Windows-Domänenverwaltung

Transkript

1 Windows-Domänenverwaltung

2 Gliederung Grundlagen Domänen Planung einer Domäne Wartung und Verwaltung einer Domäne Vorführung

3 Windows - Domänen Eine Domäne stellt einen logischen Verbund von Computern dar, die über einen gemeinsamen Domänennamen verfügen. Grundlage ist das DNS = Domain Name Service

4 DNS DNS dient zum Auflösen von Host-Namen zu IP- Adressen und umgekehrt. DNS arbeitet mit einem hierarchischen Namensraum. Jede Hierarchieebene wird dabei von der nächsten durch einen Punkt >>.<< abgetrennt. Die Wurzel innerhalb der DNS-Hierarchie wird als Root oder Stamm bezeichnet.

5 DNS Auf höchster Ebene der DNS-Hierarchie unterhalb der Root-Domain befinden sich die Top-Level- Domains (TLD), die auch als Domänen der obersten Ebene bezeichnet werden. Es existieren zwei Arten von Domänen: -Organisatorische Domänen -Geographische Domänen

6 Organisatorische Top-Level Domains.aero Fluggesellschaften/Luftfahrt*.arpa Einrichtung des ARPANet.asia Asiatische Anbieter****.biz Business*.com Commercial.coop genossenschaftliche Unternehmen*.edu Education.gov Government.info Informationsangebote*.int International jobs Unternehmen** Jobangebote von.mil Military (US-Militär).mobi Für Mobilfunk optimierte Webseiten***.museum Museen*.name Privatpersonen*.nato NATO (veraltet).net Net (Netzwerkbetreiber).org Organization (Nichtkommerzielle Organisation.pro Professionals*.travel Touristikindustrie** * Neu seit dem ** Neu ab Mitte 2005 *** Neu ab Mitte 2006 **** Neu ab Oktober 2007 Quelle:

7 Geografische Domänen.at Österreich.au Australien.cc Kokos-Inseln.ch Schweiz.de Deutschland.fr Frankreich.gr Griechenland.ie Irland.it Italien.li Lichtenstein.nl Niederlande.no Norwegen.ru Russland.to Tonga.uk Vereinigtes Königreich

8 DNS-Aufbau und Struktur Root Top-Level Domain MIL EDU COM DE GOV NET... 1st Level Domain IBM FH-Wiesbaden Yahoo Subdomain Informatik Server1.Informatik.fh-wiesbaden.de

9 DNS-Namespace Jeder Host der in dem DNS Namespace Mitglied ist, besitzt einen Fully Qualified Domain Name (FQDN) Eintrag Beispiel: Server1.informatik.fh-wiesbaden.de

10 Domänencontroller (DC) Zum Aufbau einer Domäne ist ein DC nötig. DC ist er für die Unterhaltung einer Domäne und des dortigen Verzeichnisses ( Active Directory) verantwortlich. - Anmeldung der Clients an Domäne. Es gibt keine Unterscheidung zwischen PDC (Primary Domain Controller) und BDC (Backup Domain Controller) wie unter Windows NT 4.0.

11 Weitere Server-Modelle Mitgliedsserver Applikationsserver (Terminalserver, - Server usw. ) Eigenständiger Server

12 Active Directory Das Active-Directory entspricht einer Art spezialisierter Datenbank (der Verzeichnisdatenbank) Wie Windows NT 4.0 beruht das Active Directory auf dem Prinzip der DOMÄNE. Eine Active Directory Domäne steht für einen eindeutigen Namensraum (engl. Namespace) fh-wiesbaden.com

13 Windows NT 4.0 vs. Windows Server 2000/2003 NT 4.0 besitzt SAM- Datenbank (Security Account Manager) zum Verwalten von Benutzer. NT 4.0 Domäne muss mindestens einen PDC besitzen, der Lese und Schreibrechte auf SAM- Datenbank besitzt. BDC nur Leserechte. Singlemaster-Modell Verzeichnisdatenbank (Active Directory) Multimaster-Modell alle Veränderungen am Verzeichnis werden an alle DC in der Domäne repliziert.

14 Vertrauensstellungen (Trusts) Um mehrere Domänen miteinander zu verbinden musste Windows NT 4.0 explizite Vertrauensstellungen einrichten -> diese waren nicht-transitiv und unidirektional. In einer Active Directory Umgebung sind Vertrauensstellungen transitiv und bidirektional.

15 Vertrauensstellungen NT 4.0 Domäne A Domäne B Domäne C Vertrauensstellungen immer: nicht-transitiv und unidirektional

16 Vertrauensstellungen AD-Domänen Domäne A Domäne B Domäne C Vertrauensstellungen sind immer: transitiv und bidirektional

17 Gesamtstruktur (Forest) Stammdomäne der Gesamtstruktur Fh-Wiesbaden.de Stammdomäne Fh-Frankfurt.de Stammdomäne Stammdomäne Informatik.Fh- Wiesbaden.de Stammdomäne Geisenheim.Fhwiesbaden.de Informatik.Fh- Frankfurt.de

18 Gruppenrichtlinien (Group Policies) Gruppenrichtlinien sind ein mächtiges Instrument zum zentralen Verwalten von Benutzern und Computern Gruppenrichtlinien erlangen nur Gültigkeit auf Computern mit Windows Server 2003, Windows XP Professional oder Windows Auf Windows XP Home Edition oder Windows NT 4.0 haben Gruppenrichtlinien keine Auswirkungen, hier müssen Systemrichtlinien herangezogen werden.

19 Gruppenrichtlinien-Einstellungen Gruppenrichtlinien-Objekte müssen mit einem Container des Active Directory verknüpft werden. - Organisationseinheiten, Domäne oder Standorte Es gibt zwei Arten von Gruppenrichtlinien: 1.Computerkonfiguration 2.Benutzerkonfiguration

20 Gruppenrichtlinien-Einstellungen Beim Hochfahren des Computers gelangen die im Container Computerkonfiguration angegeben Einstellungen zur Anwendung. Die auf die Computerkonfiguration bezogenen Gruppenrichtlinien werden gültig, bevor der Windows-Anmeldebildschirm erscheint und zum Drücken von STR+ALT+ENTF oder Einlegen einer Smartcard auffordert. Führt ein Benutzer von diesem Computer aus eine Anmeldung an einer Domäne durch, werden die im Container Benutzerkonfiguration angegeben Einstellungen zutreffenden Gruppenrichtlinien- Objekte angewandt.

21 Gruppenrichtlinien-Einstellungen Reihenfolge der Abarbeitung: 1.Standorten 2.Domänen 3.Organisationseinheiten Standort Domäne -Computer startet, Betriebssystem fährt hoch -Benutzer meldet sich interaktiv an der Domäne an OU

22 Benutzerkonten Lokale Benutzerkonten (Nur auf lokalem Computer gespeichert Lokale SAM) Domänen Benutzerkonten (In Active Directory gespeichert)

23 Lokales Benutzerkonto - Administrator Das Konto Administrator erlaubt die Verwaltung eines Computers. Das Konto kann alle Änderungen auf dem Computer vornehmen: - Erstellen und Löschen von Benutzerkonten auf dem Computer. - Ändern der Kontonamen, Kennwörter und Kontotypen anderer Benutzer.

24 Lokales Benutzerkonto Eingeschränktes Konto Das eingeschränkte Konto richtet sich an Benutzer, die nicht in der Lage sein sollen, wesentliche Computereinstellungen zu ändern und wichtige Dateien zu löschen: - Zugriff auf Programme die bereits auf dem Computer installiert sind, jedoch keine Installation von Software und Hardware. - Kontoname, Kontotyp kann der Benutzer eines eingeschränkten Kontos nicht ändern.

25 Benutzerprofil Ein Benutzerprofil definiert benutzerspezifische Konfiguration, wie z.b. angepasste Desktopeinstellungen, individuelle Anwendungseinstellungen sowie dauerhafte Druckerverbindungseinstellungen. Ihre Desktopumgebung kann von ihnen selbst oder von einem Systemadministrator eingerichtet werden. Erweiterte Benutzerprofile: Servergespeichertes Benutzerprofil Verbindliches Benutzerprofil

26 Servergespeichertes Profil Ein servergespeichertes Benutzerprofil, das vom Systemadministrator erstellt und auf einem Server gespeichert wird. Dieses Profil steht immer zur Verfügung, wenn der Benutzer sich an einem Computer im Netzwerk anmeldet.

27 Verbindliches Benutzerprofil Das verbindliche Benutzerprofil wird nicht aktualisiert, falls Änderungen vom Benutzer gemacht wurden. Vorgehensweise : 1. Erstellen eines servergespeichertes Profils 2. Ändern des Namen von NTUser.dat in NTUser.man.

28 Domänen Konten Replikation Anmeldung Anmeldung Domänen Konten werden in der AD Datenbank und nicht auf den lokalem Computer gespeichert

29 Vordefinierte Benutzerkonten Administrator Gast Hilfsassistent

30 Verwalten von Gruppen Für was Gruppen? - Auf Gruppen können Berechtigungen für Ressourcen zugewiesen werden. Gruppentypen: - Sicherheit - Verteilung

31 Globale Gruppen Enthalten Mitglieder aus derselben Domäne Erlauben Zugriff auf Ressourcen in allen Domänen der Gesamtstruktur Der Gruppenname wird im globalen Katalog repliziert. Eine Globale Gruppe kann als Mitglieder keine Gruppen besitzen

32 Universelle Gruppen Enthalten Mitglieder aus allen Domänen der Gesamtstruktur Erlauben Zugriff auf Ressourcen in allen Domänen der Gesamtstruktur Mitgliedschaften werden im globalen Katalog in der Gesamtstruktur repliziert. Mitgliedschaften und Änderungen sollten deshalb auf ein Minimum reduziert werden. Es sollten keine einzelnen Benutzer zugefügt werden. Universale Gruppen stehen nur im einheitlichen Modus zur Verfügung.

33 Was sind Domänenfunktionsebenen? Windows 2000 gemischt Windows 2000 pur Windows Server 2003 Unterstützte Domänencontroller Windows NT Server 4.0, Windows 2000, Windows 2000, Windows Server 2003 Windows Server 2003 Windows Server 2003 Unterstützte Gruppenbereiche Global,lokal in der Domäne Global,lokal in der Domäne, universell Global,lokal in der Domäne, universell

34 Gruppenstrategien In der Praxis hat sich folgende Verfahrensweise etabliert: Das A - G - DL - P Prinzip. Accounts go in Global Groups nested in Domain Local Groups that are granted Permissions. Man fügt ein Benutzerkonto (Account) in eine Globale Gruppe, anschließend in eine domänenlokale Gruppe und vergibt die gewünschte Berechtigung auf die Ressource. Weitere Strategien: -AGP -AGUDLP -ADLP

35 NTFS/Freigabe - Berechtigungen Das NTFS Dateisystem erlaubt eine sehr genaue und feine Kontrolle der Benutzer- Berechtigungen.

36 Standardmäßige Berechtigungen Lesen: Schreiben: Ordnerinhalt Auflisten: Daten lesen Dateien erstellen, überschreiben und Ordner erstellen Erlaubt das Einsehen (nicht öffnen) von Datei -u. Unterordner Namen in einem Ordner Lesen,Ausführen:Erlaubt das Ausführen (öffnen) Ändern: Vollzugriff: eines Programms Beinahe Vollzugriff, mit Ausnahme Besitz Übernehmen und Berechtigungen Ändern Vollzugriff

37 Berechtigungen sind kumulativ Berechtigungen werden kumuliert bei mehrfacher Mitgliedschaft Benutzer 1 Lesen Gruppe 1= Lesen Schreiben Gruppe 2= Schreiben File.doc Berechtigungen: Lesen und schreiben

38 Freigegebene Ordner Freigaben erlauben es Benutzern, Netzwerk Ressourcen von ihrem lokalem Computer aus einzusehen. -Freigaben die mit $ enden, sind unsichtbar Bsp: \\Server1\Freigabe$

39 Freigabeberechtigungern Zusätzlich zu den NTFS Berechtigungen kann eine Freigabe ihren eigenen Satz von Berechtigungen haben. Lesen: Ändern: Anzeigen von Daten in Dateien und Attributen, Datei u. Ordnernamen Ausführen von Programmen Hinzufügen von Dateien und Unterordnern Ändern von Daten in Dateien Löschen von Dateien und Unterordnern Vollzugriff: Enthält alle Lese- u. Änderungsberechtigungen

40 Kombinieren von Freigabe und NTFS Berechtigungen Wenn sich ein Benutzer mit einer Netzwerk Ressource verbindet, werden die Berechtigungen der Freigabe und NTFS effektiv. Es wird folgende Formel angewendet: Addieren aller Freigabe Berechtigungen (kleinste Einschränkung) Addieren aller NTFS Berechtigungen (kleinste Einschränkung) Dann werden die Resultate von NTFS und Freigabe verglichen, der Satz Rechte der am stärksten eingeschränkt ist, ergibt die effektive Berechtigung

41 Kombinieren von Freigabe und NTFS Berechtigungen NTFS Freigabe Gruppe 1= L Gruppe 2= VZ USER Gruppe 1= L Gruppe 2= Ä kleinste Einschränkung kleinste Einschränkung stärkste Einschränkung VZ Ä Ä

42 ENDE und DANKE!!