Active Directory-Based Activation (ADBA) ist die neueste Möglichkeit aus dem Hause Microsoft zur Volumenaktivierung von Produktlizenzen. ADBA wurde zusammen  mit Windows 8 bzw. Windows Server 2012 eingeführt und stellt neben KMS (Key Management Service) und MAK (Multiple Activation Key) eine dritte Aktivierungsmöglichkeit dar. Nachdem ich KMS und MAK bereits in meinem Artikel “Microsoft Produktaktivierung – MAK vs. KMS” vorgestellt habe, folgt nun ein genauerer Blick auf das Active Directory-Based Activation.

Wie der Name schon vermuten lässt, kann ADBA nur Systeme aktivieren, die mit der Domäne verbunden sind. Die Aktivierung erfolgt vollautomatisch beim Domain-Join und ist wie bei der KMS-Aktivierung für 180 Tage gültig. Eine Reaktivierung erfolgt automatisch, sofern das System mit einem Domain Controller (DC) kommunizieren kann. Ein Aktivierungs-Threshold von mindestens 25 Computern wie bei KMS existiert bei ADBA nicht. Damit ist die neue Methode auch für kleinere Umgebungen mit einer geringen Anzahl an Systemen vorteilhaft.

ADBA funktioniert erst ab Windows 8 bzw. Windows Server 2012 bzw. Office 2013. Selbstverständlich werden auch neuere Betriebssysteme wie Windows 8.1, Windows 10, Windows Server 2012 R2 und Windows Server 2016 unterstützt. Auch Office 2016 funktioniert problemlos. Bei älteren Versionen wie Windows 7, Windows 2008 R2 oder Office 2010 muss die Aktivierung weiterhin via KMS oder MAK erfolgen.

Aus diesem Grund werden die meisten Unternehmen auf einen Parallelaufbau mit ADBA für die neuen und KMS für die alten Systeme setzen. Sobald keine alten Systeme mehr verwendet werden, kann der KMS-Host abgeschaltet werden.

Nachfolgend die wichtigsten Vorteile von ADBA gegenüber KMS:

• Aktivierung erfolgt nahezu ohne Zeitverzögerung direkt beim Domänen-Join
• Aktivierung erfolgt Forest-weit (bei KMS sind hierzu in jeder Domäne zusätzliche DNS-Einträge notwendig)
• keine Mindestanzahl von 25 Computern wie bei KMS
• ein Server weniger zum Administrieren und Updaten, sobald KMS-Host abgeschaltet werden kann

Einrichtung von Active Directory-Based Activation

Einzige Voraussetzung ist, dass Active Directory bereits auf das Schema-Level von Windows Server 2012 (Version 56) aktualisiert wurde. Anschließend kann die Aktivierung über Active Directory eingerichtet werden, was nur wenige Minuten dauern sollte. Bei Microsoft gibt es zwei ausführliche Anleitungen mit weiteren Informationen:

• https://technet.microsoft.com/de-de/itpro/windows/deploy/activate-using-active-directory-based-activation-client
• https://blogs.technet.microsoft.com/askpfeplat/2013/02/04/active-directory-based-activation-vs-key-management-services/

Das Active Directory Schema definiert die Datenbank des Verzeichnisdienstes. In der AD-Datenbank werden Datensätze als “Objekte” bezeichnet und deren Eigenschaften (Datenfelder) als “Attribute”. Das Schema legt also fest, welche Objektklassen und Attribute im AD existieren.

Mit jedem neuen Betriebssystem führt Microsoft neue Features ein, welche gleichzeitig oft auch neue Klassen und Attribute im Active Directory voraussetzen. Bei der Aufnahme eines Domänencontrollers (DC) mit einer neuen Betriebssystemversionen muss daher das AD-Schema aktualisiert werden. Aus diesem Grund ist die Active Directory Schema Version standardmäßig auch immer so aktuell, wie der neueste DC.

Unabhängig davon existieren einige Möglichkeiten, um die aktuelle Active Directory Schema Version herauszufinden.

DSQuery

Via DSQuery kann die Schema Version über die Eingabeaufforderung angezeigt werden:

dsquery * CN=Schema,CN=Configuration,DC=EXAMPLE,DC=DOMAIN -Scope Base -attr objectVersion

PowerShell

Get-ADObject (Get-ADRootDSE).schemaNamingContext -properties objectVersion

Registry

Die AD Schema Version kann zudem auf jedem DC in der Registry eingesehen werden:

HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Parameters\<Schema Version>

Repadmin

Mit dem Tool “repadmin” kann der Status des Attributes über alle DCs hinweg abgefragt werden. Damit kann beispielsweise die Replikation bei einer Schemaerweiterung überprüft werden.

repadmin /showattr * cn=schema,cn=configuration,dc=EXAMPLE,dc=DOMAIN /atts:ObjectVersion

ADSI Edit

• “ADSI Edit” starten
• Auf der linken Seite Rechtklick auf “ADSI Edit” ausführen und “Connect to” auswählen
• Unter “Connection Point” “Well known naming context” auswählen und aus dem Drop-Down-Menü “Schema” wählen
• Unter “Computer” ggf. noch den Namen der Domäne angeben und auf den Button “OK” klicken
• Auf der linken Seite auf den neuen Punkt “Schema…” klicken und erweitern.
• Rechtsklick auf den Schema Container “CN=Schema,CN=Configuration,DC=…” und “Properties” auswählen
• Die Schema Version des Active Directory wird unter dem Attribut “objectVersion” aufgeführt

Lange und komplexe PowerShell-Skripte werden schnell unübersichtlich und man verliert den Überblick, wo das Skript gerade steht und was aktuell abgearbeitet wird. Aus diesem Grund solltet ihr in jedem Skript bereits von Anfang an eine einfache Log-Funktionalität einbauen. Dies ist in vielen Fällen schneller und einfacher zu realisieren, als das Logging später aufwändig nachzurüsten. Vor allem bei Skripten, welche kritische Daten schreiben, ist das Logging im Nachhinein oftmals ein Segen. Beispielsweise wenn euer PowerShell-Skript Daten im AD ändert und im Nachgang einige Änderungen rückgängig gemacht werden müssen.

Daher habe ich eine kleine Funktion geschrieben, welche ich nahezu am Anfang jedes PowerShell-Skripts einbinde. Die Ausgabe erfolgt sowohl in der Konsole als auch in einer Log-Datei. Neben dem aktuellen Datum und der Uhrzeit ermöglicht die Log-Funktion zudem die Definition von verschiedenen Log-Leveln.

Das Skript steht auch als Download zur Verfügung.

$path = "C:\Temp"
$date = get-date -format "yyyy-MM-dd-HH-mm"
$file = ("Log_" + $date + ".log")
$logfile = $path + "\" + $file

function Write-Log([string]$logtext, [int]$level=0)
{
	$logdate = get-date -format "yyyy-MM-dd HH:mm:ss"
	if($level -eq 0)
	{
		$logtext = "[INFO] " + $logtext
		$text = "["+$logdate+"] - " + $logtext
		Write-Host $text
	}
	if($level -eq 1)
	{
		$logtext = "[WARNING] " + $logtext
		$text = "["+$logdate+"] - " + $logtext
		Write-Host $text -ForegroundColor Yellow
	}
	if($level -eq 2)
	{
		$logtext = "[ERROR] " + $logtext
		$text = "["+$logdate+"] - " + $logtext
		Write-Host $text -ForegroundColor Red
	}
	$text >> $logfile
}

# log something
Write-Log "this is a simple log test"

# create warning log entry
Write-Log "this is a simple log test" 2

# use more than simple variables in a string
$cmds = get-command
Write-Log "there are $($cmds.count) commands available"