Active Directory-Verzeichnisdienste

Transkript

1 229 KAPITEL 9 Active Directory-Verzeichnisdienste Lektion 1: Active Directory-Verzeichnisdienste im Überblick Lektion 2: Aufbau und Replikation von Active Directory Lektion 3: Grundlagen und Konzepte von Active Directory Lernzielkontrolle Über dieses Kapitel Über Verzeichnisdienste werden Benutzer und Ressourcen in einem Netzwerk eindeutig identifiziert. Die Verzeichnisdienste in Windows 2000, die auf der Active Directory-Technologie basieren, haben gegenüber den Diensten früherer Windows-Versionen wichtige Verbesserungen erfahren. Die Active Directory- Verzeichnisdienste bilden die zentrale Stelle für die Verwaltung eines Netzwerks. Sie vereinfachen das Hinzufügen, Löschen und Neupositionieren von Benutzern und Ressourcen. Dieses Kapitel enthält eine Einführung in die Active Directory- Verzeichnisdienste, die in Windows 2000 Server-Produkten zur Verfügung stehen. Hinweis In Windows 2000 Professional sind die Active Directory-Verzeichnisdienste nicht verfügbar. Damit Sie diese Dienste verwenden können, benötigen Sie ein Windows 2000-Server Produkt auf einem Computer, der als Domänencontroller konfiguriert ist. Bevor Sie beginnen Zur Bearbeitung dieses Kapitels benötigen Sie Folgendes: Einen Rechner, der die im Abschnitt Hardwarevoraussetzungen des Kapitels Zu diesem Buch angegebenen Mindestvoraussetzungen erfüllt. Windows 2000 Professional muss auf dem Computer installiert sein.

2 230 Microsoft Windows 2000 Professional Original Microsoft Training Lektion 1: Active Directory-Verzeichnisdienste im Überblick Bevor Sie Active Directory-Verzeichnisdienste implementieren, sollten Sie sich prinzipiell über den Zweck und die Funktion von Verzeichnisdiensten im Klaren sein und wissen, welche Rolle die Active Directory-Verzeichnisdienste in einem Windows 2000-Netzwerk spielen. Außerdem sollten Sie die wichtigsten Funktionen dieser Dienste kennen, die eine einfachere und flexiblere Netzwerkverwaltung ermöglichen. Am Ende dieser Lektion werden Sie in der Lage sein, die folgende Aufgabe auszuführen: Sie können den Zweck und die Funktion der Active Directory-Verzeichnisdienste beschreiben. Veranschlagte Zeit für die Lektion: 10 Minuten Was sind Active Directory-Verzeichnisdienste? Active Directory-Verzeichnisdienste fungieren in den Windows 2000 Server-Produkten als Verzeichnisdienst. Ein Verzeichnisdienst ist ein Netzwerkdienst, der alle Ressourcen in einem Netzwerk identifiziert und diese Ressourcen den Benutzern und Anwendungen zur Verfügung stellt. Die Active Directory-Verzeichnisdienste setzen sich zusammen aus dem eigentlichen Verzeichnis, in dem die Informationen über Netzwerkressourcen gespeichert sind, und den Diensten, die diese Ressourcen zugänglich machen. Die im Verzeichnis gespeicherten Ressourcen (Benutzerdaten, Drucker, Server, Datenbanken, Gruppen, Computer und Sicherheitsrichtlinien) werden als Objekte bezeichnet. Vereinfachte Verwaltung Active Directory-Verzeichnisdienste ordnen die Ressourcen hierarchisch in so genannten Domänen an. Eine Domäne ist eine logische Gruppe von Servern und anderen Netzwerkressourcen, die unter einem Domänennamen zusammengefasst sind. Die Domäne ist die Basiseinheit für die Replikation und Sicherheit in einem Windows 2000-Netzwerk. Jede Domäne enthält einen oder mehrere Domänencontroller. Ein Domänencontroller ist ein Computer, auf dem Windows 2000 Server installiert ist und auf dem sich ein vollständiges Replikat des Domänenverzeichnisses befindet. Um die Verwaltung zu vereinfachen, sind alle Domänencontroller in der Domäne gleichberechtigt. Wenn Sie auf einem Domänencontroller Änderungen vornehmen, werden diese Änderungen auf allen Domänencontrollern in der Domäne repliziert.

3 Kapitel 9 Active Directory-Verzeichnisdienste 231 Die Verwaltung wird auch dadurch vereinfacht, dass die Active Directory-Verzeichnisdienste die zentrale Stelle für die Verwaltung aller Objekte im Netzwerk darstellen. Da diese Dienste die Anlaufstelle für die Anmeldung zu allen Netzwerkressourcen darstellen, kann sich ein Administrator bei einem Computer anmelden und von hier aus die Objekte auf allen Computern im Netzwerk verwalten. Skalierbarkeit Das Verzeichnis der Active Directory-Verzeichnisdienste ist in Bereiche eingeteilt, die extrem viele Objekte aufnehmen können. Das Verzeichnis kann an das Wachstum einer Organisation angepasst und entsprechend erweitert werden. Es ist möglich, eine kleine Installation mit einigen hundert Objekten ständig zu vergrößern und auf diese Weise eine Installation mit Millionen von Objekten zu schaffen. Hinweis Verzeichnisinformationen können auf mehrere Computer in einem Netzwerk verteilt werden. Unterstützung offener Standards Active Directory-Verzeichnisdienste integrieren das Internet-Namespace-Konzept in die Windows 2000-Verzeichnisdienste. Dies ermöglicht die Vereinheitlichung und Verwaltung der verschiedenen Namespace-Formate, die gegenwärtig in den heterogenen Software- und Hardwareumgebungen von Firmennetzwerken vorhanden sind. Die Active Directory-Verzeichnisdienste verwenden DNS als Namenssystem und können Informationen mit allen Anwendungen und Verzeichnissen austauschen, die mit LDAP (Lightweight Directory Access Protocol) oder HTTP arbeiten. Wichtig Active Directory-Verzeichnisdienste können Informationen gemeinsam mit anderen Verzeichnisdiensten nutzen, die die LDAP-Versionen 2 und 3 unterstützen, wie beispielsweise Novell Directory Services (NDS). Domain Name System (DNS) Die Namen von Windows 2000-Domänen sind DNS-Namen, da Active Directory- Verzeichnisdienste DNS für die Benennung und Standortfestlegung von Domänen verwenden. In Windows 2000 Server findet Dynamic DNS (DDNS) Verwendung, sodass Clients mit dynamisch zugewiesenen Adressen direkt auf einem Server registriert werden können, auf dem der DNS-Dienst ausgeführt wird. Dabei wird die DNS-Tabelle dynamisch aktualisiert. In einer homogenen Umgebung sind bei Verwendung von DDNS keine weiteren Internet Naming Services, wie WINS (Windows Internet Name Service), erforderlich.

4 232 Microsoft Windows 2000 Professional Original Microsoft Training Wichtig Damit die Active Directory-Verzeichnisdienste und die dazugehörige Clientsoftware korrekt funktionieren, muss der DNS-Dienst installiert und konfiguriert sein. Unterstützung von LDAP und HTTP Active Directory-Verzeichnisdienste übernehmen durch die direkte Unterstützung von LDAP und HTTP weitere Internetstandards. LDAP ist ein Internetstandard für den Zugriff auf Verzeichnisdienste, der als einfachere Alternative zu DAP (Directory Access Protocol) entwickelt wurde. Wenn Sie weitere Informationen zu LDAP wünschen, können Sie mit Ihrem Webbrowser nach RFC 1777 suchen und den Text dieses RFC-Dokuments (RFC = Request for Comment) abrufen. Active Directory-Verzeichnisdienste unterstützen die LDAP-Versionen 2 und 3. HTTP ist das Standardprotokoll für die Anzeige von Seiten im World Wide Web. Jedes Objekt in den Active Directory-Verzeichnisdiensten kann als HTML-Seite in einem Webbrowser angezeigt werden. Hinweis In Active Directory-Verzeichnisdiensten werden Informationen zwischen Verzeichnissen und Anwendungen mittels LDAP ausgetauscht. Unterstützung von Standardnamensformaten Active Directory-Verzeichnisdienste unterstützen viele gängige Namensformate, sodass Benutzer und Anwendungen für den Zugriff auf die Dienste meist das ihnen vertraute Namensformat verwenden können. In Tabelle 9.1 sind einige der Formate beschrieben, die von Active Directory-Verzeichnisdiensten unterstützt werden. Tabelle 9.1 Standardnamensformate für Active Directory-Verzeichnisdienste Format Beschreibung RFC 822 RFC 822-Namen werden in der Form Name@Domäne angegeben und sind den meisten Benutzern als Internet- adressen bekannt. HTTP URL Benutzer, die mit Webbrowsern arbeiten, kennen dieses Namensformat, das in der Form angegeben wird. UNC Active Directory-Verzeichnisdienste unterstützen das UNC-Format, das in Windows 2000 Server-basierten Netzwerken verwendet wird und mit dem gemeinsam genutzte Datenträger, Drucker und Dateien benannt werden, z. B. \\microsoft.com\xl\budget.xls.

5 Kapitel 9 Active Directory-Verzeichnisdienste 233 (Fortsetzung) Format Beschreibung LDAP URL In diesem Format werden der Server, auf dem sich die Active Directory-Verzeichnisdienste befinden, und der dem Objekt zugewiesene Name angegeben. Active Directory-Verzeichnisdienste unterstützen den im RFC dargelegten Entwurf und verwenden die Attribute wie im folgenden Beispiel: LDAP://someserver.microsoft.com/CN=FirstnameLastname,OU= sys,ou=product,ou=division,dc=devel OU=product,OU=division,DC=devel CN repräsentiert CommonName OU repräsentiert OrganisationalUnitName DC repräsentiert DomainComponentName Zusammenfassung der Lektion Active Directory-Verzeichnisdienste sind Bestandteil der Microsoft Windows 2000 Server-Produkte. In Windows 2000 Professional sind diese Dienste nicht verfügbar. Wenn sich Windows 2000 Professional-Clients jedoch in einer Windows 2000-Domäne befinden, stehen diese Dienste auch auf den Clients zur Verfügung. Ein Verzeichnisdienst ist ein Netzwerkdienst, der alle Ressourcen in einem Netzwerk identifiziert und diese Ressourcen den Benutzern und Anwendungen zur Verfügung stellt. Zu den Active Directory-Verzeichnisdiensten gehört das Verzeichnis, in dem Informationen über Netzwerkressourcen (Benutzerdaten, Drucker, Server, Datenbanken, Gruppen, Computer und Sicherheitsrichtlinien) gespeichert sind. Das Verzeichnis kann eine kleine Installation mit einigen hundert Objekten oder eine sehr große Installation mit mehreren Millionen Objekten enthalten. Active Directory-Verzeichnisdienste verwenden DNS als Dienst für die Benennung und Standortfestlegung von Domänen. Aus diesem Grund sind Windows 2000-Domänennamen DNS-Namen. In Windows 2000 Server wird Dynamic DNS (DDNS) verwendet, sodass Clients mit dynamisch zugewiesenen Adressen direkt auf einem Server registriert werden können, auf dem der DNS- Dienst ausgeführt wird. Hierbei wird die DNS-Tabelle dynamisch aktualisiert. In einer homogenen Umgebung sind bei Verwendung von DDNS keine weiteren Internet Naming Services, wie WINS (Windows Internet Name Service), erforderlich.

6 234 Microsoft Windows 2000 Professional Original Microsoft Training Lektion 2: Aufbau und Replikation von Active Directory Mithilfe von Active Directory-Verzeichnisdiensten können Sie eine Verzeichnisstruktur anlegen, die den Gegebenheiten Ihrer Organisation entspricht. Vor der Installation der Active Directory-Verzeichnisdienste sollten Sie deshalb Aufbau und Abläufe in Ihrer Organisation erforschen. Active Directory-Verzeichnisdienste trennen die logische Struktur der Domänenhierarchie vollständig von der physischen Struktur. Viele Firmen weisen eine zentralisierte Struktur auf. Normalerweise verfügen diese Firmen über kompetente IT-Mitarbeiter, die die Netzwerkstruktur bis in alle Einzelheiten festlegen und implementieren. Andere Organisationen, vor allem große Unternehmen, werden dezentral verwaltet. Diese Firmen haben meist mehrere Hauptgeschäftszweige. Um die Beziehungen zwischen den Geschäftsbereichen und Netzwerken verwalten zu können, muss ein dezentralisierter Ansatz gewählt werden. Am Ende dieser Lektion werden Sie in der Lage sein, die folgende Aufgabe auszuführen: Sie können Aufbau und Replikation von Active Directory erläutern. Veranschlagte Zeit für die Lektion: 15 Minuten Logischer Aufbau In Active Directory-Verzeichnisdiensten ordnen Sie die Ressourcen in einer hierarchischen Gliederung an. Auf Grund dieser logischen Gliederung können Ressourcen anhand ihres Namens anstatt nach ihrer physischen Position gesucht und ermittelt werden. Aus demselben Grund machen diese Dienste die physische Netzwerkstruktur für Benutzer transparent. Objekt Ein Objekt ist eine eindeutige, benannte Menge von Attributen, die eine Netzwerkressource darstellt. Objektattribute sind Merkmale der Objekte im Verzeichnis. Zu den Attributen eines Benutzerkontos gehören beispielsweise der Vor- und Nachname des Benutzers, seine Abteilung und seine adresse (siehe Abbildung 9.1) Sie können in den Active Directory-Verzeichnisdiensten die Objekte in Klassen (logisch aufgebaute Objektgruppen) einteilen. Eine Klasse kann beispielsweise Benutzerkonten, Gruppen, Computer, Domänen oder Organisationseinheiten enthalten. Hinweis Bestimmte Objekte, die als Container bezeichnet werden, können andere Objekte enthalten. Eine Domäne ist ein Beispiel für ein Containerobjekt.

7 Kapitel 9 Active Directory-Verzeichnisdienste 235 Objekte Active Directory Computer Computer Benutzer Attribute Computername Beschreibung Attribute Vorname Nachname Anmeldename Comp1 Comp2 Comp3 Benutzer Jane Doe John Doe Attributwert Abbildung 9.1 Objekte und Attribute von Active Directory Organisationseinheiten Eine Organisationseinheit (OU) ist ein Container, mit dessen Hilfe Sie die Objekte einer Domäne in logischen Verwaltungsgruppen zusammenfassen können. Eine OU kann Objekte wie Benutzerkonten, Gruppen, Computer, Drucker, Anwendungen, freigegebene Dateien und andere Organisationseinheiten enthalten (siehe Abbildung 9.2). Domäne OU Domäne Domäne Domäne OU OU OU Domäne OU Struktur (Tree) Domäne OU OU OU OU Gesamtstruktur (Forest) OU Abbildung 9.2 In einem hierarchischen Aufbau angeordnete Ressourcen Die OU-Hierarchie in einer Domäne ist unabhängig von der OU-Hierarchiestruktur in anderen Domänen, da jede Domäne ihre eigene OU-Hierarchie implementieren kann. Hinsichtlich der Schachtelungstiefe der Hierarchie gibt es keine Beschränkung. OU-Hierarchien sollten aber aus Effektivitätsgründen nicht zu tief geschachtelt werden und nur so viele Ebenen umfassen, wie erforderlich sind.

8 236 Microsoft Windows 2000 Professional Original Microsoft Training Hinweis Sie können Verwaltungsaufgaben delegieren, indem Sie den Organisationseinheiten entsprechende Berechtigungen zuweisen. Domäne Die wichtigste Einheit der logischen Gliederung in Active Directory-Verzeichnisdiensten ist die Domäne. Sie können Objekte in einer oder mehreren Domänen gruppieren und auf diese Weise die Organisationsstruktur Ihres Unternehmens im Netzwerk abbilden. Domänen besitzen folgende Merkmale: Alle Netzwerkobjekte befinden sich in einer Domäne. In jeder Domäne werden nur Informationen über die in ihr enthaltenen Objekte gespeichert. Theoretisch kann das Verzeichnis einer Domäne bis zu 10 Millionen Objekte aufnehmen. In der Praxis sollte eine Domäne aber nicht mehr als eine Million Objekte enthalten. Eine Domäne stellt eine Sicherheitszone dar. Der Zugriff auf die Objekte in einer Domäne wird über ACLs (Access Control Lists, deutsch Zugriffssteuerungslisten) gesteuert. Diese Listen enthalten die mit den Objekten verbundenen Berechtigungen, über die festgelegt wird, welche Benutzer auf ein Objekt zugreifen können und welche Art des Zugriffs auf die Objekte einem Benutzer gestattet ist. In Windows 2000 gehören Dateien, Ordner, Freigaben, Drucker und Active Directory-Objekte zu den Objekten. Alle Sicherheitsrichtlinien und -einstellungen (wie Administratorrechte, Sicherheitsrichtlinien und ACLs) gelten immer nur für die jeweilige Domäne. Der Domänenadministrator darf nur die Richtlinien für seine Domäne festlegen. Struktur (Tree) Eine Struktur (engl. Tree) ist eine Gruppe oder hierarchische Anordnung einer oder mehrerer Windows 2000-Domänen, die einen zusammenhängenden Namespace gemeinsam nutzen: Entsprechend den DNS-Standards besteht der Name einer untergeordneten Domäne aus dem relativen Namen dieser Domäne, an den der Name der übergeordneten Domäne angehängt wird. Alle Domänen einer Struktur stützen sich auf ein gemeinsames Schema, das eine formale Definition aller Objekttypen darstellt, die Sie in einer Active Directory-Verteilung speichern können. Alle Domänen einer Struktur nutzen einen gemeinsamen globalen Katalog, bei dem es sich um den zentralen Ablageort für Informationen über die Objekte einer Struktur handelt.

9 Kapitel 9 Active Directory-Verzeichnisdienste 237 Gesamtstruktur (Forest) Eine Gesamtstruktur (engl. Forest) ist eine Gruppe oder hierarchische Anordnung aus einem oder mehreren Bäumen, die einen getrennten Namespace nutzen. Gesamtstrukturen besitzen folgende Merkmale: Alle Strukturen in einer Gesamtstruktur sind Teil eines gemeinsamen Schemas. Strukturen einer Gesamtstruktur haben entsprechend ihren Domänen unterschiedliche Namensstrukturen. Alle Domänen einer Gesamtstruktur nutzen einen gemeinsamen globalen Katalog. Domänen einer Gesamtstruktur agieren unabhängig voneinander. Eine Gesamtstruktur ermöglicht jedoch die Kommunikation in der gesamten Organisation. Standorte Der physische Aufbau der Active Directory-Verzeichnisdienste basiert auf Standorten. Ein Standort ist eine Kombination aus einem oder mehreren IP-Subnetzen, die über einen Hochgeschwindigkeitslink miteinander verbunden sein sollten. Normalerweise hat ein Standort dieselbe Reichweite wie ein LAN. Wenn Sie in Ihrem Netzwerk Subnetze gruppieren, sollten Sie nur Subnetze verwenden, die über schnelle, kostengünstige und zuverlässige Verbindungen verfügen. Eine Netzwerkverbindung ist schnell, wenn sie mindestens 512 Kilobits pro Sekunde (Kbps) übertragen kann. Eine verfügbare Bandbreite von 128 Kbps und höher ist ausreichend. Bei Active Directory-Verzeichnisdiensten sind Standorte nicht Bestandteil des Namespace. Wenn Sie den logischen Namespace durchsuchen, sehen Sie keine Standorte, sondern Domänen und Organisationseinheiten, in denen Computer und Benutzer zusammengefasst sind. Standorte enthalten nur Computer- und Verbindungsobjekte, die für die Konfiguration von Replikationen zwischen Standorten verwendet werden. Hinweis Eine Domäne kann mehrere geografische Standorte umfassen, und ein Standort kann Benutzerkonten und Computer enthalten, die zu mehreren Domänen gehören. Replikationen in einem Standort Active Directory-Verzeichnisdienste besitzen eine Replikationsfunktion. Durch eine Replikation wird sichergestellt, dass Änderungen in einem Domänencontroller auf alle anderen Domänencontroller der Domäne übertragen werden. Um die Funktion einer Replikation zu verstehen, müssen Sie wissen, welchen Zweck ein Domänencontroller erfüllt. Ein Domänencontroller ist ein Computer, auf dem Windows 2000 Server ausgeführt wird, und auf dem ein Replikat des Domänenverzeichnisses gespeichert ist. In einer Domäne können mehrere Domänencontroller vorhanden sein.

10 238 Microsoft Windows 2000 Professional Original Microsoft Training Domänencontroller erfüllen folgende Funktionen: Auf jedem Domänencontroller wird eine vollständige Kopie der Active Directory-Informationen für die jeweilige Domäne gespeichert. Außerdem werden hier die Änderungen an diesen Informationen verwaltet und auf die anderen Domänencontroller in der Domäne repliziert. Alle Objekte in einer Domäne werden auf jedem Domänencontroller der Domäne repliziert. Wenn Sie eine Aktion ausführen, die eine Aktualisierung der Active Directory-Verzeichnisdienste nach sich zieht, findet die entsprechende Änderung auf einem der Domänencontroller statt. Der betreffende Domänencontroller repliziert die Änderung auf alle anderen Domänencontroller in der Domäne. Sie können den Replikationsverkehr zwischen den Domänencontrollern im Netzwerk steuern, indem Sie festlegen, wie oft eine Replikation erfolgen soll und wie viele Daten auf einmal repliziert werden sollen. Domänencontroller replizieren bestimmte wichtige Aktualisierungen sofort. Dazu gehört beispielsweise die Deaktivierung eines Benutzerkontos. Active Directory-Verzeichnisdienste verwenden eine Multimasterreplikation, bei der keiner der Domänencontroller die Rolle des Masterdomänencontrollers einnimmt. Stattdessen sind alle Domänencontroller in einer Domäne gleichberechtigt, und jeder Domänencontroller enthält eine Kopie der Verzeichnisdatenbank, in die Informationen aufgenommen werden können. Es kann vorkommen, dass Domänencontroller für kurze Zeit unterschiedliche Daten enthalten, bis die Änderungen an den Active Directory-Verzeichnisdiensten auf allen Domänencontrollern synchronisiert sind. Domänencontroller wirken sich auf die Fehlertoleranz aus. Diese ist sichergestellt, wenn in einer Domäne mehrere Domänencontroller vorhanden sind. Wenn sich ein Domänencontroller im Offlinemodus befindet, kann ein anderer Controller alle erforderlichen Funktionen bereitstellen, beispielsweise für das Speichern von Änderungen in Active Directory-Verzeichnisdiensten. Auf den Domänencontrollern werden alle Interaktionen zwischen Benutzern und der Domäne verwaltet (z. B. das Suchen von Active Directory-Objekten oder die Gültigkeitsüberprüfung bei Benutzeranmeldungen). In einem Standort erzeugen die Active Directory-Verzeichnisdienste für die Replikation zwischen den Domänencontrollern einer Domäne automatisch eine Ringtopologie. Anhand dieser Topologie wird festgelegt, wie der Weg für Verzeichnisaktualisierungen zwischen den Domänencontrollern verlaufen soll, damit alle Controller berücksichtigt werden (siehe Abbildung 9.3). Durch die Ringstruktur wird sichergestellt, dass mindestens zwei Replikationspfade von einem Domänencontroller zum anderen führen. Wenn ein Domänencontroller vorübergehend heruntergefahren ist, kann die Replikation auf allen anderen Controllern weiter ausgeführt werden.

11 Kapitel 9 Active Directory-Verzeichnisdienste 239 Wege in der Replikationstopologie DC DC Standort DC DC DC Abbildung 9.3 Replikationstopologie für Domänencontroller Active Directory-Verzeichnisdienste analysieren in bestimmten Zeitabständen die Replikationstopologie in einem Standort, um sicherzustellen, dass sie funktionsfähig ist. Wenn Sie einen Domänencontroller in das Netzwerk oder in einen Standort einfügen oder von dort entfernen, konfigurieren die Active Directory-Verzeichnisdienste die Topologie neu, um dieser Änderung Rechnung zu tragen. Zusammenfassung der Lektion In dieser Lektion haben Sie gelernt, dass Sie mithilfe der Active Directory-Verzeichnisdienste eine Verzeichnisstruktur anlegen können, in der sich Aufbau und Arbeitsabläufe Ihres Unternehmens abbilden lassen. Active Directory-Verzeichnisdienste trennen die logische Gliederung der Domänenhierarchie vollständig von der physischen Gliederung. Auf Grund der logischen Gliederung von Ressourcen können Ressourcen anhand ihres Namens anstatt über ihre physische Position gesucht und ermittelt werden. Da Sie Ressourcen in logischen Gruppen zusammenfassen, machen Active Directory-Verzeichnisdienste die physische Netzwerkstruktur für Benutzer transparent. Sie haben erfahren, dass die Domäne die Basiseinheit im logischen Aufbau der Active Directory-Verzeichnisdienste ist. Netzwerkobjekte befinden sich immer in einer Domäne. In jeder Domäne werden nur Informationen über die in ihr enthaltenen Objekte gespeichert. Eine Organisationseinheit (OU) ist ein Container, mit dessen Hilfe Sie die Objekte einer Domäne in logischen Verwaltungsgruppen zusammenfassen können. Eine OU kann Objekte wie Benutzerkonten, Gruppen, Computer, Drucker, Anwendungen, freigegebene Dateien und andere Organisationseinheiten enthalten.

12 240 Microsoft Windows 2000 Professional Original Microsoft Training Eine Struktur ist eine Gruppe oder hierarchische Anordnung einer oder mehrerer Windows 2000-Domänen, die einen zusammenhängenden Namespace gemeinsam nutzen. Eine Gesamtstruktur ist eine Gruppe oder hierarchische Anordnung aus einer oder mehreren Strukturen, die getrennte Namespaces nutzen. Sie wissen nun, dass der physische Aufbau der Active Directory-Verzeichnisdienste auf Standorten basiert. Ein Standort ist eine Kombination aus einem oder mehreren IP-Subnetzen, die über einen Hochgeschwindigkeitslink miteinander verbunden sind. Active Directory-Verzeichnisdienste stellen über die Replikationsfunktion sicher, dass alle Änderungen in einem Domänencontroller auf alle Controller in der Domäne übertragen werden. In einem Standort erzeugen diese Dienste automatisch eine Ringtopologie für die Replikation zwischen den Domänencontrollern einer Domäne. Durch die Ringstruktur wird sichergestellt, dass mindestens zwei Replikationspfade von einem Domänencontroller zum anderen führen. Wenn ein Domänencontroller vorübergehend heruntergefahren ist, kann die Replikation auf allen anderen Controllern weiter ausgeführt werden. Wenn Sie einen Domänencontroller in das Netzwerk oder in einen Standort einfügen oder von dort entfernen, konfigurieren die Active Directory-Verzeichnisdienste die Topologie neu, um dieser Änderung Rechnung zu tragen.

13 Kapitel 9 Active Directory-Verzeichnisdienste 241 Lektion 3: Grundlagen und Konzepte von Active Directory Die Active Directory-Verzeichnisdienste verfügen über verschiedene neue Konzepte, die im Folgenden erläutert werden. Am Ende dieser Lektion werden Sie in der Lage sein, die folgende Aufgabe auszuführen: Sie können die neuen Konzepte der Active Directory-Verzeichnisdienste erläutern. Veranschlagte Zeit für die Lektion: 15 Minuten Schema Ein Schema enthält eine formale Definition des Inhalts und der Struktur von Active Directory-Verzeichnisdiensten. Die Definition umfasst alle Attribute, Klassen und Klasseneigenschaften (siehe Abbildung 9.4). In diesem Schema wird für jede Objektklasse festgelegt, welche Attribute für eine Klasseninstanz obligatorisch oder optional sind und welche Objektklasse der aktuellen Klasse übergeordnet sein kann. Objektklasse Computer Objektdefinition Objektname Objektkennung Optionale Attribute Obligatorische Attribute Übergeordnete Klassen Von Hilfsklassen abgeleitete Klasse Mit neuen Objekten erweitern Mit neuen Attributen erweitern Gruppen Benutzer Benutzerattribute Vorname Nachname Anmeldename Attribute Attributdefinition Objektname Objektkennung Syntax Optionale Bereichsgrenzen Abbildung 9.4 Das Schema mit der Definition des Inhalts und der Struktur von Active Directory-Verzeichnisdiensten Die Domäne und das Schema werden erstellt, wenn Active Directory-Verzeichnisdienste auf dem ersten Computer in einem Netzwerk installiert werden. Das Standardschema enthält Definitionen für häufig verwendete Objekte und Eigenschaften (wie Benutzerkonten, Computer, Drucker, Gruppen usw.). Es umfasst außerdem Definitionen für Objekte und Eigenschaften, die intern von den Active Directory-Verzeichnisdiensten verwendet werden.

14 242 Microsoft Windows 2000 Professional Original Microsoft Training Das Active Directory-Schema ist erweiterbar. Das heißt, dass Sie neue Verzeichnisobjekttypen und Attribute sowie neue Attribute für vorhandene Objekte definieren können. Das Schema kann mithilfe des Snap-In Active Directory-Schema oder über ADSI (Active Directory Services Interface) erweitert werden. Das Schema wird in den Active Directory-Verzeichnisdiensten (im globalen Katalog) implementiert und gespeichert und kann dynamisch aktualisiert werden. Aus diesem Grund können dem Schema in einer Anwendung neue Attribute und Klassen hinzugefügt werden, die sofort nutzbar sind. Hinweis Per Voreinstellung verfügen nur die Mitglieder der Administratorgruppe über Schreibrechte für das Schema. Globaler Katalog Der globale Katalog ist der zentrale Ablageort für die Informationen über Objekte in einer Struktur oder Gesamtstruktur (siehe Abbildung 9.5). Active Directory- Verzeichnisdienste erzeugen während des normalen Replikationsprozesses den Inhalt des globalen Katalogs automatisch aus den Domänen, aus denen sich das Verzeichnis zusammensetzt. Globaler Katalogserver Gesamtstruktur Abfrage Domäne Ergebnis Domäne Domäne Domäne Domäne Domäne Globaler Katalog Abbildung 9.5 Der globale Katalog Der globale Katalog ist ein Dienst und ein physischer Speicherort, der für jedes Objekt in den Active Directory-Verzeichnisdiensten ein Replikat bestimmter Attribute enthält. Per Vorgabe handelt es sich dabei um die Attribute, die am häufigsten in Suchoperationen verwendet werden (z. B. Vor- und Nachnamen von Benutzern, Anmeldenamen usw.) und die zur Ermittlung eines vollständigen Objektreplikats erforderlich sind.

15 Kapitel 9 Active Directory-Verzeichnisdienste 243 Sie können den globalen Katalog deshalb zum Auffinden von Objekten im Netzwerk verwenden, ohne dass eine Replikation aller Domäneninformationen zwischen Domänencontrollern durchgeführt werden muss. Hinweis Mit dem Snap-In Active Directory-Schema können Sie festlegen, welche Attribute in den Replikationsprozess für den globalen Katalog aufgenommen werden sollen. Der erste Domänencontroller, auf dem Sie in einer neuen Gesamtstruktur die Active Directory-Verzeichnisdienste installieren, wird per Voreinstellung als Server für den globalen Katalog eingerichtet. Dieser Server ist ein Domänencontroller, auf dem sich eine Kopie des globalen Katalogs befindet. Der globale Katalogserver sollte so konfiguriert werden, dass er mehrere Hunderttausend bis zu einer Million Objekte unterstützt und bei Bedarf noch mehr Objekte aufnehmen kann. Sie können mit dem Snap-In Active Directory-Standorte und -Dienste weitere Domänencontroller als globale Katalogserver definieren. Bei der Auswahl und Bereitstellung zusätzlicher globaler Katalogserver sollten Sie berücksichtigen, wie in Ihrer Netzwerkstruktur der Replikations- und Abfrageverkehr abgewickelt wird. Je größer die Anzahl der globale Katalogserver ist, umso stärker wird der Replikationsverkehr. Andererseits verkürzen sich bei Vorhandensein zusätzlicher globaler Katalogserver die Antwortzeiten für Benutzeranfragen. In der Regel sollte jeder Hauptstandort in einem Unternehmen über einen globalen Katalogserver verfügen. Namespace Active Directory-Verzeichnisdienste fungieren (wie alle Verzeichnisdienste) in erster Linie als so genannter Namespace. Unter einem Namespace versteht man einen festgelegter Bereich, in dem ein Name aufgelöst wird. Die Namensauflösung ist der Prozess, bei dem ein Name dem Objekt oder der Information zugeordnet wird, das bzw. die er repräsentiert. Der Active Directory-Namespace basiert auf dem DNS-Namensschema, sodass eine Interoperabilität mit Internettechnologien sichergestellt ist. In Abbildung 9.6 sehen Sie ein Beispiel für einen Namespace. Durch die Verwendung eines gemeinsamen Namespace können Sie die Hardwareund Softwareumgebungen in Ihrem Netzwerk vereinheitlichen und verwalten. Zwei Namespace-Typen stehen zur Verfügung: Zusammenhängender Namespace Der Name des untergeordneten Objekts in einer Objekthierarchie enthält immer den Namen der übergeordneten Domäne. Eine Struktur ist ein Beispiel für einen zusammenhängenden Namespace. Getrennter Namespace Die Namen des übergeordneten und eines ihm untergeordneten Objekts stehen nicht in direkter Beziehung zueinander. Eine Gesamtstruktur ist ein Beispiel für einen getrennten Namespace.

16 244 Microsoft Windows 2000 Professional Original Microsoft Training microsoft.com div1.microsoft.com div2.microsoft.com dept1.div1.microsoft.com dept1.div2.microsoft.com dept2.div1.microsoft.com dept2.div2.microsoft.com Abbildung 9.6 Namespace-Diagramm Namenskonventionen In Active Directory-Verzeichnisdiensten wird jedes Objekt über seinen Namen identifiziert. Die Dienste unterstützen verschiedene Namenskonventionen: definierte Namen, relative definierte Namen, global eindeutige Kennungen (GUID) und User Principal Names. Definierte Namen Jedes Objekt in Active Directory-Verzeichnisdiensten hat einen definierten Namen (DN), der das Objekt eindeutig identifiziert und genügend Informationen enthält, damit ein Client das Objekt im Verzeichnis ermitteln kann. Der definierte Name besteht aus dem Namen der Domäne, in der sich das Objekt befindet, und aus der vollständigen Pfadangabe (der Pfad durch die Containerhierarchie bis zu dem Objekt). Der folgende definierte Name kennzeichnet beispielsweise das Benutzerobjekt Vorname Nachname in der Domäne microsoft.com (wobei Vorname und Nachname den tatsächlichen Vor- und Nachnamen eines Benutzerkontos repräsentieren): /DC=COM/DC=microsoft/OU=div/CN=Benutzer/CN=Vorname Nachname Tabelle 9.2 enthält ein Beschreibung der im Beispiel verwendeten Attribute. Tabelle 9.2 Attribute für definierte Namen Attribut Beschreibung DC DomainComponentName OU OrganizationalUnitName CN CommonName

17 Kapitel 9 Active Directory-Verzeichnisdienste 245 Definierte Namen müssen eindeutig sein. Active Directory-Verzeichnisdienste lassen keine doppelten definierten Namen zu. Relative definierte Namen Active Directory-Verzeichnisdienste ermöglichen Abfragen anhand von Attributen, sodass Sie ein Objekt auch dann finden können, wenn sein definierter Name unbekannt ist oder geändert wurde. Der relative definierte Name (RDN) eines Objekts ist der Teil des Namens, der ein Attribut des Objekts darstellt. Im obigen Beispiel lautet der relative definierte Name des Vorname-Nachname-Benutzerobjekts Vorname Nachname. Der relative definierte Name des übergeordneten Objekts lautet Benutzer. Für Active Directory-Objekte können doppelte RDNs vorhanden sein. Innerhalb einer Organisationseinheit dürfen zwei Objekte allerdings nicht denselben relativen definierten Namen haben. Wenn beispielsweise ein Benutzerkonto den Namen Jane Doe hat, darf in derselben Organisationseinheit kein zweites Benutzerkonto mit diesem Namen vorhanden sein. Wenn sich die Objekte jedoch in unterschiedlichen Organisationseinheiten befinden, dürfen sie denselben Namen führen, da sie unterschiedliche definierte Namen haben (siehe Abbildung 9.7). Definierter Name (DN) Relativer definierter Name (RDN) Domänenname / Benutzer / Vertrieb / Manager / Jane Doe Domänenname OU Benutzer Jane Doe Jane Doe OU Vertrieb OU Manager Jane Doe DN muss im Verzeichnis eindeutig sein. RDN muss in einer OU eindeutig sein. Abbildung 9.7 Definierte und relative definierte Namen Global eindeutige Kennung (GUID, Gobally Unique Identifier) Eine global eindeutige Kennung (GUID) besteht aus einer 128-Bitzahl, die immer eindeutig ist. GUIDs werden Objekten bei ihrer Erstellung zugewiesen. Eine GUID ändert sich nie. Dies gilt auch dann, wenn ein Objekt verschoben oder umbenannt wird. Anwendungen können diese Kennung speichern und mit ihrer Hilfe das Objekt unabhängig von seinem aktuell definierten Namen abrufen.

18 246 Microsoft Windows 2000 Professional Original Microsoft Training User Principal Name (UPN) Benutzerkonten besitzen einen beschreibenden Namen, den User Principal Name (UPN). Der UPN setzt sich aus einer Kurzbezeichnung für das Benutzerkonto und dem DNS-Namen der Struktur zusammen, in dem sich das Benutzerkontoobjekt befindet. Beispielsweise könnte der Benutzer Vorname Nachname (Repräsentation des Vor- und Nachnamens eines tatsächlichen Benutzers) in der Struktur microsoft.com den UPN haben (es wird also der vollständige Vorname und der erste Buchstabe des Nachnamens verwendet). Zusammenfassung der Lektion In dieser Lektion haben Sie gelernt, dass das Schema eine formale Definition für den Inhalt und die Struktur der Active Directory-Verzeichnisdienste enthält. Die Definition umfasst alle Attribute, Klassen und Klasseneigenschaften. In dem Schema wird für jede Objektklasse festgelegt, welche Attribute für eine Klasseninstanz obligatorisch oder optional sind und welche Objektklasse der aktuellen Klasse übergeordnet sein kann. Wenn Sie Active Directory-Verzeichnisdienste auf dem ersten Domänencontroller in einem Netzwerk installieren, wird ein Standardschema erstellt. Das Active Directory-Schema kann erweitert werden. Sie haben erfahren, dass es sich bei dem globalen Katalog um einen Dienst und einen physischen Speicherort handelt, der für jedes Objekt in den Active Directory-Verzeichnisdiensten ein Replikat bestimmter Attribute enthält. Active Directory-Verzeichnisdienste erzeugen während des normalen Replikationsprozesses den Inhalt des globalen Katalogs automatisch aus den Domänen, aus denen sich das Verzeichnis zusammensetzt. Per Vorgabe enthält der globale Katalog die Attribute, die am häufigsten in Suchoperationen verwendet werden (z. B. Vor- und Nachnamen von Benutzern, Anmeldenamen usw.) und die für die Ermittlung eines vollständigen Objektreplikats erforderlich sind. Sie können den globalen Katalog deshalb zum Auffinden von Objekten im Netzwerk verwenden, ohne dass eine Replikation aller Domäneninformationen zwischen den Domänencontrollern durchgeführt werden muss. Sie haben den zusammenhängenden und den getrennten Namespace kennen gelernt. In einem zusammenhängenden Namespace enthält der Name eines untergeordneten Objekts in einer Objekthierarchie immer den Namen der übergeordneten Domäne. Eine Struktur ist ein Beispiel für einen zusammenhängenden Namespace. In einem getrennten Namespace stehen die Namen des übergeordneten und eines ihm untergeordneten Objekts nicht in direkter Beziehung zueinander. Eine Gesamtstruktur ist ein Beispiel für einen getrennten Namespace.

19 Kapitel 9 Active Directory-Verzeichnisdienste 247 Lernzielkontrolle Anhand der folgenden Fragen können Sie feststellen, ob Sie genug gelernt haben, um mit dem nächsten Kapitel fortfahren zu können. Wenn Ihnen die Beantwortung der Fragen Schwierigkeiten bereitet, sollten Sie das vorliegende Kapitel noch einmal lesen, bevor Sie mit der Lektüre des nächsten Kapitels beginnen. In Anhang A finden Sie die Antworten zu den folgenden Fragen. 1. Wie lauten die vier wichtigsten Funktionen der Active Directory-Verzeichnis- Dienste? 2. Was versteht man unter Standorten und Domänen und wodurch unterscheiden sie sich? 3. Was versteht man unter einem Schema und wie können Sie es erweitern? 4. Welche Windows 2000-Produkte unterstützen Active Directory-Verzeichnisdienste?