Erste Schritte
- Installieren: Das MSI von der Download-Seite einmal mit Administratorrechten ausführen, oder per Softwareverteilung.
- Starten: mit Ihrem normalen Domänenkonto. DirectoryOps braucht zum Arbeiten keine Administratorrechte am Arbeitsplatz.
- Verbinden: Domäne wählen, dann den Domain Controller aus der Liste. Stufen Sie die Verbindung als Produktion oder Test ein; das Banner zeigt es ab dann in Farbe.
- Suchen: Namen eintippen (ANR) oder links im Baum eine OU öffnen. Ein Klick auf einen Treffer zeigt die Attribute.
- Merken: Suchen speichern, Objekte als Favorit markieren, Ergebnisse als CSV exportieren.
Tastenkürzel: Strg+F Suche, Strg+1 bis Strg+8 Bereiche, F5 neu laden, F1 Übersicht aller Kürzel.
Nötige Rechte
DirectoryOps nutzt ausschließlich die Rechte des angemeldeten Kontos. Für Release 1 genügt ein normales Domänenkonto:
| Funktion | Braucht |
|---|---|
| Suchen, Baum, Attribute | Leserecht im Verzeichnis (Standard für „Authentifizierte Benutzer“) |
| Delegationsübersicht | Lesen der Berechtigungen (DACL) der OU; die Überwachungseinträge (SACL) werden nicht gelesen |
| Design-Prüfung, Risikobewertung | Leserecht auf die ganze Domäne; wo es fehlt, meldet die Prüfung „nicht prüfbar“ statt eines falschen Ergebnisses |
| Staffel der Lizenz zählen | Leserecht auf alle Benutzerkonten; sonst steht im Hinweis „Zählung nicht möglich“, ohne Sperre |
| Bearbeiten, Rollen, Behebung (in Arbeit) | die jeweiligen Schreibrechte in AD; DirectoryOps fragt den DC vorher, ob Sie dürfen |
Nie nötig: Domain-Admin, ein Dienstkonto, lokale Adminrechte zum Arbeiten oder Software auf den Domain Controllern.
Netz und Ports
- Zu den Domain Controllern: LDAP 389 (Kerberos, signiert und verschlüsselt) oder LDAPS 636, Global Catalog 3268 oder 3269, Kerberos 88, DNS 53.
- Nach außen, nur für Updates: HTTPS 443 zu
directoryops.tomoris.comund zum TOMORIS-Download-Speicher (Adresse auf der Download-Seite). Abschaltbar.
Updates
Standard: DirectoryOps prüft beim Start höchstens einmal täglich und bietet neue Versionen an. Installiert wird nur nach Klick. Steuern lässt sich das per Einstellung oder per Gruppenrichtlinie, siehe Update-Richtlinie; Wege ohne Internet stehen unter Interne Freigabe und Offline-Paket.
Dateien auf dem Arbeitsplatz
| Ort | Inhalt |
|---|---|
C:\Program Files\TOMORIS\DirectoryOps | Programm, signiert |
%APPDATA%\TOMORIS\DirectoryOps\einstellungen.json | Einstellungen, gespeicherte Suchen, Favoriten |
%LOCALAPPDATA%\TOMORIS\DirectoryOps\logs | Betriebsprotokoll ohne Attributwerte, Suchtexte oder DNs |
%LOCALAPPDATA%\TOMORIS\DirectoryOps\updates | geladene, geprüfte Update-Pakete |
%LOCALAPPDATA%\TOMORIS\DirectoryOps\nutzung.json | Nutzungszähler, nur wenn eingeschaltet, nur lokal |
Defender und EDR
Die Risikobewertung liest viel aus dem Verzeichnis. Microsoft Defender for Endpoint, Defender for Identity oder ein anderes EDR kann das als Aufklärung melden. Informieren Sie Ihr Sicherheitsteam vorher; DirectoryOps liefert dafür einen fertigen Text.
Anleitung für Ihr SOC: Defender und EDR
Häufige Fragen
Brauche ich Domain-Admin-Rechte?
Nein. DirectoryOps arbeitet mit den Rechten des angemeldeten Kontos. Was Sie sehen und ändern dürfen, entscheidet der Domain Controller, und die Konsole zeigt es Ihnen an.
Kann ich ADUC parallel weiter nutzen?
Ja. DirectoryOps ändert nichts an ADUC oder den RSAT-Werkzeugen und braucht sie nicht.
Warum sehe ich LAPS-Kennwörter nicht?
Absichtlich. Geheime Attribute werden nie angefordert, damit sie weder auf dem Bildschirm noch im Export oder im Protokoll landen. Für LAPS nutzen Sie die Werkzeuge von Microsoft mit eigener Berechtigung.
Die Suche meldet „unvollständig“. Was heißt das?
Die Suche hat die eingestellte Obergrenze erreicht oder wurde abgebrochen. Grenzen Sie Suchbasis oder Filter ein; DirectoryOps schneidet Ergebnisse nie still ab.
Update-Prüfung schlägt fehl. Was tun?
Meist blockiert der Proxy das Ziel. Geben Sie die beiden Adressen aus „Netz und Ports“ frei oder nutzen Sie eine interne Freigabe beziehungsweise das Offline-Paket. Eine ungültige Signatur lehnt DirectoryOps immer ab; melden Sie uns das bitte.
Funktioniert das ohne Internet?
Ja. Die Lizenz wird offline per Datei geprüft, Updates kommen auf Wunsch über eine interne Freigabe oder als Datei.
Wie bekomme ich Support?
Per E-Mail an contact@tomoris.com. Hängen Sie gern das Betriebsprotokoll an; es enthält keine Verzeichnisdaten.