Kontivo: Benutzerhandbuch

1. Was das Tool tut

Kontivo liest die von Ihrer Organisation exportierte Benutzerliste (aus einer HR-Software, einem ERP, einem anderen Verzeichnis, einer Tabellenkalkulation oder einer Schulsoftware) und hält die zugehörigen Konten in Active Directory (dem Verzeichnis des Netzwerks) aktuell. Bei jedem Import:

• erstellt es die Konten der neuen Benutzer, mit einem Benutzernamen nach der von Ihnen gewählten Vorlage (zum Beispiel lea.martin) und einem temporären Kennwort, das auf ein Kontoblatt gedruckt wird;
• ändert es die Gruppe der Benutzer, die die Gruppe gewechselt haben: Verzeichnisgruppe und Verzeichnisordner (OU);
• aktualisiert es den Anzeigenamen eines Benutzers, dessen Name sich ändert; sein Benutzername ändert sich nicht;
• deaktiviert es die Konten ausgeschiedener Benutzer und legt sie gesondert in einem Ordner „Abgänge“ ab; sie werden später gelöscht, nach einer von Ihnen gewählten Frist (standardmäßig 90 Tage);
• reaktiviert es das Konto eines zurückkehrenden Benutzers;
• erstellt es den Basisordner jedes neuen Benutzers auf der Netzwerkfreigabe und erteilt ihm die Berechtigungen, wenn Sie eine Pfadvorlage angeben (\\srv\personen$\{sam}).

Was das Tool nicht tut:

• Es verwaltet nur die Benutzer der importierten Liste, in den Ordnern, die Sie ihm anvertrauen;
• es greift weder auf Microsoft 365 noch auf das ENT (Schulportal) noch auf das E-Mail-System zu;
• es ändert nie ein Konto, das es nicht erstellt oder übernommen hat (siehe § 15), und auch kein Administratorkonto;
• es sendet nichts ins Internet: Die Benutzerdatei wird auf dem Computer gelesen, auf dem das Tool läuft, und das Tool verbindet sich mit keinem externen Dienst. Einzige Ausnahme ist die Schaltfläche Lizenz aktualisieren, und nur wenn Sie darauf klicken; sie lädt die Lizenz herunter, sonst nichts (siehe § 3.2).

Das Tool öffnet sich in einem eigenen Fenster, Kontivo, wie ein gewöhnliches Windows-Programm: kein Browser, kein PowerShell-Fenster. Alles geschieht auf Ihrem Computer. Zum Beenden klicken Sie oben rechts auf Beenden oder schließen das Fenster.

Das Fenster ist auf Französisch, Englisch, Deutsch, Spanisch, Portugiesisch oder Italienisch, je nach Sprache von Windows oder der von Ihnen gewählten Sprache (siehe § 5, „Sprache der Benutzeroberfläche“). Dieses Handbuch gibt es in denselben Sprachen.

2. Bevor Sie beginnen

Sie benötigen:

1. Einen Windows-Computer der Domäne: möglichst einen Administrationscomputer unter Windows 10 oder 11. Ein Domänencontroller eignet sich ebenfalls, aber Windows schränkt dort die Rechte ein (Benutzerkontensteuerung). RSAT ist nicht mehr erforderlich: Die V2 erreicht das Verzeichnis über LDAP, ohne das Active Directory-Modul und ohne PowerShell.
2. .NET Framework 4.8, sonst nichts: Es ist unter Windows 10 (ab Version 1903), Windows 11 und Windows Server 2019 bis 2025 bereits vorhanden. Unter Windows Server 2016 wird es einmalig installiert (Windows Update oder das Installationsprogramm „.NET Framework 4.8“ von Microsoft); das Tool meldet beim Start, wenn es fehlt. Es ist kein Browser nötig: Kontivo öffnet sich in einem eigenen Fenster (nur die Hilfe, also dieses Handbuch, wird in dem Programm geöffnet, das auf dem Computer Webseiten anzeigt).
3. Ein Windows-Konto mit den richtigen Berechtigungen für die Ordner der Benutzer im Verzeichnis. Am besten ist ein delegiertes Konto, das nur für diese Ordner Berechtigungen hat: siehe Berechtigungen delegieren. Die zu delegierenden Berechtigungen sind genau die der V1: Es wird nie eine zusätzliche Berechtigung verlangt.
4. Die Lizenz der Organisation: die per E-Mail gesendete Datei licence.json (an die Kennung und die Domäne der Organisation gebunden), eine Lizenz pro Active-Directory-Domäne, im Rahmen eines Jahresabonnements. Ohne gültige Lizenz startet das Tool im Nur-Lesen-Modus (Vorschau möglich, keine Änderung) und meldet dies; siehe § 3.2 und § 6.
5. Die Benutzerliste: eine Tabellenkalkulation oder CSV-Datei beliebiger Herkunft, mit mindestens Nachname, Vorname und Gruppe jedes Benutzers (siehe § 7.1); für einen Export aus SIECLE, ONDE, Pronote oder EcoleDirecte siehe die Rubrik Erkannte Schulformate.
6. Die Zustimmung der Leitung der Organisation und das mit Ihrem Datenschutzbeauftragten ausgefüllte Blatt des Verzeichnisses von Verarbeitungstätigkeiten: siehe Fiche registre RGPD (auf Französisch).

SmartScreen beim ersten Start

Das Tool ist eine einzige Datei, ComptesAD.exe. Beim ersten Start einer heruntergeladenen EXE-Datei kann Windows Der Computer wurde durch Windows geschützt (SmartScreen) anzeigen. Klicken Sie auf Weitere Informationen und dann auf Trotzdem ausführen. Ist die EXE-Datei mit einem Zertifikat signiert, das Ihrer Organisation bekannt ist, verschwindet diese Warnung, sobald die Reputation aufgebaut ist. Prüfen Sie in jedem Fall den SHA-256-Hash der EXE-Datei, bevor Sie sie ausführen (siehe § 3.1): Er garantiert, dass die Datei nicht verändert wurde.

Virenschutz und Sicherheit des Computers

Die EXE-Datei ist obfuskiert (ihr Code ist verschleiert, um Reverse Engineering zu erschweren): Manche Virenschutzprogramme oder EDR-Lösungen können sie als „verdächtig“ einstufen, selbst wenn sie signiert ist. Wird das Tool blockiert, informieren Sie Ihren IT-Sicherheitsbeauftragten und lassen Sie eine Ausnahme für den veröffentlichten SHA-256-Hash hinzufügen. Eine signierte, aber nicht obfuskierte EXE-Datei kann im Einzelfall für eine hartnäckige EDR-Lösung bereitgestellt werden (gleiches Verhalten, eigener veröffentlichter Hash für diese Variante).

3. Installation

Das Tool wird nicht installiert: Es ist eine Datei, die man zusammen mit ihrem Ordner docs\ kopiert. In die Registrierung schreibt es nur die in den Einstellungen gewählte Sprache, für Ihr Windows-Konto (§ 5, „Sprache der Benutzeroberfläche“).

3.1 Hash prüfen, Blockierung aufheben, dann entpacken

1. Prüfen Sie zuerst den Hash des Archivs: Die mitgelieferte Datei ComptesAD-3.0.0.zip.sha256 enthält den erwarteten Wert. In PowerShell, in dem Ordner, in dem beide Dateien liegen:

   (Get-FileHash .\ComptesAD-3.0.0.zip).Hash -eq (Get-Content .\ComptesAD-3.0.0.zip.sha256).Split(' ')[0]

   Die Antwort muss True lauten (Groß- und Kleinschreibung spielen keine Rolle). Die Downloadseite veröffentlicht auch den Hash der signierten EXE-Datei selbst, der nach dem Entpacken erneut zu prüfen ist: (Get-FileHash .\ComptesAD\ComptesAD.exe).Hash.
2. Vor dem Entpacken: Rechtsklick auf ComptesAD-3.0.0.zip, Eigenschaften, aktivieren Sie unten auf der Registerkarte Allgemein das Kontrollkästchen Zulassen, dann OK. Andernfalls markiert Windows jede entpackte Datei als „aus dem Internet stammend“, und SmartScreen warnt beim ersten Start (siehe § 2).
3. Entpacken Sie das Archiv: Sie erhalten einen Ordner ComptesAD-3.0.0 mit ComptesAD.exe, LISEZMOI.txt (auf Französisch), README.txt (auf Englisch), LICENCE.txt, docs\ (die Handbücher, ein Ordner pro Sprache, siehe unten) und exemples\ (Dateien mit erfundenen Benutzern für den Demomodus, § 4). Benennen Sie ihn um und legen Sie ihn direkt unter C:\ auf dem lokalen Laufwerk ab, sodass Sie C:\ComptesAD\ erhalten. Nicht auf einer Freigabe und nicht auf einem Netzlaufwerk: Das Tool verweigert dann den Start („Kontivo wurde von einem Netzlaufwerk gestartet (Z:\ComptesAD). Kopieren Sie ComptesAD.exe auf das lokale Laufwerk des Computers, zum Beispiel nach C:\ComptesAD, und starten Sie es erneut.“). Lassen Sie docs\ neben der EXE-Datei: Die Schaltfläche Hilfe (F1) des Fensters öffnet das Handbuch in der Sprache der Benutzeroberfläche, zum Beispiel docs\de\Notice.html.

Der Ordner docs\ enthält einen Ordner pro Sprache: fr (Französisch), en (Englisch), de (Deutsch), es (Spanisch), pt (Portugiesisch) und it (Italienisch). Jeder enthält Notice.html (dieses Handbuch), Deleguer-les-droits.html, LISEZMOI.txt und die Bildschirmfotos (img\). Die Seiten, die es nur auf Französisch gibt, Exporter-les-eleves.html und Fiche-registre-RGPD.html, liegen in docs\fr\.

3.2 Die Lizenz ablegen und aktualisieren

Legen Sie die per E-Mail erhaltene Datei licence.json in C:\ComptesAD\ ab, neben die EXE-Datei. Sie können sie auch im Fenster von Kontivo über die Schaltfläche Lizenzdatei auswählen… des Bildschirms „Lizenz“ (siehe unten) wählen: Das Tool kopiert sie dann in den Datenordner und prüft erneut. Ohne gültige Lizenz startet das Tool im Nur-Lesen-Modus und zeigt dies an (blaues Banner, „Keine Lizenz – Vorschau möglich, es werden keine Änderungen vorgenommen…“); der Demomodus benötigt keine Lizenz.

Das Abonnement. Eine Lizenz gilt für eine Active-Directory-Domäne; das Abonnement verlängert sich jedes Jahr automatisch. Die Lizenz ist bis zum Ende des bezahlten Zeitraums gültig, zuzüglich 14 Tagen Kulanzfrist. Danach wechselt das Tool in den Nur-Lesen-Modus: Die Vorschau bleibt möglich, im Verzeichnis wird aber nichts geändert. Bezahlt wird per Karte, online, oder auf Rechnung (Überweisung, für Behörden und öffentliche Verwaltungen); in diesem Fall erhalten Sie bis zum Zahlungseingang eine vorläufige Lizenz für 60 Tage.

Der Bildschirm „Lizenz“. Auf der Startseite ist der Link Lizenz immer sichtbar. Der Bildschirm, den er öffnet, zeigt den Status der Lizenz, die Organisation, die Nummer der Lizenz, das Enddatum („Gültig bis“, mit der Zahl der verbleibenden Tage), die Domäne dieses Verzeichnisses und die vollständige Meldung der Prüfung. Im Demomodus sagt er nur, dass keine Lizenz erforderlich ist. Zwei Schaltflächen:

• Lizenz aktualisieren (Hauptschaltfläche): lädt die neueste Lizenz Ihres Abonnements vom Lizenzdienst herunter, https://licences.scolatools.com, zum Beispiel nach der jährlichen Verlängerung oder einer Zahlung auf Rechnung. Die Verbindung läuft über HTTPS, mit der üblichen Zertifikatsprüfung durch Windows, und über den in Windows eingestellten Proxy. Sie sendet nur die Active-Directory-Domäne und die Nummer der vorhandenen Lizenz: keine Benutzerdaten. Die empfangene Lizenz wird erst nach einer vollständigen Prüfung (Signatur, Domäne, Daten) installiert; eine abgelehnte Lizenz überschreibt nie die vorhandene. Die Schaltfläche bleibt ausgegraut, solange keine Lizenz abgelegt ist: Die erste wird als Datei abgelegt.
• Lizenzdatei auswählen…: Wählen Sie auf einem Computer ohne Internetzugang die Datei licence.json, die Sie per E-Mail erhalten oder aus Ihrem Kundenbereich heruntergeladen haben.

Die mit einer der beiden Schaltflächen installierte Lizenz wird in den Datenordner kopiert (C:\ProgramData\ComptesAD\licence.json, § 3.9). Eine neben der EXE-Datei abgelegte licence.json wird weiterhin erkannt.

Der Bildschirm zeigt auch die Adresse Ihres Kundenbereichs, https://licences.scolatools.com/espace: Ihre Lizenzen, Ihre Rechnungen, der Domänenwechsel (einmal pro Abonnementzeitraum) und das Abrechnungsportal. Sie öffnet sich in einem Browser, von jedem beliebigen Computer aus.

3.3 Den Ordner des Tools schützen

Beim ersten Start prüft das Tool, wer seinen Ordner und seine EXE-Datei ändern kann. Kann ein Konto, das kein Administrator ist, dort schreiben (das ist bei einem direkt unter C:\ erstellten Ordner der Fall, in dem „Authentifizierte Benutzer“ die Dateien ändern können), verweigert es den Start: Jemand könnte die EXE-Datei durch Code ersetzen, der mit Ihren Rechten ausgeführt würde.

Das Fenster zeigt dann: „Der Ordner C:\ComptesAD kann von „Authentifizierte Benutzer“ geändert werden. Jemand könnte dort Code ablegen, der mit Ihren Rechten ausgeführt würde. Korrigieren Sie ihn in einer als Administrator geöffneten Eingabeaufforderung oder PowerShell mit dem folgenden Befehl, und starten Sie dann erneut.“, gefolgt, allein in einer Zeile, vom genauen einzugebenden Befehl mit der richtigen Sicherheitskennung (SID) Ihres Kontos. Er sieht etwa so aus:

icacls "C:\ComptesAD" /inheritance:r /grant:r "*S-1-5-32-544:(OI)(CI)F" "*S-1-5-18:(OI)(CI)F" "*S-1-5-21-…:(OI)(CI)RX"

Kopieren Sie den vom Tool angezeigten Befehl, fügen Sie ihn in eine als Administrator geöffnete Eingabeaufforderung oder PowerShell ein und starten Sie das Tool erneut. Jede Berechtigung steht in Anführungszeichen: Der Befehl funktioniert unverändert in beiden. Er gibt den Administratoren und dem System Vollzugriff und dem Konto, das das Tool gestartet hat, nur Lesezugriff. Die Prüfung betrifft den Ordner, die EXE-Datei ComptesAD.exe, ihre Konfigurationsdatei ComptesAD.exe.config, falls vorhanden, und den Ordner docs\.

Dieselbe Prüfung gilt für den Datenordner C:\ProgramData\ComptesAD, wenn er von Hand mit zu weit gefassten Berechtigungen erstellt wurde. Der für diesen Ordner vorgeschlagene Befehl endet mit (OI)(CI)F": Ihr Konto muss dort schreiben können. Gehört dieser Ordner einem Konto, das weder Administrator noch Ihr eigenes ist, schlägt das Tool icacls "C:\ProgramData\ComptesAD" /setowner "*S-1-5-32-544" /T vor. Dieser Ordner muss auf einer festen lokalen Festplatte liegen, sonst: „Der Ordner C:\… liegt auf einem Netzlaufwerk: Er würde den Organisationsschlüssel und Benutzerdaten enthalten (DONNEES_SUR_PARTAGE). Geben Sie einen Ordner auf der lokalen Festplatte des Computers an, zum Beispiel ComptesAD.exe -DossierDonnees "C:\ComptesAD-donnees", und starten Sie dann erneut.“ (oder „einer Netzwerkfreigabe“, „einem Wechselmedium (USB-Stick, externe Festplatte)“, „einer CD oder DVD“).

3.4 Welches Konto verwenden

Das Tool arbeitet im Verzeichnis mit dem Windows-Konto, das es startet. Es fragt nie nach einem Kennwort, um im Verzeichnis zu arbeiten; nur das Entsperren seines Fensters nach einer Abwesenheit verlangt das Kennwort des Kontos, das es gestartet hat (§ 3.5).

• Empfohlen: ein delegiertes Konto (zum Beispiel DEMO\adm-comptes), das nur für die Ordner der Benutzer Berechtigungen hat. Siehe Berechtigungen delegieren. Es benötigt keine Administratorrechte auf dem Computer.
• Ein Konto der Gruppe „Domänen-Admins“ funktioniert ebenfalls, aber das Tool zeigt dann den Tipp „Verwenden Sie ein Konto, das nur für die Benutzer-OUs delegiert ist“ an.

So starten Sie das Tool mit dem delegierten Konto, wenn Sie mit einem anderen Konto angemeldet sind:

• Halten Sie die Umschalttaste gedrückt, klicken Sie mit der rechten Maustaste auf ComptesAD.exe, wählen Sie Als anderer Benutzer ausführen und geben Sie dann das delegierte Konto und sein Kennwort ein;
• oder in einer Eingabeaufforderung:

runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe"

Die Optionen stehen innerhalb der Anführungszeichen, nach dem Pfad der EXE-Datei: runas nimmt nur ein einziges Programmargument an (zum Beispiel runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe -LectureSeule", siehe § 6). Das Fenster von Kontivo bleibt geöffnet und zeigt die Meldung an, wenn das Tool den Start verweigert: Sie können den Grund lesen und den vorgeschlagenen Befehl kopieren.

3.5 Das Tool starten

Doppelklicken Sie auf ComptesAD.exe (oder starten Sie es mit dem delegierten Konto, siehe oben). Das Fenster von Kontivo öffnet sich direkt in der Größe 1.280 × 800 (oder in der Größe des Bildschirms, wenn dieser kleiner ist); Sie können es wie jedes Fenster verschieben, vergrößern oder verkleinern. Es gibt weder einen Browser noch einen zu kopierenden Link noch ein zweites Fenster, das offen bleiben muss.

Das obere Banner zeigt stets, wo Sie sind: „Domäne DEMO · Domänencontroller DC1 · Konto DEMO\adm-comptes“ (orange „DEMOMODUS“ im Demomodus, blau „NUR LESEN“ im Nur-Lesen-Modus). Rechts öffnet Hilfe (F1) dieses Handbuch in der Sprache der Benutzeroberfläche, und Beenden beendet das Tool. Alles ist auch per Tastatur möglich: Tab wechselt von einem Steuerelement zum nächsten, Eingabe löst die Hauptaktion des Bildschirms aus, Leertaste aktiviert ein Kontrollkästchen; die Bildschirme lassen sich mit der Windows-Sprachausgabe lesen.

Zum Beenden klicken Sie oben rechts auf Beenden oder schließen das Fenster (Kreuz, Alt+F4): Das Tool fragt „Kontivo beenden?“. Während einer Ausführung von Änderungen bietet das Schließen zunächst an, die Ausführung anzuhalten: Sie wird sauber angehalten und kann beim nächsten Start fortgesetzt werden (siehe § 13). Melden Sie sich während einer Ausführung von Windows ab oder fahren Sie den Computer herunter, zeigt Windows „Kontivo wendet einen Plan an: Halten Sie die Ausführung in Kontivo an, bevor Sie sich abmelden (sie kann später fortgesetzt werden).“ an: Das Tool hält das Abmelden zurück, bis die Ausführung angehalten ist; melden Sie sich danach erneut ab.

Starten Sie ComptesAD.exe erneut, während es bereits geöffnet ist, öffnet sich kein zweites Fenster: Das bereits geöffnete Fenster kommt in den Vordergrund.

Sperre nach einer Abwesenheit. Nach 30 Minuten ohne Tastatur- oder Mausaktivität wird das Fenster gesperrt: „Kontivo wird nach 30 Minuten ohne Aktivität gesperrt.“ Die Benutzerdaten werden ausgeblendet, und die Druckvorschau wird geschlossen; eine laufende Ausführung wird fortgesetzt. Klicken Sie auf Entsperren und geben Sie im Windows-Anmeldedialog das Kennwort des Windows-Kontos ein, das Kontivo gestartet hat. Nach drei abgelehnten Kennwörtern bleibt das Fenster gesperrt: Beenden Sie Kontivo und starten Sie es neu. Die Frist wird beim Start geändert: ComptesAD.exe -InactiviteMinutes 15 (von 1 bis 1.440).

Startoptionen. Sie werden nach dem Pfad der EXE-Datei eingegeben (innerhalb der Anführungszeichen von runas, § 3.4) oder am Ende des Felds Ziel einer Verknüpfung:

• -LectureSeule: Es wird nichts in das Verzeichnis geschrieben (§ 3.6 und § 6);
• -Mode Essai: das simulierte Verzeichnis (§ 4), mit -AujourdhuiSimule JJJJ-MM-TT, um ein anderes Datum zu simulieren (nur im Demomodus);
• -Serveur dc1.demo.local: der zu verwendende Domänencontroller (§ 5.4);
• -DossierDonnees "C:\ComptesAD-donnees": ein anderer Datenordner, auf einer festen lokalen Festplatte (§ 3.3);
• -InactiviteMinutes 15: die Frist bis zur Sperre (siehe oben);
• -Langue de (oder fr, en, es, pt, it): die Sprache der Benutzeroberfläche für diesen Start, vor der in den Einstellungen gewählten (§ 5, „Sprache der Benutzeroberfläche“). Ein anderer Wert wird abgelehnt: „Unbekannte Sprache: „…“. Verfügbare Sprachen: fr, en, de, es, pt, it.“;
• -Aide: die vollständige Liste der Optionen.

Zum Beispiel: runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe -LectureSeule -Langue en".

Das Fenster folgt dem hellen oder dunklen Design von Windows und dem hohen Kontrast; die Bildschirmfotos dieses Handbuchs sind im hellen Design, oder im dunklen, wenn Ihr Programm zum Anzeigen von Webseiten so eingestellt ist. Sie wurden im Demomodus erstellt (oranges Banner, siehe § 4).

Beim Start kann das Fenster von Kontivo außerdem Folgendes melden:

• „Information: Kontivo wurde als Administrator gestartet (erhöhtes Token). Die Erhöhung ist nie erforderlich: Doppelklicken Sie besser mit dem delegierten Konto auf ComptesAD.exe, ohne „Als Administrator ausführen“.“ Starten Sie das Tool nur auf einem Domänencontroller als Administrator;
• „Achtung: Windows hat Ihre Sitzung mit einem TEMPORÄREN Profil geöffnet (C:\Users\TEMP…). Alles, was in diesem Profil gespeichert ist, einschließlich der Schlüssel, mit denen die Kennwortblätter verschlüsselt werden, und der Blätter selbst, geht bei der Abmeldung verloren. Drucken Sie die Kontoblätter vor dem Abmelden, oder lassen Sie das Profil reparieren, bevor Sie einen Plan anwenden.“;
• den Status der Lizenz (siehe § 6): gültig, bald ablaufend oder erzwungener Nur-Lesen-Modus; die Einzelheiten stehen auf dem Bildschirm „Lizenz“ (§ 3.2).

3.6 Nur-Lesen-Modus für den ersten Durchlauf

Für einen ersten Durchlauf in Ihrem Verzeichnis, ohne dort etwas zu ändern, starten Sie das Tool mit der Option -LectureSeule: C:\ComptesAD\ComptesAD.exe -LectureSeule (oder, mit dem delegierten Konto, innerhalb der Anführungszeichen des Befehls runas). Das Tool berechnet die Vorschau und zeigt sie an, schreibt aber nichts in das Verzeichnis. Siehe § 6.

3.7 Von der V1 (PowerShell) migrieren

Keine Datenmigration: Die V2 liest dieselben Dateien und dasselbe Verzeichnis wie die V1. So wechseln Sie von der V1 zur V2:

1. Beenden Sie die V1 (Schaltfläche Beenden).
2. Kopieren Sie ComptesAD.exe und den Ordner docs\ nach C:\ComptesAD.
3. Löschen Sie die alten Dateien der V1: die Dateien .ps1, .psm1, .cmd und die Ordner modules\, simulation\, web\.
4. Legen Sie licence.json ab (siehe § 3.2).
5. Starten Sie die EXE-Datei mit demselben Konto wie zuvor.

Der Ordner C:\ProgramData\ComptesAD und seine Berechtigungen werden unverändert weiterverwendet; Ihre Konfiguration, Ihr Organisationsschlüssel, Ihre markierten Konten, Ihre Protokolle und Ihre Kontoblätter bleiben erhalten. Ein von der V1 unterbrochener Plan kann von der V2 fortgesetzt werden (gleiches Format, gleiche 12-Stunden-Regel). Eine bestehende Konfiguration (V1, V2) behält ihre OU-Namen, Gruppenvorlagen und Beschreibungen: Die neutralen Werte der V3 (Personen, Personen-{classe}, „{classe} (verwaltet von Kontivo)“ …) gelten nur für eine Neuinstallation. Beim ersten Öffnen schreibt die V3 die Beschreibung, die das Tool bisher stillschweigend anwandte („Élève {classe} (géré par ComptesAD)“), in configuration.json, sodass sich kein bestehendes Konto ändert.

3.8 Deinstallieren

Löschen Sie den Ordner C:\ComptesAD. Die Daten der Organisation (C:\ProgramData\ComptesAD) und die Kontoblätter in %LOCALAPPDATA%\ComptesAD sind gesondert zu löschen, nachdem Sie die Konfiguration mit dem Organisationsschlüssel exportiert haben, falls Sie sie behalten möchten (siehe § 12).

3.9 Wo das Tool seine Dateien ablegt

3.10 Die Freigabe der Basisordner vorbereiten

Damit das Tool den Basisordner jedes Benutzers erstellt (§ 5.4), muss die Freigabe, die sie aufnimmt, auf dem Dateiserver existieren. Kontivo bereitet sie in einem Schritt vor: Ein Administrator des Dateiservers kopiert ComptesAD.exe dorthin (zum Beispiel nach C:\ComptesAD) und gibt auf diesem Server in einer als Administrator geöffneten Eingabeaufforderung oder PowerShell ein:

C:\ComptesAD\ComptesAD.exe -PreparerPartage -Dossier D:\Personen -Partage personen$ -GroupeDelegue DEMO\GG-ComptesAD

Ohne Parameter fragt ein kleines Fenster nach diesen Werten, mit den Schaltflächen Prüfen (es wird nichts geändert) und Vorbereiten. Das Tool erstellt den Ordner, falls er fehlt, deaktiviert die Vererbung der Berechtigungen und setzt die nötigen (die delegierte Gruppe kann die Ordner der Benutzer erstellen und archivieren; jeder Benutzer erreicht seinen Ordner, ohne die der anderen zu sehen), erstellt die Freigabe mit zugriffsbasierter Aufzählung und zeigt dann die in die Einstellungen einzufügende Pfadvorlage an, zum Beispiel \\srv-fichiers.demo.local\personen$\{sam}. Es meldet Zeile für Zeile, was es getan hat ([FAIT]) und was bereits eingerichtet war ([OK]): Sie können es gefahrlos erneut starten. Fügen Sie -LectureSeule hinzu, um nur zu prüfen, -Langue de (oder eine andere Sprache) für die Meldungen und -GroupeEleves DEMO\Personen-Alle, wenn die Benutzer eine eigene Gruppe haben (sonst: „Authentifizierte Benutzer“). In diesem Schritt wird nichts in das Verzeichnis geschrieben, und es wird keine Lizenz benötigt. Die gesetzten Berechtigungen im Einzelnen stehen in Berechtigungen delegieren, § 6.

4. Erster Start im Demomodus

Bevor Sie Ihr Verzeichnis verändern, probieren Sie das Tool an einem simulierten Verzeichnis aus: der „Demo-Organisation“, mit fiktiven Beispieldateien (bis zu etwa 400 erfundene Benutzer). In Ihrem echten Verzeichnis wird nichts geändert, und es wird kein Domänencontroller kontaktiert.

1. Starten Sie ComptesAD.exe im Demomodus: in einer Eingabeaufforderung C:\ComptesAD\ComptesAD.exe -Mode Essai; oder erstellen Sie eine Verknüpfung zu ComptesAD.exe (Rechtsklick, Verknüpfung erstellen) und fügen Sie dann in ihren Eigenschaften am Ende des Felds Ziel, nach dem schließenden Anführungszeichen, -Mode Essai hinzu. Auf einem Computer, der keine Domäne erreicht, bietet das Fenster von Kontivo den Demomodus auch von sich aus an. Das obere Banner ist orange: „DEMOMODUS: simuliertes Verzeichnis, in Ihrem echten Verzeichnis wird nichts geändert“.
2. Klicken Sie auf Einstellungen beginnen (2 Minuten) und folgen Sie den vier Schritten (siehe § 5). Im Baum des simulierten Verzeichnisses existieren die Ordner Personen, Abgaenge und Gruppen bereits unter Organisation (das sind die Namen des Demoverzeichnisses: Ihre können ganz anders lauten).
3. Importieren Sie zuerst die fiktive Datei exemples\rh-fictif.csv, die mit dem Tool in C:\ComptesAD\exemples\ geliefert wird: ein HR-Export mit 49 erfundenen Personen und den Spalten Matricule (Personalnummer), Nom (Nachname), Prénom (Vorname) und Service (Abteilung). Die Abteilung wird die Gruppe jedes Benutzers, die Personalnummer seine externe ID.
4. Derselbe Ordner enthält auch Beispiele für Schulformate: Exporte aus SIECLE, ONDE und Pronote sowie Tabellenkalkulationen (.xlsx, .xls, .ods, mit oder ohne ID oder mit einem Tabellenblatt pro Gruppe). Sie sind in der Rubrik Erkannte Schulformate aufgeführt. Alle Namen sind erfunden.
5. Wenden Sie die Änderungen an, drucken Sie einige Kontoblätter, sehen Sie sich das Protokoll an.
6. Um eine regelmäßige Aktualisierung zu simulieren, gehen Sie vom Import von exemples\rh-fictif.csv aus (bei Bedarf Demoverzeichnis zurücksetzen, dann die Einstellungen und diesen Import wiederholen). Beenden Sie Kontivo und starten Sie es mit einem späteren simulierten Datum neu, zum Beispiel einige Monate später: C:\ComptesAD\ComptesAD.exe -Mode Essai -AujourdhuiSimule 2027-07-06 (Datum im Format JJJJ-MM-TT; die Option gibt es nur im Demomodus). Importieren Sie dann exemples\rh-fictif-2.csv: dieselbe fiktive Organisation zu einem späteren Zeitpunkt, 41 Personen, mit denselben Spalten Matricule, Nom, Prénom und Service. 13 Personen sind ausgeschieden, 3 haben die Abteilung gewechselt und 5 sind neu hinzugekommen: Die Vorschau schlägt 13 Abgänge, 3 Gruppenwechsel und 5 neue Konten vor (siehe § 8). Die Abgänge überschreiten 25 % der Konten: Das Tool lässt Sie vor der Ausführung DEAKTIVIEREN 13 eingeben, das ist so gewollt. Die Bildschirmfotos dieses Handbuchs wurden so erstellt. Nach einer anderen Beispieldatei ergibt diese Simulation keinen Sinn (andere Benutzer, andere Organisation).

Im Demomodus werden die Einstellungen, die Protokolle, die Kontoblätter und das simulierte Verzeichnis in %LOCALAPPDATA%\ComptesAD\essai\ abgelegt, im Profil Ihres Windows-Kontos, und die Basisordner werden in dessen Unterordner dossiers\ simuliert. Nichts aus dem Demomodus vermischt sich also mit den Kontoblättern des echten Modus, und nichts wird in den Ordner des Tools geschrieben: ComptesAD.exe -Mode Essai genügt, mit einem beliebigen Konto, ohne „Als Administrator ausführen“ und ohne Lizenz. Um den Demomodus an anderer Stelle abzulegen: ComptesAD.exe -Mode Essai -DossierDonnees "C:\ComptesAD-essai" (immer auf einer festen lokalen Festplatte: Das ist das Beispiel, das das Tool nennt, wenn es ein Netzlaufwerk oder einen USB-Stick ablehnt). Der Link Demoverzeichnis zurücksetzen löscht all dies und beginnt wieder mit dem Beispiel. Die im Demomodus vorgenommenen Einstellungen gelten nicht für das echte Verzeichnis: Sie nehmen sie im echten Modus erneut vor.

5. Die Einstellungen

Beim ersten Start werden die Einstellungen in vier Schritten vorgenommen (etwa zwei Minuten). Danach erscheinen sie auf einer einzigen Seite mit Registerkarten (Einstellungen auf der Startseite). Sie bleiben von einem Import zum nächsten erhalten und enthalten keine Benutzerdaten. Der Bildschirm sagt es zu Beginn: „Erster Start: vier Schritte, etwa zwei Minuten. Vor Ihrem ersten Import wird nichts in das Verzeichnis geschrieben, es sei denn, Sie klicken auf „Diesen Ordner hier erstellen“.“

Sprache der Benutzeroberfläche

Oben auf dem Bildschirm Einstellungen bietet die Liste Sprache der Benutzeroberfläche „Windows-Sprache (…)“, Français, English, Deutsch, Español, Português und Italiano an. Der Bildschirm weist darauf hin: „Wird für Ihr Windows-Konto auf diesem Computer gespeichert, nicht in der gemeinsamen Konfiguration. Sie gilt ab dem nächsten Start von Kontivo.“ Die Wahl wird in der Registrierung gespeichert (HKCU\Software\ComptesAD, Wert Langue) und nicht in configuration.json: Sie wird beim Export der Einstellungen nicht mitgenommen, und jedes Windows-Konto behält seine eigene. Nach einer Änderung zeigt der Bildschirm „Die gewählte Sprache gilt ab dem nächsten Start von Kontivo.“ an.

Beim Start verwendet das Tool der Reihe nach: die Option -Langue fr|en|de|es|pt|it (§ 3.5), dann die in den Einstellungen gewählte Sprache, dann die Sprache der Windows-Benutzeroberfläche. Wird diese Sprache nicht mitgeliefert, verwendet es Englisch.

• Datums- und Zahlenformate richten sich nach der Sprache.
• Die einzugebenden Bestätigungstexte sind in der Sprache der Benutzeroberfläche: DEAKTIVIEREN 20 UND VERSCHIEBEN 48 auf Deutsch, DÉSACTIVER 20 ET DÉPLACER 48 auf Französisch, DISABLE 20 AND MOVE 48 auf Englisch…; wie immer spielen Groß- und Kleinschreibung und Akzente keine Rolle (LOESCHEN gilt wie LÖSCHEN, § 7.4).
• Die in das Verzeichnis geschriebenen Daten hängen nicht von der Sprache ab: Beschreibungen der Konten, Namen der OUs, Markierungen des Tools (§ 15). Ein Sprachwechsel ändert kein Konto.
• Die CSV-Protokolle behalten dieselben Spaltenüberschriften; ihre Meldungen sind in der Sprache der Benutzeroberfläche (§ 11).
• Die Hilfe (Hilfe (F1)) öffnet das Handbuch in der Sprache der Benutzeroberfläche, in docs\<Sprache>\ (§ 3.1).

5.1 Wo sind die Benutzer?

Geben Sie den Namen der Organisation an (er steht auf den Kontoblättern) und, falls vorhanden, ihre Kennung (optional): Sie dient dazu, eine Datei abzulehnen, die von einer anderen Organisation stammt (siehe die Rubrik Erkannte Schulformate).

Die Konten werden in Verzeichnisordnern abgelegt, den sogenannten OUs (Organisationseinheiten). Das Tool verwendet drei getrennte davon:

• Ordner der Benutzer: die Konten der aktuellen Benutzer, je nach Ihrer Wahl mit einem Unterordner pro Gruppe (empfohlen), einem Unterordner pro Stufe oder allen Benutzern an derselben Stelle;
• Ordner der ausgeschiedenen Konten: die „Quarantäne“ der ausgeschiedenen Benutzer. Er muss außerhalb des Ordners der Benutzer liegen (das Tool lehnt dies bereits bei der Auswahl des Ordners ab);
• Ordner der Verzeichnisgruppen: die vom Tool erstellten Gruppen. Reservieren Sie ihm einen eigenen Ordner (der vorgeschlagene Name ist Gruppen, änderbar): nicht den, in dem Ihre anderen Gruppen liegen.

Beim ersten Start füllt das Tool die drei Ordner automatisch mit OUs Ihres Verzeichnisses aus, deren Name den vorgeschlagenen Namen ähnelt (Personen, Abgaenge, Gruppen oder die Namen der V2, wie Eleves, Departs, Groupes…), und schreibt unter jedes Feld: „Anhand der im Verzeichnis gefundenen Namen vorgeschlagen: Bitte prüfen.“ Es sind vielleicht nicht die richtigen. Sehen Sie sich den vollständigen Pfad unter jedem Feld an („Organisation › Personen“ im Demoverzeichnis) und ändern Sie ihn bei Bedarf.

So wählen Sie einen Ordner: Klicken Sie im Verzeichnisbaum links auf den Namen eines Ordners: Er wird ausgewählt und aufgeklappt (der Pfeil ▸ vor dem Namen klappt nur zu oder auf), und klicken Sie dann auf Ausgewählten Ordner verwenden. Existiert er noch nicht, wählen Sie im Baum den übergeordneten Ordner aus, geben Sie den Namen ein und klicken Sie auf Diesen Ordner hier erstellen: Die OU wird sofort erstellt und vor versehentlichem Löschen geschützt.

Das Kontrollkästchen Fehlende Gruppen-Unterordner (OU) automatisch erstellen ist standardmäßig aktiviert: Das Tool erstellt beim Import die OU einer neuen Gruppe. Deaktivieren Sie es, fragt die Vorschau für jede fehlende Gruppen-OU, ob sie erstellt werden soll. Die Verzeichnisgruppen selbst werden immer erstellt, wenn sie fehlen.

Unten im Schritt meldet die Prüfung für jeden Ordner, angegeben mit seinem vollständigen Pfad („✓ Ihr Konto kann Konten in „Organisation › Personen“ erstellen.“), ob Ihr Konto dort Konten oder Gruppen erstellen kann und wie viele Konten er bereits enthält. Ein versehentlich im Ordner der Benutzer abgelegtes Administratorkonto wird gemeldet: Es wird nie geändert.

5.2 Benutzernamen und Namen

Der Benutzername ist der Anmeldename des Benutzers. Wählen Sie eine Vorlage; das Beispiel neben jeder Option wird direkt berechnet, und die Tabelle rechts zeigt das Ergebnis für zwölf fiktive Benutzer mit schwierigen Namen (Akzente, Namenszusätze, Doppelnamen, Namensgleichheit).

Freie Vorlage: Wählen Sie „Freie Vorlage…“ und geben Sie Ihre Vorlage mit diesen Platzhaltern ein:

• {prenom} und {nom}: Vorname und Nachname, ohne Akzente und Leerzeichen;
• {prenom:3}, {nom:5}: die ersten 3 (oder 5…) Buchstaben;
• {p} und {n}: die Initiale des Vornamens und die Initiale des Nachnamens;
• {aa} oder {annee}: das Jahr des Zeitraums, in dem das Konto erstellt wurde (26 oder 2026 für den Zeitraum 2026-2027), das sich danach nicht mehr ändert. Im Juni und Juli ist es bereits das Jahr des kommenden Zeitraums;
• zwischen den Platzhaltern: Buchstaben von a bis z, Ziffern, Punkt, Bindestrich und Unterstrich.

Die Vorlage muss den Nachnamen enthalten ({nom}, {nom:N} oder {n}) und mit einem Buchstaben oder einem Platzhalter für Nach- oder Vornamen beginnen. {classe} und {niveau} werden abgelehnt: Der Benutzername würde sich bei jedem Gruppenwechsel ändern. Eine sehr kurze Vorlage wird mit einer Warnung akzeptiert: „Viele Namensgleichheiten: häufige Suffixe.“

Die weiteren Optionen:

• Doppelvornamen (Jean-Pierre): jean-pierre (Standard), jeanpierre oder jean. Dasselbe gilt für Doppelnamen (Standard: dupontmartin).
• Namensgleichheit: „Ziffer anhängen: lea.martin2“ (Standard) oder, bei Vorlagen mit Initiale, „Mehr Buchstaben des Vornamens, dann eine Ziffer: lo.brizard, dann lou.brizard“.
• Maximale Länge: zwischen 8 und 20 Zeichen (Standard 20). Ein längerer Benutzername wird gekürzt.
• Wenn sich der Name eines Benutzers ändert: „Benutzernamen beibehalten (empfohlen)“ oder „Neuen Benutzernamen vorschlagen (Option in der Vorschau abgewählt; Gruppe und Name werden trotzdem aktualisiert)“. Bei der zweiten Wahl bleibt die Zeile des Benutzers in der Vorschau ausgewählt, mit dem Kennzeichen „neuer Benutzername vorgeschlagen“ und einem nicht aktivierten Kontrollkästchen Auch den vorgeschlagenen neuen Benutzernamen übernehmen: Aktivieren Sie es, um den Benutzernamen umzubenennen. Ein Wechsel des Benutzernamens führt zum Verlust des Zugriffs auf Basisordner und Profil und erfordert die Ausgabe eines neuen Kontoblatts.
• Suffix der Anmeldenamen: der Teil nach @ des vollständigen Anmeldenamens (UPN), zum Beispiel lea.martin@demo.local.
• Anzeigename: gebräuchlicher Nachname (empfohlen) oder Familienname.
• Verzeichnisgruppen: die Vorlage für den Namen der Gruppen (Standard Personen-{classe}: Die Gruppe Ventes ergibt die Verzeichnisgruppe Personen-Ventes), die Gruppe aller Benutzer (Standard Personen-Alle) und, wenn Sie möchten, eine Gruppe pro Stufe (Standard Personen-Stufe-{niveau}). Die Stufe wird aus dem Namen der Gruppe abgeleitet, wenn dieser einer erkannten Form folgt (Beispiele in der Rubrik Erkannte Schulformate): Unter jeder Beispielgruppe schreibt der Bildschirm „Stufe 6e“ oder „Stufe unbekannt: keine Stufengruppe“. Ein zu langer oder bereits vergebener Gruppenname erhält einen abweichenden „Kurznamen“: Er wird unter dem Beispiel angezeigt, „Kurzname (Prä-Windows 2000-Name, höchstens 20 Zeichen): Personen-1ere-STMG-1“, mit dem Hinweis „Kurzname auf 20 Zeichen gekürzt (Prä-Windows 2000-Name)“, wenn er gekürzt wurde. Diese Standardwerte gelten, wie die in § 5.1 vorgeschlagenen Ordnernamen und die Beschreibung der Konten (§ 15), für eine Neuinstallation: Sie werden in der Sprache der Benutzeroberfläche bei den ersten Einstellungen vorgeschlagen und in configuration.json geschrieben. Eine bestehende Konfiguration (V1, V2) behält ihre eigenen (siehe § 3.7).

5.3 Kennwörter

Die temporären Kennwörter werden auf dem Computer erzeugt und gruppenweise auf Kontoblätter gedruckt. Sie erscheinen nur auf den Kontoblättern, beim Drucken (§ 10), und werden in kein Protokoll geschrieben.

• Automatisch (empfohlen): kurz, wenn Ihre Domäne Konten nach wenigen Fehlversuchen sperrt (zwischen 1 und 10), sonst verstärkt;
• Kurz: BoduKife47 (≈ 29 Bit, temporär);
• Verstärkt: BoduKifeTuvoNesi47 (≈ 52 Bit).

Die „Bit“ messen die Stärke des Kennworts (die Anzahl möglicher Kombinationen). Der Bildschirm sagt es neben dem Format: „Kurz: BoduKife47 (≈ 29 Bit, temporär; Kennwortstärke: je höher, desto besser)“, und bei der gelesenen Richtlinie: „… ✓ kompatibel (Kennwörter mit 10 Zeichen, ≈ 29 Bit: Kennwortstärke, je höher, desto besser).“

Diese Kennwörter vermeiden Buchstaben, die zwischen AZERTY-, QWERTY- und QWERTZ-Tastaturen ihren Platz wechseln (a, q, z, w, m, y), leicht verwechselbare Zeichen (l, 0, 1) und den Bindestrich. Das Kontoblatt fordert den Benutzer auf, die Ziffern über den Ziffernblock einzugeben. Die Länge wird erhöht, wenn die Kennwortrichtlinie Ihrer Domäne es verlangt: Der Bildschirm zeigt die gelesene Richtlinie und das Ergebnis an („Ihre Domäne verlangt mindestens 8 Zeichen, Komplexität aktiviert, Sperre nach 5 Fehlversuchen: ✓ kompatibel…“).

Kennwörter aus dem Geburtsdatum

Die Auswahl Herkunft der temporären Kennwörter bietet Zufällig (empfohlen) wie oben an oder Aus dem Geburtsdatum nach einer Vorlage, leichter zu merken. Die vorgeschlagene Vorlage {P}{n}{jj}{mm}{aaaa} ergibt für einen fiktiven Benutzer, Lou BRIZARD, geboren am 07.03.2013: Lb07032013.

• Platzhalter: {P} oder {p}, Initiale des Vornamens in Groß- oder Kleinbuchstaben; {N} oder {n}, Initiale des Nachnamens; {jj}, {mm}, {aaaa} oder {aa}: Tag, Monat und Jahr der Geburt. Die Initialen verlieren ihre Akzente, wie bei den Benutzernamen (Élodie ergibt E). Der Rest der Vorlage wird unverändert übernommen: Buchstaben ohne Akzent, Ziffern und Tastaturzeichen außer dem Leerzeichen und " \ < > &. Ein falsch geschriebener Platzhalter ({JJ}) wird abgelehnt, und die Vorlage muss mindestens ein Element des Datums enthalten.
• Prüfung: Der Bildschirm zeigt das Beispiel und prüft die Vorlage gegen die Richtlinie Ihrer Domäne (Mindestlänge, Komplexität, differenzierte Richtlinien, Reserve von 2 Zeichen, wenn eine differenzierte Richtlinie nicht lesbar ist); das Tool wiederholt diese Prüfung beim Speichern und bei jeder Vorschau. Eine zu kurze oder zu wenig abwechslungsreiche Vorlage wird mit Begründung abgelehnt („Die Vorlage ergibt Kennwörter mit 6 Zeichen: Ihre Domäne verlangt mindestens 8…“).
• Benutzer ohne Geburtsdatum in der Datei (oder deren Kennwort den Benutzernamen oder einen Teil des Namens enthalten würde): Ihr Kennwort wird zufällig erzeugt, im weiter oben gewählten Format. Die Vorschau gibt dies in ihrer Zeile an und zählt sie bei ihren Warnungen mit; ihr Kontoblatt trägt dieses Kennwort.
• Personenbezogene Daten: Das Geburtsdatum wird nie auf die Festplatte geschrieben. Das Kennwort wird bei der Vorschau berechnet und dann, für Ihr Windows-Konto verschlüsselt, im Plan der Ausführung abgelegt: Eine unterbrochene Ausführung wird mit denselben Kennwörtern fortgesetzt.

• Benutzer muss das Kennwort bei der ersten Anmeldung ändern: standardmäßig aktiviert. Das Deaktivieren ist nur sinnvoll, wenn die erste Anmeldung nicht an einem Computer der Domäne erfolgt (WLAN mit 802.1X, Tablet, Microsoft 365).
• Neues Kennwort für einen zurückkehrenden Benutzer: standardmäßig aktiviert. Ausnahme: Ein Benutzer, der seit höchstens 7 Tagen ausgeschieden ist (irrtümlicher Abgang, unvollständige Liste), behält sein Kennwort, ohne neues Kontoblatt.

5.4 Abgänge und Basisordner

Abgänge. Ein Benutzer, der in der Datei fehlt, wird deaktiviert und im Ordner der ausgeschiedenen Konten abgelegt. Sein Konto wird endgültig gelöscht, wenn er seit mindestens der gewählten Frist ausgeschieden ist: standardmäßig 90 Tage, mindestens 7 Tage. Das Feld heißt „Ausgeschiedene Konten endgültig löschen nach (Tage, mit Ihrem Datenschutzbeauftragten festzulegen)“: Legen Sie diese Frist mit Ihrem Datenschutzbeauftragten fest.

Der Bereich Erweitert: Sicherheitsschwellen und Aufbewahrung regelt die Schutzmechanismen (siehe § 7.3): Warn-, Bestätigungs- und Ablehnungsschwellen für Abgänge, maximaler Anteil unvollständiger Zeilen und zwei Schwellen für Massenbestätigungen, Gruppenwechsel (standardmäßig 30 % der wiedergefundenen Konten) und Umbenennungen (20 %); er regelt außerdem die Aufbewahrungsdauer der Kontoblätter (7 Tage) und der Protokolle (12 Monate), was mit Benutzern ohne Gruppe geschieht, und die Option „Schutz vor versehentlichem Löschen bei zu verschiebenden oder zu löschenden Konten entfernen“ (sie erfordert eine zusätzliche Berechtigung, siehe Berechtigungen delegieren). Die Standardwerte passen für die meisten Organisationen.

Domänencontroller. Das Tool wählt selbst einen beschreibbaren Domänencontroller. Um einen bestimmten vorzugeben, starten Sie ComptesAD.exe -Serveur dc1.demo.local oder tragen Sie annuaire.serveur in die Konfigurationsdatei ein: den vollständigen Namen eines Domänencontrollers oder den Namen der Domäne (das Tool ermittelt dann einen Domänencontroller und behält ihn bei). Jeder andere Name wird abgelehnt: „„…“ ist kein Domänencontroller von demo.local: Geben Sie den vollständigen Namen eines Domänencontrollers an…“.

Basisordner. Wenn Sie eine Pfadvorlage angeben, zum Beispiel \\srv\personen$\{sam} ({sam} wird durch den Benutzernamen ersetzt):

• trägt das Tool den Pfad des Basisordners und den Laufwerkbuchstaben (Standard H:) bei jedem neuen Konto ein, ebenso bei bestehenden Konten, die noch keinen haben;
• erscheint das Kontrollkästchen Ordner auf der Freigabe erstellen und dem Benutzer Berechtigungen erteilen, automatisch aktiviert: Das Tool erstellt den Ordner jedes neuen Benutzers auf der Freigabe und erteilt dem Benutzer die gewählte Berechtigung („Ändern“, empfohlen, oder „Vollzugriff“). Existiert bereits ein Ordner dieses Namens, wird er dem Benutzer nie stillschweigend zugewiesen: Hat er bereits die Berechtigungen dieses Benutzers, geschieht nichts („Bereits erledigt“); ist er leer und ohne explizite Berechtigung (Unterbrechung zwischen zwei Schritten), werden die Berechtigungen neu gesetzt; andernfalls wird er in _archives\<Benutzername>_<Datum> archiviert (es wird nichts gelöscht), und dann wird ein neuer Ordner erstellt. Ist die Archivierung unmöglich (geöffnete Datei, Berechtigungen), meldet das Protokoll dies, und der Ordner wird nicht zugewiesen. Deaktivieren Sie das Kontrollkästchen nur, wenn bereits eine Gruppenrichtlinie (Ordnerumleitung) die Ordner erstellt;
• wird beim endgültigen Löschen eines Kontos sein Basisordner wahlweise archiviert (empfohlen): mit Datum in den Unterordner _archives derselben Freigabe verschoben (zum Beispiel \\srv\personen$\_archives\lea.martin_2027-10-05), es wird nichts gelöscht; oder an Ort und Stelle belassen.

Der Ordner eines ausgeschiedenen Benutzers bleibt während der Quarantäne unverändert: Kehrt er zurück, findet er seine Dateien wieder. Ein von Hand für ein Konto gesetzter Pfad, der von der Vorlage abweicht, wird nie archiviert. Die Archive werden vom Tool nicht gelöscht: Planen Sie, sie nach Ablauf der mit Ihrem Datenschutzbeauftragten festgelegten Dauer selbst zu löschen. Die Vorlage für das servergespeicherte Profil und das Anmeldeskript sind optional: Das Tool füllt nur diese Attribute aus, es erstellt den Profilordner nicht.

Um die Ordner zu erstellen, muss das Konto, das das Tool startet, die Berechtigung „Ändern“ für den Stamm der Freigabe haben: siehe Berechtigungen delegieren.

Konten, die nie geändert werden dürfen: eine Liste von Benutzernamen (einer pro Zeile), zum Beispiel ein Vorführkonto, das bei den Benutzern abgelegt ist. Diese Konten werden nie geändert.

5.5 Speichern, dann exportieren

Klicken Sie auf Einstellungen speichern. Beim ersten Mal erstellt das Tool den Organisationsschlüssel (einen Schlüssel, mit dem es die Benutzer von einem Import zum nächsten wiedererkennt) und schlägt Ihnen sofort vor, die Einstellungen zu exportieren:

Klicken Sie auf Exportieren und bewahren Sie die Datei bei Ihren Sicherungen auf, wie ein Kennwort. Ohne sie erkennt das Tool auf einem anderen Computer die Benutzer nicht mehr an ihrem Fingerabdruck.

6. Erster Durchlauf in Ihrem Verzeichnis: Nur-Lesen-Modus

Starten Sie das Tool vor dem ersten echten Import im Nur-Lesen-Modus. Es liest Ihr echtes Verzeichnis, berechnet die echte Vorschau und prüft die Berechtigungen Ihres Kontos, aber Schreibzugriffe sind nicht möglich: In der Vorschau bleibt die Schaltfläche „Weiter“ inaktiv (Begründung „Nur-Lesen-Modus: Im Verzeichnis kann nichts geändert werden.“), und das Erstellen von Ordnern ist deaktiviert.

In einer Eingabeaufforderung:

C:\ComptesAD\ComptesAD.exe -LectureSeule

Mit dem delegierten Konto (cmd /k hält das Fenster offen, wenn das Tool den Start verweigert):

runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe -LectureSeule"

Das obere Banner ist blau: „NUR LESEN: Im Verzeichnis wird nichts geändert“. Nehmen Sie die Einstellungen vor, importieren Sie Ihre Liste und lesen Sie die Vorschau vollständig: Anzahl der erstellten Konten, übernommene Konten, gestellte Fragen, Schutzmechanismen. Die im Nur-Lesen-Modus gespeicherten Einstellungen bleiben danach gültig.

Führen Sie für eine erste Inbetriebnahme anschließend den ersten echten Import auf einer Test-OU mit einigen fiktiven Konten durch, bevor Sie ihn auf Ihre echten Benutzer anwenden.

7. Ein Import Schritt für Schritt

Klicken Sie auf der Startseite auf Benutzerliste importieren. Der Import erfolgt in sechs Schritten, die oben auf dem Bildschirm nummeriert sind: Datei, Spalten, Vorschau, Bestätigung, Ausführung, Fertig.

7.1 Datei

Legen Sie auf dem Bildschirm Benutzerdatei die Liste in dem Bereich „Legen Sie die Benutzerliste hier ab, oder wählen Sie sie aus“ ab, oder klicken Sie hinein, um sie auszuwählen.

Tabellenkalkulation oder CSV (beliebige Herkunft)

Das ist der Normalfall: eine Tabellenkalkulation oder CSV-Datei beliebiger Herkunft (HR-Software, ERP, anderes Verzeichnis…) mit einer Zeile pro Benutzer und mindestens Nachname, Vorname und Gruppe (Abteilung, Team, Einheit…). Akzeptierte Formate: CSV, TXT und TSV, Excel (.xlsx, .xls) und LibreOffice (.ods). Eine Personalnummer oder interne Nummer wird, falls vorhanden, die externe ID des Benutzers: Sie macht das Wiedererkennen von einem Import zum nächsten sicherer. Ein optionales Geburtsdatum erfüllt dieselbe Aufgabe. Mitgeliefertes fiktives Beispiel: exemples\rh-fictif.csv (Spalten Matricule, Nom, Prénom, Service) und exemples\rh-fictif-2.csv für eine Aktualisierung (§ 4).

Die aufklappbare Hilfe Wie erhalte ich diese Datei? erinnert an das Nötige; die Schulexporte werden in der folgenden Rubrik beschrieben.

Wurde das Tool mit einem anderen Konto als dem Ihrer Sitzung gestartet (§ 3.3), muss die Datei in einem Ordner liegen, den dieses Konto lesen kann. Eine CSV-Datei in ISO-8859-15 (Akzente mancher Exporte) wird wie die anderen erkannt.

Erkannte Schulformate

Diese Rubrik fasst zusammen, was die Exporte französischer Schulen betrifft: Gemeint sind die Exportformate der Software des französischen Bildungsministeriums (Éducation nationale) und der Schulverwaltung. Der Bildschirm „Datei“ nennt sie unter demselben Titel: „Erkannte Schulformate: SIECLE („Élèves sans adresse“, .zip oder .xml), ONDE, Pronote, EcoleDirecte“. Bei diesen Dateien ist die „Gruppe“ die Klasse (die „division“), die „Organisation“ die Schule, und die Kennung der Organisation ist ihre UAI. Die Schritt-für-Schritt-Anleitung für jeden Export steht in Exporter les élèves (auf Französisch).

• SIECLE „Élèves sans adresse“: die .zip-Datei unverändert oder die .xml-Datei. In SIECLE: „Base élèves établissement → Mise à jour → Exportations → En XML → Élèves sans adresse“. Sie können die .zip-Datei unverändert ablegen. Ein SIECLE-Auszug im CSV-Format wird ebenfalls gelesen.
• ONDE, Pronote, EcoleDirecte: Ihre CSV- oder TXT-Exporte werden wie Tabellenkalkulationen erkannt („ONDE, Pronote oder eine Tabellenkalkulation eignen sich ebenfalls: Das Handbuch beschreibt jeden Export („Exporter les élèves (pas à pas)“).“).
• Externe ID: SIECLE und ONDE liefern die INE (nationale Schülerkennung), und SIECLE die SIECLE-Nummer (Spalte „SIECLE-Nummer (Schüler-ID)“); das Tool verwendet sie als externe ID, ohne sie je in das Verzeichnis zu schreiben (§ 15).
• Zusammenfassung eines SIECLE-Exports: Im Schritt „Spalten“ erkennt das Tool die Datei („SIECLE-Datei erkannt“) und fasst sie in einem Satz zusammen („SIECLE-Datei vom 18.10.2026, Organisation 0999999X, Jahr 2026-2027: 416 Benutzer, 16 Gruppen.“), gefolgt von der Schaltfläche Änderungen anzeigen.
• Spalte der Stufe: Die Spalte MEF („6EME“, „2NDE GT“…) wird nie für die Klasse gehalten, und das Tool lehnt sie ab, wenn Sie sie wählen: „Die Spalte „…“ enthält die Stufe (6EME, 2NDE GT…), nicht die Klasse: Wählen Sie die Spalte der Klasse („Division“).“
• Stufen: Die Stufe wird aus dem Namen der Klasse abgeleitet (601 → 6e, 1ERE G2 → 1re, TERM → Tle, 2NDE → 2de; CP, CM2… unverändert), für die Stufengruppen (§ 5.2).
• UAI: In den Einstellungen (Schritt 1) folgt die Kennung der Organisation, falls angegeben, dem UAI-Format der Éducation nationale: 7 Ziffern und ein Großbuchstabe (Beispiel: 0999999X). Ein SIECLE-Export einer anderen Schule (andere UAI) wird abgelehnt: „Diese Datei stammt von einer anderen Organisation (Kennung …).“
• Falscher SIECLE-Export: „Diese STS-Web-Datei beschreibt das Personal: Version 1 importiert die Schüler.“ Wählen Sie in SIECLE den Export „Élèves sans adresse“ (eine .zip-Datei, die eine .xml-Datei enthält).
• Austrittsdatum: Ein Schüler, dessen SIECLE-Austrittsdatum in der Zukunft liegt, bleibt in der Karte „Austritt geplant“; sein Konto wird bei einem Import nach diesem Datum als Abgang behandelt.
• Jahr der Datei: Ein im Juni oder Juli importierter SIECLE-Export des folgenden Schuljahres wird gemeldet („Datei zur Vorbereitung des Schuljahresbeginns 2027-2028.“). Ab August ist es einfach das laufende Jahr. Ein Export eines anderen Jahres verlangt Ihre Bestätigung: „Diese Datei betrifft das Jahr 2027-2028: Prüfen Sie, ob es der gewünschte Export ist (in SIECLE gewähltes Jahr).“
• Alter Export: Ein SIECLE-Export, der älter als 30 Tage ist, wird gemeldet („Export vom …: Denken Sie daran, den Export neu zu erstellen.“).
• Schuljahresbeginn: In einem „collège“ nähert sich der Abgang der Klassen „3e“ (in einem „lycée“ der „terminales“) 25 % der Konten oder überschreitet diesen Wert, und fast alle Schüler wechseln die Klasse: Der einzugebende Text lautet dann meist DEAKTIVIEREN n UND VERSCHIEBEN m (siehe § 8). Ein Export von Juli oder Anfang September enthält oft Schüler, die noch keiner Klasse („division“) zugeteilt sind: Sie werden wie Benutzer ohne Gruppe behandelt.
• Beispiele für Schulformate, mitgeliefert in C:\ComptesAD\exemples\: ElevesSansAdresses-fictif.zip, extraction-siecle-fictif.csv, onde2-fictif.csv, pronote-EXP_ELEVE-fictif.txt, tableur-fictif.xlsx, tableur-sans-identifiant-fictif.xlsx, une-feuille-par-classe-fictif.xlsx und rentree-fictif.zip (dieselbe fiktive Schule ein Jahr später). Um einen Schuljahresbeginn im Demomodus zu simulieren, wie in § 4 mit dem HR-Beispiel: Importieren Sie ElevesSansAdresses-fictif.zip, beenden Sie das Tool, starten Sie es mit -AujourdhuiSimule 2027-07-06 neu (der fiktive Export ist vom 04.07.2027) und importieren Sie dann rentree-fictif.zip. Er enthält Schüler ohne Klasse und den Abgang einer ganzen Stufe: Das Tool verlangt einen Text wie DEAKTIVIEREN 102 UND VERSCHIEBEN 294. Das ist so gewollt.

7.2 Spalten

Das Tool erkennt die Spalten selbst (Nachname, Vorname, Gruppe, Geburtsdatum, externe ID…). Was es anzeigt, hängt von der Datei ab:

• SIECLE-Export (XML): Ein Satz fasst die Datei zusammen, dann folgt die Schaltfläche Änderungen anzeigen (siehe Erkannte Schulformate).
• Sicher erkannte Spalten oder bei einem früheren Import gemerkte Spalten: „Ist alles richtig?“, die ersten fünf Zeilen, so wie das Tool sie versteht, und die Schaltfläche Ja, Änderungen anzeigen (der Link „Spalten korrigieren“ bleibt verfügbar).
• Andernfalls: „Prüfen Sie, ob das Tool Ihre Datei richtig verstanden hat“. Wählen Sie für jede Angabe in der Liste die Spalte der Datei, die sie enthält; die Tabelle zeigt sofort das Ergebnis. Nicht benötigte Spalten (Geschlecht, Adresse…) werden ignoriert. Eine Spalte der Stufe wird nie für die Gruppe gehalten.

Weitere Optionen dieses Bildschirms:

• Tabellenblatt: wenn die Arbeitsmappe mehrere Tabellenblätter hat. Die Spalten werden in jedem Blatt an ihrer Überschrift erkannt (die Reihenfolge kann abweichen). Ein Blatt, das nicht die Spalten des ersten hat, wird übergangen, und das Tool meldet dies: „Das Tabellenblatt … hat nicht die Spalten des Tabellenblatts …: Es wird nicht gelesen, und seine Benutzer erhalten kein Konto.“ Trägt jedes Blatt den Namen einer Gruppe (6A, 6B…), wird das Kontrollkästchen „Ein Tabellenblatt pro Gruppe“ angeboten, bereits aktiviert.
• Meine erste Zeile enthält bereits Benutzer: wenn die Datei keine Überschriftenzeile hat.
• Diese Spalten für künftige Dateien merken: Die nächste Datei mit denselben Spaltenüberschriften geht direkt zu „Ist alles richtig?“.
• Was enthält diese Datei? Das ist die wichtigste Auswahl:
  • „Die Datei enthält alle Benutzer der Organisation“ (Standard): Die Konten der Benutzer, die in der Datei fehlen, werden als Abgänge behandelt;
  • „Nur die in der Datei vorhandenen Gruppen“: Nur Benutzer dieser Gruppen können als Abgang behandelt werden. Ein Benutzer, der in der Liste seiner Gruppe fehlt, hat vielleicht nur die Gruppe gewechselt: Diese Abgänge sind daher in der Vorschau abgewählt (Kennzeichen „Teilimport“), und wenn Sie welche auswählen, muss der Bestätigungstext eingegeben werden;
  • „Nur die in der Datei vorhandenen Stufen“: dasselbe pro Stufe;
  • „Nur Zugänge und Änderungen (keine Abgänge)“: die richtige Wahl für eine Datei, die nur neue Benutzer enthält.

7.3 Vorschau der Änderungen

Das Tool liest das Verzeichnis (bis zu einer halben Minute), vergleicht es mit der Datei und zeigt alle geplanten Änderungen. Im Verzeichnis ist noch nichts geändert.

Die Karten oben zählen die Zeilen jeder Art; klicken Sie auf eine Karte, um ihre Zeilen zu sehen:

Die Fragen (Karte „Zu prüfen“): Mehrere Konten können zu einem Benutzer passen, ein Benutzer steht in zwei Gruppen, ein vorhandenes Konto trägt einen von einem anderen Tool gesetzten Wert, ein Benutzername kann nicht berechnet werden (Name in einem anderen Alphabet)… Wählen Sie die richtige Antwort. Eine unbeantwortete Frage blockiert nichts: Für diesen Benutzer geschieht nichts, und sein Konto wird nicht als Abgang behandelt.

• „Derselbe Benutzer?“: Ähnelt ein neuer Benutzer der Datei einem Konto, das ausscheiden wird oder ausgeschieden ist (gleicher Name, aber anderes Geburtsdatum, korrigierter Name mit gleichem Vornamen und gleichem Datum, gleicher Name in einer anderen Gruppe), entscheidet das Tool nie allein: Ohne Antwort wird ein neues Konto erstellt, und das andere nimmt seinen Lauf. Antworten Sie mit „Ja“, um beide zu verknüpfen: Der Benutzer behält sein Konto. Zwei verschiedene externe IDs oder zwei Zwillinge (verschiedene Vornamen) werden nie zusammengeführt.
• Mehrere mögliche Konten: Das Tool wählt nie ein Konto allein aufgrund der Gruppe. Ohne Antwort geschieht für den Benutzer nichts.
• „Mitarbeiternummer bereits von einem anderen Tool gesetzt“ (Attribut employeeNumber): Die erste vorgeschlagene Antwort ist „Nein: Dieses Konto nicht übernehmen (der Wert bleibt erhalten)“, und ohne Antwort wird nichts ersetzt. Verwendet ein anderes Tool diesen Wert (HR-Software, School Data Sync, Wert beginnend mit „SDS:“, ENT…), antworten Sie mit „Nein“ und klären Sie dies mit der Person, die dieses Tool verwaltet. „Ja, diesen Wert ersetzen“ löscht den Wert endgültig: Jenes Tool erkennt das Konto dann nicht mehr.

Was Sie ändern können:

• eine Zeile abwählen: Sie wird nicht angewendet;
• den vorgeschlagenen Benutzernamen eines neuen Kontos ändern: Er wird geprüft, sobald Sie das Feld verlassen (ein bereits vergebener Benutzername wird abgelehnt);
• Auch den vorgeschlagenen neuen Benutzernamen übernehmen in der Zeile eines Benutzers aktivieren, dessen Name sich ändert, wenn Sie in den Einstellungen „Neuen Benutzernamen vorschlagen“ gewählt haben (§ 5.2);
• „Inhalt der Datei“ ändern;
• Diese Vorschau exportieren (CSV), um sie in einer Tabellenkalkulation zu lesen (sie enthält Benutzernamen: Löschen Sie sie nach der Verwendung);
• Verzeichnis neu lesen, wenn jemand das Verzeichnis inzwischen geändert hat.

Die Schutzmechanismen. Oben in der Vorschau warnen Sie Meldungen. Manche verlangen eine Bestätigung, andere blockieren die Ausführung:

• mehr als 10 % der Konten (oder mehr als 50 Konten) werden als Abgang behandelt: Warnung;
• mehr als 25 %: Ein Bestätigungstext muss eingegeben werden, zum Beispiel DEAKTIVIEREN 102. Eine regelmäßige Aktualisierung (Ende eines Jahres, eines Vertrags oder einer Saison) kann diese Meldung auslösen: Prüfen Sie, ob diese Abgänge erwartet werden;
• mehr als 60 %: Ablehnung. Es handelt sich fast sicher um eine unvollständige Datei oder die Datei einer anderen Organisation;
• bei einem Teilimport („Nur die vorhandenen Gruppen“) ausgewählte Abgänge: Bestätigungstext;
• mehr als 30 % der wiedergefundenen Konten wechseln die Gruppe, oder mehr als 20 % ändern ihren Namen (ab 10 wiedergefundenen Konten): Bestätigungstext VERSCHIEBEN n oder UMBENENNEN n. Die Texte werden kombiniert: DEAKTIVIEREN 102 UND VERSCHIEBEN 294, was bei einer Umorganisation normal ist (fast alle wechseln die Gruppe). Prüfen Sie andernfalls die für die Gruppe gewählte Spalte (eine Spalte für Stufe, Option oder Untergruppe ist nicht die Gruppe) und ob Nachname und Vorname nicht vertauscht sind;
• die Datei enthält weniger als die Hälfte der verwalteten Benutzer, oder alle Benutzer sind in derselben Gruppe: Ablehnung, außer Sie wählen „Nur die vorhandenen Gruppen“;
• zu viele Zeilen ohne Nachname oder Vorname: Ablehnung (ist die gewählte Spalte die richtige?);
• Datei einer anderen Organisation (andere Kennung): Ablehnung;
• eine zu übernehmende oder zu füllende Gruppe ist Mitglied einer Administratorgruppe (oder hat adminCount = 1): Ablehnung, denn das Hinzufügen der Benutzer würde ihnen Administratorrechte geben. Entfernen Sie sie aus dieser Gruppe und erstellen Sie die Vorschau neu;
• eine gleichnamige Gruppe existiert außerhalb des Ordners der Gruppen: orangefarbene Warnung (siehe den Kasten in § 5.2).

Die Schwellen für Abgänge, unvollständige Zeilen, Gruppenwechsel und Umbenennungen werden unter Einstellungen, Bereich „Erweitert“, eingestellt. Die Schaltfläche Weiter bleibt inaktiv, solange eine Blockierung besteht; die Begründung steht daneben. Sieht die Vorschau nichts vor, zeigt das Tool „Alles ist bereits auf dem neuesten Stand.“ an.

7.4 Bestätigung

Der Bildschirm fasst in Sätzen zusammen, was ausgeführt wird: „100 Konten werden erstellt…“, „102 Konten werden deaktiviert und unter „Abgänge“ abgelegt (wiederherstellbar, Löschung in 90 Tagen)“… Er nennt den verwendeten Domänencontroller und die Warnungen. Wird ein Text verlangt, geben Sie ihn ein (Groß- und Kleinschreibung und Akzente spielen keine Rolle); er kann mehrere Bestätigungen kombinieren: DEAKTIVIEREN 102 UND VERSCHIEBEN 294 UND UMBENENNEN 12. Die Wörter des Texts sind die der Sprache der Benutzeroberfläche (§ 5, „Sprache der Benutzeroberfläche“). Das Kontrollkästchen „Ich habe die Warnungen gelesen“ erscheint nur, wenn es mindestens eine Warnung gibt und kein einzugebender Text die verlangte Bestätigung abdeckt; es nennt die Anzahl: „(1 Warnung oben)“, „(3 Warnungen oben)“; aktivieren Sie es, ohne es bleibt die Schaltfläche inaktiv (Begründung „Aktivieren Sie „Ich habe die Warnungen gelesen“.“). Ohne Warnung und ohne Text ist die Schaltfläche sofort aktiv. Vor Beginn wird ein Vorher-Stand des Verzeichnisses gespeichert. Klicken Sie auf Änderungen anwenden.

7.5 Ausführung

Ein Fortschrittsbalken und ein laufendes Protokoll zeigen jeden Vorgang („✓ Erstellung…“, „= Bereits erledigt…“, „✗ …: Unzureichende Berechtigungen“). Schließen Sie das Fenster während der Ausführung nicht: Wird es trotzdem geschlossen, bietet die Startseite an, dort fortzufahren, wo sie stehen geblieben ist. Die Schaltfläche Anhalten hält nach dem laufenden Vorgang sauber an; Sie können danach fortsetzen oder dort aufhören.

Das Tool hält auch von selbst an, nach 5 Fehlern in Folge, wenn mehr als 10 % der Vorgänge fehlschlagen oder wenn der Domänencontroller nicht mehr antwortet. Beheben Sie die Ursache (oft eine fehlende Berechtigung), dann Fortsetzen.

Wird das Fenster mitten in der Ausführung geschlossen oder startet der Computer neu, geht nichts verloren: siehe § 13, „Die Ausführung wurde unterbrochen“.

7.6 Fertig

Der Bildschirm „Fertig“ fasst das Ergebnis zusammen („386 Konten erstellt, 21 geändert, 1 Fehler“). Klicken Sie auf (anzeigen), um die Fehler zu lesen. Dann:

• Kontoblätter der neuen Konten drucken (siehe § 10), oder später über den Link Kennwortblätter anzeigen, der zum Bildschirm der Kontoblätter führt (§ 10);
• Protokoll öffnen;
• folgen Sie den Hinweisen: die soeben importierte Benutzerdatei löschen, die Kontoblätter nach der Ausgabe löschen, die erste Anmeldung der neuen Benutzer an einem Computer der Domäne durchführen.

Ein fehlgeschlagener Vorgang geht nicht verloren: Die nächste Vorschau schlägt ihn erneut vor.

7.7 Einen Benutzer manuell hinzufügen

Für einen Zugang im laufenden Jahr, ohne auf einen neuen Export zu warten: Startseite, Benutzer manuell hinzufügen. Geben Sie Nachname, Vorname, Gruppe und, falls vorhanden, die externe ID und das Geburtsdatum ein (damit wird der Benutzer beim nächsten vollständigen Import wiedererkannt). + weitere Zeile fügt einen Benutzer hinzu. Klicken Sie auf Vorgeschlagenes Konto anzeigen: Die Vorschau folgt, und kein anderes Konto wird geändert (kein Abgang).

8. Die nächste Aktualisierung (neuer Zeitraum)

Importieren Sie zu jedem neuen Zeitraum (neues Jahr, neue Saison, Umorganisation) einfach die neue vollständige Liste. Das Tool erkennt jeden Benutzer an einem Fingerabdruck seiner externen ID oder seines Geburtsdatums (siehe § 15): Die verbleibenden Benutzer wechseln die Gruppe, die neuen werden erstellt, die ausgeschiedenen deaktiviert.

• Zahlreiche Abgänge (Ende eines Jahres, eines Vertrags oder einer Saison): Sie können sich 25 % der Konten nähern oder diesen Wert überschreiten. Oberhalb von 25 % verlangt das Tool die Eingabe von DEAKTIVIEREN n: Das ist bei einer regelmäßigen Aktualisierung normal, wenn diese Abgänge erwartet werden. Meldet es „Kein Benutzer aus … in der Datei: … Konten werden als Abgang behandelt.“, ist auch das normal, wenn diese Benutzer ausgeschieden sind.
• Fast alle wechseln die Gruppe: Oberhalb von 30 % Gruppenwechseln verlangt das Tool zusätzlich VERSCHIEBEN n. Bei einer Umorganisation lautet der einzugebende Text daher meist DEAKTIVIEREN n UND VERSCHIEBEN m.
• Benutzer ohne Gruppe: Ein Export, der vor der Zuteilung erstellt wurde, enthält oft Benutzer, die noch keiner Gruppe zugeordnet sind. Ihr vorhandenes Konto bleibt bestehen, ohne Gruppenwechsel; ein neuer Benutzer ohne Gruppe erhält ein Konto mit „Gruppe ausstehend“, das direkt im Ordner der Benutzer abgelegt wird, nur in der Gruppe aller Benutzer. Führen Sie einen erneuten Import durch, sobald die Gruppen bekannt sind: Die Konten werden dann in ihrer Gruppe abgelegt.
• Schulexporte: Das Jahr der Datei und das Alter des SIECLE-Exports werden geprüft (siehe die Rubrik Erkannte Schulformate).

Um eine Aktualisierung gefahrlos auszuprobieren, simuliert der Demomodus sie mit den Beispielen rh-fictif.csv und dann rh-fictif-2.csv, an einem späteren simulierten Datum (§ 4).

Prüfen Sie vor dem neuen Zeitraum auch, ob die Löschfrist für Sie passt: Die im vorigen Zeitraum ausgeschiedenen Konten werden zur endgültigen Löschung vorgeschlagen.

9. Abgänge, Rückkehrer, Rückgängigmachen

9.1 Was mit dem Konto eines ausgeschiedenen Benutzers geschieht

Ein Benutzer, der in der Datei fehlt, ist nicht immer ausgeschieden: Exportfehler, verspätete Anmeldung, Rückkehr nach einem Umzug. Sein Konto wird daher nicht sofort gelöscht. Beim Abgang führt das Tool in einem einzigen Vorgang Folgendes aus:

1. Es deaktiviert das Konto;
2. es entfernt es aus den vom Tool erstellten Gruppen (nie aus anderen Gruppen);
3. es ersetzt seine Beschreibung durch „Parti le jj/mm/aaaa (absent de l'import)“ (ausgeschieden am TT.MM.JJJJ, fehlt im Import), unter Beibehaltung seiner Gruppe (diese Beschreibung ist unabhängig von der Sprache der Benutzeroberfläche immer dieselbe, daher auf Französisch);
4. es verschiebt es in den Ordner der ausgeschiedenen Konten.

Der Basisordner bleibt unverändert. Ein Konto, das Sie selbst deaktiviert hatten, wird ebenfalls als Abgang behandelt, aber nie automatisch reaktiviert.

9.2 Endgültiges Löschen

Ist ein Konto seit mindestens der gewählten Frist ausgeschieden (standardmäßig 90 Tage: ab dem 90. Tag), ordnet die nächste Vorschau es unter „Endgültig zu löschen“ ein („n Konten, seit mindestens 90 Tagen ausgeschieden, werden gelöscht.“). Zur Bestätigung muss LÖSCHEN n eingegeben werden. Die Schaltfläche Diesmal nicht löschen schließt alle Löschungen dieses Imports aus. Ist die Archivierung eingestellt, wird der Basisordner danach in _archives umbenannt.

Ein gelöschter Benutzername bleibt zwei Jahre reserviert: Er wird keinem anderen Benutzer zugeteilt. Kehrt derselbe Benutzer zurück, erhält er seinen Benutzernamen wieder.

9.3 Ein Benutzer kehrt zurück

Erscheint er wieder in einem Export oder fügen Sie ihn manuell hinzu, wird sein ausgeschiedenes Konto reaktiviert. Beim manuellen Hinzufügen wird das Konto einer ausgeschiedenen Person über ihre externe ID (INE oder Personalnummer) gefunden, die im Feld „Externe ID“ des Formulars eingegeben wird, oder, ohne ID, über ihren Namen und ihr Geburtsdatum, wenn die ursprüngliche Datei eines enthielt. Andernfalls legt eine manuelle Eingabe ein neues Konto an. Bei der Rückkehr kommt der Benutzer zurück in seine Gruppe und seine Verzeichnisgruppen und erhält, wenn das Kontrollkästchen „Neues Kennwort für einen zurückkehrenden Benutzer“ aktiviert ist, ein neues Kennwort (und ein Kontoblatt). Ausnahme: Ist er seit höchstens 7 Tagen ausgeschieden (irrtümlicher Abgang, unvollständige Liste), behält er sein Kennwort, und die Vorschau sagt es („Ausgeschieden am … (vor 3 Tagen): Das Konto wird reaktiviert, und der Benutzer behält sein Kennwort.“). War das Konto auf „Kennwort läuft nie ab“ eingestellt, wird diese Einstellung bei der Rückkehr entfernt, und das Protokoll vermerkt es. Das Konto bleibt deaktiviert, wenn es vor seinem Abgang von Hand deaktiviert worden war (Kennzeichen „manuell deaktiviert“).

9.4 Die Abgänge eines Imports rückgängig machen

Hat ein Import Benutzer zu Unrecht ausscheiden lassen (falsche Datei, unvollständiger Export), können Sie seine Abgänge mit einem Klick rückgängig machen, solange die Konten nicht gelöscht wurden:

1. Klicken Sie auf der Startseite auf Abgänge eines Imports rückgängig machen: Die letzten zehn Ausführungen mit Abgängen werden aufgelistet.
2. Klicken Sie neben dem gewünschten Import auf Diese Abgänge rückgängig machen.
3. Die Vorschau „Rückgängigmachen von Abgängen“ zeigt die Konten, die in ihrer Gruppe reaktiviert werden (Karte „Rückkehrer“). Fahren Sie fort und wenden Sie an: Ohne Warnung gibt es weder das Kontrollkästchen „Ich habe die Warnungen gelesen“ noch einen einzugebenden Text, die Schaltfläche Änderungen anwenden ist sofort aktiv.

Die Konten kehren in ihre Gruppe und ihre Verzeichnisgruppen zurück, mit ihrem bisherigen Kennwort (kein neues Kontoblatt).

Einen ganzen Import zurücknehmen: Importieren Sie die vorherige Datei erneut. Die Benutzer kehren in ihre Gruppe zurück, und die ausgeschiedenen Konten werden reaktiviert. Die vom zurückgenommenen Import erstellten Konten dagegen gehen wie Abgänge in Quarantäne.

10. Die Kontoblätter (temporäre Kennwörter)

Jedes neue Konto (und jeder zurückkehrende Benutzer mit neuem Kennwort) hat ein Kontoblatt: einen Abschnitt zum Ausschneiden mit dem Namen der Organisation, Name und Gruppe des Benutzers, seinem Benutzernamen und seinem temporären Kennwort. Eine Seite pro Gruppe.

1. Klicken Sie auf dem Bildschirm „Fertig“ auf Kontoblätter der neuen Konten drucken (alle Gruppen) oder auf die Schaltfläche einer einzelnen Gruppe.
2. Das Fenster Vorschau der Kontoblätter öffnet sich über dem Fenster von Kontivo, mit dem Hinweis „Diese Seiten enthalten Kennwörter. Drucken Sie sie, und schließen Sie dann diese Vorschau: Auf diesem Computer wird nichts gespeichert.“ Blättern Sie durch die Seiten und klicken Sie dann auf Drucken…: Das ist das Druckdialogfeld von Windows, in dem Sie den Drucker und seine Einstellungen wählen.
3. Wenn der Drucker fertig ist, fragt das Tool „Wurden die Kontoblätter vollständig gedruckt?“. Antworten Sie Ja, fertig: Die Vorschau wird geschlossen. Antworten Sie Noch nicht, wenn Seiten fehlen: Die Vorschau bleibt geöffnet, um sie erneut zu drucken. Schließen schließt die Vorschau ohne Drucken.

Das Drucken schreibt keine Datei: weder eine HTML-Seite noch ein PDF noch eine temporäre Datei. Die Kontoblätter bleiben in ihrem Ordner verschlüsselt und werden nur für die Dauer der Vorschau im Arbeitsspeicher entschlüsselt; die Kennwörter werden dort gezeichnet, nicht als Text geschrieben. Die Vorschau wird auch geschlossen, wenn das Fenster gesperrt wird (§ 3.5).

Später können Sie sie über den Bildschirm Kennwortblätter der Startseite erneut drucken (Drucken… oder nur eine Gruppe) oder löschen.

Abschnitte oder Etikettenbögen

Auf dem Bildschirm Kennwortblätter wählt der Bereich Drucken die Form der Seiten, vor Drucken…:

• Abschnitte zum Ausschneiden, mit Anleitung (Standard, wie auf dem Bildschirm „Fertig“), sortiert nach Anzeigename oder nach NACHNAME, dann Vorname;
• Bögen mit Klebeetiketten im Format A4: Avery L7160 (21 Etiketten zu 63,5 × 38,1 mm, Standard), L7159 (24 Etiketten zu 63,5 × 33,9 mm) oder L7163 (14 Etiketten zu 99,1 × 38,1 mm) oder deren Entsprechungen anderer Marken. Jedes Etikett trägt NACHNAME und Vorname, Gruppe, Benutzername und temporäres Kennwort, sonst nichts. Ein Bogen pro Gruppe (eine große Gruppe füllt mehrere), Benutzer nach NACHNAME, dann Vorname sortiert.

Damit die Etiketten genau sitzen, im Druckfenster: Skalierung 100 % (tatsächliche Größe, ohne „An Seite anpassen“), Ränder Keine. Machen Sie zuerst einen Test mit einem weißen Blatt, auf einen Etikettenbogen gelegt und gegen das Licht gehalten. Für die Etiketten gelten dieselben Regeln wie für die Abschnitte: keine Datei geschrieben, nie in eine Datei drucken (PDF, XPS), nicht ausgegebene Etiketten vernichten.

Kalibrierungsseite für Etiketten

Prüfen Sie vor dem ersten Bogen und bei jedem Druckerwechsel mit der Kalibrierungsseite, ob die Etiketten genau sitzen. Sie enthält keine Benutzerdaten: Sie können sie frei drucken und wegwerfen.

1. Auf dem Bildschirm Kennwortblätter, Bereich Drucken: Wählen Sie Bögen mit Klebeetiketten und dann das Bogenmodell.
2. Klicken Sie auf Kalibrierungsseite drucken. Die Vorschau zeigt einen Rahmen an der Stelle jedes Etiketts, zwei Skalen von 100 mm und die Anleitung. Klicken Sie auf Drucken…, mit Skalierung 100 % (tatsächliche Größe), Ränder „Keine“, Format A4.
3. Messen Sie die beiden gedruckten Skalen (oben und links): Jede muss 100 mm lang sein. Andernfalls skaliert der Drucker die Seite: Korrigieren Sie seine Einstellungen und beginnen Sie von vorn.
4. Legen Sie das Blatt auf einen leeren Bogen, Kanten bündig, und halten Sie beides gegen das Licht: Jeder Rahmen muss auf einem Etikett liegen, auf 0,5 mm genau an allen vier Ecken des Bogens.

Sind alle Rahmen um denselben Abstand verschoben, hat der Drucker einen physischen Rand oder verschiebt die Seite: Probieren Sie die Option „randlos“ oder ein anderes Papierfach. Wächst die Abweichung nach unten oder nach rechts, wird die Seite vergrößert oder verkleinert: Prüfen Sie die Skalierung. Die Abschnitte dagegen brauchen keine Kalibrierung: Sie werden mit der Schere ausgeschnitten.

11. Die Protokolle

Jede Ausführung hinterlässt ein Protokoll: eine CSV-Datei (Trennzeichen Semikolon, lesbar in Excel oder LibreOffice) in C:\ProgramData\ComptesAD\journaux\, benannt nach Datum, Uhrzeit und Nummer des Plans, zum Beispiel 2026-10-19_1440_p20261019-1440-7f3a9c.csv. Sie enthält für jeden Vorgang: Uhrzeit, Bediener, Computer, Domänencontroller, Aktion, Benutzername, Anzeigename, Gruppe vorher und nachher, Ablageort vorher und nachher, entfernte Verzeichnisgruppen, Ergebnis (OK, Bereits erledigt, Ignoriert, Fehler) und Meldung. Die Spaltenüberschriften sind unabhängig von der Sprache dieselben; die Meldungen werden in der Sprache der Benutzeroberfläche geschrieben (§ 5, „Sprache der Benutzeroberfläche“).

Daneben listet der Vorher-Stand (photo-avant_…csv) alle betroffenen Konten so auf, wie sie unmittelbar vor der Ausführung waren: Benutzername, Name, Ablageort, aktiv oder nicht, Gruppe, Verzeichnisgruppen. Damit lässt sich der Zustand eines Kontos vor einem Import wiederfinden.

Die Protokolle enthalten nie Kennwörter, externe IDs oder Geburtsdaten. Die Datei technique.log (interne Fehler des Tools) enthält keine Benutzerdaten.

Auf der Startseite listet der Bildschirm Protokolle die Protokolle auf, öffnet ihren Ordner mit der Schaltfläche Protokollordner öffnen, neben der der Pfad angezeigt wird („Protokollordner: C:\ProgramData\ComptesAD\journaux“, zum Kopieren, wenn das Tool mit einem anderen Konto als dem Ihrer Sitzung gestartet wurde), und löscht die Protokolle, die älter als 12 Monate sind (mit ihren Vorher-Ständen).

12. Sicherung der Konfiguration und des Organisationsschlüssels

Um jeden Benutzer von einem Import zum nächsten wiederzuerkennen, ohne seine externe ID in das Verzeichnis zu schreiben, verwendet das Tool einen Organisationsschlüssel, der der Organisation eigen ist. Dieser Schlüssel liegt auf dem Computer, in C:\ProgramData\ComptesAD\. Geht er verloren, erkennt das Tool die Benutzer nicht mehr an ihrem Fingerabdruck.

12.1 Exportieren

Klicken Sie unter Einstellungen auf Einstellungen exportieren und wählen Sie „Einstellungen und Organisationsschlüssel (für eine Sicherung empfohlen)“. Das Windows-Dialogfeld „Speichern unter“ schlägt den Namen ComptesAD-configuration-JJJJ-MM-TT.json vor: Wählen Sie den Speicherort.

12.2 Den Computer wechseln

Auf dem neuen Computer erkennt das Tool, dass das Verzeichnis bereits von Kontivo verwaltet wird (eine Gruppe ComptesAD-Etat liegt im Ordner der Gruppen; löschen Sie sie nicht). Die Startseite zeigt in Rot: „Dieses Verzeichnis wird bereits von Kontivo auf einem anderen Computer oder in einer anderen Installation verwaltet…“.

1. Klicken Sie auf Konfiguration importieren und wählen Sie die exportierte Datei.
2. Prüfen Sie die importierten Einstellungen und klicken Sie dann auf Einstellungen speichern.

12.3 Wenn die Datei verloren ist

Klicken Sie auf Ich habe diese Datei verloren, geben Sie SCHLÜSSEL ERSETZEN ein (in der deutschen Benutzeroberfläche; der Text hängt von der Sprache der Benutzeroberfläche ab, das französische REMPLACER LE SECRET wird weiterhin akzeptiert) und dann Organisationsschlüssel ersetzen. Das Tool erstellt einen neuen Organisationsschlüssel und lässt Sie die Benutzerliste importieren: Es erkennt die Benutzer dann einmalig an ihrem Namen und ihrer Gruppe und schreibt ihren Fingerabdruck neu. Während dieses Imports wird kein Konto als Abgang behandelt. Die nicht wiedergefundenen Konten werden aufgelistet; sie werden beim nächsten normalen Import behandelt.

13. Was tun, wenn…

Das Tool startet nicht

Das Fenster von Kontivo zeigt den Grund an und bleibt geöffnet, mit dem zu kopierenden Befehl, wenn es einen gibt (Schaltfläche Kopieren). Siehe die Tabelle der Meldungen unten.

„Dieser Datenordner gehört einem anderen Konto“

Meldung „Der Datenordner C:\ProgramData\ComptesAD wurde für ein anderes Windows-Konto erstellt (Besitzer: …): Ihr Konto kann nicht darauf zugreifen. …“: ein einziges Konto pro Datenordner (§ 3.3, wo die Meldung vollständig zitiert ist). Drei Auswege, in der Reihenfolge der Meldung: das Tool mit diesem Konto neu starten; den Ordner von einem Administrator mit dem vorgeschlagenen Befehl icacls … /T übertragen lassen (nachdem Sie die Konfiguration mit dem Organisationsschlüssel aus dem Besitzerkonto exportiert haben, um sie danach wieder zu importieren); den Ordner löschen, wenn er nichts Wichtiges enthält.

„Kein Domänencontroller … hat geantwortet“ beim Start

Das Tool sucht einen Domänencontroller, der über LDAP antwortet (TCP-Port 389). Die Meldung lautet: „Kein Domänencontroller hat über LDAP (TCP-Port 389) geantwortet. Prüfen Sie, ob der Computer Mitglied der Domäne ist und mit einem Domänenkonto angemeldet ist, oder geben Sie einen Domänencontroller an: ComptesAD.exe -Serveur dc1.demo.local“. Die üblichen Ursachen: Port 389 zwischen dem Administrationsnetz und den Domänencontrollern gefiltert, Computer nicht in der Domäne, Sitzung mit einem lokalen Konto geöffnet.

Das Fenster von Kontivo erscheint nicht

Ist Kontivo bereits geöffnet, holt ein zweiter Start sein Fenster in den Vordergrund; bleibt es verborgen, suchen Sie es in der Taskleiste. Ist Kontivo von einem anderen Konto auf demselben Server geöffnet, meldet der Start dies („Kontivo ist auf diesem Computer bereits von einem anderen Benutzer geöffnet.“): Warten Sie, bis er es beendet hat.

„Kontivo ist gesperrt“

Das Fenster wurde nach 30 Minuten ohne Aktivität gesperrt (§ 3.5). Klicken Sie auf Entsperren und geben Sie das Kennwort des Windows-Kontos ein, das Kontivo gestartet hat (das in der Meldung genannte, zum Beispiel das delegierte Konto, nicht das Ihrer Sitzung). Eine laufende Ausführung wurde während der Sperre fortgesetzt. Nach drei abgelehnten Kennwörtern beenden Sie Kontivo (Schaltfläche Beenden der Sperrfläche) und starten es neu: Eine unterbrochene Ausführung wird über die Startseite fortgesetzt.

Die Ausführung wurde unterbrochen

Fenster geschlossen, Stromausfall, Neustart: Beim nächsten Start zeigt die Startseite „Eine Ausführung wurde unterbrochen am … (140 von 612).“ an.

• Fortsetzen: Das Tool macht dort weiter, wo es stehen geblieben ist, auf demselben Domänencontroller. Vorgänge, bei denen unklar ist, ob sie abgeschlossen wurden, werden gefahrlos wiederholt. Ein Kennwort, bei dem unklar ist, ob es gesetzt wurde, wird durch ein neues ersetzt, mit einem neuen Kontoblatt.
• Verwerfen: Die bereits vorgenommenen Änderungen bleiben bestehen; erstellen Sie eine neue Vorschau, um zu sehen, was noch zu tun ist.

Setzen Sie ohne Verzögerung fort. Nach 12 Stunden, oder wenn inzwischen eine andere Ausführung stattgefunden hat, wird die Fortsetzung abgelehnt: Die Startseite bietet nur noch Verwerfen an, mit der Erklärung („Sie liegt mehr als 12 Stunden zurück: Eine Fortsetzung würde Änderungen wiederholen, die auf einer veralteten Datei und einem veralteten Verzeichnisstand beruhen.“). Es geht nichts verloren: Die neue Vorschau schlägt vor, was noch zu tun ist.

Ein Konto wird nicht erkannt, eine Dublette wird erstellt

Das vorhandene Konto liegt vielleicht nicht im Ordner der Benutzer, oder die Datei hat weder eine externe ID noch ein Geburtsdatum. Sehen Sie in der Vorschau die Karte „Zu prüfen“ an: Das Tool stellt dort eine Frage, wenn mehrere Konten passen können, und es übernimmt ein zweifelhaftes Konto (anderes Geburtsdatum, ausgeschiedenes Konto) nie allein anhand des Namens: Es schlägt dann ein neues Konto und die Frage „Derselbe Benutzer?“ vor. Beantworten Sie sie vor der Ausführung, sonst wird das neue Konto erstellt (siehe § 7.3). Ein vom Tool verwaltetes, aber aus dem Ordner der Benutzer verschobenes Konto wird ebenfalls nicht verdoppelt: Seine Zeile lautet „Das Konto dieses Benutzers wurde aus der Benutzer-OU verschoben (…): Es wird nicht geändert, und es wird kein anderes Konto erstellt. Verschieben Sie es zurück in die Benutzer-OU, damit das Tool es weiter verwaltet.“

Ein von Hand erstelltes Konto wird nie geändert

Das ist so gewollt: Ein Konto, das das Tool weder erstellt noch übernommen hat, wird nie geändert und nie als Abgang behandelt. Die Vorschau meldet solche Konten („Nicht verwaltete Konten in der Benutzer-OU: 3 (werden nie geändert)“). Das Tool übernimmt ein solches Konto, wenn es den Benutzer erkennt (Karte „Übernommene Konten“): Benutzername und Kennwort bleiben erhalten.

Ein Konto ist „vor versehentlichem Löschen geschützt“

Es kann weder verschoben (Gruppenwechsel, Abgang) noch gelöscht werden; das Tool prüft dies, bevor es das Konto anfasst, das Konto wird also weder umbenannt noch halb geändert. Die Meldung sagt, was zu tun ist: „Dieses Konto ist vor versehentlichem Löschen geschützt: Aktivieren Sie in „Active Directory-Benutzer und -Computer“ im Menü „Ansicht“ die Option „Erweiterte Features“, öffnen Sie die Eigenschaften des Kontos und deaktivieren Sie auf der Registerkarte „Objekt“ das Kontrollkästchen; oder verwenden Sie „Schutz dieser Konten entfernen“ in der Vorschau. Erstellen Sie danach die Vorschau neu.“ (die Schaltfläche der Vorschau erfordert die Berechtigung, Berechtigungen zu ändern). Ein verwaltetes, aber auf andere Weise geschütztes Konto (Ausschluss in den Einstellungen, adminCount) wird ebenfalls nicht angefasst: Die Vorschau schreibt es in seine Zeile (§ 7.3).

Eine Verzeichnisgruppe hat einen Kurznamen mit „-2“

Das Tool begrenzt den Kurznamen (Prä-Windows 2000-Name) einer Gruppe, der in der Domäne eindeutig sein muss, auf 20 Zeichen. Ist er bereits durch ein anderes Objekt belegt, hängt das Tool -2, -3… an. Die Einstellungen (Schritt 2) zeigen diese Kurznamen. Sie können eine vom Tool erstellte Gruppe umbenennen: Es erkennt sie an einer internen Markierung, nicht an ihrem Namen.

Eine andere Person verwendet das Tool gleichzeitig

Es ist nur eine Ausführung gleichzeitig möglich: „Eine Ausführung läuft von PC-ADM1 aus durch DEMO\adm2 (seit 14:40).“. Warten Sie das Ende ab. Die Sperre läuft 30 Minuten nach dem letzten Lebenszeichen des anderen Computers ab; eine Schaltfläche erlaubt dann, sie zu erzwingen (durch Eingabe von ERZWINGEN, in der Sprache der Benutzeroberfläche), wenn Sie sicher sind, dass dort keine Ausführung mehr läuft.

Microsoft 365, ENT und andere Dienste

Das Tool verwaltet nur das lokale Verzeichnis. Gibt es eine Synchronisierung zu Microsoft 365, prüfen Sie, ob der Ordner „Abgänge“ in ihrem Bereich liegt, wenn Sie die Microsoft 365-Daten der Benutzer in Quarantäne behalten möchten.

Der Virenschutz oder die Sicherheit des Computers blockiert das Tool

Kontivo ist eine einzige EXE-Datei, ComptesAD.exe, ohne zuzulassendes Skript. Drei Fälle:

• SmartScreen zeigt beim ersten Start „Der Computer wurde durch Windows geschützt“ an: siehe § 2. Damit nicht jede entpackte Datei als „aus dem Internet stammend“ markiert wird, aktivieren Sie vor dem Entpacken Zulassen in den Eigenschaften des Archivs (§ 3.1).
• Ein Virenschutzprogramm oder eine EDR-Lösung blockiert die EXE-Datei oder stellt sie unter Quarantäne (die EXE-Datei ist obfuskiert, siehe § 2): Bitten Sie Ihren IT-Sicherheitsbeauftragten um eine Ausnahme für den veröffentlichten SHA-256-Hash oder um die nicht obfuskierte Variante.
• AppLocker oder WDAC erlauben nur genehmigte Programme: Bitten Sie Ihren Administrator um eine Regel, die C:\ComptesAD\ComptesAD.exe zulässt (über den Herausgeber, wenn die Datei signiert ist, sonst über ihren Hash), oder verwenden Sie einen Administrationscomputer ohne diese Einschränkung.

Das Tool wird von einer Freigabe oder einem Netzlaufwerk gestartet

Es verweigert den Start, und das Fenster sagt es. Von einer Freigabe (Pfad \\serveur\…): „Kontivo wurde von einer Netzwerkfreigabe gestartet (\\srv\outils$\ComptesAD). Kopieren Sie ComptesAD.exe auf das lokale Laufwerk des Computers, zum Beispiel nach C:\ComptesAD, und starten Sie es erneut.“ Von einem Netzlaufwerk (Z:): „Kontivo wurde von einem Netzlaufwerk gestartet (Z:\ComptesAD). Kopieren Sie ComptesAD.exe auf das lokale Laufwerk des Computers, zum Beispiel nach C:\ComptesAD, und starten Sie es erneut.“ Auch der Datenordner muss auf einer festen lokalen Festplatte liegen (§ 3.3).

Windows hat ein temporäres Profil geöffnet

Zeigt Windows „Sie wurden mit einem temporären Profil angemeldet“ an, warnt Sie das Tool beim Start („Achtung: Windows hat Ihre Sitzung mit einem TEMPORÄREN Profil geöffnet (…)“, vollständiger Text in § 3.5): Alles, was in Ihrem Profil liegt (Kennwortblätter, der Schlüssel, der sie verschlüsselt), geht bei der Abmeldung verloren. Drucken Sie die Kontoblätter vor dem Abmelden, und führen Sie keinen Import durch, solange das Profil nicht repariert ist.

14. Wichtigste Fehlermeldungen

15. Was das Tool in das Verzeichnis schreibt

Nachname, Vorname, Anzeigename, Gruppe, Benutzername und Anmeldename, Beschreibung (nach der Vorlage des Schlüssels nommage.description in configuration.json: bei einer Neuinstallation „{classe} (verwaltet von Kontivo)“ und „Gruppe ausstehend (verwaltet von Kontivo)“ für einen Benutzer ohne Gruppe; eine Konfiguration aus der V1 oder V2 behält ihre Beschreibung, siehe § 3.7) und, falls eingestellt, Basisordner, Laufwerkbuchstabe, Profil und Anmeldeskript. Dazu zwei technische Attribute:

• employeeType: eine Markierung, die angibt, dass das Konto vom Tool verwaltet wird, und seinen Status (aktuell, ausgeschieden…). Ändern Sie sie nicht;
• employeeNumber: verschlüsselte Fingerabdrücke der externen ID (und, bei einem SIECLE-Export, der SIECLE-Nummer) sowie des Namens mit Vorname und Geburtsdatum, berechnet mit dem Organisationsschlüssel. Sie ermöglichen es, den Benutzer bei späteren Importen wiederzuerkennen, erlauben aber nicht, diese Angaben zu rekonstruieren, solange der Organisationsschlüssel geheim bleibt.

Das Tool schreibt nie das Geburtsdatum oder die externe ID in das Verzeichnis: Alle Konten der Domäne, auch die Benutzer, können diese Informationen lesen. Es verändert die Attribute info und employeeID der Benutzer nicht (außer Sie verlangen, eine im Klartext in employeeID gefundene externe ID zu löschen). Es schreibt auch die externe ID, die SIECLE-Nummer und das Geburtsdatum nicht in seine eigenen Dateien (Protokolle, Pläne, Kontoblätter).

Die vom Tool erstellten Gruppen sind globale Sicherheitsgruppen im Ordner der Gruppen, erkennbar an einer Markierung in ihrem Attribut adminDescription. Die Verteilergruppe ComptesAD-Etat, ohne Mitglieder, speichert den Status des Tools: Löschen Sie sie nicht.

Nichts von dem, was das Tool in das Verzeichnis schreibt, hängt von der Sprache der Benutzeroberfläche ab: Beschreibungen, Namen der OUs, Markierungen. Zwei Computer mit zwei verschiedenen Sprachen verwalten dasselbe Verzeichnis also auf dieselbe Weise. Nur die Werte, die einer Neuinstallation vorgeschlagen werden (Namen der OUs und Gruppen, Beschreibungen), richten sich nach der Sprache der ersten Einstellungen; einmal in configuration.json geschrieben, ändern sie sich mit der Sprache nicht mehr.

Nie geändert werden: die Administratorkonten (auch wenn sie versehentlich bei den Benutzern abgelegt sind), die Konten Ihrer Liste „Konten, die nie geändert werden dürfen“, die Konten im Ordner der Benutzer, die das Tool weder erstellt noch übernommen hat, und alles außerhalb der drei gewählten Ordner.

16. Weitere Dokumente

• Exporter les élèves (auf Französisch): die Schritt-für-Schritt-Anleitung für die Exporte aus SIECLE, ONDE, Pronote und EcoleDirecte und die erwarteten Spalten (siehe auch die Rubrik Erkannte Schulformate).
• Berechtigungen delegieren: die genauen Berechtigungen des Kontos, das das Tool startet, im Verzeichnis und auf der Freigabe der Basisordner.
• Fiche registre RGPD (auf Französisch): das Blatt für das Verzeichnis von Verarbeitungstätigkeiten (DSGVO), das mit Ihrem Datenschutzbeauftragten auszufüllen ist.
• Dieselben Dokumente in den anderen Sprachen: docs\fr\, docs\en\, docs\es\, docs\pt\ und docs\it\ (Notice.html, Deleguer-les-droits.html, LISEZMOI.txt); im Stammverzeichnis des Archivs LISEZMOI.txt (auf Französisch) und README.txt (auf Englisch). Die beiden oben genannten Seiten zu den Schuldateien und zum DSGVO-Verzeichnis gibt es nur auf Französisch, in docs\fr\.
• Der erste Durchlauf auf einer Test-OU vor der Inbetriebnahme: siehe § 6.

Kontivo 3.0.0, für Active Directory · © 2026 · proprietäre Software (siehe LICENCE.txt) · die Namen auf den Bildschirmfotos sind erfunden · Active Directory ist eine Marke von Microsoft.