Ulrich B. Boddenberg. Windows Server 2012 R2

Transkript

1 Ulrich B. Boddenberg Windows Server 2012 R2

2 Auf einen Blick Auf einen Blick 1 Warum eine neue Server-Version? Editionen und Lizenzen Hardware und Dimensionierung Protokolle Was ist.net? Installation Die Core-Installationsoption Active Directory-Domänendienste Netzwerkdienste im AD-Umfeld Active Directory Lightweight Directory Services (AD LDS) Active Directory-Verbunddienste (Federation Services) Active Directory-Zertifikatdienste Active Directory-Rechteverwaltungsdienste (AD RMS) »Innere Sicherheit« Dateisystem und Dateidienste Drucken Webserver (IIS) SharePoint Foundation und SharePoint Server Remotedesktopdienste (Terminaldienste) Hochverfügbarkeit Datensicherung Servervirtualisierung mit Hyper-V Windows PowerShell

3 Inhalt Inhalt Geleitwort Warum eine neue Server-Version? Rückblick Windows 1, 2 und Windows NT 3.1 Advanced Server Windows NT Server 3.5 und Windows NT 4 Server Windows 2000 Server und Windows Server Windows Server 2008 und Windows Server 2008 R Windows Server Windows Server 2012 R Aufgaben und Rollen Rollen Features Zusammenspiel mit anderen Microsoft-Produkten Editionen und Lizenzen Editionen Lizenzierung Hardware und Dimensionierung Serverhardware Prozessoren Serverarchitektur Hauptspeicher Festplatten Netzwerkkonnektivität Überwachung

4 Inhalt 3.2 Storage-Architekturen SAN, NAS, iscsi SAN-Architektur Premium Features von Storage-Systemen Virtualisierung Netzwerk Netzwerkstrukturen und Verfügbarkeit Anbindung von entfernten Nutzern Netzwerkmanagement Das Rechenzentrum Zugangskontrolle Feuer, Wasser Räumliche Anforderungen Stromversorgung Redundante Rechenzentren Mein Freund, der Systemmonitor Leistungsindikatoren, Objekte und Instanzen Protokoll erstellen Protokoll untersuchen Leistungsmessung über Computergrenzen hinweg Dimensionierung und Performance Festplatte & Co Hauptspeicher Prozessor Netzwerkkonnektivität Protokolle Mein Freund, der Netzwerkmonitor Kurzüberblick Messen und Auswerten ein Schnelleinstieg IPv4 vs. IPv Unterschiede IPv6 die Adressierung Vergabe von IPv6-Adressen Abschalten von IPv

5 Inhalt 4.3 Einige grundlegende Netzwerkprotokolle DHCP Dynamic Host Configuration Protocol ARP Address Resolution Protocol DNS Domain Name System Authentifizierung und Kerberos Authentifizierung vs. Autorisierung Kerberos Funktionsweise Delegierung Der Service Principal Name (SPN) Kerberos-Delegierung verwenden Shoot the Trouble Kernelmodus-Authentifizierung im IIS Was ist.net? Der Grundgedanke NET bei der Arbeit NET Framework und Compact Framework Code Access Security Von Codegruppen und Berechtigungssätzen WPF, WCF, WWF und CardSpace NET Framework 3.5 installieren Installation Grundinstallation Aktivieren Die Core-Installationsoption Verwaltung, Basis Verwendung von»sconfig.cmd« PowerShell nutzen

6 Inhalt Server-Manager verwenden MMC-Snap-Ins verwenden Weitere Rollen hinzufügen Server-Manager verwenden PowerShell verwenden Umwandeln Active Directory-Domänendienste Aufbau und Struktur Logische Struktur Schema Der globale Katalog (Global Catalog, GC) Betriebsmasterrollen/FSMO-Rollen Verteilung von Betriebsmasterrollen und Global Catalog Schreibgeschützte Domänencontroller Read Only Domain Controller (RODC) Planung und Design des Active Directory Abbildung des Unternehmens Übersichtlichkeit und Verwaltbarkeit Standorte Replikation Gruppenrichtlinien Ein neues Active Directory einrichten Den ersten Domänencontroller einrichten Zusätzliche Domänencontroller einrichten Gruppenrichtlinien Anwendungsbeispiel Richtlinien für Computer und Benutzer Verteilung über Domänencontroller Vererbung Sicherheit und Vorrang Filter Abarbeitungsreihenfolge, mehr Details Lokale GPOs (ab Windows Vista und Windows Server 2008) Starter-Gruppenrichtlinienobjekte / Starter-GPOs ADM vs. ADMX Zuweisen und Bearbeiten von Gruppenrichtlinien

7 Inhalt WMI-Filter Softwareverteilung mit Gruppenrichtlinien Loopbackverarbeitung Gruppenrichtlinien-Voreinstellungen (Preferences) Diverses über Gruppen Delegierung der Verwaltung Das Active Directory aus der Client-Perspektive DNS-Einträge oder»wie findet der Client das Active Directory?« Das Active Directory durchsuchen Individuelle Erweiterungen Zeitdienst Grundkonfiguration der Zeitsynchronisation Größere Umgebungen Upgrade der Gesamtstruktur auf Active Directory-Domänendienste (AD DS) 2008/2012/R Schemaerweiterung und Anpassung der Domänen durchführen Windows Server 2012 R2-Domänencontroller installieren Kurze Überprüfung FSMO-Rollen verschieben Alte Domänencontroller deinstallieren und einheitlichen Modus wählen Real-World-Troubleshooting ein Beispiel Umstrukturieren Werkzeugkiste Active Directory Best Practice Analyzer Der Active Directory-Papierkorb Voraussetzungen Active Directory-Papierkorb aktivieren Gelöschte Objekte anzeigen und wiederherstellen Wiederherstellen mit der PowerShell Active Directory-Verwaltungscenter Kennwort zurücksetzen Benutzer suchen und Attribute anzeigen und modifizieren Navigieren und filtern Neuanlegen von Objekten Navigationsknoten und mehrere Domänen Technik im Hintergrund und Voraussetzungen Active Directory-Webdienste (Active Directory Web Services, ADWS)

8 Inhalt 8.16 Active Directory-Modul für Windows-PowerShell Offline-Domänenbeitritt Netzwerkdienste im AD-Umfeld DNS Zonen Server Weiterleitungen und Delegierungen Einen DNS-Server für das AD hinzufügen Manuell Einträge hinzufügen Reverse-Lookupzone einrichten Wie findet der Client einen Domänencontroller? DHCP Einen neuen DHCP-Server einrichten Konfiguration und Betrieb Redundanz WINS NetBIOS über TCP/IP Active Directory Lightweight Directory Services (AD LDS) Installation Einrichten einer Instanz Administration Replikation einrichten Active Directory-Verbunddienste (Federation Services) Ein Anwendungsszenario Installation Die Kernidee

9 Inhalt 12 Active Directory-Zertifikatdienste Einige Anwendungsszenarien Internet-Authentifizierung und Verschlüsselung Sichere Codesignatur IP-Verschlüsselung Anmeldung mit Smartcard Wireless Authentification (802.1X) Fazit Zertifikatdienste installieren und Migration (einstufige Architektur) Zertifikate aus Sicht des Clients Zertifizierungspfad Zertifikatvorlagen Weboberfläche Mehrstufige Architekturen Rollen Architekturen Autoenrollment und automatische Zertifikatanforderung Automatische Zertifikatanforderung Autoenrollment Zertifikate für Websites Zertifikatsperrlisten Funktionsweise ganz grob Sperrlisteneinträge Gültigkeit einer Sperrliste Zertifikatgültigkeit überprüfen Der Cache ISA Server zum Veröffentlichen des Speicherortes verwenden Das Online Certificate Status Protocol (OCSP) Konfiguration des Online-Responders Anpassung der Zertifizierungsstelle Testen ISA Server-Veröffentlichung Zweistufige Architektur implementieren Offline-CA installieren und konfigurieren Zertifikat und Sperrliste dem Unternehmenszertifikatserver und dem Active Directory hinzufügen

10 Inhalt Unternehmens-CA installieren Sperrlisten-Verteilungspunkt mit ISA Server veröffentlichen Zertifikate und Windows Mobile Pocket PC und Pocket PC Phone Edition Smartphone Zertifikate und das iphone Active Directory-Rechteverwaltungsdienste (AD RMS) Funktionsweise Installation Server-Installation Feinkonfiguration Vorlage für Benutzerrichtlinien erstellen Gruppenrichtlinien Client-Installation Anwendung Word-Dokument schützen schützen Statistik Abschlussbemerkung »Innere Sicherheit« Netzwerkrichtlinien- und Zugriffsdienste Wie funktioniert NAP? Netzwerkrichtlinienserver Client vorbereiten Mehrstufiges NAP-Konzept vorbereiten NAP für DHCP-Zugriff Und die anderen Netzwerkverbindungsmethoden? Windows-Firewall Eingehende und ausgehende Regeln Basiskonfiguration Regeln im Detail Verbindungssicherheitsregeln

11 Inhalt 14.3 Windows Server Update Services (WSUS) Die Funktionsweise Erstkonfiguration mit dem Assistenten Konfiguration und Betrieb Updates genehmigen Gruppenrichtlinie konfigurieren Kurzer Blick auf den WSUS-Client Mit Berichten arbeiten VPNs mit Windows Server 2012 R Gateway-Architektur Grundkonfiguration des VPN-Servers VPN einrichten (allgemein) Einwahlberechtigung PPTP-VPN L2TP-VPN SSTP Automatischer Modus Connection Manager Administration Kit (CMAK, Verbindungs-Manager- Verwaltungskit) Dateisystem und Dateidienste Allgemeines zum Dateisystem Aufbau Platten verwalten MBR vs. GPT Partitionieren Basis-Datenträger vs. dynamische Datenträger Spiegeln Volumes vergrößern und verkleinern Weitere Optionen Schattenkopien Volume Shadow Copy Service Transactional NTFS und Self-Healing NTFS Installation der Rolle»Dateiserver« Ressourcen-Manager für Dateiserver (RMDS) Kontingentverwaltung Dateiprüfungsverwaltung (File Screening Management) Speicherberichteverwaltung

12 Inhalt 15.4 Verteiltes Dateisystem Distributed File System (DFS) Grundfunktion DFS und DFS-Replikation Ausfallsicherheit Verteilen von Daten standortübergreifendes DFS Sicherung von Daten DFS installieren Basiskonfiguration Konfiguration der Replikation Redundanz des Namespaceservers Encrypting File System (EFS) Konfiguration und Anwendung Zugriff für mehrere Benutzer Datenwiederherstellungs-Agenten EFS per Gruppenrichtlinie steuern Cipher ReFS und Speicherpools iscsi-zielserver (iscsi-taget) Einrichten eines iscsi-targets Ein iscsi-target verwenden Datendeduplizierung Drucken Einige Begriffe und Definitionen Druckerserver, Drucker und Druckerobjekte XPS Installation Arbeiten mit der Druckverwaltung Drucker installieren Zusätzliche Treiber installieren Anschlüsse konfigurieren Druckerserver konfigurieren Eigenschaften und Druckerstandards Import und Export der Konfiguration Arbeiten mit Filtern (Überwachen) Drucker bereitstellen

13 Inhalt 17 Webserver (IIS) Begriffsdefinitionen Webapplikation vs. Webservice Website vs. Webseite ASP.NET Die Entwicklungsumgebung Clientseitig: JavaScript Die web.config-datei Kompilierung und Vorkompilierung Sicherheit und ASP.NET Installation Kurzer Überblick über die Architektur des Webservers Architektur Anforderungsverarbeitung Anforderungsverarbeitung im Anwendungspool Die»Modulbauweise« Webserver, Websites, Anwendungen, virtuelle Verzeichnisse und Anwendungspools Die Zusammenhänge Webserver Anwendungspool Website Anwendungen Virtuelles Verzeichnis Authentifizierung Anonyme Authentifizierung Standardauthentifizierung Digestauthentifizierung Windows-Authentifizierung Authentifizierungsdelegierung Webanwendungen und Kerberos Delegierung, eingeschränke Delegierung und Protokollübergang Formularauthentifizierung Autorisierung NTFS-Berechtigungen URL-Autorisierung

14 Inhalt 17.8 Sonstiges zum Thema»Sicherheit« SSL-Verschlüsselung NET-Vertrauensebenen IP- und Domäneneinschränkungen Sitzungszustand & Co Load Balancing und Redundanz Verwendung von Microsoft NLB Remoteanforderungen Freigegebene Konfiguration Sitzungsstatus Datenbankserver & Co Administration Remote-Administration Remote-Administration für Nicht-Server-Administratoren und IIS-Benutzer Delegierung von Features Protokollierung Der Best Practice Analyzer (BPA) IIS-Schlussbemerkung SharePoint Foundation und SharePoint Server Warum SharePoint? Unternehmenswissen Intranet, Extranet und Internet Content Manager und andere Rollen Wie viele Mausklicks? Oder: Über die Benutzereffizienz Projekt und Einführung Remotedesktopdienste (Terminaldienste) Die Funktionen aus Metern Höhe Installation Basisinstallation Erster Blick Lizenzserver konfigurieren

15 Inhalt Sitzungssammlung erstellen Desktopdarstellung Benutzerzugriff Installation von Anwendungen Desktop bereitstellen RemoteApp-Programme Administration und Verwaltung Bereitstellung konfigurieren Eigenschaften der Sammlung Benutzeradministration Remotesupport für Benutzer Loopbackverarbeitung Remotedesktopdienstelizenzierung Drucken, Easy Print Installation von Easy Print Kurze Überprüfung Gruppenrichtlinien Web Access für Remotedesktop RemoteApp- und Desktopverbindungen mit Windows 7 und Remotedesktopdienste-Farmen mit Netzwerklastenausgleich und Remotedesktopdienste-Verbindungsbroker Schlussbemerkung Hochverfügbarkeit Vorüberlegungen Allgemeines Hardware und Konfiguration Failover-Cluster Aktiv vs. Passiv und n Installation Anwendungen hinzufügen Cluster schwenken Feinkonfiguration des Clusters und weitere Vorgehensweise Clusterfähiges Aktualisieren SQL Server 2012 installieren

16 Inhalt 20.3 Network Load Balancing Funktionsweise des Network Load Balancing Installation und Konfiguration Ein paar Hintergründe Webserver, Kerberos und NLB NLB-Troubleshooting allgemein Datensicherung Sicherung Wiederherstellung Dateien und Ordner Server wiederherstellen Servervirtualisierung mit Hyper-V Allgemeine Überlegungen zur Servervirtualisierung Scale-out vs. Scale-up Servervirtualisierung und SAN Planung und Performance Was soll virtualisiert werden? Editionen und Installationsmöglichkeiten Windows Server 2012:»normal«und Core Hyper-V Server Der Hyper-V-Manager Installation und Grundkonfiguration Vorbereitung, insbesondere Netzwerkkonfiguration Installation Grundeinstellung (Hyper-V-Einstellungen) Netzwerkeinstellungen Administration von virtuellen Maschinen mit dem Hyper-V-Manager Neue virtuelle Maschine anlegen Einstellungen bearbeiten (Dynamische) Speicherverwaltung Die»laufende«VM

17 Inhalt 22.6 Verbesserung der Verfügbarkeit Replikation Clustering Erweiterte Möglichkeiten Snapshots VMs verschieben Exportieren/Importieren Einfache Sicherung/Wiederherstellung System Center Virtual Machine Manager Aufbau und Architektur Installation Schnellüberblick Virtuelle Maschine anlegen Virtuelle Maschine aus Vorlage erzeugen Virtuelle Maschinen verschieben Konvertieren (P2V und V2V) Windows PowerShell Ein paar Grundlagen Cmdlets Alias Skripte Pipelines Die Entwicklungsumgebung PowerShell-Fazit Index

18 8.3 Ein neues Active Directory einrichten Abbildung 8.80 Mit»repadmin.exe«können Sie überprüfen, ob und wann ein Domänencontroller erfolgreich mit seinen Replikationspartnern repliziert hat Gruppenrichtlinien Das Thema»Gruppenrichtlinien«ist so wichtig, dass es in einem eigenen Abschnitt untergebracht ist, und zwar in Abschnitt Ein neues Active Directory einrichten Nachdem ich Sie viele Seiten lang mit Grundlagen (oder dem, was ich dafür halte) gequält habe, wollen wir nun die Installation eines Active Directory betrachten. Ältere Active Directorys Falls Sie bereits ein älteres Active Directory verwenden, werden Sie sich vermutlich deutlich mehr für Abschnitt 8.9 interessieren, denn dort geht es um die Migration. Für diejenigen, die das erste Active Directory installieren, gibt es im nächsten Abschnitt einen Schnelldurchlauf keine Sorge, die Installation ist wirklich nicht schwierig. 299

19 8 Active Directory-Domänendienste Den ersten Domänencontroller einrichten Der erste Schritt ist das Hinzufügen der Rolle Active Directory-Domänendienste, was Sie wie üblich mit dem Server-Manager erledigen können (Abbildung 8.81). Abbildung 8.81 Hier ist der Startpunkt im 2012er-Server-Manager. Das Hinzufügen ist im Grunde genommen nur ein Kopieren der benötigten Dateien; die Rolle ist (bzw. die dazugehörigen Dateien sind ) zwar vorhanden, der Server ist aber trotzdem (noch) kein Domänencontroller. Abbildung 8.82 Der erste Schritt ist die Installation der Serverrolle, benötigte Features werden automatisch hinzugefügt. 300

20 8.3 Ein neues Active Directory einrichten Auf der letzten Dialogseite werden Sie den Hinweis finden, dass die eigentliche»domänencontroller-werdung«noch durchgeführt werden muss (Abbildung 8.83). Abbildung 8.83 Nach der Installation der Rolle muss der Assistent aufgerufen werden, der aus dem Server einen DC macht. Wenn Sie den auf Abbildung 8.83 gezeigten Abschlussdialog schließen, ohne den»dc-heraufstufungs-assistenten«gestartet zu haben, schauen Sie im Server-Manager in die Kopfzeile. Dort wird ein Ausrufezeichen darauf hinweisen, dass Meldungen vorhanden sind. Eine davon wird Sie auffordern, den Server zum Domänencontroller heraufzustufen und schon ist der Assistent gestartet (Abbildung 8.84)....und dcpromo? Bisher war an dieser Stelle immer das Eintippen von dcpromo angesagt. Das kann man in Server 2012/R2 sogar machen, aber es erscheint lediglich der Hinweis, dass diese Funktionalität jetzt in den Server-Manager integriert ist. Sie starten nun den Active Directory-Domänendienste-Installationassistenten (Abbildung 8.82): Auf der ersten Seite des Assistenten wählen Sie aus, ob der neu einzurichtende Domänencontroller in eine bereits bestehende Gesamtstruktur integriert werden soll oder ob eine völlig neue Gesamtstruktur erstellt werden soll. In unserem Fall wählen Sie die letztgenannte Option und machen so den neuen Domänencontroller zur Keimzelle des neuen Forests. 301

21 8 Active Directory-Domänendienste Zunächst muss der FQDN der neuen Gesamtstruktur angegeben werden. Es sei darauf hingewiesen, dass es im Allgemeinen keine so glückliche Idee ist, ein Domänen-Suffix (.de,.com) zu vergeben, das im öffentlichen Internet verwendet wird. Technisch ist das zwar möglich, allerdings machen Sie sich das Leben dadurch unnötig schwer. Abbildung 8.84 So kann der Assistent auch gestartet werden. Benennung Auf Abbildung 8.85 sehen Sie, dass die Domäne ubexec.ads.boddenberg.de genannt worden ist, also ein.de-name, von dem ich einige Zeilen zuvor abgeraten habe. Da aber eine separate DNS-Domäne, nämlich ads.boddenberg.de, gewählt worden ist, riskieren Sie nicht die Split-DNS-Probleme, die bei Verwendung von boddenberg.de entstanden wären. Abbildung 8.85 Der Assistent führt Sie durch das Erstellen einer neuen Domäne in einer neuen Gesamtstruktur. 302

22 8.3 Ein neues Active Directory einrichten Achten Sie darauf, dass die Domäne Ihnen»gehört«Ich habe etliche Kunden, die intern»offizielle«domänennamen verwenden, obwohl sie nicht im Besitz dieser Domäne sind. Das ist sehr unglücklich. Es gelten also folgende Regeln: Geben Sie niemals einer Domäne einen Namen, den Sie nicht besitzen. Wenn Sie einen offiziellen Namen verwenden und ihn noch nicht registriert haben, holen Sie das sofort nach bevor es jemand anders tut. Abbildung 8.86 zeigt den nächsten Dialog für die Erstellung der neuen Gesamtstruktur: Eine wesentliche Entscheidung ist die Festlegung der Funktionsebene für die Gesamtstruktur. Wenn Sie beispielsweise Windows Server 2012 R2 auswählen, bedeutet das, dass es in der kompletten Umgebung nur Domänencontroller mit diesem Betriebssystem geben kann. Es ist kein Problem, Member-Server oder Clients mit älteren Betriebssystemen in der Domäne zu betreiben, aber mit DCs geht das nicht. Die Funktionsebene Windows Server 2008 beispielsweise gestattet DCs mit dem 2008er- und dem 2012er-Betriebssystem. Wenn Sie sicher sind, dass es wirklich nur Windows Server 2012-Domänencontroller geben wird, sollten Sie die Funktionsebene ruhig auf»höchster Stufe«konfigurieren. Abbildung 8.86 Hier geben Sie den FQDN der Stammdomäne und der Gesamtstruktur und die Gesamtstrukturfunktionsebene ein. Active Directory benötigt zwingenderweise eine funktionierende DNS-Infrastruktur. Bei der Installation eines Domänencontrollers können Sie auf Wunsch den DNS-Server gleich 303

23 8 Active Directory-Domänendienste mit installieren lassen. Beim ersten DC ist das im Allgemeinen eine gute (bzw. die richtige) Wahl. Das Kennwort für den Wiederherstellungsmodus sollten Sie gut geschützt aufbewahren. Damit meine ich, dass es zum einen nicht einfach zu erraten sein sollte, zum anderen sollten Sie (oder andere berechtigte Personen) im Fall der Fälle darauf problemlos Zugriff haben. Der nächste, auf Abbildung 8.87 gezeigte Dialog, ist neu in Server Sie können wählen, ob eine DNS-Delegierung erstellt werden soll, und können ggf. das zu verwendende Konto hinterlegen. Diese Einstellung macht nur dann Sinn, wenn der übergeordnete Namensserver erreichbar ist und mit Microsoft-Technologie läuft. Abbildung 8.87 Entscheiden Sie, ob eine Delegierung erstellt werden soll bzw. erstellt werden kann. Ein Beispiel für die Delegierung Was es mit der Erstellung der Delegierung für den neuen DNS-Server auf sich hat, lässt sich anhand eines Beispiels aus dem öffentlichen Internet erklären: Für jede Domäne, beispielsweise boddenberg.de, existiert ein autorisierender Namensserver, der die Adressen der Server, wie beispielsweise oder mail.boddenberg.de, auflösen kann. 304

24 8.3 Ein neues Active Directory einrichten Damit dieser Server gefunden wird, wird beim Root-Server der Top-Level-Domain.de eine Delegierung dorthin erstellt. Vereinfacht gesagt, sorgt eine Delegierung dafür, dass ein Client, der einen Server im Namensraum boddenberg.de sucht, vom Top-Level-Namensserver an den zuständigen Namensserver verwiesen wird. Auf Abbildung 8.88 sehen Sie die Delegierung, die in dem hier gezeigten Beispiel erstellt wurde: Die Domäne boddenberg.de wird von Microsoft-DNS-Servern verwaltet. ads ist als Container erstellt worden. In diesem wiederum findet sich die Delegierung auf ubexec nebst Nennung des Namensservers. Abbildung 8.88 Diese Delegierung wurde in dem hier gezeigten Beispiel automatisch erstellt. Abbildung 8.89 zeigt, dass der NetBIOS-Name der Domäne nach wie vor eine Rolle spielt. Dieser Name sollte (muss aber nicht!) dem ersten Teil des FQDNs entsprechen, also ubexec bei ubexec.ads.boddenberg.de. Wenn Sie von dieser Vorgehensweise abweichen, gibt es zwei mögliche Probleme: Es wird unübersichtlich, vor allem, wenn Sie mehrere Domänen haben. Es könnte zu erhöhtem Konfigurationsaufwand kommen. Beispielsweise müssen Sie beim SharePoint-Benutzerprofil-Sync-Dienst zusätzliche Schritte ausführen, wenn Net- BIOS-Name und FQDN unterschiedlich sind. 305

25 8 Active Directory-Domänendienste Punkte im NetBIOS-Namen Punkte im NetBIOS-Namen sind absolut tabu! Sie führen zu unlösbaren Problemen. Abbildung 8.89 Der NetBIOS-Name der Domäne ist noch immer gefragt. Abbildung 8.90 zeigt eine weitere wichtige Dialogseite des Assistenten. Sie müssen entscheiden, wo die Datenbankdateien des Domänencontrollers abgelegt werden sollen. Der»reinen Lehre«entsprechend sagt man zwar, dass keine produktiven Daten auf der C-Platte abgelegt werden sollen. Ich muss allerdings sagen, dass wohl auf 99% der Domänencontroller dieser Welt die AD-Datenbankdateien genau dort liegen. Aus Gründen der Vereinfachung und Bequemlichkeit tendiere ich auch dazu, diese im Standardpfad zu speichern. Ich habe zudem das unbestimmte Gefühl, dass das eine oder andere Dritthersteller- Werkzeug direkt»aus der Kurve fliegt«, wenn die Dateien an einem anderen Ort gespeichert werden. Ebendiese Argumentation gilt für das SYSVOL-Verzeichnis, in dem diverse von den Clients bei der Anmeldung benötigte Dateien vorgehalten werden vornehmlich alles rund um die Gruppenrichtlinien. Wer Exchange 2007 administriert (hat), kennt die Dialoge, in denen das zum selben Ergebnis führende PowerShell-Skript angezeigt wird. Das Active Directory-Team folgt diesem Beispiel und bietet im Dialog Optionen prüfen (Abbildung 8.91) einen Schalter an, mit dem Sie sich das PowerShell-Skript anzeigen lassen können, das zum Erstellen des neuen Forests dient. 306

26 8.3 Ein neues Active Directory einrichten Abbildung 8.90 Der Speicherort für die Systemdateien und die Auswahl des Wiederherstellungskennworts Abbildung 8.91 Das zugehörige PowerShell-Skript kann ausgegeben werden. 307

27 8 Active Directory-Domänendienste Nachdem Sie alle Eingaben im Assistenten getätigt haben, wird die Installation des Domänencontrollers durchgeführt. Sie dauert einige Minuten. Nach dem abschließenden Neustart verfügen Sie über eine funktionsfähige Active Directory-Gesamtstruktur mit einer Domäne Zusätzliche Domänencontroller einrichten Das Einrichten eines zusätzlichen Domänencontrollers funktioniert zunächst wie beim ersten DC. Sie fügen also eine Rolle hinzu und starten den Assistenten. Der wesentliche Unterschied begegnet Ihnen direkt auf der ersten Seite des Assistenten. Dort entscheiden Sie sich jetzt nicht für das Erstellen einer neuen Gesamtstruktur, sondern machen den Server zu einem Domänencontroller in einer bereits existierenden Domäne oder aber zum ersten DC einer neuen Domäne in einer vorhandenen Gesamtstruktur (Abbildung 8.92). Abbildung 8.92 Wählen Sie eine Option für die Installation des neuen DCs aus. Der weitere Verlauf des Assistenten wird Sie vor keine größere Herausforderung stellen. Wenn alle Eingaben gesammelt sind, wird der DC eingerichtet und eine erste Replikation durchgeführt. Apropos Replikation: Eine Neuerung ab Server 2012 sehen Sie auf Abbildung Sie können die Replikatsquelle auswählen. Sie ist entweder ein wählbarer Domänencontroller oder ein Medium. 308