Henrik Zawischas Notizbuch

Export-SPWeb – was soll ich als itemURL angeben?

henrikzawischa — Tue, 22 Mar 2011 14:57:30 +0000

Hab gerade ein wenig mit dem Export-SPWeb Commandlet herumgespielt und erst mal nicht so recht gewusst, wie ich eine einzelne Liste oder Bibliothek angeben soll. Dabei ist das einfach und nur in der Hilfe falsch beschrieben. Bei -itemURL muss man NICHT http://Servename angeben. ItemURL ist die Verkettung von parentWebURL und RootFolder mit einem Slash (/) dazwischen.

Mit dem folgenden Kommando kann man sich ganz einfach alle itemURLs für eine Websitesammlung anzeigen lassen:

$(Get-SPWeb -identity ).lists `
| ft title, @{Name="itemURL"; Expression = { $_.parentWebURL + "/" + $_.RootFolder}}

Für die URL der Websitesammlung muss man dann schon http://server… schreiben

Ach so, eine Biblihotek ist von hier aus gesehen nichts anderes als eine Liste, man sieht also auch die itemURLs für alle Bibliotheken.

DBO der SharePoint 2010 Datenbanken

henrikzawischa — Wed, 15 Dec 2010 15:36:25 +0000

Nehmen wir mal an, wir haben zwei Konten angelegt, DOM\SP_Admin, mit dem wir uns anmelden, um unseren SharePoint 2010 zu administrieren, DOM\SP_Farm als Farm-Konto (wird auch Datenbankzugriffskonto genannt). SharePoint ist soweit eingerichtet, Zentraladministration funktioniert.

Wir legen eine neue Webanwendung über die Zentraladministration an. Die kriegt auch eine eigene neue Inhaltsdatenbank. Dann versuchen wir, ein paar PowerShell-Kommandos wie Get-SPWeb, es geht nicht. Erst nach hinzufügen von DOM\SP_Admin zur SharePoint_Shell_Access-Rolle in der Datenbank (mittels Add-SPShellAdmin) geht es.

Dann legen wir eine neue Inhaltsdatenbank und eine neue Websitesammlung mit der PowerShell an. Angemeldet sind wir immer noch als SP_Admin. Das geht so:

New-SPContentDatabase -Name WSS_Content_Intranet_IT -WebApplication http://intranet.dom.de New-SPSite -Url "http://intranet.dom.de/websites/IT" -ContentDatabase WSS_Content_Intranet_IT -Name "IT" -OwnerAlias “DOM\SP_Admin“ -Template "STS#0"

Und wieder probieren wir Get-SPWeb. Diesmal geht es ohne weiteres. Gegenprobe mit Add-SPShellAdmin liefert:

Add-SPShellAdmin : "'DOM\SP_Admin' kann nicht der Rolle 'SharePoint_Shell_Access' der Da tenbank 'WSS_Content_Intranet_IT' hinzugefügt werden. Mögliche Ursache des Fehlers : Der Kontoname wurde der Datenbank bereits als Anmeldeinformation unter Verwen dung eines anderen Benutzernamens als des Kontonamens hinzugefügt." Bei Zeile:1 Zeichen:43 + Get-SPContentDatabase | %{Add-SPShellAdmin <<<< -UserName DOM\SP_Admin -database $_} + CategoryInfo : InvalidData: (Microsoft.Share...AddSPShellAdmin: SPCmdletAddSPShellAdmin) [Add-SPShellAdmin], ArgumentException + FullyQualifiedErrorId : Microsoft.SharePoint.PowerShell.SPCmdletAddSPShe llAdmin

Was ist passiert?

Ein Blick ins Microsoft SQL Server Management Studio klärt auf. Es ist letztlich ganz einfach. Bei Verwendung der Zentraladministration wird die Datenbank mit dem Konto SP_Farm angelegt, das wird automatisch DBO der Datenbank. SP_Admin nicht, dem fehlen die Rechte, man muss noch Add_SPShellAdmin ausführen. Beim Anlegen der Datenbank über die PowerShell hingegen wird SP_Admin DBO, hat damit die notwendigen Rechte und kann auch nicht mehr mit Add-SPShellAdmin hinzugefügt werden.

Scan to SMB bei océ braucht NetBIOS

henrikzawischa — Wed, 27 Oct 2010 06:59:15 +0000

Wenn man eine océ Multifunktionsgerät dazu bringen will, einen Scan auf einer Freigabe auf einem Windows Server abzulegen, darf man dort NetBT nicht abgeschaltet haben.

Remote Desktop und verstärkte Sicherheitskonfiguration für Internet Explorer

henrikzawischa — Mon, 25 Oct 2010 07:55:18 +0000

Ich habe gerade meine erste Remote Desktop Farm unter Windows Server 2008 R2 eingerichtet. Dabei ist mir etwas aufgefallen, das man getrost als kleinen Bug bezeichnen könnte. Selbst, wenn man die verstärkte Sicherheitskonfiguration des Internet Explorers für Benutzer auf den Servern abschaltet (was bei der Installation der Rolle automatisch passiert), ist sie für neue Benutzerprofile aktiv. Ab- und Anmelden nützt nichts, aber das Zurücksetzen des IE.

Letzteres wollte ich meinen Benutzern nicht zumuten. Zum Glück ist die Lösung ganz einfach:

Per Gruppenrichtlinie (am besten als Einstellung (Preference)) wird der folgende Registry-Wert:

HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\IEHarden

Auf Null (0) gesetzt. Und schon ist das Problem weg.

Das Taxonomiefeature (Feature-ID „73EF14B1-13A9-416b-A9B5-ECECA2B0604C“) wurde nicht aktiviert

henrikzawischa — Wed, 24 Feb 2010 17:29:13 +0000

Gerade habe ich zum ersten mal versucht, auf meinem frisch installierten SharePoint Server 2010 den Verwalteten Metadatendienst zu nutzen. Als Beispiel wollte ich ein Liste für meine CD-Sammlung anlegen. Die sollte ein Feld beinhalten, das den Musikstil angibt. Dafür wollte ich eine Auswahl vorgeben.

Also habe ich mir fix einen Ausdruckssatz definiert. Das war noch recht einfach. Dann aber ließ sich der nicht nutzen. Neue Spalte angelegt, als Informationstyp „Verwaltete Metadaten“ angegeben. In dem Auswahlfeld für die Ausdruckssätze stand: „Das erforderliche Feature ist für diesen Spaltentyp nicht aktiviert“. Trotzdem konnte ich nach dem Ausdruckssatz suchen, fand ihn und konnte ihn auswählen. Dann aber kam die Meldung:

„Das Taxonomiefeature (Feature-ID „73EF14B1-13A9-416b-A9B5-ECECA2B0604C“) wurde nicht aktiviert“

Weder in den Websiteeinstellungen noch in der Zentraladministration habe ich gefunden, wo man das aktiviert. Scheint nicht sichtbar zu sein. Also bleibt stsadm oder PowerShell

PS C:\Users\Administrator> get-SPFeature -site http://zawischa004:80/

DisplayName                    Id                                       Scope
-----------                    --                                       -----
DocumentRoutingResources       0c8a9a47-22a9-4798-82f1-00e62a96006e     Site
WebPartAdderGroups             2ed1c45e-a73b-4779-ae81-1524e4de467a     Site
WAReports                      2acf27a5-f703-4277-9f5d-24d70110b18b     Site
CTypes                         695b6570-a48b-4a8e-8ea5-26ea7fc1d162     Site
SignaturesWorkflowSPD          c4773de6-ba70-4583-b751-2a7b1dc67e3a     Site
SignaturesWorkflowSPD1031      a42f749f-8633-48b7-9b22-403b40190407     Site
ExpirationWorkflow             c85e5759-f323-4efb-b548-443d2216efb5     Site
Fields                         ca7bd552-10b1-4563-85b9-5ed1d39c962a     Site
OffWFCommon                    c9c9515d-e4e2-4001-9050-74f980f93160     Site
BaseSite                       b21b090c-c796-4b0f-ac0f-7ef1659c20ae     Site
PortalLayouts                  5f3b0127-2f1d-4cfd-8dd2-85ad1fb00bfc     Site
Workflows                      0af5989a-3aea-4519-8ab0-85d91abe39ff     Site
IssueTrackingWorkflow          fde5d850-671e-4143-950a-87b473922dc7     Site
ReviewWorkflowsSPD             b5934f65-a844-4e67-82e5-92f66aafe912     Site
ReviewWorkflowsSPD1031         3bc0c1e1-b7d5-4e82-afd7-9f7e59b60407     Site
WAWhatsPopularWebPart          8e947bf0-fe40-4dff-be3d-a8b88112ade6     Site
WAMaster                       c04234f4-13b8-4462-9108-b4f5159beae6     Site
RecordResources                5bccb9a4-b903-4fd1-8620-b795fa33c9ba     Site
BasicWebParts                  00bfea71-1c5e-4a24-b310-ba51c3eb7a57     Site
WACustomReports                af6d9aec-7c38-4dda-997f-cc1ddbb87c92     Site
LocalSiteDirectoryControl      14aafd3a-fcb9-4bb7-9ad7-d8e36b663bbd     Site
TranslationWorkflow            c6561405-ea03-40a9-a57f-f25472942a22     Site

Nichts zu sehen von dem Feature. Dann also mal einschalten:

PS C:\Users\Administrator> Enable-SPFeature -id 73EF14B1-13A9-416b-A9B5-ECECA2B0
604C -URL http://zawischa004:80/

Noch mal überprüfen:

PS C:\Users\Administrator> get-SPFeature -site http://zawischa004:80/

DisplayName                    Id                                       Scope
-----------                    --                                       -----
DocumentRoutingResources       0c8a9a47-22a9-4798-82f1-00e62a96006e     Site
WebPartAdderGroups             2ed1c45e-a73b-4779-ae81-1524e4de467a     Site
WAReports                      2acf27a5-f703-4277-9f5d-24d70110b18b     Site
CTypes                         695b6570-a48b-4a8e-8ea5-26ea7fc1d162     Site
SignaturesWorkflowSPD          c4773de6-ba70-4583-b751-2a7b1dc67e3a     Site
SignaturesWorkflowSPD1031      a42f749f-8633-48b7-9b22-403b40190407     Site
ExpirationWorkflow             c85e5759-f323-4efb-b548-443d2216efb5     Site
Fields                         ca7bd552-10b1-4563-85b9-5ed1d39c962a     Site
OffWFCommon                    c9c9515d-e4e2-4001-9050-74f980f93160     Site
BaseSite                       b21b090c-c796-4b0f-ac0f-7ef1659c20ae     Site
PortalLayouts                  5f3b0127-2f1d-4cfd-8dd2-85ad1fb00bfc     Site
Workflows                      0af5989a-3aea-4519-8ab0-85d91abe39ff     Site
IssueTrackingWorkflow          fde5d850-671e-4143-950a-87b473922dc7     Site
ReviewWorkflowsSPD             b5934f65-a844-4e67-82e5-92f66aafe912     Site
ReviewWorkflowsSPD1031         3bc0c1e1-b7d5-4e82-afd7-9f7e59b60407     Site
WAWhatsPopularWebPart          8e947bf0-fe40-4dff-be3d-a8b88112ade6     Site
WAMaster                       c04234f4-13b8-4462-9108-b4f5159beae6     Site
RecordResources                5bccb9a4-b903-4fd1-8620-b795fa33c9ba     Site
BasicWebParts                  00bfea71-1c5e-4a24-b310-ba51c3eb7a57     Site
WACustomReports                af6d9aec-7c38-4dda-997f-cc1ddbb87c92     Site
LocalSiteDirectoryControl      14aafd3a-fcb9-4bb7-9ad7-d8e36b663bbd     Site
TaxonomyFieldAdded             73ef14b1-13a9-416b-a9b5-ececa2b0604c     Site
TranslationWorkflow            c6561405-ea03-40a9-a57f-f25472942a22     Site

Da ist es. Und siehe da, meine Spalte funktioniert.

Es könnte sich hierbei um einen Bug in der Beta handeln. In einer Forumsdiskussion habe ich Hinweise darauf gefunden, dass das Feature eventuell bei weiteren Websitesammlungen automatisch aktiv ist, nur bei der ersten nicht. Das habe ich noch nicht getestet.

Exchange 2007 Send Connector mit Smart Host Fail-Over

henrikzawischa — Thu, 18 Feb 2010 13:27:49 +0000

Nehmen wir einmal an, wir haben einen Standort mit zwei Internetanbindungen. Für jede dieser Anbindungen gibt es auch ein E-Mail Security Gateway, das als Relay funktioniert. Nennen wir diese mal RelayA.meine.domaene und RelayB.meine.domaene. Ausgehende E-Mail ins Internet soll standardmäßig über das RelayA laufen. Nur für den Notfall, wenn also entweder die Leitung oder das Gateway ausfällt, sollen sie über RelayB versendet werden.

Exchange 2007 Send Connectors kann man ohne weiteres mit den IPs der Gateways als SmartHosts konfigurieren. Nun nehmen sie leider unabhängig vom Status ihres Ziels E-Mails für den Versand an. Dabei spielen nur die Kosten des Connectors eine Rolle, bei gleichen Kosten die Position des Names in alphabethischer Sortierung. Man kann also nicht zwei Connectoren zu den zwei getrennten Gateways aufsetzen und den einen durch geringere Kosten priorisieren. Auch wenn das RelayA nicht erreichbar ist, würden sich die Mails in der Warteschlange des billigeren Connectors sammeln. Leider kann man auch nicht direkt zwei Smart Hosts mit unterschiedlichen Kosten eintragen.

Man kann sich aber mit einem kleinen Trick behelfen. Man legt zwei MX-Records mit gleichem Namen und unterschiedlichen Prioritäten im DNS an. Die Einträge zeigen auf die jeweiligen Gateways. Dann trägt man den Namen der MX-Records im Connector als Smart Host ein. Fail-Over und auch das Zurückfallen bei Wiederherstellung der Funktion erfolgt so automatisch. Da nur eine gemeinsame Exchange Warteschlange für beide Gateways existiert, braucht man auch keinen Dienstneustart.

Mit dieser Methode sorgt man allerdings nur für einen automatischen Schwenk auf das RelayB, wenn RelayA tatsächlich keine Mails mehr annimmt. Tut es das noch und nur die Leitung dahinter ist weg, ist das dem Exchange Server egal. Es bildet sich dann eine Warteschlange auf dem Gateway. Das ist normales Verhalten bei SMTP-Relaying. Der sendende Server hat seine Aufgabe erledigt, wenn er die Mail beim nächsten Relay abgegeben hat.

DNS

smarthost.meine.domaene MX 10 RelayA.meine.domaene
smarthost.meine.domaene MX 20 RelayB.meine.domaene

Exchange

Set-SendConnector „Internet“ -SmartHosts smarthost.meine.domaene

ActiveSync Devices mit PowerShell auflisten

henrikzawischa — Mon, 25 Jan 2010 14:47:13 +0000

get-casmailbox -resultsize unlimited -Filter {HasActiveSyncDevicePartnership -eq $true} | foreach { $mbx = $_; Get-ActiveSyncDeviceStatistics -Mailbox $_.Identity | select @{Name="Name"; Expression={$mbx.name}}, @{Name="ActiveSyncEnabled"; Expression={$mbx.ActiveSyncEnabled.ToString()}}, *} | export-csv -Encoding UTF8 ".\My Documents\ActiveSyncDevices.csv"

Oder so, ist noch kürzer:

get-casmailbox -resultsize unlimited | foreach { $mbx = $_; Get-ActiveSyncDeviceStatistics -Mailbox $_.Identity | select @{Name="Name"; Expression={$mbx.name}}, @{Name="ActiveSyncEnabled"; Expression={$mbx.ActiveSyncEnabled.ToString()}}, *} | export-csv -Encoding UTF8 ".\My Documents\ActiveSyncDevices.csv"

Konfigurieren des Tarpittings

henrikzawischa — Mon, 11 Jan 2010 13:31:17 +0000

Mit Exchange 2007 hat Microsoft eine neue Maßnahme gegen Directory Harvesting eingeführt, die automatisch aktiv ist, das sogenannte Tarpitting (eng. Tar = Teer, Pit = Grube). Beim Directory Harvesting versucht der Angreifer, Informationen über existierende und nicht existierende E-Mail Adressen abzufragen, indem er einfach in schneller Folge „RCPT TO“ Kommandos absetzt und das Ergebnis auswertet. Beim Tarpitting wird nun absichtlich die Antwort auf ein SMTP-Kommando verzögert, so dass es sich für den Angreifer nicht mehr lohnt, weil der Zeitaufwand zu hoch wird.

Als Standardwerd ist auf einem Receive-Connector ein tarpit interval von 5 Sekunden eingestellt.

>get-receiveconnector | ft name, TarpitInterval

Name                                    TarpitInterval
—-                                    ————–
Relay EXCHANGESERVER                     00:00:05

Einstellen kann man das Intervall nur über die Powershell

>set-receiveconnector -TarpitInteval

Installationsproblem bei KB968930

henrikzawischa — Sat, 09 Jan 2010 09:31:53 +0000

Kürzlich wollte ich auf einigen Windows Server 2003 R2 SP2 Maschinen das Windows Management Framework Core-Package installieren. Klappte auch auf einigen, auf anderen nicht mit der lapidaren Fehlermeldung „Access Denied“.

Eine Internetsuche brachte nichts Brauchbares. Einige wirre Vorschläge, etliche Nutzer hatten wohl Erfolg mit der Deinstallation von Powershell 1.0. Nur leider liess sich KB926139-v2 nicht deinstallieren. Das kommt vor, wenn Abhängigkeiten existieren oder Service Packs den Patch beinhalten.

Hotfix for Windows Server 2003 (KB926139-v1)
[...]
This update cannot be removed.

Da ich nichts von Herumprobieren halte und mir die anderen Vorschläge zum Thema zu esoterisch erschienen, habe ich beschlossen, dem Problem auf den Grund zu gehen.

Im Setup-Log des KB968930 findet man den Hinweis, dass Registryeinträge nicht geschrieben werden können. Leider sieht man da nicht genau, welche. Also habe ich mir von Sysinternals den Process Monitor heruntergeladen und damit die Registry-Aktivitäten bei der Installation beobachtet. Damit ließ sich dann ganz klar identifizieren, wo die Schwierigkeiten auftreten. Bei den Systemen, auf denen die Installation fehlschlägt, findet sich ein ACL Eintrag bei dem Key:

HKLM, Software\Microsoft\Windows NT\CurrentVersion\Svchost

Verweigern; Jeder; Wert schreiben, nur dieser Schlüssel

Sobald man diesen Eintrag löscht, läuft das Update klaglos durch.

Leider weiß ich nicht, woher der Eintrag kam. Nicht alle unserer Server hatten ihn, ich vermute, er ist duch einen der vorherigen Patches eingebracht worden. Was auch erklären würde, warum einige andere Nutzer mit dem Deinstallieren anderer Patches vor der Installation von KB968930 Erfolg hatten.

Microsoft NLB unter VMWare

henrikzawischa — Wed, 06 Jan 2010 17:03:07 +0000

Es ist eine prima Idee, Network Load Balancing für Hub Transport oder Client Access Server einzusetzen. Auch eine gute Idee ist, die Server als virtuelle Maschinen zu betreiben. Aber man sollte wissen, dass es mit dem Unicast Mode des NLB-Clusters unter VMWare ESX Probleme geben kann.

Im Wesentlichen liegt das daran, dass der virtuelle Switch des ESX-Servers die MAC-Adressen aller Gast-Maschinen kennt. Auch die virtuelle des NLB-Clustes. Pakete an eine lokal bekannte MAC-Adresse werden niemals an das physikalische Netz weitergeleitet. So kann es sein, das ein Gastsystem, dass sich auf dem selben ESX-Server befindet wie einer der Knoten, vom NLB dem anderen Knoten zugeordnet wird, den aber nicht erreichen kann. In dem Fall lassen sich beide Knoten vom betroffenen System über ihre individuellen IP-Adressen erreichen, aber die virtuelle Cluster-IP funktioniert nicht.

Hier wird das ganze von VMWare erklärt.