Server & Administration

Windows Server — zentrale Rollen

Ein Windows Server übernimmt seine Aufgaben über Serverrollen, die einzeln installiert und konfiguriert werden. In der Praxis und in der Prüfung tauchen vor allem diese vier Rollen immer wieder auf:

Rolle	Zweck
AD DS	Active Directory Domain Services — zentrales Verzeichnis für Benutzer, Gruppen, Computer und Ressourcen einer Domäne; Basis für Authentifizierung und Autorisierung im Netz.
DNS-Server	Löst Namen in IP-Adressen auf (und umgekehrt); für AD zwingend notwendig, da Domänencontroller und Dienste über DNS-Einträge (u. a. SRV-Records) gefunden werden.
DHCP-Server	Vergibt automatisch IP-Adressen, Subnetzmaske, Gateway, DNS-Server und weitere Optionen an Clients — reduziert manuellen Konfigurationsaufwand und Adresskonflikte.
Dateiserver	Stellt Freigaben (Shares) für zentrale, strukturierte Ablage von Dateien bereit, meist kombiniert mit NTFS-Berechtigungen und Kontingenten (Quotas).

Diese Rollen laufen häufig auf getrennten oder virtualisierten Servern, da jede Rolle eigene Verfügbarkeits- und Sicherheitsanforderungen hat. Ein Ausfall des DNS-Servers wirkt sich z. B. sofort auf AD DS aus, weil ohne funktionierende Namensauflösung keine Anmeldung an der Domäne mehr möglich ist.

Active Directory — Grundstruktur

Active Directory (AD) organisiert Benutzer, Computer und Ressourcen hierarchisch in einer Domäne. Für die Prüfung reicht ein klares Bild der Grundbausteine:

Domäne

Eine Domäne ist die administrative Grenze eines AD-Verzeichnisses (z. B. firma.local). Alle Objekte innerhalb der Domäne teilen eine gemeinsame Sicherheitsrichtlinie und ein gemeinsames Verzeichnis, das auf einem oder mehreren Domänencontrollern (DC) gespeichert ist.

Organisationseinheiten (OUs)

OUs sind Container innerhalb einer Domäne, mit denen sich Objekte logisch strukturieren lassen — z. B. nach Abteilung (OU=Vertrieb) oder Standort. OUs dienen zwei Zwecken: übersichtliche Verwaltung und gezielte Verknüpfung von Gruppenrichtlinien oder delegierten Admin-Rechten auf genau diesen Teilbereich.

Benutzer- und Gruppenobjekte

• Benutzerobjekte repräsentieren einzelne Personen (oder Dienstkonten) mit Anmeldeinformationen und Attributen (Name, Abteilung, Kontoeinstellungen).
• Gruppenobjekte fassen Benutzer (oder andere Gruppen) zusammen, um Berechtigungen effizient zu vergeben — Rechte werden an die Gruppe statt an jeden einzelnen Benutzer vergeben.
• Übliche Gruppentypen: Sicherheitsgruppen für Berechtigungen, Verteilergruppen für E-Mail-Verteilerlisten.

Gruppenrichtlinien (GPO) — Konzept

Eine Group Policy Object (GPO) ist ein Satz zentral definierter Einstellungen (z. B. Passwortrichtlinien, Softwareverteilung, Laufwerksverbindungen), der auf eine Domäne, eine Site oder eine OU angewendet wird und automatisch für alle darin enthaltenen Benutzer- oder Computerobjekte gilt. So lassen sich Konfigurationen zentral steuern, statt jeden Client einzeln einzurichten. Die konkrete Umsetzung von Berechtigungskonzepten über GPOs wird auf der Seite „Berechtigungen“ vertieft.

Linux-Serveradministration

Auf Linux-Servern laufen Dienste (Daemons) heute meist unter systemd, dem Init- und Dienstverwaltungssystem der meisten aktuellen Distributionen. Mit dem Kommando systemctl steuerst du einzelne Dienste (Units):

• systemctl start <dienst> — Dienst sofort starten
• systemctl stop <dienst> — Dienst sofort stoppen
• systemctl enable <dienst> — Dienst beim Systemstart automatisch aktivieren (Autostart)
• systemctl status <dienst> — aktuellen Zustand und letzte Log-Zeilen eines Dienstes anzeigen

Wichtig für die Prüfung: enable allein startet den Dienst nicht sofort, sondern legt nur den Autostart fest — dafür meist mit --now kombiniert (systemctl enable --now <dienst>).

Logfiles

Systemnahe Protokolle liegen klassisch unter /var/log, z. B. /var/log/syslog oder /var/log/messages für allgemeine Systemmeldungen sowie /var/log/auth.log für Anmeldeversuche. Bei systemd-basierten Systemen ergänzt journalctl das klassische Log um einen zentralen, strukturierten Systemd-Journal-Log.

SSH-Zugriff

Die Fernadministration von Linux-Servern erfolgt standardmäßig über SSH (Secure Shell), das eine verschlüsselte Kommandozeilenverbindung bereitstellt — typischerweise mit ssh benutzer@server, idealerweise abgesichert über Schlüsselpaare statt Passwörter.

Remoteverwaltung im Überblick

Je nach Betriebssystem und Anwendungsfall kommen unterschiedliche Remote-Verfahren zum Einsatz:

Verfahren	Typischer Einsatz
RDP	Remote Desktop Protocol — grafische Fernsteuerung von Windows-Servern/-Clients, z. B. für GUI-lastige Verwaltungsaufgaben.
SSH	Verschlüsselter Kommandozeilenzugriff, Standard unter Linux, auch unter Windows Server verfügbar; ressourcenschonend und skriptfreundlich.
PowerShell Remoting	Fernausführung von PowerShell-Befehlen auf Windows-Systemen, z. B. mit Enter-PSSession <servername> für eine interaktive Remote-Sitzung oder Invoke-Command für einmalige Befehle auf mehreren Rechnern gleichzeitig.

Grundsatz: Für einzelne, punktuelle Eingriffe mit grafischer Oberfläche eignet sich RDP; für automatisierbare, skriptbasierte Verwaltung — insbesondere auf vielen Servern gleichzeitig — sind SSH bzw. PowerShell Remoting effizienter und ressourcenschonender, da keine grafische Sitzung übertragen werden muss.

Patch- und Updatemanagement

Updatemanagement sorgt dafür, dass Betriebssysteme und Anwendungen zeitnah mit Sicherheits- und Fehlerkorrekturen versorgt werden, ohne den laufenden Betrieb zu gefährden. Zentrale Prinzipien:

• Zentrale Verteilung: Updates werden nicht auf jedem Rechner einzeln aus dem Internet geladen, sondern über einen zentralen Verteilserver bereitgestellt — spart Bandbreite und schafft Kontrolle darüber, welche Updates ausgerollt werden.
• Testphase vor Rollout: Updates werden zunächst in einer Testgruppe oder Testumgebung eingespielt und auf Kompatibilität geprüft, bevor sie produktiv auf alle Systeme verteilt werden — verhindert flächendeckende Ausfälle durch fehlerhafte Patches.
• Staffelung/Rollout-Ringe: Verteilung erfolgt oft gestaffelt (z. B. zuerst Testgeräte, dann Pilotgruppe, dann alle) statt auf einen Schlag.

Unter Windows übernimmt dies klassisch der WSUS (Windows Server Update Services): Er lädt Updates zentral von Microsoft herunter, erlaubt eine gezielte Freigabe/Genehmigung einzelner Updates und verteilt sie dann kontrolliert an die Clients im Netzwerk.

Monitoring und Protokollierung

Server-Administration endet nicht mit der Einrichtung — Monitoring und Protokollierung sind eine Daueraufgabe. Nur wer Auslastung, Verfügbarkeit und Fehlermeldungen laufend beobachtet, kann Probleme erkennen, bevor sie zum Ausfall führen, und Kapazitätsengpässe rechtzeitig planen. Dazu gehören z. B. die Überwachung von Diensten, Ressourcenauslastung (CPU, RAM, Speicherplatz) und die zentrale Sammlung von Log-Daten aus mehreren Systemen. Sicherheitsrelevante Aspekte der Protokollierung — etwa Auswertung von Anmeldeversuchen oder Berechtigungsänderungen — werden vertieft auf der Seite „Berechtigungen“ behandelt.