Active Directory

Active Directory
Kay Ködel
25.01.06
Script zum Vortrag im Fach Rechnernetze Standards
bei
Prof. Dr.-Ing. Karsten Hartmann
Prof. Dr. rer. nat. Uwe Heuert
Übersicht
 1 Einführung in das Active Directory
1.1 Entstehung und Herkunft
1.2 Überblick über Active Directory
1.3 Wichtige Begriffe und Protokolle
1.4 Implementierung des Active Directory
 2 Aktive Direktory von Microsoft
2.1 Planung des Active Directory
2.2 Active Directory Datenbank
2.3 Installation des Active Directory
2.4 Organisationseinheiten
2.5 Active Directory Objektverwaltung,
2.6 Active Directory Berechtigungen
2.6.1 Administrationsberechtigungen
2.6.2 Standardberechtigungen
2.6.3 Assitent für die Rechteverwaltung
2.6.4 Vererbung von Rechten
2.7 Active Directory Administration
2.8 Replikation
2.9 Richtlinien
2.10 Sicherheitscheck
 3 Zusammenfassung
3.1 Allgemeines
3.2 Sicherheitscheck
3.3 Struktur
3.5 Namensvergabe
 4 Praxis
4.1 Szenario
4.2 Abschließende Bemerkungen
2
1 Einführung in das Active Directory
1.1 Entstehung und Herkunft
Definition Active Directory:
Das Active Directory ist ein hierarchischer Verzeichnisdienst, der
unternehmensrelevante Daten (Benutzer, Computer, Drucker, etc.) an einer
zentralen Stelle verwaltet und diese über standardisierte Schnittstellen
(LDAP) den Benutzern des Netzwerkes zur Verfügung.
oder
Verzeichnisse (engl. Directories) sind Sammlungen von Daten einer
bestimmten Art. So kann man Telefon- und Adressbücher wie auch Kataloge
oder Fernseh-Programme als Verzeichnisse bezeichnen. Dabei liegt allen
Directories ein ordnendes Prinzip zugrunde: Telefonbücher sind nach
Namen geordnet, Kataloge nach Themen und Fernseh-Programme nach TVKanälen und Datum.
Herkunft:
Mit Windows 2000 wurde zum ersten Mal das Konzept des Active
Directory eingeführt. Beim Active Directory handelt es sich um einen
zentralen Verzeichnisdienst, der zur Verwaltung des Netzwerkes, hierzu
zählen die Benutzer- und Gruppenkennzeichen sowie
Arbeitsplatzcomputer, Server und Drucker, benutzt wird.
3
Grundsätzlich ist ein Verzeichnisdienst unabhängig vom zugrundeliegenden
Betriebssystem. So wird von allen Betriebssystemherstellern ein
entsprechender Dienst zur Verfügung gestellt. (Active Directory [Microsoft],
Netware Directory Services (NDS) [Novell], Netscape Directory ...) Der
Verzeichnisdienst stellt eine zentrale Informationsquelle in einer Organisation
(Firma, Unternehmen) dar. Innerhalb dieser Informationsquelle werden
Informationen über die im Netzwerk vorhandenen Computer / Drucker sowie
Benutzer und Gruppenkennzeichen verwaltet und Informatione den
angemeldeten Benutzern zur Verfügung gestellt. Benutzer können in diesem
Verzeichnisdienst nach beliebigen Attributen eines Objektes suchen. So ist es
z.B. Möglich nach allen Druckern zu suchen die über spezielle Eigenschaften
(beidseitiger Druck, Farboption ...) verfügen. Dieses kann z.B. von Gästen in
einer Organisation benutzt werden, um Resourcen im Netzwerk zu suchen
und sich auf diese Art und Weise einen besseren Überblick zuverschaffen.
Die Entwicklung eines Verzeichnisdienstes geht zurück bis ins Jahr
1982/1985. Damals sollte ein Verzeichnisdienst implementiert werden, der
die vergebenen IP - Netzwerke und deren Administratoren beinhalten sollte.
Dieser Verzeichnisdienst ist als Whois-Datenbank bekannt. Die beteiligten
Standardisierungsgremien definieren einen Verzeichnisdienst wie folgt:
Der Verzeichnisdienst wird durch ein global verteiltes Verzeichnis
repräsentiert, das auf hierarchisch angeordneten Objekten mit den
zugehörigen Protokollen basiert. Die Hauptaufgabe eines
Verzeichnisdienstes ist die Zuordnung von Namen eines Objektes zu einer
Menge von Werten und Eigenschaften. Objekte können hier z.B.
Personen, Verteilerlisten, oder auch Anwendungen sein. Ein Anwender
kann die Objekte mittels geeigneter Browser beliebig durchsuchen.
(Internationale ISO/ITU-T Standards für einen plattformunabhängigen
verteilten Verzeichnisdienst)
4
1.2 Überblick über das Active Directory
Der LDAP-Verzeichnisdienst von Microsoft Windows 2000/2003 Server
heißt Active Directory Service (ADS). Bei einem Verzeichnis (engl.
Directory) handelt es sich um eine Zuordnungsliste. Das Active Directory
baut auf einer Datenbank auf, in der die Informationen über das Netzwerk
wie Benutzer, Gruppen und Computer gespeichert werden. Die Datensätze
werden im Active Directory als 'Objekte' und die Eigenschaften als
'Attribute' definiert. Welche Objekttypen im Active Directory verfügbar
sind, kann man beeinflussen, indem man neue Typen definiert. Das Muster,
nach dem man dabei vorzugehen hat, ist das Schema: Es definiert die
Objekte und ihre Attribute.
Anders als frühere Windows-Versionen welche für die Kommunikation
NetBIOS verwendeten, ist in Active Directory DNS und TCP/IP integriert.
Um voll funktionsfähig zu sein, muss der DNS-Server SRVRessourceneinträge unterstützen. Zwar können Windows-2000-Clients nach
wie vor mit Hilfe von WINS Server auffinden, aber ohne DNS funktioniert
Active Directory nicht.
Active Directory erlaubt es, Netzwerke logisch und hierarchisch mit Hilfe von
Objekten aufzubauen. Diese Objekte speichern Informationen über
Computer, Benutzer, Dateifreigaben und andere Geräte wie Drucker und
Scanner. Jedes Objekt hat Attribute und wird in einer zentralen Datenbank
gespeichert, in der viele Millionen Objekte abgelegt werden können. Die
Struktur des Active-Directory-Struktur ist ein hierarchisches System,
welches aus Objekten besteht. Die Objekte lassen sich in drei Kategorien
einteilen: Ressourcen (z.B. Drucker, Scanner, Kameras) Dienste (z.B. EMail) Benutzer (z.B. Benutzerkonten oder Benutzer und Benutzergruppen)
Mit Hilfe von Active Directory kann der Administrator die Informationen der
Objekte organisieren, bereitstellen und überwachen. Den Benutzern des
Netzwerkes können Zugriffsbeschränkungen erteilt werden. So darf zum
5
Beispiel nicht jeder Nutzer jede Datei ansehen oder jeden Drucker
verwenden. Die gesamte hierarchische Struktur heißt Wald (forest); eine
Ansammlung aller Objekte, deren Attributen, Regeln und Container in dem
Verzeichnis. Der Wald verwaltet einen oder mehrere transitiv verknüpfte
Bäume. Ein Baum verwaltet eine oder mehrere Domains welche wiederum
transitiv in der Hierarchie miteinander verknüpft sind. Domains werden nach
den Regeln des DNS-Systems benannt, dem "Namespace" (Namensraum).
Die Objekte in einer Domain können lokal in sogenannte „organisatorische
Einheiten“ (organizational units, OUs) gruppiert werden. Durch
organisatorische Einheiten wird eine Domain hierarchisch gegliedert, was die
Administration von Active Directory vereinfacht. Mit Hilfe von Active
Directory ist es möglich, ein Netzwerk ähnlich der realen Struktur des
Unternehmens oder seiner räumlichen Verteilung zu gliedern.
Organisatorische Einheiten können wiederum Organisatorische Einheiten als
Unterobjekte enthalten. Die Gruppenrichtlinien-Einstellungen werden in
Gruppenrichtlinien-Objekten gespeichert. Diese sind ebenfalls Domains und
Standorten zugeordnet. Die organisatorischen Einheiten sind die unterste
Ebene von Active Directory, in der administrative Rechte aufgeteilt werden
können. Die Objekte repräsentieren einzelne Einheiten (z.B. Benutzer,
Computer, Drucker, Programme oder Ordnerfreigaben) und deren Attribute.
Jedes Objekt hat einen Satz von Attributen, welche abhängig von ihrem Typ
definiert sind. Objekte werden eindeutig über ihren Namen identifiziert.
Eine weitere Möglichkeit der Unterteilung ist ein Standort. Dieser stellt eine
physikalische Gruppierung eines oder mehrerer logischer IP-Unternetze dar.
Standorte zeichnen sich durch die Verbindung zwischen langsamen
Netzwerken (z.B. WAN, VPN) und schnellen Netzwerken (z.B. LAN) aus.
Domains können Standorte enthalten und Standorte können Domains
beinhalten. Dies ist wichtig für die Kontrolle des Netzwerkverkehrs der durch
Replikationsvorgänge entsteht. Es ist fundamental, die Infrastruktur der
Unternehmensinformationen in eine hierarchische Aufteilung in Domains und
6
der Organisationseinheiten sorgfältig zu planen. Hierfür haben sich
Aufteilungen hinsichtlich geografischer Orte, Aufgaben oder IT-Rollen bzw.
einer Kombination aus diesen Modellen als nützlich erwiesen.
Active Directory ist in drei Teile aufgegliedert: Schema, Konfiguration und
Domain. Ein Schema ist eine Schablone für alle Active-Directory-Einträge.
Es definiert Objekttypen, ihre Klassen und Attribute als auch ihre
Attributsyntax. Die Konfiguration stellt die Struktur des Active-DirectoryWaldes und seiner Bäume dar. Die Domain schließlich speichert alle
Informationen über die erstellten Objekte und seiner Domain. Die ersten
beiden Teile der Active Directory werden mit jedem domain controller
repliziert. Es gibt nur einen globalen Katalog, in dem alle Informationen der
Domains gespeichert werden. Die Grenze der vollen Domainreplikation stellt
die Domain selbst dar.
Die Active-Directory-Datenbank in Windows 2000 benutzt die Jet-Basierende
ESE98, welche auf 17 Terabytes und 10 Millionen Objekte pro Domain
begrenzt ist. Dies ist ein theoretischer Grenzwert, da nicht mehr als eine
Million Objekte pro Domain empfohlen werden. Die Datenbankdatei enthält
drei Haupttabellen: die „schema table“ zur Speicherung der Schemata, die
„link table“ zur Speicherung der Objekt-Struktur und die „data table“ zur
Speicherung der Daten. Die Datenbankdatei heißt „NTDS.DIT“. ESE
(extensible storage engine) ordnet die nach einem relationalen Modell
abgespeicherten Active-Directory-Daten nach einem vorgegebenen Schema
in einem hierarchischen Modell an. Die Namensvergabe im Active Directory
unterstützt eine Benennung bzw. den Zugriff über UNC/URL und LDAPURL-Namen. Intern wird die LDAP-Version X.500 für die Namensstruktur
verwendet. Jedes Objekt hat einen vollqualifizierten Namen (distinguished
name, DN).
7
1.3 Wichtige Begriffe und Protokolle:
•
Domäne
•
Struktur
•
Standort
•
Organisationseinheit
•
Schema
•
DNS - Domain Naming Service
•
LDAP - Verzeichnisdienstprotokoll
•
NTFS – New Technologie File System
•
Kerberos – Authentifizierung und Vertrauensstellung
•
Whois – Verzeichnis für Domainen
•
Richtlinien – Konzuept im Active Directory
•
Globaler Katalog – root Server
•
Domain Controler – normaler Server
•
Dcpromo – Programm zum installieren des AD
•
Sysvol – Ordner für Axtive Directory
•
ADSI – Active directory Service Interface
•
Auditing - Sicherheitsüberprüfung
•
Schemamaster - Serverrolle
•
Domain Naming Master - Serverrolle
•
Relative ID Master - Serverrolle
•
PDC Emulator - Serverrolle
•
Infrastructure Master - Serverrolle
•
X.500 – Standardprotokoll für Verzeichnisdienste
•
SID – Security Identiefier
•
ACL - Acess Control List
•
ACE Acess Control Entrie
•
MMC - Microsoft Managementconsole
•
NBSS – NetbiosSessionService
8
•
SMB Service Message Protokoll
•
DCE(RPC)
•
SRVSVC Microsoft Server Service
•
SpoolSS Microsoft Spool Sub System
•
WKSSVC Microsoft Workstation Service
•
WINREG Microsoft Registery Service
•
LSA – Microsoft Security Architecture
•
Netlogon Microsoft Netlogon Protokoll
Domäne:
SD
SD

PROSIGNIA
•
Besteht aus mind. 1 DC
•
Der das komplette Verzeichnis
vorhält

200
PRO
SIGNIA
R
p.e..n..t.iu.m
.
200
R
p.e..n..t.iu..m
•
Änderungen von allen DCs aus
SD
möglich

PROSIGNIA
Durch Multi-Master Replikation
200
R
p.e..n..ti.u.m
•
Domäne bildet Grenze für die
Replikation
Struktur / Tree
•
Beliebig tiefer hierarchischer
Domänen-Baum
•
einheitliches Namensschemata
halle.alka.de
verwaltung.halle.alka.de
•
Transitive Kerberos
Vertrauensstellung
9
Standort / Site
•
Definiert ein Netzwerk mit schnellen Verbindungen.
•
Definition über IP-Subnetze
•
Replikation innerhalb des Standorts und über Standortgrenzen hinweg
separat konfigurierbar
•
Clients können stets „nahe“ Ressourcen nutzen.
Organisationseinheit
•
Active Directory Container Objekt innerhalb einer Domäne
•
Verwaltung Benutzer-, Gruppen und Computerobjekten
•
Kleinste Bereich auf den Gruppenrichtlinienobjekte angewendet werden
können
Gruppemnrichtlinien / Group Policies
•
Gruppenrichtlinene (Group Policy Object GPO)
•
Definition: Policies bieten die Möglichkeit, an zentraler Stelle die
Anwendungsumgebung der Benutzer einmalig festzulegen, wobei das
Betriebssystem die Einhaltung sicherstellt.
•
Ca. 600 Konfigurationsmöglichkeiten
•
Unterteilt in Computer- und Benutzereinstellungen
•
Können vom Administrator erweitert werden
Schema
•
Beschreibung aller Objekte inkl. Ihrer Attribute des Active Directory
•
Wird vom Schema-Master verwaltet
•
1 Schemamaster pro Domäne
•
Administration des Schemas mit adsiedit.msc (W2K Support Tools)
•
Eindeutigkeit in einem Forest sicherstellen
10
1.4 Implementierung des Active Directory
Die Implementierung des Active Directories lehnt sich an gängige TCP/IP
Standards an. So besteht das Active Directory aus mindestens einer
Domäne, die entweder ein frei erfundener Name, oder ein vom NIC
vergebener Name sein kann. Als Beipsiel kann z.B. alka.de dienen. Diese
erste Domäne innerhalb eines Active Directory wird auch als Root Domäne
bezeichnet. Untergeordnete Domänen (z.B. halle.alka.de) können unter die
Root Domäne gehängt werden. Diese Domänen bilden zudammen mit der
Root Domäne einen Baum (Domain Tree). Innerhalb einer Domäne werden
Ressourcen (Benutzerkennzeichen, Drucker, Computer und ihre zugehörigen
Eigenschaften in Organisationseinheiten (organisational units) verwaltet.
Wenn nun ein zweiter Baum z.B.alka.imweb.de ebenfalls von der Domäne
halle.alka.de verwaltet werden soll, so spricht man von einer Gesamtstruktur
oder Forest. Neben der Einteilung des Netzwerkes in Domänen erfolgt eine
zweite Einteilung anhand der vorhandenen Netzwerkinfrastruktur. In einem
Standort (Site) werden alle Domänen zusammen gefasst zwischen denen
eine gute Netzwerkverbindung (10 MBit) besteht. Diese Aufteilung ist
wichtig, um die Replikation (dazu später mehr) des Active Directories
zwischen mehreren Domänencontroller besser konfigurieren zu können.
Aufgrund dieser Struktur sollte klar sein, dass das Active Directory nicht nur
zur Verwaltung lokaler Netze dienen kann, sondern dass eine verteilte
Netzwerkarchitektur dass sich nicht nur auf ein Gebäude beschränkt,
verwaltet werden kann.
Sicherheitseinstellungen auf Benutzer- oder Computerebene können mit Hilfe
der Gruppenrichtlinien (Group Policies) realisiert werden. Diese
Richtlinien werden auf Ebene der Organisational Units angewendet und
stehen innerhalb einer Domäne zur Verfügung.
Wie bereits erläutert verwaltet das Active Directory z.B. Benutzer, Computer
11
oder Drucker. Diese werden allgemein als Objekte bezeichnet. Jedes dieser
Objekte verfügt über einen spezifischen Satz an Attributen. Alle Attribute
eines Objektes werden als Klasse bezeichnet. Alle Attribute, die im
Verzeichnis gespeichert sind, werden im Schema definiert. In dieser
Definition ist nicht nur das Attribut definiert, sondern auch Regeln die für
dieses Attribut gelten. So kann z.B. das Ablaufdatum eines Benutzernamens
keine Buchstaben enthalten. Damit ein konsistenter Verzeichnisdienst
garantiert werden kann, muss die Definition der Attribute innerhalb eines
Baumes eindeutig sein. Um auf das Schema, dass der jeweiligen Struktur
zugrundeliegt, zuzugreifen muss zuerst die schmmgmt.dll mit Hilfe des
Kommandozeilenprogramms regserv32 im System registriert werden.
Eine Aufgabe des Verzeichnisdienstes ist es, dem Anwender die Möglichkeit
zu geben, nach bestimmten Informationen innerhalb des Netzwerkes zu
suchen. Da wie oben beschrieben ein Domänen Baum auf mehrer Standorte
aufgeteilt sein kann, muss es einen Mechanismus geben, der es erlaubt, das
Verzeichnis schnell nach bestimmten Informationen durchsuchen zu können.
Dieser Mechanismus wird vom Globalen Katalog (Global Catalog) realisiert.
12
2 Aktive Directory von Microsoft
2.1 Planung des Active Directory

Entwerfen einer Bennenungsstrategie

Entwerfen einer Schematarichtlinie

Unterstützung von Gruppenrichtlinien

Verzeichnisstruktur mit mehreren Domains

Entwerfen einer Standardtopologie

Entwerfen einer Infrastruktur
Vor der Implementierung einer Windows 2000-Netzwerkumgebung ist
festzulegen, wie das Active Directory eingerichtet werden soll. Bei der
Planung sollten die Organisationsstrukturen berücksichtigt werden. Dazu
gehören Bürostandorte bzw. Außenstellen, eventuelle
Organisationsveränderungen und der Zugriff auf die
Netzwerkressourcen. Des Weiteren sollten auch die
Administrationsanforderungen berücksichtigt werden. Außerdem muss
das Modell skalierbar und erweiterbar sein, um Änderungen in der
Organisationsstruktur übernehmen zu können.
Zunächst ist der DNS-Namensraum (DNS-Namespace) festzulegen. Ein
DNS-Namensraum ist ein Domänenname der obersten Ebene im Active
Directory. An den Namensraum sind die Domänenhierarchie,
Vertrauensstellungen und die Replikation geknüpft. Beim
Implementieren der Active Directory-Dienste gibt es zwei Möglichkeiten für
die Festlegung des Namensraums. Entweder wird der DNS-Namensraum
nach einem durch die Organisation bereits registrierten externen Internet-
13
DNS-Namensraum oder als eigenständiger losgelöster DNS-Namensraum
vergeben.
Es gibt bei beiden Modellen Vor- und Nachteile. Im Ergebnis wird aber der
Administrationsaufwand bei identischem internen und externen DNSNamensraum erheblich höher sein. Die logische Struktur des Active Directory
ist eine Baumstruktur, die eine Abbildung einer gesamten Organisation
ermöglicht. Sie umfasst folgende Elemente:
Die erste Windows 2000-Domäne ist eine so genannte Root-Domäne. Sie
enthält alle Betriebsmasterfunktionen sowie den Globalen Katalog.
Weitere untergeordnete Domänen bilden den ersten Domänenbaum (Domain
Tree). Die Einrichtung eines zweiten Domänenbaums erzwingt die
Erweiterung des Namensraums. Mehrere Domänenbäume bilden dann einen
so genannten Domänenwald (Forest).
2.2 Active Directory-Datenbank
Die Active Directory-Datenbank ist das Verzeichnis für die neue Domäne.
In dem Verzeichnis bzw. in der hierarchischen Datenbank eines jeden
Domänencontrollers (DC) werden die Verzeichnisobjekte Benutzer, Gruppen,
Computer, Drucker, Freigaben und Dienste gespeichert. Änderungen werden
zwischen allen Domänencontrollern innerhalb der Domäne und der
Domänengesamtstruktur repliziert und stehen somit den Benutzern und
Applikationen im Netzwerk zur Verfügung. Der standardmäßige Speicherort
für die Datenbank und die Datenbankprotokolldateien lautet
Stammverzeichnis:\ntds. Der Ordner muss sich auf einer Partition oder
einem Datenträger befinden, der mit dem Dateisystem NTFS formatiert
14
wurde. Er kann aber während der Installation des Active Directory geändert
werden. Aufgrund der wachsenden Größe der Datenbank und des ständigen
Zugriffs kann eine bessere Performance erzielt werden, wenn die Datenbank
und die Protokolldateien auf separaten Datenträgern bzw. Festplatten mit
einer RAIDImplementation (Redundant Array of Independent Disks)
gespeichert werden. Damit wird zugleich eine höhere Verfügbarkeit der
elementaren Active Directory-Daten erreicht. Die Datenbank wird in einer
Datei mit dem Namen Ntds.dit gespeichert. Sie enthält alle Informationen,
die im Active Directory enthalten sind. Dazu gehören das gesamte Schema,
der Globale Katalog sowie alle Objekte, die auf dem Domänencontroller
gespeichert werden.Während des Heraufstufens zum Domänencontroller wird
die Datei Ntds.dit vom Verzeichnis bzw. Ordner
Stammverzeichnis:\System32 in das angegebene Verzeichnis kopiert. Die
Active Directory-Dienste werden anschließend von der Datenbank gestartet.
Falls andere Domänencontroller vorhanden sind, wird die Datei durch die
Replikation aktualisiert. Das Verzeichnis bzw. der Ordner Sysvol ist ebenfalls
ein Bestandteil des Active Directory. In dem Ordner werden Skripte und
einige der Gruppenrichtlinienobjekte für die aktuelle Domäne gespeichert.
Der standardmäßige Speicherort für den freigegebenen Ordner lautet
Stammverzeichnis:\Sysvol. Der Ordner muss sich ebenfalls auf einer
Partition oder einem Datenträger befinden, der mit dem Dateisystem NTFS
formatiert wurde.
15
2.3 Installation des Active Directory
Nach der Installation von Windows 2000 Server wird das Active Directory
nicht automatisch installiert. Erst über das Programm dcpromo kann es auf
dem Server folgendermaßen eingerichtet werden:
 Erstellung der ersten Root-Domäne (erste Domäne in der
Gesamtstruktur bzw. im Forest) und gleichzeitig die Einrichtung des
ersten Domänencontrollers,
 Erstellung eines zusätzlichen Domänencontrollers
(Replikationscontroller) in einer bestehenden Domäne,
 Erstellung einer weiteren Sub- bzw. Child-Domäne und gleichzeitig die
Einrichtung des ersten Domänencontrollers in der neuen Domäne,
 Erstellung eines neuen Domänenbaums innerhalb der
Domänengesamtstruktur (Domänenwald) und gleichzeitig die
Einrichtung des ersten Domänencontrollers.
Die erste Root-Domäne hat eine Sonderstellung, da sie die Gruppen SchemaAdmins und Organisations-Admins enthält. Für die volle Funktionsweise des
Active Directory wird ein DNS-Server benötigt. Dieser wird mit der
Installation von Active Directory in der Regel automatisch installiert, wenn
noch kein DNS-Server vorhanden ist.
Ist DNS nicht ordnungsgemäß konfiguriert, werden einzelne Bereiche des
Active Directory, wie z. B. die Umsetzung der Gruppenrichtlinien, nicht
unterstützt. Es ist deshalb zu empfehlen, zunächst die Einstellungen des DNS
zu überprüfen
16
Active Directory installieren
„dcpromo“
17
Die Installation gestaltet sich insgesammt einfach und komfortabel.
Bei Windows 2000 gibt es 5 Serverrollen
Schema Master (Müssen in einem Forest eindeutig sein)
Der Schema-Master verwaltet alle Änderungen am Schema. Das Schema
definiert alle Objekttypen der AD-Datenbank.
Domänennamen-Master (Müssen in einem Forest eindeutig sein)
Er kontrolliert das Hinzufügen und Entfernen von Domänen in der
Gesamtstruktur. Zusätzlich gibt es drei domänenweite FISMOs:
RID-Master (Müssen in einer Domäne eindeutig sein)
Stellt den DCs seiner Domäne sogenannte Relative IDs (RID) in Kontingenten
zur Verfügung. RIDs benötigen die DCs bei der Erzeugung von Security
Principals, das sind User-, Gruppen- oder Computer-Objekten. Zusammen
mit der SID, die innerhalb einer Domäne immer gleich ist, ergibt sich daraus
die endgültige SID.
PDC-Emulator (Müssen in einer Domäne eindeutig sein)
Übernimmt die Rolle des PDC in einem W2k-Netz, das auch andere nichtW2k-Clients oder BDCs enthält. Überwacht Anmeldungen und
Paßwortänderungen.
Infrastruktur-Master (Müssen in einer Domäne eindeutig sein)
Löst Inter-Domain-Referenzen auf. Werden zum Beispiel Gruppenmitglieder
umbenannt, so sind sie vorerst aus der Gruppe verschwunden, und zwar
solange bis der Infrastrukturmaster die neuen Namen in der Gruppe einträgt,
wodurch sie wieder zu Gruppenmitgliedern werden.
18
Folgende Dateien sollten vorhanden sein
NTDS.DIT
die AD Datenbank
EDB.LOG
das Transaktionsprotokoll
EDBxxxx.LOG
fortlaufende LOG Dateien
EDB.CHK
Log Checkpoint
RES1(2).LOG
Reserve-Log Dateien
Temp.EDB
Suchoptionen
Schema.INI
Standard Schema
Die Deinstallation des Active Directories wird genauso wie die Installation mit
„dcpromo“ gestartet:
2.4 Organisationseinheiten (OE)
Nach der Installation des Active Directory ist es notwendig, Strukturen zu
schaffen, die die Administration der Systeme vereinfachen und die
Datensicherheit erhöhen. Mithilfe so genannter Organisationseinheiten (OE)
lassen sich Domänen strukturieren. Sie können hierarchisch angeordnet und
ineinander verschachtelt werden. Mit dem Entwurf der OE-Struktur wird in
erster Linie das Verwaltungsmodell für das Active Directory festgelegt. Es
können über Zugriffsrechte Zuständigkeiten für die Verwaltung einzelner
Objekte (Benutzer, Gruppen usw.) vergeben werden. Außerdem können den
einzelnen OE (Abteilungen) Gruppenrichtlinien zugewiesen werden, sodass
die (z. B. von den Abteilungen) festgelegten Sicherheitsanforderungen
differenziert zugeordnet werden können.
Eine OE kann folgende Objekte enthalten:
19
Benutzer,
Gruppen,
Computer,
Drucker
Sicherheitsrichtlinien
Dateifreigaben
Applikationen
Objekteeinheiten.
2.5 Active Directory-Objektverwaltung
Mit dem Verwaltungsprogramm Active Directory-Benutzer und -Computer
können Objekte im Active Directory verwaltet werden. Dem Administrator
stehen für die Objektbearbeitung verschiedene Funktionen (wie z. B. Suchen,
Löschen, Anlegen oder Verschieben) zur Verfügung. Nach der Installation des
Active Directory werden von Windows 2000 folgende Objekte angelegt (die
Option ANSICHT-ERWEITERTE FUNKTIONEN muss aktiviert sein, damit alle
unten aufgeführten Objekte angezeigt werden):

Builtin,

Computers,

ForeignSecurityPrinzipals,

LostAndFound,

System,

Users.
20
Diese vordefinierten Objekte werden im Active Directory als Container
bezeichnet, sind aberwie Organisationseinheiten zu verstehen. Zu
berücksichtigen ist jedoch, dass die vordefinierten Container/OE
administrativ nicht gelöscht oder in andere OE verschoben werden können.
Über die rechte Maustaste können jedoch weitere Objekte innerhalb der
Container hinzugefügt, gelöscht, verschoben oder umbenannt werden.
Die vordefinierten Container können auch am Ordnersymbol erkannt werden.
Es enthält im Gegensatz zu den OE kein „geöffnetes Buch“.
Active Directory-Objekte:
Benutzer
Die in diesem Objekt gespeicherten Informationen erlauben einem Benutzer
sich an der Domäne anzumelden. Das Objekt besitzt viele optionale Felder,
u. a. Vorname, Name, Telefonnummer und E-Mail- Adresse.
Gruppe Diesem Objekt werden insbesondere Benutzerkonten zugewiesen,
um z. B. die Administration der Rechtezuweisung zu vereinfachen.
Organisationseinheit
Mit den OE-Objekten wird das Active Directory strukturiert.
Computer
Dieses Objekt enthält Informationen über einen Computer, der Mitglied der
Domäne ist.
Drucker
Das Objekt Drucker richtet eine Verknüpfung zu einem unter Windows 2000
eingerichteten Drucker ein.
21
Freigegebener Ordner
Das Objekt Freigegebener Ordner stellt eine Verknüpfung mit einem in der
Domäne verfügbaren Ordner dar.
Kontakt
Das Objekt Kontakt enthält Name, Vorname und Anzeigename.
2.6 Active Directory-Berechtigungen
Die Zuweisung von Administrationsrechten im Active Directory ist dann
sinnvoll, wenn die Aufgaben der Administratoren in Bezug auf die Verwaltung
des Active Directory verteilt werden sollen. Auf den ersten Blick wirkt die
Vergabe von Berechtigungen im Active Directory einfach. Mithilfe des
Assistenten können den Benutzern bzw. Administratoren in einfacher Weise
auf alle Objekte Berechtigungen zugewiesen werden. Bei näherer
Betrachtung verbirgt sich dahinter aber ein ausgesprochen komplexes
Modell. Die Erteilung von Berechtigungen im Active Directory kann auf der
Ebene

der Domäne,

der Organisationseinheiten sowie

der einzelnen Objekte erfolgen.
Mit dem Assistenten können über die Funktion Objektverwaltung zuweisen
einige „wenige“ Berechtigungen (Aufgaben) für die Domäne oder die OE
vergeben werden. Ohne Einsatz des Assistenten können hingegen auf allen
Ebenen die vollständigen Berechtigungen über die Registerkarte
Sicherheitseinstellungen unter Eigenschaften angezeigt bzw. Verändert
werden. Erst in diesem Bereich wird der Umfang der
Berechtigungsverwaltung deutlich. Hinzu kommt, dass die Vergabe von
Berechtigungen hierarchisch nach unten vererbt wird.
22
2.6.1 Administrationsberechtigungen
Unter der Registerkarte Sicherheitseinstellungen wird eine Liste der
Benutzer- und Gruppenkonten angezeigt, die über einen Zugriff auf das
ausgewählte Objekt verfügen. Durch Auswahl eines Benutzer- oder
Gruppenkontos können dann in der Liste im unteren Teil des Fensters die am
häufigsten verwendeten Zugriffsberechtigungen angezeigt und administriert
werden. An dieser Stelle werden „Detailberechtigungen“ zusammengefasst
und als übergeordnete allgemeine Berechtigungen dargestellt. Zum Beispiel
verfügt die allgemeine Berechtigung Lesen über die Detailrechte Inhalt lesen,
Alle Eigenschaften lesen und Berechtigungen lesen. Je nach gewähltem
Objekt können die angezeigten Rechte variieren. Grau schattierte Einträge
bedeuten, dass die Berechtigungen für das entsprechende Benutzer- oder
Gruppenkonto von dem übergeordneten Objekt vererbt wurden. Durch die
Auswahl der Schaltfläche ERWEITERT kann ein weiteres Dialogfenster
aufgerufen werden, in dem objektbezogen eine Auflösung der Einstellungen
vorgenommen werden kann. Sicherheitseinstellungen der OE
„Zugriffsberechtigungen von Personalabteilung“
Es wird angezeigt, für wen die definierten Berechtigungen gelten. Hier
können weitere Einträge hinzugefügt und bestehende Einträge verändert
bzw. gelöscht werden.Durch Doppelklick auf ein Benutzer- bzw.
Gruppenkonto öffnet sich ein weiteres Dialogfenster, in dem alle
zugewiesenen „Detailberechtigungen“ für das Objekt angezeigt werden.
Sicherheitseinstellungen der OE „Objekt-Berechtigungen“ Die Berechtigungen
unter der Registerkarte Objekt beziehen sich auf das Objekt (z. B. ein
Benutzerkonto) insgesamt, während sich die Berechtigungen unter der
Registerkarte Eigenschaften ausschließlich auf die Felder bzw. Attribute (z. B.
Anmeldename oder Telefonnummer des Benutzerkontos) des Objektes
beziehen.
23
2.6.2 Standardberechtigungen
Für die Verwaltung des Active Directory ist von Windows 2000 das
Gruppenkonto Organisations-Admins eingerichtet worden. In dieser
Gruppe ist nach der Installation standardmäßig das Benutzerkonto
Administrator Mitglied. Das Gruppenkonto verfügt über
Vollzugriffsberechtigungen auf alle Objekte im Active Directory.
Registerkarte: „Sicherheitseinstellungen auf OE-Ebene“ −
Standardberechtigungen
Mit der Installation des Active Directory werden von Windows 2000 darüber
hinaus standardmäßig auf Domänen- und Container- bzw.
Organisationseinheitenebene weitere Berechtigungen an Gruppen- und
Benutzerkonten vergeben. Vergleichbar ist dieses mit den
Betriebssystemordnern, für die Windows 2000 ebenfalls automatisch
zahlreiche NTFSBerechtigungen vergibt. Die von Windows 2000
standardmäßig angelegte Active Directory-Struktur enthält also bereits eine
Vielzahl von Berechtigungseinträgen, die auf ihre Notwendigkeit hin
überprüft werden sollten. Da sich die Berechtigungen bei dem Hinzufügen
von Objekten automatisch weitervererben, sollten die Berechtigungen auf
das tatsächlich erforderliche Maß reduziert werden. Beispielsweise sind die
Gruppen Authentifizierte Benutzer, Jeder, Druck-Operatoren und KontenOperatoren zu entfernen, da sie zunächst für das Active Directory keine
Bedeutung haben.
24
Registerkarte: „Sicherheitseinstellungen auf OE-Ebene“ –
Erforderliche Berechtigungen
Im Active Directory sollte in Bezug auf die Administrationsbefugnisse der
Grundsatz gelten: „Es werden nur so viele Berechtigungen vergeben, wie
administrativ notwendig sind.“ Beachten Sie aber, dass dem Administrator
bei der Zuweisung von Freigabe- und NTFS-Berechtigungen nur die
Benutzer- und Gruppenkonten angezeigt werden, für die er im Active
Directory Administrationsrechte erhalten hat.
Sofern die Administration des Active Directory nicht delegiert wird, sollte
ausschließlich das Gruppenkonto Organisations-Admins über Befugnisse im
Active Directory verfügen. Zusätzliche Gruppenkonten können dann
hinzugefügt werden, wenn die Administration des Active Directory auf
mehrere Administratoren verteilt wird oder einzelne Administratoren
besondere Aufgaben, wie z. B. die Benutzerkontenverwaltung, übernehmen.
Registerkarte: „Sicherheitseinstellungen auf OE-Ebene“
– Delegierte Berechtigungen
Sie sollten auf keinen Fall auf der Domänenebene die Gruppe OrganisationsAdmins entfernen. Das würde dazu führen, dass Sie sich als Administrator
die Berechtigung für das Active Directory entziehen und somit aussperren.
Sie haben weder über das Verwaltungsprogramm noch über die
Wiederherstellungskonsole die Möglichkeit, die Berechtigungen
wiederherzustellen. Sie könnten nur über die Datensicherungsbänder die
Datenbank des Active Directory zurücksichern. Sollten keine
Datensicherungsbänder mit der Active Directory-Datenbank vorliegen,
müssen Sie den Domänencontroller herabstufen, um anschließend das Active
Directory neu zu installieren. Das hätte einen Verlust aller Objekte
(Benutzerkonten, Computerkonten, Organisationseinheiten usw.) und
Berechtigungszuweisungen zur Folge.
25
2.6.3 Assistent für die Rechteverwaltung
Auf der Domänenebene können einem Benutzer- oder Gruppenkonto über
den Assistenten folgende „allgemeine“ Aufgaben in Form von Berechtigungen
zugewiesen werden:

Fügt einen Computer einer Domäne hinzu:
Nachdem diese „Aufgabe“ z. B. Dem neu angelegten Gruppenkonto
Help-Desk-Admins zugewiesen wurde, können die Administratoren
dieser Gruppe einen Computer in die Domäne aufnehmen.

Verwaltet Gruppenrichtlinien-Verknüpfungen:
Mithilfe dieser „Aufgabe“ können vorhandene Gruppenrichtlinien
Objekten (z. B. Organisationseinheiten) zugeordnet werden.
Objektverwaltung zuweisen auf Domänenebene, „Zuzuweisende
Aufgaben“ Wenn hingegen auf der Ebene der Organisationseinheiten
(OE) der Assistent aufgerufen wird, können einem Benutzer- oder
Gruppenkonto bzw. einem Administrator folgende „Aufgaben“
zugewiesen werden:

Erstellt, entfernt und verwaltet Benutzerkonten:
Es können ausschließlich Benutzerkonten innerhalb der OE verwaltet
werden. Die Befugnisse Setzt Kennwörter von Benutzerkonten zurück
und Liest alle Benutzerinformationen sind enthalten.

Setzt Kennwörter von Benutzerkonten zurück:
Es können Kennwörter der innerhalb einer OE angelegten
Benutzerkonten zurückgesetzt werden.
26

Liest alle Benutzerinformationen:
Die Benutzerkonten können mit lesendem Zugriff aufgerufen werden.

Erstellt, entfernt und verwaltet Gruppen:
Die Administration wird auf die Verwaltung von Gruppenkonten
beschränkt.

Ändert die Mitgliedschaft einer Gruppe:
Es können ausschließlich die Mitgliedschaften verwaltet werden.

Verwaltet Gruppenrichtlinien-Verknüpfungen:
Der Organisationseinheit können Gruppenrichtlinien zugeordnet
werden. Objektverwaltung zuweisen auf OE-Ebene, Benutzer und
Gruppen hinzufügen. Über die Schaltfläche BENUTZERDEFINIERTE
AUFGABEN ZUM ZUWEISEN ERSTELLEN können alternativ spezifische
Objektberechtigungen vergeben werden. Objektverwaltung zuweisen
auf OE-Ebene, „Zuzuweisende Aufgaben“ Objektverwaltung zuweisen,
„Active Directory-Objekttyp“ Nachdem ein oder mehrere Objekte
ausgewählt wurden, können im nächsten Schritt die Berechtigungen
gesetzt werden. Es stehen drei Optionen zum Anzeigen der
Berechtigungen zur Auswahl: Objektverwaltung zuweisen,
„Berechtigungen“

Allgemein:
Es stehen für alle Objekte gleichermaßen anwendbare Berechtigungen,
wie z. B. Lesen und Schreiben usw., zur Auswahl. Die Berechtigungen
beziehen sich auf das gesamte Objekt, d. h., auch die Eingabefelder
bzw. Eigenschaften eines Objektes erhalten diese Berechtigungen.
27

Eigenschaftenspezifisch:
Mit dieser Option können die Berechtigungen Lesen und Schreiben für
Eigenschaften bzw. Eingabefelder eines Objektes vergeben werden.
Der Assistent zeigt jedoch nur einige Eigenschaften der einzelnen
Objekte z. T. in abgekürzter englischer Sprache an. Vollständig können
die Eigenschaften von Objekten über die Registerkarte
Sicherheitseinstellungen administriert werden. Das Objekt
Benutzerkonto verfügt z. B. über zahlreiche Eingabefelder (Anrede,
Anmeldename usw.) für die jeweils lesende und/oder schreibende
Befugnisse vergeben werden können. Soll beispielsweise das
Eingabefeld Anmeldename eines Benutzerkontos vor administrativen
Veränderungen geschützt werden, ist dem entsprechenden
Benutzerkonto die Schreibberechtigung für dieses Eingabefeld zu
entziehen.

Erstellen/Löschen der Berechtigungen von bestimmten
untergeordneten Objekten:
Die Option ermöglicht es, Berechtigungen zu vergeben, um weitere
Objekte innerhalb einer OE zu erstellen und/oder zu löschen. Die
Berechtigungen stehen also in Abhängigkeit zu den einzelnen
Objekten, d. h., es werden nur die Berechtigungen angezeigt, die für
das ausgewählte Objekt verwendbar sind. Mit der Festlegung der
Berechtigungen ist die Arbeit mit dem Assistenten abgeschlossen. Im
letzten Fenster des Assistenten können die vorgenommenen
Einstellungen noch einmal überprüft werden.
28
2.6.4 Vererbung von Rechten
Die Funktionsweise der Vererbung in Windows ist umfangreich gestaltet.
Standardmäßig erben Objekte immer die Rechte des übergeordneten
Objektes (grau Schattierte Felder). Jede Freigabe muss explizit vergeben
werden. Dazu muss zunächst die Vererbung von übergeordneten Rechten
deaktiviert werden. Dabei wird man gefragt, ob diese Einstellung auch für
alle anderen untergeordneten Objekte übernommen werden soll. Dann kann
man entweder eine ganzen Gruppe oder einem einzelnen Benutzer ein Recht
(Lesen, Schreiben, Suchen, Ausführen...) explizit zuweisen.
Für Ordnerfreigaben gilt es generell die Steurung über die NTFS Freigabe zu
regeln. Verbote sollte man im Normalfall nicht erteilen sondern nur
Freigaben. Im Zweifelsfall kann sonst nicht auf die Ressource zugegriffen
werden. Verweigert man Beispielsweise der der Gruppe „jeder“ den Zugriff,
kann niemand mehr auf die Ressource zugreifen auch kein Administrator.
Man sollte sich im Vorfeld genau Gedanken über die Freigaben machen da
gewisse Einstellungen auch das System lahmlegen könnten. Auf jedenfall
sollte man die Einstellungen testen damit die Datensicherheit erhalten bleibt.
29

Die Verwaltung der Berechtigungen können über den Assistenten oder
unter SICHERHEITSEINSTELLUNGEN sehr differenziert vergeben
werden. Um Fehler in der Berechtigungsverwaltung zu vermeiden,
sollte die Zuweisung von administrativen Aufgaben im Detail geplant
und dokumentiert werden.

Nach der Zuweisung von Berechtigungen sollten die Einstellungen
unter dem entsprechenden Benutzerkonto überprüft werden.

Die Berechtigungszuweisung kann sich auch auf Objekte des
Verwaltungsprogramms Active Directory-Standorte und -Dienste
beziehen.
30
2.7 Active Directory-Administration
Die Administration des Active Directory ist sehr vielfältig und kann in der
Regel nur an der Konsole des Domänencontrollers durchgeführt werden. Um
die Arbeit des Administrators zu erleichtern und administrative Aufgaben des
Active Directory auf Arbeitsplätze einzelner Administratoren zu verlagern,
kann der Zugriff auf die Verwaltungsprogramme des Active Directory auf
einem Computer unter Windows 2000 Professional eingerichtet werden. Die
Windows 2000-Verwaltungsprogramme ermöglichen die Remoteverwaltung
eines Servers bzw. eines Domänencontrollers von einem beliebigen
Computer unter Windows 2000. Die Windows 2000-Verwaltungsprogramme
werden auf dem Client durch die Datei adminpak.msi installiert. Bereits nach
der Installation können Verwaltungsaufgaben im Active Directory
durchgeführt werden. Wenn Sie die Windows 2000-Verwaltungsprogramme
installieren und ausführen möchten, müssen Sie über Administratorrechte für
den betreffenden Computer verfügen. Sie benötigen außerdem
Administratorrechte für die Domäne, in der Sie Verwaltungsaufgaben für die
Remoteverwaltung des Servers ausführen möchten.
2.8 Replikation
Die Replikation von Änderungen der Active Directory-Informationen spielt
dann eine Rolle, wenn mehrere Domänencontroller in einem Windows 2000Netzwerk installiert sind. Jeder Domänencontroller repliziert bzw.
synchronisiert seine Active Directory-Datenbank mit anderen
Domänencontrollern in der Domänengesamtstruktur. Die Bedeutung der
Replikation von Active Directory-Informationen steigt mit der Größe des
Netzwerkes.
31
Die Active Directory-Datenbank ist in mehrere Verzeichnispartitionen
eingeteilt, die jede für sich eine eigene Replikationsmethode bzw. Topologie
aufweist:

Schemapartition: Sie enthält die Definition und Beschreibung der
Objekte und Attribute. Die Schemapartition ist eine so genannte
Organisationspartition. Sie wird in der Domänengesamtstruktur auf alle
Domänencontroller repliziert, damit jedes Objekt nach den gleichen
Regeln erstellt und bearbeitet werden kann.

Konfigurationspartition: Sie enthält Informationen über die Struktur
von Active Directory und beinhaltet Angaben über die vorhandenen
Domänen und Standorte. Existierende Domänencontroller und die
angebotenen Dienste sind ihr bekannt. Sie wird deshalb ebenfalls als
Organisationspartition auf alle Domänencontroller in der
Domänengesamtstruktur repliziert.

Domänenpartition: Sie enthält die domänenspezifischen
Informationen und speichert die Objekte einer Domäne, wie z. B.
Benutzer, Computer, Gruppen und Organisationseinheiten. Sie wird nur
auf die Domänencontroller der entsprechenden Domäne repliziert.

Partielle Domänen-Verzeichnispartition (globaler Katalog-Server):
Ein globaler Katalog-Server enthält außer den drei oben genannten
Verzeichnispartitionen eine zusätzliche partielle DomänenVerzeichnispartition, die die Teilmenge aller in der
Domänengesamtstruktur enthaltenen Objekte enthält.
32
Active Directory-Replikationsmonitor (Support-Tools)
Die Replikation kann über das Verwaltungsprogramm Active DirectoryStandorte und -Dienste gesteuert werden. Darüber hinaus ist in den
Support-Tools ein Active Directory-Replikationsmonitor für Abfragen und
Auswertungen enthalten. Er verfügt z. B. über folgende wichtige Funktionen:

Abfragen aktueller Statistiken und des Replikationsstatus des Servers,

Durchführen der Synchronisation und

Anzeige der Replikationstopologie der Domänencontroller.
2.9 Richtlinien
Mit Hilfe des Gruppenrichtilinieneditors lassen sich umfangreiche
Einstellungen vornehmen um die Administration zu vereinfachen. Neben den
schon bereits erleuterten Sicherheitseinstellungen können speziell
Benutztereinstellungen wie verfügbare Programme, installierte Dienste,
Windowseinstellungen und Administrative Aufgaben konfiguriert werden. Als
Standard existiert am Anfang nur die Default Domain Policy. Auch hier
können einzelne Benutzer, Gruppen oder ganze Netze mit Hilfe solcher
Vorlagen verwaltet werden.
33
34
3 Zusammenfassung
3.1 Allgmeines
Hauptwerkzeuge - Active Directory unter Verwaltung:

Active Directory Benutzer und Gruppen

Active Directory Domänene und Vertrauensstellungen

Active Directory Standorte und Dienste

Sicherheitsrichtilininien für Domänen

Sicherheitsrichtlinien für Domänencontroler
Serververwaltung – Standardkomponenten bei Windows 2003

Dateiserver

Druckserver

Anwendungsserver (IIS,ASP.NET)

Meilserver(POP3, SMTP)

Terminalserver

RAS/VPN-Server

Domänencontroler

DNS-Server

DHCP-Server

Streaming-Media-Server

WINS-Server
35
3.2 Sicherheitscheck

Vor der Installation des Active Directory sollten Sie Folgendes
festlegen: DNS-Namensraum, Speicherort der Datenbank, Struktur des
Active Directory, Aufgaben- bzw. Berechtigungszuweisungen in Bezug
auf die Administration, Datensicherung bzw. Replikation des Active
Directory.

Sie sollten die Datenbank des Active Directory in größeren Netzwerken
auf separaten Datenträgern verwalten.

Das Anlegen von Organisationseinheiten (OE) vereinfacht die
Administration. Sie bilden die Grundlage für die Abgrenzung von
Administrationsbefugnissen und die Zuweisung von Gruppenrichtlinien.

Prüfen Sie die Administrationsbefugnisse im Active Directory sorgfältig
und begrenzen Sie sie auf ein Minimum. Der Assistent vereinfacht die
Zuweisung von administrativen Aufgaben.

Die Gruppe Organisations-Admins hat die Aufgabe, das Active
Directory zu verwalten. Sie verfügt über Vollzugriffsrechte auf allen
Ebenen und darf auf der Domänenebene nicht entfernt werden.

Nach der Installation der Datei adminpak.msi können Sie das Active
Directory von einem Windows 2000 Professional Client administrieren.

In größeren Netzwerken sollten Sie zur besseren Auslastung des
Netzwerkverkehrs STANDORTE einrichten.

Um eine hohe Verfügbarkeit (Replikation) des Active Directory zu
gewährleisten,sollten Sie innerhalb jeder Domäne zwei
Domänencontroller einrichten.
36
3.3 interesannte Programme
NLTEST
liefert Informationen über die Serverkonfiguration
NETDIAG
überprüft die Netzwerkfunktionalität
DCDIAG
führt Funktionstest auf Domänen Servern aus
DSASTAT
Überprüft die Konsistenz der Datenbanken
NETDOM
Überprüft Vertrauensstellungen zwischen Domänen
Nslookup
Überprüfung der DNS Konfiguration
Dcpromo
(De)Installation des Active Directory
REGSERV32
Zugriff auf Windwosregistrierung
NTDSUTIL
Verwaltungsprogramm für AD
MMC
Managementkonsole
Ipconfig
Zeigt IP Einstellungen
Netstat
Zeigt netzwerkeinstellungen
Msconfig
Zeigt Systemdatein
Informationsquellen:
http://www.microsoft.de
http://www.microsoft.com
http://www.rz.rwth-aachen.de
http://www.wikipedia.de
Offizielles Microsoft Curriculum:
Implementieren und Verwalten von Microsoft Windows 2000
Verzeichnisdiensten
37
4 Praxis
4.1 Abschließende Bemerkungen
Aktive Direktory ist ein mächtiges Werkzeug für die Administration der
gesamten IT in einem Unternehmen. Es stehen umfassende Programme zur
Verfügung um die Verwaltung von Active Direkory Objekten zu erleichtern
und effizient zu gestalten.
Eine Anmerkung wäre noch das Windows 2003 im Gegensatz zu Windows
2000 einige Neuerungen und Besserungen beinhaltet. Bei Windows 2003
Server ist nach der Installation alles sehr restriktiv ausgelegt. Standardmäßig
sind viele wichtige Einstellungen deaktiviert. Zum Beispiel müssen
Passwörter „stark“ sein und lokales anmelden ist deaktiviert.
Für das Active Directory existieren .Net Schnittstellen. Damit ist es möglich
die Funktionalität des Active Directory in eigenen Programmne zu
implementieren. Damit erweitern sich die Möglichkeiten des Active Directory
enorm. Es ist also Möglich mit eigenen Programmen problemlos nach
beliebigen AD-Objekten zu suchen oder sie zu benutzen.
Mit Hilfe der Gruppenrichtlinien lassen sich Benutzerumgebungen,
(Desktopaussehen und Verhalten, installierte Programme usw.) individuell
für Gruppen anpassen und vorgeben. Fehlkonfigurationen kann somit gut
vergebeugt werden.
Vorteil ist weiterhin das Benutzer nicht an spezielle computer gebunden sind,
sondern er kann sich an jedem Terminal, der natürlich für den Benutzer
freigegeben ist, anmelden und von dort aus seine Arbeit erledigen.
38
Durch primäre und sekundäre Server wird das Netzwerk in der Regel durch
den Ausfall eines Servers nicht beeinträchtig. Die verschiedenen Standorte
Sichern wichtige Informationen verteilt damit sie im Falle von Datenverlußt
schnell wieder hergestellt werden können.
Allgemein erzeugt Active Directory große Mengen an Daten. Wenn sich ein
User das erste mal an einem Computer anmeldet, kann dies sehr lange
dauern, weil das Benutzerprofil lokal gespeichert wird, ggf. Software
installiert wird und gewisse Tests durchgeführt werden. Ein Administrator
sollte es auf jedenfall vermeiden sich an weniger gesicherten Computern (wie
z.B Laptops) anzumelden da dies ein erhöhtes sicherheitsrisiko darstellt.
Die meisten Einstellungen die man am Active Directory vornimmt werden
nicht sofort umgesetzt und dauern eine Weile. Dies hängt von den jeweiligen
Einstellungen der Ressource, der Replikation sowie der Netzwerkanbindung
ab.
39
4.2 Szenario
Firma:
AlKa
Server:
1 Server(leistungsfähig), viele Clientcomputer
Domainname:
halle.alka.de
Feste IP:
192.168.10.1
Servername:
PDC
Benutzer:
Otto Chef
Inge Verwaltung
Hans Produktion
Ingo Administrator
Paula Praktikantin
Computer:
10 Clienten
Drucker:
Verwaltung1
Verwaltung2
Produktion1
Firmenverzeichnis:
c:/Firmenverzeichnis/Chefsache/*
c:/Firmenverzeichnis/Verwaltung/*
c:/Firmenverzeichnis/PublicFirma/*
c:/Firmenverzeichnis/Produktionsdaten/*
1. Installation von Microsoft Windows 2003 Enterprise Edition
2. Update von Windows
3. Aktivierung und Festlegung des Active Direktory mit dcpromo
4. Konfiguration des Aktive Direktory (Benutzer, Computer, ...)
5. Test der Funktionalitäten
6. Deinstallation des Active Directory
40