mein ich.... vielleicht sollt ich so

Ja ist es. Das ist auch etwas was ich gelernt habe als ich mich mit dem Thema "Hacken" auseinander gesetzt habe.

eine ip sperre einbauen bzw. einem AD account
maximal 3 logins/10 minuten erlauben.... nur

Ja, das halte ich für sehr sinnig.

mal theoretisch, vielleicht blockt der AD
serverso etwas ja automatisch!?

Man kann im AD definieren wie oft man sich anmelden kann bis ein Account gesperrt wird und wie lange er dann gesperrt ist. Das gilt dann aber für die ganze Domäne.

Man kann im AD definieren wie oft man sich
anmelden kann bis ein Account gesperrt wird
und wie lange er dann gesperrt ist. Das gilt
dann aber für die ganze Domäne.

hmm zählt das auch für ldap connection versuche? habs noch nie ausgetestet.

hmm zählt das auch für ldap
connection versuche? habs noch nie
ausgetestet.

Hmm, gute Frage. Da werde ich jetzt unsicher. Ich würde sogar mal auf "eher nicht" tippen.

ok hier erstmal, der wichtige Teil vom Script, aus dem ganzen mache ich heut abend ein Tutorial, sonst wirds unübersichtlich

Standard Base DN
$basedn = "ou=TEST,dc=domain,dc=de";
$account_suffix = "@domain.de";
LDAP- Server
$dc = "ldapserverip";
// LDAP - Login-Daten
$ldap_port = "389";
$ad_username = "ldapuser";
$ad_password = "ldappass";

$connectid = @ldap_connect($dc);
$binding = @ldap_bind ($connectid,$ad_username,$ad_password) or die("FEHLER");

so das sollte für Dich eingentlich alles wichtige sein für die Verifikation. Statt $ad_username und $_password vorzufüllen nimmst Du die Logindaten aus Deinem Formular. Wenn bei $binding etwas schief geht, ist der Username oder das Passwort nicht korrekt.

HTH
Jens

ok hier erstmal, der wichtige Teil vom
Script, aus dem ganzen mache ich heut abend
ein Tutorial, sonst wirds
unübersichtlich

Standard Base DN
$basedn =
"ou=TEST,dc=domain,dc=de";
$account_suffix = "@domain.de"; LDAP- Server
$dc = "ldapserverip";
LDAP - Login-Daten
$ldap_port = "389";
$ad_username = "ldapuser";
$ad_password = "ldappass";

$connectid = @ldap_connect($dc);
$binding = @ldap_bind
($connectid,$ad_username,$ad_password) or
die("FEHLER");

so das sollte für Dich eingentlich
alles wichtige sein für die
Verifikation. Statt $ad_username und
$_password vorzufüllen nimmst Du die
Logindaten aus Deinem Formular. Wenn bei
$binding etwas schief geht, ist der Username
oder das Passwort nicht korrekt.

HTH
Jens

ok, und was genau ist in dieser zeile gemeint:
$basedn = "ou=TEST,dc=domain,dc=de"; was is ou, dc und nochmal dc ?

$dc = "ldapserverip"; // kann da auch der name vom server rein? (intranet/netzwerk)

der rest ist einigermassen klar.

also
ou= Organisations Einheit ( organisational Unit oder so)
dc= Domain Context(?) glaub ich

für das Prüfen deines Scripts ist das erstmal unwichtig. Erst wenn Du später Daten aus dem AD auslesen möchtest, brauchst Du das. Mit der Base-DN teile ich mit, aus welchem Bereich des AD ich Daten auslesen möchte.

die Domain wird immer in DC's aufgeteilt. Heisst die AD-Domain z.B. TEST.COM und Deine User sind in der OU Verwaltung wäre die Base OU=Verwaltung,DC=TEST,DC=COM

hmmm, die user stehen unter /heta.htl-vil.local/htl-vil.local/user/Schüler/*abteilung*/*klasse*

*abteilung*en gibt es 3, *klasse*n 15 pro abteilung... dann wären noch die lehrer, die wieder in abteilungen und funtionan aufgeteilt sind... aber wenn du das so sagst richt für mein script einfach folgendes:

$dc = "hera";

$ad_username = "ldapuser";
$ad_password = "ldappass";

$connectid = @ldap_connect($dc);
$binding = @ldap_bind ($connectid,$ad_username,$ad_password) or die("LOGIN INCORRECT");

bzw, wie schiebe ich die fehlermeldung in eine variable, anstelle sie auszugeben? also so dass das script weiderläuft!?

genau um die anmeldung zu prüfen musst du aber $ad_username=$formularvariable; nehmen.

statt "or die" sollte "or $fehler="variable;" das erledigen, was du meinst.