Moin, moin,
ich nehme Bezug auf Deine letzte Rückmeldung:
Mark Heitbrink [MVP]:
>> ok, wenn aber nun der Strong Key von 2008 R2 gefordert wird was ja hardcoded ist, das steht im Artikel und du hast es
>> auch gesagt, und NT4 diesen nicht unterstützt, dann kann ich mich nicht als Domänen Benutzer an einer NT4 Kiste anmelden.
>> Egal ob Kerberos oder StrongKey/Schlüssellängen Problem.
Ich lege deshalb so großen Wert auf die Unterscheidung, da es für den TO irrelevant ist. Denn er hat *aktuell* schon ausschließlich Windows Server 2008 R2 DCs in seiner Umgebung. D.h. die Fragestellung, ob die hart-codierte "strong-key protection" Windows NT
Maschinen oder ältere Samba Versionen abschneidet, ist nicht mehr von Bedeutung. *Wenn* das Problem beim TO aufgetreten wäre, dann in der Vergangenheit. Nämlich spätestens zu dem Zeitpunkt, als der letzte Windows Server 2003 DC abgeschaltet wurde.
Da es keine Probleme gab, ist Deine Angabe zwar eine sinnvolle Zusatzinformation, hat aber nichts mit dem Szenario des TO zu tun.
Mark Heitbrink [MVP]:
>> das habe ich auch in diesem letzten Posting nicht behauptet. Wenn es der Server ist und nicht der Function Level kann ich damit prima leben.
Ohne Haare spalten zu wollen ;-) - doch, das hast Du:
Samstag, 26. Januar 2013 11:10
Mark Heitbrink [MVP]
>> Ich muss mal allen widersprechen, die sich gerade gemeldet haben.
>> Ab 2008 R2 ist es das erste Mal, daß auch CLIENTS! von der Änderung des Domänen Levels betroffen sind.
>> Der Sichere Kanal, den jeder Client mit dem DC aufbaut für die Vertrauensstellung und letztlich für die Verschachtelung der Domänengruppen in die LOKALEN Gruppe der Maschine kann nach der Anhebung nur noch per Kerberos aufgebaut werden.
Nur darum nehme ich ja Bezug auf diese Fragestellung.
Mark Heitbrink [MVP]
>> Trotzdem gibt es keine offizielle Ausssage von MS, daß NT4 als Workstation rausfliegt. Ich kann aber aus Praxiserfahrung und auch nach dem NetMon Capture nichts anderes feststellen.
Das ist korrekt und diesen Punkt habe ich auch nicht infrage gestellt. Sondern den Kontext.
P.S.: Auf die Diskussion, ob man Windows NT Maschinen o.ä. alte Betriebssysteme in seiner Produktionsumgebung betreiben sollte, gehe ich hier einmal nicht weiter ein. Nur soviel: Wer die Systeme nicht kapselt / isoliert, handelt aus Sicherheitssicht in selbstmörderischer
Absicht. Es gibt meiner Erfahrung nach genügend Varianten, die Windows NT Maschinen auch ohne Zugriff auf die Domänen-Ressourcen bei Bedarf isoliert zu betreiben.
Viele Grüße
Fabian
