Kategorie: Active Directory. Kategorie: Active Directory

Transkript

1 Kategorie: Active Directory 395

2 Domänencontroller einrichten und verwalten Anwendung In einer Domäne ist in der Regel mindestens ein Domänencontroller vorhanden. Auf dem Domänencontroller werden Verzeichnisdaten der Domäne gespeichert und die Aktionen von Objekten in der Domäne organisiert und verwaltet. Um sowohl die ehlertoleranz als auch die Performance innerhalb einer Domäne zu steigern, ist die Installation von mindestens zwei Domänencontrollern abhängig von der Größe und unktion der Domäne zu empfehlen. Umsetzung Domänencontroller werden mit Hilfe des Assistenten zum Installieren von Active Directory in einer Domäne installiert. Diesen Assistenten rufen Sie über Start/Ausführen mit dem Befehl dcpromo auf. Anschließend werden Sie vom Assistenten beim Installieren des Domänencontrollers unterstützt. Im olgenden wird Ihnen vorgestellt, welche Aufgaben Sie in Hinsicht auf Domänencontroller durchführen können. Rufen Sie dafür zunächst das enster Active Directory-Benutzer und -Computer über Start/Programme/Verwaltung/Active Directory-Benutzer und -Computer auf. Möchten Sie herausfinden, wo sich ein Domänencontroller im Active Directory befindet, gehen Sie nach folgender Anleitung vor: In der Konsolenstruktur des ensters Active Directory-Benutzer und -Computer klicken Sie einen der Einträge beispielsweise einen Domänenknoten mit der rechten Maustaste an. Im Kontextmenü entscheiden Sie sich für die Option Suchen. Es erscheint ein enster, in dem Sie im eld Suchen den Eintrag Computer auswählen. Im Bereich unktion entscheiden Sie sich für den Eintrag Domänencontroller. Soll das gesamte Verzeichnis nach Domänencontrollern durchsucht werden, geben Sie dies im Bereich In an. Ansonsten können Sie einen bestimmten Ordner in diesem eld auswählen. Um die Suche zu starten, betätigen Sie die Schaltfläche Durchsuchen. Haben Sie den gewünschten Domänencontroller im Verzeichnis gefunden, können Sie sich dessen Eigenschaften anzeigen lassen, indem Sie zunächst den Eintrag des Domänencontrollers in der Konsolenstruktur mit der rechten Maustaste anklicken. Im Kontextmenü rufen Sie über den Eintrag Eigenschaften das Eigenschaften- en- 396

3 Domänencontroller einrichten und verwalten ster des Domänencontrollers auf. Sie finden im Eigenschaften- enster die folgenden Registerkarten vor: In der Registerkarte Allgemein werden der Computername, der DNS-Name und die unktion des Computers in diesem all Domänencontroller angezeigt. Der Computername ist für die Rechner relevant, die mit einer Vorgängerversion von Windows 2000 eingerichtet sind. Den DNS-Namen erhält der Domänencontroller beim Anmeldevorgang. Ebenso wird dem Rechner eine unktion vom System zugewiesen. Die Option Computer für Delegierungszwecke vertrauen sollten Sie mit Vorsicht behandeln. Es ist eine sicherheitssensitive O ption, deren Aktivierung bedeutet, dass dieser Rechner im Zusammenhang mit Delegierungszwecken als vertrauenswürdig erkannt wird. Haben Sie die Option aktiviert, werden Diensten auf dem lokalen Rechner Anforderungen von weiteren Diensten anderer Server gestattet. Die Registerkarte Betriebssystem umfasst Informationen zum Betriebssystem, das auf dem Rechner eingerichtet ist. Dazu gehören die elder Name, Version und Service Pack. In der gleichnamigen Liste der Registerkarte Mitglied von sind die Gruppen aufgeführt, in denen der Domänencontroller als Mitglied eingetragen ist. Über die Schaltfläche Hinzufügen können Sie den Domänencontroller in weiteren Gruppen eintragen. In der Registerkarte Standort ist angegeben, an welchem Standort sich der Domänencontroller befindet. Es handelt sich dabei um den Standort auf physikalischer Ebene. Die Registerkarte Verwaltet von umfasst Daten zu dem Benutzer, der für die Verwaltung des Domänencontrollers zuständig ist. Um die Domäne mit Hilfe eines anderen Domänencontrollers zu verwalten, klicken Sie den Eintrag Active Directory-Benutzer und -Computer mit der rechten Maustaste an. Im Kontextmenü entscheiden Sie sich für die Option Verbindung mit Domänencontroller herstellen. Um einen anderen als den aktuellen Domänencontroller für die Verwaltung der Domäne zu bestimmen, haben Sie zwei Möglichkeiten: Geben Sie im eld Ändern in den gewünschten Domänencontroller ein. Markieren Sie einen der aufgeführten Domänencontroller in der Liste der verfügbaren Domänencontroller mit einem Mausklick. Bestätigen Sie Ihre Auswahl durch Anklicken der Schaltfläche OK. Um eine andere Domäne zu verwalten, klicken Sie im Kontextmenü des Konsoleneintrags Active Directory-Benutzer und -Computer die Option Verbindung mit Domäne herstellen an. Geben Sie im daraufhin erscheinenden enster die Domäne an, die Sie verwalten möchten. Achten Sie darauf, dass Sie über die erforderlichen Berechtigungen verfügen, um die entsprechende Domäne verwalten zu können. 397

4 Verbindung zu einem anderen Domänencontroller herstellen Warnung Es ist im Eigenschaften- enster eines Domänencontrollers nicht möglich, sämtliche Eigenschaften zu ändern. Einige Einstellungen erhält der Domänencontroller bereits beim Einrichten in einer Domäne, die anschließend nicht mehr zu verändern sind. Dazu gehören unter anderem das Betriebssystem, der Computername und die Rechnerfunktion. Die Option Computer für Delegierungszwecke vertrauen im Eigenschaften- enster eines Domänencontrollers kann die Sicherheit erheblich beeinträchtigen. Deshalb sollten Sie diese Option nur aktivieren, wenn es erforderlich ist. Tipps Ein Domänencontroller wird standardmäßig im gleichnamigen Ordner im Active Directory eingerichtet. Gruppen verwalten Anwendung Gruppen stellen im Active Directory Objekte dar, die beispielsweise Computer, Benutzer und weitere Gruppen umfassen können. Durch die Verwendung von Gruppen wird die Organisation und Verwaltung von Benutzern und Rechnern im Netzwerk einfacher und übersichtlicher gestaltet. Innerhalb einer Gruppe verfügen die Mitglieder über dieselben Rechte und Berechtigungen. 398

5 Gruppen verwalten Gruppen werden im Active Directory in verschiedene Gruppenbereiche eingeteilt: Lokale Domäne: Gruppen in diesem Bereich umfassen Objekte aus einer Windows NT- oder Windows 2000-Domäne. Berechtigungen können ausschließlich innerhalb der Domäne zugewiesen werden. Global: Mitglieder der Gruppe des globalen Gruppenbereichs müssen aus derselben Domäne stammen wie die Gruppe. Die Zuweisung von Berechtigungen ist in jeder Domäne des Domänenwalds möglich. Universal: Universelle Gruppen können Mitglieder aus sämtlichen Windows 2000-Domänen im Domänenwald beinhalten. Berechtigungen werden ähnlich wie bei den globalen Gruppen zugewiesen. Unter Windows 2000 werden die Gruppen zudem in zwei Gruppentypen unterteilt: Sicherheitsgruppen: Sicherheitsgruppen sind in den so genannten»discretionary Access Control Lists«, kurz DACLs, aufgeführt. In diesen Zugriffskontrolllisten werden die Berechtigungen im Zusammenhang mit Objekten und Ressourcen festgelegt. Verteilergruppen: Diese Gruppen werden nicht zu DACLs hinzugefügt. Sie verfügen über keine besonderen Sicherheitseinstellungen. Umsetzung Gruppen werden mit Hilfe des administrativen Werkzeugs Active Directory-Benutzer und -Computer eingerichtet und verwaltet: Rufen Sie das enster von Active Directory-Benutzer und -Computer über Start/Programme/Verwaltung/Active Directory-Benutzer und -Computer auf. Zum Einrichten einer Gruppe im Active Directory klicken Sie in der Konsolenstruktur den Ordner mit der rechten Maustaste an, zu dem die Gruppe hinzugefügt werden soll. Im Kontextmenü öffnen Sie das enster Neues Objekt Gruppe über Neu/ Gruppe. Sie nehmen anschließend Angaben in den folgenden Bereichen vor: Gruppenname: Geben Sie in diesem Bereich einen Namen für die Gruppe an. In der Regel wird der Gruppenname sowohl für eine Windows 2000-Domäne als auch für Domänen, die unter einer Vorgängerversion von Windows 2000 eingerichtet worden sind, verwendet. Gruppenbereich: Grundsätzlich können Sie zwischen den Bereichen Lokale Domäne und Global wählen. Der Gruppenbereich Universal ist im all von Sicherheitsgruppen nur verfügbar, wenn ein einheitlicher und kein gemischter Domänenmodus eingerichtet ist. Gruppentyp: Im Bereich Gruppentyp stehen die Gruppentypen Sicherheitsund Verteilergruppen zur Auswahl. 399

6 Bestätigen Sie Ihre Angabe durch Anklicken der Schaltfläche OK, wird die Gruppe in die Konsolenstruktur eingefügt. Um die Gruppe zu konfigurieren, klicken Sie deren Eintrag mit der rechten Maustaste an. Im Kontextmenü entscheiden Sie sich für den Eintrag Eigenschaften. Eigenschaften- enster einer Gruppe In der folgenden Aufzählung werden Ihnen die verschiedenen unktionen im Eigenschaften- enster der Gruppe aufgezählt: In der Registerkarte Allgemein des Eigenschaften- ensters sind die Einstellungen aufgeführt, die Sie beim Einrichten der Gruppe vorgenommen haben. Zudem ist es möglich, einen Kommentar und die -Adresse der Gruppe in den entsprechenden eldern einzutragen. Rufen Sie die Registerkarte Mitglieder auf, wird Ihnen eine Liste mit den Gruppenmitgliedern angezeigt. Sollen neue Mitglieder zur Gruppe hinzugefügt werden, betätigen Sie die Schaltfläche Hinzufügen. Daraufhin erscheint das enster Benutzer, Kontakte oder Computer auswählen, in denen Sie die gewünschten Objekte als Gruppenmitglieder auswählen. Soll ein Gruppenmitglied aus der Liste gelöscht werden, markieren Sie dessen Eintrag durch einen Mausklick. Betätigen Sie anschließend die Schaltfläche Entfernen. Die Registerkarte Mitglied von ist ähnlich wie die zuvor beschriebene Registerkarte Mitglieder aufgebaut. Allerdings werden in der Liste die Gruppen auf- 400

7 Benutzer verwalten geführt, in der diese Gruppe Mitglied ist. Um die Gruppe in einer anderen Gruppe als Mitglied zu integrieren, klicken Sie auf die Schaltfläche Hinzufügen. Daraufhin erscheint das enster Gruppen auswählen, in dem Sie die gewünschte Gruppe für die Mitgliedschaft aussuchen können. In der Registerkarte Verwaltet von werden Informationen zum Kontakt bzw. zum Benutzer aufgeführt, der für die Verwaltung der Gruppe verantwortlich ist. Warnung Die Umwandlung von Verteiler- in Sicherheitsgruppen und andersherum ist nur dann möglich, wenn der Domänenmodus einheitlich ist. Tipps Sind keine besonderen Sicherheitsmaßnahmen für eine Gruppe erforderlich, sollten Sie sich für die Einrichtung einer Verteilergruppe an Stelle einer Sicherheitsgruppe entscheiden. Globale Gruppen, die unter Windows 2000 automatisch eingerichtet werden, finden Sie in Active Directory-Benutzer und -Computer im Ordner Builtin wieder. Standardmäßig erstellte globale Gruppen werden in der Regel im Ordner Benutzer verwaltet. Benutzer verwalten Anwendung Benutzer werden mit Hilfe von Benutzerkonten organisiert und verwaltet. Über dieses Konto meldet sich ein Benutzer an einem Rechner bzw. in einer Domäne an. Nach erfolgreicher Authentifizierung darf er je nach Berechtigungen auf bestimmte Ressourcen zugreifen. Umsetzung Nachfolgend wird Ihnen beschrieben, wie ein Benutzerkonto in Active Directory- Benutzer und -Computer eingerichtet und konfiguriert wird. Öffnen Sie dafür das enster Active Directory-Benutzer und -Computer über Start/Programme/Verwaltung/Active Directory-Benutzer und -Computer. Richten Sie ein neues Benutzerkonto nach der folgenden Anleitung ein: Klicken Sie das Objekt bzw. den Container in der Konsolenstruktur mit der rechten Maustaste an, in dem Sie einen neuen Benutzer anlegen möchten. 401

8 Rufen Sie das enster Neues Objekt Benutzer über Neu/Benutzer im Kontextmenü auf. Zunächst tragen Sie in diesem enster den Vor- und Nachnamen und die Initialen des Benutzers ein. Der Bereich Benutzeranmeldename besteht aus zwei eldern. Im ersten eld geben Sie den Namen des Benutzers ein, mit dem er sich anmelden wird. Das zweite eld umfasst die verfügbaren UPN-Suffixe UPN ist die Abkürzung für»user Principal Name«. Damit wird der Teil nach des Benutzeranmeldenamens bezeichnet. Im Beispiel ist verwaltung.local das UPN-Suffix. Der Benutzeranmeldename für Vorgängerversionen von Windows 2000 wird in dem darunter liegenden eld angegeben. Klicken Sie die Schaltfläche Weiter an. Auf der nächsten Seite werden von Ihnen Angaben in Hinsicht auf das Kennwort gefordert. estlegen eines Benutzerkennworts Geben Sie ein Kennwort und eine dazugehörige Kennwortbestätigung ein. Anschließend bestimmen Sie durch Markieren einer der nachfolgenden Optionen, ob der Benutzer beispielsweise beim nächsten Anmeldevorgang das Kennwort ändern muss oder das Kennwort nicht abläuft. Auf der nächsten Seite wird Ihnen eine Zusammenfassung der von Ihnen vorgenommenen Einstellungen angezeigt. Betätigen Sie die Schaltfläche ertig stellen, wird das Benutzerkonto an der entsprechenden Stelle angelegt. 402

9 Benutzer verwalten Nachdem Sie das Benutzerkonto erstellt haben, klicken Sie dessen Eintrag mit der rechten Maustaste an, um anschließend im Kontextmenü die Option Eigenschaften auszuwählen. Es erscheint ein enster mit zahlreichen Registerkarten, in denen Sie die gewünschten Einstellungen für das Benutzerkonto vornehmen können. Dazu gehören unter anderem Angaben zu den folgenden Bereichen: Kontoanmeldung Benutzerprofil Remoteüberwachung Terminaldienstprofil Einwählen Mitgliedschaft in Gruppen Weiterhin stehen Ihnen die folgenden unktionen im Kontextmenü zur Verwaltung und Konfiguration von Benutzerkonten zur Verfügung: Konto deaktivieren: Entscheiden Sie sich für diese Option, wird das Konto zwar nicht gelöscht, aber der Benutzer kann sich nicht am Rechner bzw. in der Domäne anmelden. Diese Option stellt eine Sicherheitsmaßnahme dar. Löschen: Das Benutzerkonto wird durch diese unktion mitsamt den Mitgliedschaften in Gruppen und den Berechtigungen gelöscht. Kennwort zurücksetzen: Wählen Sie diesen Eintrag aus, können Sie ein neues Kennwort für den Benutzer bestimmen. Verschieben: Über diese unktion im Kontextmenü ist es möglich, das Benutzerkonto in einen anderen Ordner zu verschieben. Diese Vorgehensweise ist in Active Directory-Benutzer und -Computer nur innerhalb einer Domäne durchführbar. Tipps Es erspart Zeit und Arbeit, wenn Sie nicht jedes Benutzerkonto komplett neu anlegen. Haben Sie bereits ein Benutzerkonto erstellt, dessen Eigenschaften mit dem neu anzulegenden Benutzerkonto übereinstimmen, bedienen Sie sich einfach der Kopieren- unktion im Kontextmenü des bereits bestehenden Benutzerkontos. 403

10 Computerkonten verwalten Anwendung Ein Rechner, der mit Windows 2000 oder einer Vorgängerversion von Windows 2000 ausgestattet ist, erhält ein Computerkonto, wenn er in eine Domäne integriert ist. Die Eigenschaften und unktionen eines Computerkontos ähneln denen von Benutzerkonten. Authentifizierung und Zugriffsberechtigungen für bestimmte Ressourcen sind Beispiele für den Einsatz von Computerkonten. Umsetzung Um ein Computerkonto im Active Directory neu zu erstellen, führen Sie die folgenden Schritte durch: Öffnen Sie das enster Active Directory-Benutzer und -Computer über Start/ Programme/Verwaltung/Active Directory-Benutzer und -Computer. Klicken Sie in der Konsolenstruktur den Eintrag mit der rechten Maustaste an, in dem das Computerkonto erstellt werden soll. In der Regel werden die Computerkonten im Ordner Computer eingerichtet. Im Kontextmenü klicken Sie Neu/Computer an. Es erscheint das enster Neues Objekt Computer. Geben Sie den Computernamen im entsprechenden eld ein. Standardmäßig ist es nur der Gruppe Domänen-Admins erlaubt, einen Computer dem Active Directory hinzuzufügen. Möchten Sie einer anderen Gruppe bzw. einem anderen Benutzer diese Vorgehensweise gestatten, betätigen Sie die Schaltfläche Ändern. In dem darauf folgenden enster können Sie das gewünschte Objekt auswählen. Haben Sie das Computerkonto im Active Directory eingerichtet, können Sie über das dazugehörige Kontextmenü dieses Konto konfigurieren und verwalten. Markieren Sie zunächst den Eintrag des Ordners, in dem sich das Computerkonto befindet, durch einen Mausklick. In der Detailansicht klicken Sie den Eintrag des Computerkontos mit der rechten Maustaste an. Daraufhin wird das Kontextmenü geöffnet. In der folgenden Aufzählung werden Ihnen einige der unktionen des Kontextmenüs vorgestellt: Konto deaktivieren: Deaktivieren Sie das Computerkonto, bedeutet das, dass keine Anmeldung dieses Computers in der Domäne mehr möglich ist. Das Konto kann durch die Option Konto aktivieren im Kontextmenü wieder aktiviert werden. 404

11 Computerkonten verwalten Einrichten eines Computerkontos Konto zurücksetzen: Die Verbindung zwischen Computer und Domäne wird unterbrochen. Der Computer muss sich für einen Verbindungsaufbau erneut in der Domäne anmelden. Verschieben: In dem dazugehörigen enster können Sie den Container angeben, in den das Computerkonto verschoben werden soll. Eine Verschiebung ist in Active Directory-Benutzer und -Computer ausschließlich innerhalb der Domäne möglich. Verwalten: Entscheiden Sie sich für diese Option, wird die Computerverwaltung geöffnet. Mit Hilfe dieses Snap-Ins werden sowohl lokale als auch entfernte Rechner verwaltet. Löschen: Das Computerkonto wird aus dem Active Directory entfernt. Eigenschaften: Durch Anklicken dieser Option erscheint das Eigenschaften- enster des Computers. In diesem enster werden unter anderem der Name, die unktion, der Standort und das Betriebssystem des Computers angezeigt. Weiterhin können Sie in der Registerkarte Mitglied von die Mitgliedschaft des Computers in Gruppen bestimmen. Warnung Beachten Sie, dass Rechner, die mit Windows 95/98 eingerichtet sind, nicht über die Sicherheitsmaßnahmen verfügen, die Sie unter Windows 2000 und den Vorgängerversionen vorfinden. Dementsprechend können keine Computerkonten für Windows 95/98-Rechner im Active Directory erstellt werden. 405

12 Tipps Installieren Sie die Software Active Directory Client auf einem Windows95/98- Rechner, kann dieser die unktionen von Active Directory als Active Directory- Client nutzen. Die Software ist in einem Aktualisierungspaket der Windows CD-ROM vorhanden. Lassen Sie sich den vollständigen Computernamen zusammen mit der Domäne folgendermaßen anzeigen: Klicken Sie das Desktopsymbol Arbeitsplatz mit der rechten Maustaste an. Es öffnet sich das enster Systemeigenschaften, in dem Sie die Registerkarte Netzwerkidentifikation aufrufen. In dieser Registerkarte werden sowohl der Computername als auch die Domäne aufgeführt. Globale Kataloge verwenden Anwendung Mit einem globalen Katalog sind die folgenden Eigenschaften und unktionen verbunden: In jedem Domänenwald befindet sich wenigstens ein globaler Katalog. Der globale Katalog wird auf einem Domänencontroller eingerichtet. Wird der erste Domänencontroller in einem Domänenwald installiert und konfiguriert, wird ohne Ihr weiteres Dazutun ebenfalls ein globaler Katalog erstellt. Pro Standort muss wenigstens ein globaler Katalog in einem Domänencontroller aktiviert werden. Ansonsten ist die Anmeldung eines Benutzers oder eines anderen Objekts nicht möglich. Die globalen Kataloge werden innerhalb eines Domänenwalds zwischen den verschiedenen Domänen repliziert. Ändert sich der Inhalt eines globalen Katalogs, wird diese Änderung an alle globalen Kataloge in den Domänen weitergegeben. Damit verfügt jeder globale Katalog über die aktuellen Domänenund Verzeichnisdaten. In einem globalen Katalog werden zahlreiche Informationen gespeichert. Dazu gehören unter anderem die Daten zum Schema des Domänenwalds und zur Konfiguration der Domänen im Domänenwald, ebenso wie Informationen zu den Objekten im Verzeichnis und den dazugehörigen Eigenschaften. 406

13 Globale Kataloge verwenden Umsetzung Gehen Sie nach der folgenden Anleitung vor, um einen globalen Katalog auf einem Domänencontroller zu aktivieren: Rufen Sie das enster Active Directory-Standorte und -Dienste über Start/Programme/Verwaltung/Active Directory-Standorte und -Dienste auf. ühren Sie einen Doppelklick auf den Eintrag des Domänencontrollers in der Konsolenstruktur aus, auf dem der globale Katalog aktiviert werden soll. Den Domänencontroller finden Sie in der Konsolenstruktur über Active Directory- Standorte und -Dienste/Standorte/Standortname/Server/Eintrag des Domänencontrollers. Klicken Sie den Eintrag NTDS-Settings mit der rechten Maustaste an. Im Kontextmenü entscheiden Sie sich für die Option Eigenschaften. Es erscheint das enster Eigenschaften von NTDS-Settings, in dem Sie die Registerkarte Allgemein aufrufen. Aktivieren Sie den globalen Katalog für den Domänencontroller, indem Sie die Option Globaler Katalog mit einem Haken versehen. Soll der globale Katalog für einen Domänencontroller deaktiviert werden, entfernen Sie die Markierung. Bestätigen Sie die vorgenommene Einstellung durch Anklicken der Schaltfläche OK. Möchten Sie einen globalen Katalog mit zusätzlichen Attributen erweitern, müssen Sie sich darüber im Klaren sein, dass diese Änderung in einem globalen Katalog eine vollständige Synchronisation in allen Domänen des Domänenwaldes bewirkt. Das bedeutet eine erhebliche Belastung des Datenverkehrs im Netzwerk. Sollen dennoch ein oder mehrere Attribute zu einem globalen Katalog hinzugefügt werden, führen Sie die folgenden Schritte durch: Öffnen Sie das Snap-In Active Directory Schema. In der Konsolenstruktur öffnen Sie den Ordner, der die Attribute enthält, durch einen Mausklick. Klicken Sie das Attribut, das Sie dem globalen Katalog hinzufügen möchten, in der Detailansicht mit der rechten Maustaste an. Im Kontextmenü wählen Sie die Option Eigenschaften aus. Im Eigenschaften- enster des Attributs aktivieren Sie die Option für die Replikation des Attributs zum globalen Katalog. Warnung In der Regel reicht ein globaler Katalog pro Standort in einem Unternehmen aus. Richten Sie nicht unnötig mehrere globale Kataloge ein, da dadurch der Datenverkehr im Netzwerk erheblich ansteigen kann. 407

14 Aktivieren des globalen Katalogs auf einem Domänencontroller ügen Sie ein Attribut einem globalen Katalog hinzu, findet aufgrund dieser Veränderung eine Synchronisation in allen Domänen des Netzwerks statt. Durch die starke Zunahme des Datenverkehrs wird die Leistungsfähigkeit des Netzwerks beeinträchtigt. Tipps inden Sie das Snap-In Active Directory-Schema nicht auf Ihrem Rechner vor, installieren Sie dieses mit Hilfe der Windows 2000-CD-ROM. ür die nachfolgend beschriebenen Schritte müssen Sie als Administrator am Rechner angemeldet sein: Lassen Sie sich den Inhalt der CD-ROM anzeigen. Im Ordner I386 führen Sie einen Doppelklick auf den Eintrag Adminpak aus. Daraufhin erscheint ein Assistent, der Sie durch die weitere Vorgehensweise führt. Anschließend geben Sie über Start/Ausführen den Befehl mmc / a ein und lassen diesen Befehl durch Anklicken von OK ausführen. In der so geöffneten Konsole fügen Sie das Snap-In Active Directory-Schema hinzu. 408

15 Standorte (Sites) erstellen Standorte (Sites) erstellen Anwendung Im Referenzteil ist Ihnen bereits vorgestellt worden, welche Eigenschaften und unktionen mit den Standorten im Active Directory verbunden sind. In diesem Abschnitt erfahren Sie nun, wie Sie Standorte erstellen können und was Sie dabei beachten müssen. Umsetzung ür die Erstellung eines Standorts im Active Directory gehen Sie nach der folgenden Anleitung vor: Rufen Sie das Snap-In Active Directory-Standorte und -Dienste über Start/ Programme/Verwaltung/Active Directory-Standorte und -Dienste auf. In der Konsolenstruktur klicken Sie den Ordner Standorte mit der rechten Maustaste an. Entscheiden Sie sich im Kontextmenü für die Option Neuer Standort. Es erscheint das enster Neues Objekt Standort, in dem Sie zunächst einen Namen für den Standort eintragen müssen. Markieren Sie eines der Standortverknüpfungsobjekte, die in der Liste aufgeführt sind, für den neuen Standort. Haben Sie die Einstellungen vorgenommen, bestätigen Sie diese durch Anklicken von OK. Sie werden über die erfolgreiche Erstellung des Standorts informiert. Zudem werden Sie auf die weitere Vorgehensweise hingewiesen. Dazu zählen unter anderem die folgenden Schritte: Überprüfung der Verknüpfung des neuen Standorts mit weiteren Standorten durch die Verwendung der Standortverknüpfungen; Integration von Subnetzen für den neuen Standort im entsprechenden Subnetzcontainer; Einrichten eines oder mehrerer Domänencontroller im neuen Standort wahlweise durch Installation oder Verschiebung eines Domänencontrollers; Wahl eines Lizenzierungsrechners für den neuen Standort dieser Schritt ist optional, da bereits automatisch ein Lizenzierungsrechner ausgewählt wird. Tipps Wie Sie im Detail bei diesen verschiedenen Durchführungen vorgehen, erfahren Sie im nächsten Abschnitt über die Konfiguration von Standorten. 409

16 Erstellen eines neuen Standorts im Active Directory Standorte konfigurieren Umsetzung Haben Sie, wie im vorherigen Abschnitt beschrieben, einen oder mehrere Standorte erstellt, können Sie nun weitere Einstellungen vornehmen. Zunächst wird Ihnen vorgestellt, wie Sie ein Subnetz im Standort erstellen können: Rufen Sie das enster Active Directory-Standorte und -Dienste über Start/Programme/Verwaltung/Active Directory-Standorte und -Dienste auf. ühren Sie in der Konsolenstruktur einen Doppelklick auf den Ordner, der die Standorte enthält, aus. Klicken Sie den Ordner Subnetze mit der rechten Maustaste an, um im Kontextmenü den Eintrag Neues Subnetz auszuwählen. Im daraufhin erscheinenden enster Neues Objekt Subnetz tragen Sie die entsprechende IP-Adresse und Maske des Subnetzes ein. Wählen Sie in der angezeigten Liste den Standort für das Subnetz aus. Bestätigen Sie Ihre Angaben durch OK, wird das Subnetz mit dem Standort verbunden. 410

17 Standorte konfigurieren Erstellen eines Subnetzes in einem Standort Möchten Sie ein bereits im Ordner Subnetze befindliches Subnetz mit einem Standort verbinden, klicken Sie den Eintrag des entsprechenden Subnetzes mit der rechten Maustaste an. Im Kontextmenü entscheiden Sie sich für den Eintrag Eigenschaften. Im Bereich Standort des Eigenschaften- ensters wählen Sie den gewünschten Standort für das Subnetz aus. Möchten Sie einen anderen als den standardmäßig eingerichteten Lizenzierungscomputer für einen Standort angeben, führen Sie die folgenden Schritte durch: In der Konsolenstruktur von Active Directory-Standorte und -Dienste markieren Sie den Eintrag des Standorts, für den Sie einen anderen Lizenzierungscomputer einrichten möchten, im Ordner Standorte durch einen Mausklick. Klicken Sie in der Detailansicht den Eintrag der Lizenzierungsstandorteinstellungen mit der rechten Maustaste an. Durch Auswahl der Option Eigenschaften im Kontextmenü öffnen Sie das dazugehörige Eigenschaften- enster. Rufen Sie die Registerkarte Lizenzierungseinstellungen auf. Im Bereich Lizenzierungscomputer betätigen Sie die Schaltfläche Ändern. Sie gelangen zum enster Computer auswählen, in dem Sie den entsprechenden Lizenzierungscomputer für den Standort angeben. Es muss sich bei dem ausgewählten Rechner nicht um einen Domänencontroller handeln. Bestätigen Sie die Änderung durch Anklicken von OK. 411

18 Neben den gerade beschriebenen standortspezifischen Konfigurationsmöglichkeiten können Sie einen Standort bei Bedarf umbenennen, löschen oder sich dessen Eigenschaften anzeigen lassen. Klicken Sie dafür die entsprechenden Menüeinträge im Kontextmenü an. Tipps Richten Sie einen Lizenzierungscomputer für einen Standort ein, sollten Sie darauf achten, dass er sich in demselben Standort befindet. Dadurch wird die Leistungsfähigkeit gesteigert. Organisationseinheiten erstellen und verwalten Anwendung Organisationseinheiten werden innerhalb einer Domäne erstellt. Objekte, wie zum Beispiel Gruppen, Benutzer und weitere organisatorische Einheiten, müssen in derselben Domäne vorhanden sein, damit sie in die organisatorischen Einheit integriert werden können. Ähnlich wie bei einer Domäne werden für Organisationseinheiten Gruppenrichtlinien festgelegt. Es ist möglich, Gruppen bzw. Benutzern administrative Rechte für eine oder mehrere Organisationseinheiten zuzuweisen. Umsetzung ür die Einrichtung und Konfiguration von Organisationseinheiten rufen Sie das enster Active Directory-Benutzer und -Computer über Start/Programme/Verwaltung/Active Directory-Benutzer und -Computer auf. Gehen Sie anschließend nach der folgenden Anleitung vor: Klicken Sie den Eintrag in der Konsolenstruktur mit der rechten Maustaste an, für den Sie eine Organisationseinheit erstellen möchten. Im Kontextmenü entscheiden Sie sich im Untermenü Neu für den Eintrag Organisationseinheit. Anschließend geben Sie in dem so geöffneten enster einen Namen für die Organisationseinheit an und klicken auf die Schaltfläche OK. Der Eintrag für die Organisationseinheit erscheint in der Konsolenstruktur. Um einer Gruppe bzw. einem Benutzer die Verwaltung für eine Organisationseinheit zuzuweisen, gehen Sie folgendermaßen vor: 412

19 Organisationseinheiten erstellen und verwalten Klicken Sie den Eintrag der Organisationseinheit in der Konsolenstruktur mit der rechten Maustaste an. Im Kontextmenü wählen Sie den Menüeintrag Objektverwaltung zuweisen aus. Es erscheint das Willkommen- enster des Assistenten zum Zuweisen der Objektverwaltung. Betätigen Sie die Schaltfläche Weiter, gelangen Sie zur nächsten Seite Benutzer oder Gruppen des Assistenten. Durch Anklicken der Schaltfläche Hinzufügen wird ein enster geöffnet, in dem Sie einen oder mehrere Benutzer bzw. Gruppen für die Verwaltung der Organisationseinheit aussuchen können. Diese werden im eld Ausgewählte Benutzer und Gruppen eingefügt. Auf der nächsten Seite Zuzuweisende Aufgaben... bestimmen Sie, welche Aufgaben die von Ihnen ausgewählten Benutzer bzw. Gruppen in der Organisationseinheit durchführen dürfen. Möchten Sie aus der Liste vorgegebener Aufgaben aussuchen, markieren Sie die Option olgende allgemeine Aufgaben zuweisen. Daraufhin kennzeichnen Sie die gewünschten Aufgaben in der Liste mit einem Haken. Klicken Sie anschließend auf die Schaltfläche Weiter, gelangen Sie bereits zur letzten Seite des Assistenten. Möchten Sie benutzerdefinierte Aufgaben für die Verwaltung der Organisationseinheit erstellen, markieren Sie die Option Benutzerdefinierte Aufgaben zum Zuweisen erstellen. Auf der darauf folgenden Seite mit der Bezeichnung Active Directory-Objekttyp geben Sie an, ob die Verwaltung für die ganze Organisationseinheit oder nur für bestimmte Objekte gelten soll. Im zweiten all markieren Sie die Option Nur den folgenden Objekten im Ordner, um in der dazugehörigen Liste die entsprechenden Objekte, die verwaltet werden sollen, auszusuchen. Betätigen Sie die Schaltfläche Weiter, werden Ihnen auf einer weiteren Seite die möglichen Berechtigungen für die Verwaltung angezeigt. Dabei wird zwischen den Berechtigungstypen Allgemein, Eigenschaftenspezifisch und Erstellen/Löschen der Berechtigungen von bestimmten untergeordneten Objekten unterschieden. In der dazugehörigen Liste markieren Sie die jeweiligen Berechtigungen, die Sie zuweisen möchten. Anschließend haben Sie die letzte Seite des Assistenten erreicht. Auf der letzten Seite werden die vorgenommenen Einstellungen zusammengefasst. Durch Anklicken der Schaltfläche ertig stellen werden die Angaben für die Verwaltung der Organisationseinheit übernommen. Um sich die Eigenschaften einer Organisationseinheit anzeigen zu lassen, klicken Sie deren Eintrag in der Konsolenstruktur mit der rechten Maustaste an. Im Kontextmenü entscheiden Sie sich für die Option Eigenschaften. Das Eigenschaften- enster einer Organisationseinheit besteht aus mehreren Registerkarten: 413

20 Assistent zum Zuweisen der Objektverwaltung In der Registerkarte Allgemein ist es möglich, eine Beschreibung und die Adresse der Organisationseinheit anzugeben. Die Registerkarte Verwaltet von umfasst mehrere elder, in denen Sie Angaben zum Benutzer oder Kontakt zu demjenigen aufnehmen können, der die Organisationseinheit verwaltet bzw. dafür verantwortlich ist. In der Registerkarte Gruppenrichtlinie fügen Sie Gruppenrichtlinienobjekte für die Organisationseinheit hinzu, konfigurieren diese und löschen unnötige Objekte. Weiterhin ist es möglich, folgende Aufgaben über das Kontextmenü einer Organisationseinheit durchzuführen: Wählen Sie den Eintrag Verschieben aus, können Sie die Organisationseinheit in einen anderen Ordner im Active Directory verschieben. Über den Menüeintrag Umbenennen ist es möglich, der Organisationseinheit einen anderen Namen zuzuweisen. Wählen Sie die Option Suchen aus, um bestimmte Objekte in der Organisationseinheit ausfindig zu machen. Über den Eintrag Löschen wird die Organisationseinheit gelöscht. Doch vor dem eigentlichen Löschvorgang werden Sie gefragt, ob die Organisationseinheit zusammen mit den darin enthaltenen Objekten entfernt werden soll. Durch Anklicken der Schaltfläche Ja werden anschließend sowohl die Organisationseinheit als auch die Objekte gelöscht. 414