Bildergalerie

Bildergalerie mit 91 Bildern

23. Dovestones Software AD Reporting

Mit AD Reporting von Dovestones Software ist es möglich, schnell und einfach umfassende Berichte zu einzelnen Bereichen in Active Directory zu erstellen. Die umfassenden Berichte können anschließend in verschiedene Dateiformate exportiert werden. Für einen einzelnen Administrator kostet das Produkt 300 US-Dollar, es ist aber ohne Registrierung und lange Aktionen möglich, das Produkt umfassend kostenlos zu testen. Die Installation ist in wenigen Sekunden abgeschlossen, danach steht nach dem Start die Oberfläche zur Verfügung, um umfassende Berichte zu erstellen. Neben Active Directory kann das Tool auch Berichte für Microsoft 365/Office 365 erstellen. Auch Abfragen und Berichte zu abgelaufenen Kennwörtern und den Benutzern, die demnächst ihr Kennwort ändern müssen, sind möglich.

Nach dem Start wird über "Connections" zunächst die Anmeldung an der Active-Directory-Domäne oder an Microsoft 365/Office 365 durchgeführt. Über "Domain" kann die Domäne ausgewählt werden, für die das Tool Berichte erstellen soll. Bei "Domain Query" muss die jeweilige Domäne noch einmal explizit ausgewählt werden. Danach muss über "Browser" noch einmal der Pfad ausgewählt werden. Die Auswahl ist deswegen so kompliziert, weil AD Reporting zahlreiche Berichte, Filter und Optionen unterstützt. Nachdem alle Auswählmöglichkeiten getroffen sind, erfolgt die Erstellung des Berichtes mit "Start".

Über die Schaltflächen "Users", "Passwords", "Computers" und "Groups" können weitere Abfragen erstellt werden, welche die aktuellen Berichte filtern. Über "Custom Reports" können anschließend noch individuelle Berichte definiert und mit "Create Report" erstellt werden. In hybriden Netzwerken kann bei "Connection" parallel zum Active Directory auch gleich die Anmeldung an Microsoft 365 bzw. Office 365 erfolgen. Dadurch können direkt in der Oberfläche auch Abfragen aus der Cloud durchgeführt werden, parallel zum Active Directory.

24. Active Directory Pro AD User Export Tool

Mit dem Active Directory User Export Tool lassen sich alle Benutzer in Active Directory in eine CSV-Datei exportieren, inklusive aller Attribute und Werte. Der Exportvorgang kann in einer grafischen Oberfläche durchgeführt werden. Für die Bedienung des Tools sind keinerlei PowerShell-Kenntnisse oder Skript-Erfahrungen notwendig. Das Tool kostet in einer 1-Jahres-Lizenz etwa 200 US-Dollar.

Nach der Installation steht das AD User Export Tool über den Menüpunkt "User Export" zur Verfügung. Zunächst kann an dieser Stelle ausgewählt werden, ob die komplette Domäne oder nur Benutzer einzelner OUs oder Sicherheitsgruppen exportiert werden sollen. Bei "Change Columns" können die Attribute ausgewählt werden, die bei dem Vorgang mit exportiert werden sollen. Bei "Export" kann ausgewählt werden, ob "Export all Rows" nach "ASCII", "Unicode" oder nach "UTF-8" exportiert werden soll. Mit "Run" wird der Vorgang gestartet.

Die Anbindung an Active Directory läuft über die Menüpunkte "Domain" und "Connection Details". Um nur die Benutzer aus einer einzelnen Gruppe oder OU zu exportieren, wird die Option "Select OU or Group" ausgewählt. Mit "Browse" zeigt das User Export Tool die einzelnen OUs oder Gruppen an. Diese können anschließend exportiert werden. Benutzereigenschaften können mit dem Werkzeug zudem entfernt werden.

25. Netwrix SbPAM

Bei Netwrix SbPAM (Stealthbits Privileged Activity Manager) handelt es sich um ein Tool, mit dem Just-In-Time-Zugriffe in Active Directory effektiv gesteuert werden können. Das Privileged Access Management Tool bietet eine übersichtliche, grafische Oberfläche, in der Admins für Verwaltungsaufgaben neue Benutzerkonten erstellen oder aktivieren können. Wenn der Vorgang abgeschlossen ist, können nicht nur die Rechte vom Konto entfernt werden, sondern es ist auch möglich, das Konto zu löschen, zu deaktivieren oder von der Gruppe der Domänenadmins zu entfernen. Alle Aufgaben und durchgeführten Aktionen können in der grafischen Oberfläche des Tools überwacht werden. In einem zentralen Dashboard können alle notwendigen Aktionen zentral konfiguriert und auch gleich getestet werden.

Die Integration in Active Directory kann als lokale Installation oder über eine virtuelle Appliance durchgeführt werden. Für die Einrichtung und Verwendung des Tools ist etwas Einarbeitung notwendig. Das Handbuch zu Netwrix SbPAM steht ebenfalls zum Download zur Verfügung. Nach der Installation (die notwendigen Installationsvoraussetzungen, wie den IIS, .NET und PostgresSQL installiert der Assistent über die heruntergeladenen Installationsdateien) im lokalen Rechenzentrum oder der Inbetriebnahme der Appliance, kann das Dashboard über einen lokalen Browser mit der Adresse https://localhost:6500 aufgerufen werden. Nach der Einrichtung über einen Assistenten können die einzelnen Server als Ressourcen in der Weboberfläche angebunden werden. Danach können in der Oberfläche für "Create Session" neue Admin-Sitzungen erstellt werden.

26. CJWDEV Managed Service Accounts GUI

Um verwaltete Benutzerkonten für Dienste anzulegen, sind normalerweise Befehle in der PowerShell notwendig. Das kostenlose Tool Managed Service Accounts GUI des Entwicklers CJWDEV kann das aber auch in der grafischen Oberfläche durchführen. Das macht das Anlegen von verwalteten Benutzerkonten für Dienste sehr einfach. Das Tool kann nicht nur verwaltete Dienstkonten anlegen, sondern auch alle vorhandenen verwalteten Dienstkonten in der Domäne anzeigen und verwalten. Das Tool funktioniert mit Domänencontrollern auf Basis von Windows Server 2019 und Windows Server 2022. Das Tool kann zwar auch auf Servern installiert werden, allerdings sollte in produktiven Umgebungen dazu eine Arbeitsstation mit installierten RSAT (Remote Server Administration Tools) für Active Directory und Windows 10/11 zum Einsatz kommen. Bevor Sie gruppierte Konten anlegen, müssen Sie zunächst einen neuen Masterschlüssel für die Domäne erstellen:

Standardmäßig dauert es ab diesem Moment 10 Stunden, bis Sie verwaltete Dienstkonten anlegen können. In Testumgebungen können Sie den Zeitraum mit dem folgenden Befehl umgehen:

Nach dem Start des Tools lassen sich mit "New" neue verwaltete Dienstkonten und auch gruppierte, verwaltete Dienstkonten erstellen. Diese können wiederum für mehrere Dienste und auch auf mehreren Servern genutzt werden.

Über "Additional Options" kann auch ein Ablaufdatum für verwaltete Dienstkonten hinterlegt werden. Nach dem Anlegen von neuen, verwalteten Dienstkonten, lassen sich diese auch Computern zuordnen. Parallel dazu ist es möglich die Zuordnung aufzuheben und auch verwaltete Dienstkonten zu entfernen. Die dazu gehörigen Optionen sind über die Schaltflächen im oberen Bereich erreichbar.

27. CJWDEV NTFS Permissions Reporter

Mit dem kostenlosen Tool NTFS Permissions Reporter können die Berechtigungen von kompletten Verzeichnisstrukturen erfasst und als Bericht gespeichert werden. Das Tool ist in Active-Directory-Gesamtstrukturen ideal, da es die verschiedenen Gruppen und Benutzerkonten erfasst, die Zugriff auf einzelne Dateien oder Verzeichnisse haben. Die Berichte können auch exportiert werden. Bereits die kostenlose Version beherrscht die meisten notwendigen Funktionen. Auch Filter können gesetzt werden. Die Ansicht kann zwischen einer Baum- und einer Tabellenstruktur gewechselt werden. In komplexen AD-Strukturen ist es auch möglich, einzelne Verzeichnisse auszublenden.

Das Tool kann auch komplette Laufwerke oder Freigaben auf einmal scannen. Nach der Auswahl des Laufwerks oder des Verzeichnisses, startet der Scan-Vorgang mit "Run Report". Danach scannt NTFS Permissions Reporter die Verzeichnisstruktur und zeigt im Fenster das Ergebnis in Echtzeit an. Anschließend kann das Ergebnis auch als Bericht exportiert werden. Mit "Export Report" kann der Bericht mit verschiedenen Spalten als HTML, CSV, Excel oder NTPR exportiert werden.

Über Tools\Options können die Einstellungen von NTFS Permissions Reporter angepasst werden. Berichte können auch automatisiert als E-Mail verschickt werden. Dazu steht der Menüpunkt "Email report results when complete" bereit. Allerdings ist für diese Funktion eine Lizenzierung der Standard-Edition von NTFS Permissions Reporter notwendig. Das Tool kostet pro Benutzer etwa 150 US-Dollar. Wer erweiterte Filter erstellen will, kann die Schaltfläche "Edit" bei "Filter" nutzen. Auch hier ist jedoch eine Lizenz der Standard-Edition notwendig.

Bildergalerie

Bildergalerie mit 91 Bildern

28. Adrestore

Adrestore ist ein Microsoft Sysinternal-Tool, mit dem Admins relativ leicht Objekte aus dem Active Directory wiederherstellen können, die versehentlich gelöscht wurden. Es gibt zwar auch den Active-Directory-Papierkorb, aber Adrestore ist ein seit Jahren ausgereiftes Tool, das brauchbare Ergebnisse bei der Wiederherstellung bietet und zwar auch im Windows Terminal, der PowerShell und der Eingabeaufforderung.

Wie alle Tools von Microsoft Sysinternals, muss auch Adrestore nicht installiert werden, sondern kann direkt starten. Das geht auch direkt auf dem Domänencontroller. Da die Wiederherstellung mit einer einzelnen, ausführbaren Datei in der Befehlszeile erfolgen kann, ist der Vorgang schnell abgeschlossen und erfordert keine grafische Oberfläche.

Die Wiederherstellung erfolgt über die Befehlszeile, damit lassen sich viele Vorgänge auch skripten. Die Syntax für das das Tool ist reicht einfach. Mit „adrestore64 -r <Name oder Teil des Namens>“ sucht das Tool nach passenden Objekten in Active Directory und stellt diese wieder her. Eine kleine Hilfe blendet das Tool mit dem Befehl „adrestore64 /?“ ein. Durch die Eingabe von „adrestore64“ zeigt das Tool zunächst die gelöschten Objekte an, die sich wiederherstellen lassen.

Für jedes Objekt kann die Wiederherstellung einzeln bestätigt werden. Die erfolgreiche Wiederherstellung wird ebenfalls bestätigt. Nach der Wiederherstellung sollten alle Domänencontroller miteinander repliziert werden, damit die Wiederherstellung auch auf allen Domänencontrollern zur Verfügung steht. Bis wiederhergestellte Objekte überall verfügbar sind, kann es aber einige Zeit dauern. Nach der Wiederherstellung sind zwar oft noch weitere Maßnahmen notwendig, aber SID und Berechtigungen funktionieren unmittelbar nach der Wiederherstellung.

29. Netwrix Stealthrecover

Netwrix Stealthrecover kann Objekte in Active Directory wiederherstellen, aber auch Änderungen in Active Directory rückgängig machen. Dazu gehören auch Konfigurationsänderungen wie Gruppenmitgliedschaften, Anpassungen an Gruppenrichtlinien, die Wiederherstellung von Attributen oder das Rückgängigmachen von Änderungen an Attributen. Grundsätzlich kann das Tool alle Änderungen in Active Directory zurücknehmen.

Sobald das Tool installiert ist, können Sie über das Kontextmenü von Objekten in Active Directory mit „Rollback“ eine Wiederherstellung des Zustands vor der Änderung durchführen. Ein Neustart der Domänencontroller ist nicht notwendig, nur eine Replikation der verschiedenen Verbindungen, damit die Änderungen auch bei allen Domänencontrollern ankommen.

Im Rahmen der Wiederherstellung startet ein Assistent, der Sie durch die Wiederherstellung führt. Im Fenster zeigt das Tool die Daten des Objektes sowie wann es geändert oder gelöscht wurde an. Auch den Domänencontroller, auf dem die initiale Änderung/Löschung durchgeführt wurde, zeigt das Tool im Assistenten an.

Damit die Objekte auch auf den anderen Domänencontrollern wiederhergestellt werden, ist es notwendig, das Active Directory zu synchronisieren. Wenn mehrere Zeitpunkte zur Wiederherstellung möglich sind, lassen sich diese mit Netwirx Stealthrecover auswählen.

Einer der Vorteile des Tools ist es, dass keine zusätzlichen Agenten oder Programme notwendig sind. Alle Maßnahmen laufen direkt über den Dialog „Active Directory-Benutzer und -Computer“ ab. Die Berechtigungen für den Zugriff lassen sich mit eine, Rollenmodell delegieren. Die Kommunikation des Tools kann auf bestimmte Ports festgelegt werden, gleichzeitig lässt sich fixieren, dass der Zugriff nur per HTTPS möglich ist.

30. Solarwinds Admin Bundle for Active Directory

Solarwinds stellt mit dem kostenlosen Admin Bundle for Active Directory drei Tools auf einmal zur Verfügung, mit denen Administratoren verschiedene Aufgaben erledigen können. Mit den Tools finden Sie zum Beispiel inaktive Benutzer und Computer, die nicht mehr genutzt werden. Hinzu kommt ein Tool zum Importieren von Benutzern in Active Directory.

Das Inactive Account Removal Tool findet nach der Installation und dem Scanvorgang eines Rechners Benutzerkonten, die nicht mehr zum Einsatz kommen und daher eine Gefahr für die Sicherheit darstellen. Bei „Settings“ kann festgelegt werden, nach wie vielen Tagen das Tool die Benutzerkonten als inaktiv klassifiziert. Mit „Next“ beginnt der Scanvorgang und im Fenster sind die nicht aktiven Konten zu sehen. Diese lassen sich an dieser Stelle auch gleich löschen. Auch der Export der Kontenliste in eine CSV-Datei ist an dieser Stelle möglich. Im oberen Bereich kann das Datum ausgewählt werden, ab dem Inactive Account Removal Tool nach inaktiven Konten suchen soll.

Das Inactive Computer Removal Tool hat die gleiche Aufgabe wie das Inactive Account Removal Tool und sucht nach nicht aktiven Computerkonten. Auch hier muss eine Installation erfolgen. Nach dem Start erfolgt die Eingabe der Verbindungsdaten zu Active Directory und danach ein Scanvorgang. Hier können nach dem erfolgreichen Scanvorgang die Computer aus der Domäne entfernt oder eine Liste der Computer erstellt werden.

Das User Import Tool kann über einen Dienst Benutzerkonten und Exchange-Postfächer in Active Directory importieren. Dazu können Sie eine CSV-Datei einlesen. Über den Bereich „Account Type“ können Sie festlegen, ob das User Import Tool nur Benutzerkonten in Active Directory anlegen soll oder auch Exchange-Postfächer. Die Anmeldung des Tools an Active Directory erfolgt über die Daten, die bei „Credential Information“ angegeben werden. Bei „Settings“ lassen sich Einstellungen für Warnungen bei Problemen festlegen. Über die Seite „Map Custom Field“ kann ausgewählt werden, wie die Felder aus der CSV-Datei mit den Active-Directory-Benutzer verbunden werden.

31. Specops Password Auditor

Das kostenlose Tool Specops Password Auditor ermöglicht das Scannen von Active Directory nach unsicheren Kennwörtern und Kennwörtern, die im Internet bereits als gehackt bekannt sind. Dazu kann das Tool beim Starten automatisch eine Liste bei den Entwicklern herunterladen und diese beim Scannen nutzen. Nach dem Start des Tools geben Sie an, von welcher Domäne Sie die Kennwörter überprüfen wollen. Danach scannt das Tool die Benutzerkonten und gleicht die Kennwörter auch mit der Liste der Kennwörter ab, die im Internet als unsicher und gehackt gelten.

Nach dem Scanvorgang zeigt Specops Password Auditor zunächst auf Kacheln Informationen an. Hier ist zu sehen, welche Benutzer ein Kennwort nutzen, das im Internet als gehackt bekannt ist und welche Benutzer abgelaufene Kennwörter haben. Auch Benutzer mit leeren Kennwörtern, die verschiedenen Admin-Kontos der Umgebung und Benutzerkonten, die kein Kennwort benötigen, sind im Fenster zu sehen. Darüber hinaus zeigt das Tool auch Konten an, bei denen Kennwörter nie ablaufen oder deren Kennwort schon ein gewisses Alter erreicht hat. Durch einen Klick auf die Kacheln, zeigt das Tool weitere Informationen zu den Benutzerkonten in einer ausführlichen Liste an.

Die Liste zeigt Details an, wie den Benutzernamen, die Organisationseinheit, in der sich das Benutzerobjekt befindet, und wann das Kennwort das letzte Mal geändert wurde. Auch das Datum der letzten Anmeldung ist hier zu sehen. Specops Password Auditor ermöglicht auch das Speichern eines Management Summary für die Benutzerkonten. Hier ist in dann einer PDF-Datei zu sehen, wie es um die Sicherheit der Benutzerkonten in der Umgebung bestellt ist. Specops Password Auditor gibt auch Empfehlungen für mehr Sicherheit, und wie die gefundenen Lücken behoben werden können.

32. Quest Recovery Manager for Active Directory

Mit Recovery Manager for Active Directory von Quest können Admins Objekte in Active Directory sichern und auch auf Attributebene wiederherstellen. Dadurch ist es möglich, auch einzelne Änderungen in Active Directory wieder zurückzunehmen, da sich die geänderten Attribute wiederherstellen lassen. Das Tool steht als Testversion 30 Tage kostenlos zur Verfügung. Für die Verwendung ist eine Registrierung notwendig. An die E-Mail-Adresse, die bei der Registrierung angegeben wird, sendet Quest die Lizenzdatei für das Freischalten der Testversion. Nach der Installation kann mit der Software, auch aus der PowerShell heraus, jedes Objekt in Active Directory wiederhergestellt werden.

Ein Neustart der Domänencontroller ist dabei nicht notwendig, es reicht die Synchronisierung der Domänencontroller. Bei der Wiederherstellung ist es teilweise nicht notwendig, das komplette Objekt wiederherzustellen, es reicht auch aus, einzelne Attribute wiederherzustellen. Dazu muss im Recovery Manager explizit kein Objekt wiederhergestellt werden, sondern die Oberfläche ermöglicht die Wiederherstellung der gesicherten Attribute. Das Tool kann aber auch komplette Objekte wiederherstellen. Dazu gehören neben Benutzerkonten und Computern auch Standorte in Active Directory, Subnetze in Active Directory, Gruppenrichtlinienobjekte (GPO) oder auch komplette Organisationseinheiten. Das Tool kann auch zum Einsatz kommen, um eine komplette Active-Directory-Umgebung wiederherzustellen, wenn Ransomware oder Malware das Netzwerk lahmgelegt hat.

Quest Recovery Manager for Active Directory kann auch mit einer Rechtedelegation arbeiten. So können Admins die Wiederherstellung von Objekten an den Benutzersupport oder an andere Admins delegieren. Die Wiederherstellung erfolgt in der grafischen Oberfläche oder per Skript auch über Gruppenrichtlinien.

33. Sysadmin Anywhere

Sysadmin Anywhere ist eine Microsoft Store-App zur Verwaltung von AD-Umgebungen. Mit dem kostenlosen Tool können Admins über das Netzwerk verschiedene Active Directory-Umgebungen verwalten. Nach dem Start ist die Anbindung an die lokale Domäne möglich, aber auch die Verbindung mit einer Remote-Umgebung lässt sich umsetzen. Sie können die IP-Adresse oder den Namen des Servers angeben und die Verbindung per LDAP-Port 389 durchführen. Auch SSL-Verbindungen zum Port 636 lassen sich mit Sysadmin Anywhere umsetzen.

Nachdem das Tool eine Verbindung zur Domäne aufgebaut hat, können Sie mit der App Benutzer, Computer, Gruppen und Drucker verwalten. Über die einzelnen Bereiche können Sie zum Beispiel neue Benutzer anlegen, oder die vorhandenen Benutzer, Gruppen und Computer verwalten. Hier stehen auch Vorlagen für neue Benutzerkonten zur Verfügung, und Sie können Fotos zu Benutzerkonten hinzufügen.

Über den Menüpunkt „Reports“ lassen sich parallel Reports über die verschiedenen Objekte in der Umgebung erstellen. Über den Bereich „Settings“ lassen sich Anpassungen vornehmen. Grundsätzlich ist Sysadmin Anywhere ein einfach zu bedienendes Tool, mit dem sich Admins auch von Client-Rechnern aus mit Domänen verbinden können, in denen der jeweilige Computer kein Mitglied ist. Das Open Source-Tool stürzt zwar ab und zu ab, wenn die Verbindung zu externen Domänen erfolgt. Es ist aber dennoch ein interessantes Tool, wenn es darum geht Benutzer, Computer, Gruppen, Kontakte oder Drucker im Netzwerk zu verwalten oder Daten zu den Benutzern auszulesen. Auch allgemeine Informationen zur kompletten Domäne zeigt das Tool an.

Bildergalerie

Bildergalerie mit 91 Bildern

Definition

Was ist Active Directory?

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle bisher auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

Überwachungsrichtlinien in Active Directory implementieren

Defender for Identity mit der PowerShell verwalten

Wege zum stabilen und schnellen Active Directory

In 17 Schritten zum perfekten Domänencontroller

Open Source Monitoring für Microsoft-Netzwerke

So überwachen Sie das Active Directory mit StackStorm

Migration von Entra Connect Sync zu Entra Cloud Sync

Group Write Back: Verwaltung hybrider Identitäten

Open Source-Schwachstellenscanner kann Domänencontroller schützen

Active Directory mit OpenVAS auf Sicherheitslücken untersuchen

Lepide Active Directory Auditor: AD überwachen und Angriffe blockieren

So prüfen Sie Konfi­gu­ra­tions- und Berechtigungs­änderungen

Dienstprogramme und Diagnosetools für das Active Directory

Active-Directory-Verwaltung mit Quest Active Administrator

Mit LockSmith und PowerShell fehlerhafte Konfigurationen erkennen

Troubleshooting für Active-Directory-Zertifikatsdienste in der PowerShell

NetTools: Portable Tool-Sammlung für das AD-Troubleshooting

Kostenlose Tools für die Fehlersuche in Active Directory

(ID:48263224)