reditiotlrfs Inhaltsverzeichnis Mag. Christian Zahler, August Windows Server 2008 R2: Active Directory

Transkript

1

2 Tree Domain reditiotlrfs Inhaltsverzeichnis 1 Das Active Directory-Domänenkonzept von Windows Server 2008 R Bestandteile der Active Directory Domain Services Forest Entstehung des Active Directory-Konzepts Active Directory-Namenskonventionen 17 2 Gesamtstruktur- und Domänenfunktionsebenen Domänenfunktionsebenen von Windows Server 2008 R2-Domänen Gesamtstrukturfunktionsebenen von Windows Server 2008 R2-Gesamtstrukturen 23 3 Aufbau einer Gesamtstruktur Erster DC in der Gesamtstruktur Installation eines weiteren DCs in derselben Domäne von einem Medium Installation einer untergeordneten Domäne Installation eines neuen Trees (Domäne mit neuem Namespace) RODC (Read-Only Domain Controllers) ADDS auf Server Core Herunterstufen eines Domänencontrollers zu einem Mitgliedsserver Herunterstufen eines Server-Core-DCs 86 4 Interner Aufbau der ADDS-Datenbank ADDS-Partitionen (ADDS-Namenskontexte) ADDS-Replikation innerhalb eines Standorts Replikationskontrolle Replikation von Löschvorgängen Replikationskonflikte Ungering Objects (Veraltete Objekte, Zombies") 96 5 Globaler Katalog-Server (GC) Konfiguration Zwischengespeicherte Anmeldeinformationen Gründe für das Anpassen eines globalen Katalogservers Richtlinien für die Platzierung globaler Katalogserver Betriebsmasterrollen in AD-Gesamtstrukturen Schema-Master Domänennamen-Betriebsmaster RID-Master PDC-Emulator Zeitserver (SNTP-Server) Infrastrukturmaster Migration bzw. Update bestehender Gesamtstrukturen Tools zur Verwaltung von Active Directory MMC-Snap-Ins Active Directory-Supporttools ADSIEdit.msc Active Directory Module for Windows PowerShell Active Directory-Verwaltungscenter Active Directory Migration Tool (ADMT) Windows Server 2003 Resource Kit Weitere Active Directory-Tools LAN-Authentifizierungsprotokolle in Windows-Betriebssystemen Funktionsweise der LM-Authentifizierung Funktionsweise der NTLM-Authentifizierung Gruppenrichtlinien zu Authentifizierungsprotokollen Gruppenrichtlinien für den anonymen Zugriff 144 Mag. Christian Zahler, August

3 redmondfs 10 Kerberos-Anmeldung und Ressourcenzugriff Authentifizierung Autorisierung Active Directory-integriertes DNS Active Directory-integrierte DNS-Zonen Was sind SRV-Ressourceneinträge? Wie Clientcomputer DNS zur Lokalisierung von Domänencontrollern und Diensten verwenden Reverse Lookup-Zonen Probleme mit der Namensauflösung durch EDNS Vertrauensstellungen Erstellen einer Gesamtstruktur-Vertrauensstellung Namenssuffixrouting SiD-Filter Erstellen einer externen Vertrauensstellung Erstellen einer Verknüpfungs-Vertrauensstellung Verbindung mit anderer Gesamtstruktur herstellen Organisationseinheiten (Organizational Units, OUs) Verwalten von Organisationseinheiten mit ds-befehlszeilenprogrammen OU hinzufügen mit Idifde OU hinzufügen mit Windows Scripting Host Delegieren der OU-Verwaltung an andere Benutzer Active Directory-Kontingente Benutzerkonten Alternative UPN-Suffixe Erstellen und Verwalten von Benutzerkonten mit LDIFDE Erstellen und Verwalten von Benutzerkonten mit CSVDE Erstellen und Verwalten von Konten mithilfe von Windows Script Host PowerShell-Extensions für Active Directory Erstellen und Verwalten von Benutzerkonten mit PowerShell Erstellen von LDAP-Abfragen Migration von AD-Objekten (zb Benutzerkonten) in andere Domänen Verwendung von ADMT Deaktivierung des SID-Filters von Gesamtstruktur-Vertrauensstellungen Verwendung von LDP NTFS-Berechtigungen in Multi-Domänen-Forests Gruppentypen und Gruppenbereiche Strategie Globale Gruppen Universelle Gruppen Domänenlokale und lokale Gruppen Globale Gruppe in einer OU erzeugen mit Visual Basic Script Gruppenrichtlinien Konzept, Einrichten von Gruppenrichtlinien Komponenten von Gruppenrichtlinienobjekten Gruppenrichtlinienverarbeitung durch CSE (Client Side Extensions) Erstellen eines Central Store" für *.admx und *.adml-dateien ADMX-Migrator Group Policy Management Console (GPMC) Beispiele aus der Praxis Gruppenrichtlinien-Vorgaben Zusammenwirkung mehrerer GPOs Filtern von GPOs Mag. Christian Zahler, August 2011

4 redmondfs WMI-Filter Starter-Gruppenrichtlinienobjekte Backup und Restore von Gruppenrichtlinienobjekten Import von Einstellungen Domänenübergreifendes Kopieren von GPOs Gruppenrichtlinien zur Steuerung von Gruppenrichtlinien Überprüfung und Problembehandlung von Gruppenrichtlinien Gruppenrichtlinienprotokollierung Delegieren von Gruppenrichtlinienobjekten Sicherheitsrichtlinien Das lokale GPO Gruppenrichtlinien für Softwareverteilung Varianten Technologien Vorgangsweise Standardoptionen für die Softwareinstallation Neue Softwareversion über GPO verteilen Durch *.MSP-Datei gepatchte MSI-Datei erneut bereitstellen Entfernen von Software über GPO Verteilen von Office Erstellen von ZAP-Dateien Erstellen von MSI-Paketen Erstellen von MST-Dateien Konfigurieren einer MST-Datei für eine Office 2003-lnstallation Office 2007 über Gruppenrichtlinien verteilen Richtlinien für Softwareeinschränkung in Windows Server Zusammenfassung Festlegen von Richtlinien für Softwareeinschränkung Verhindern der Anwendung von Richtlinien für Softwareeinschränkung auf lokale Administratoren Erstellen einer Pfadregel Erstellen einer Zertifikatregel Erstellen einer Hashregel Erstellen einer Internetzonenregel Erstellen einer Registrierungspfadregel Hinzufügen oder Löschen eines designierten Dateityps Ändern der Standardsicherheitsstufe von Richtlinien für Softwareeinschränkung Einstellen von Optionen für vertrauenswürdige Herausgeber Vorrang der Richtlinien für Softwareeinschränkung Reihenfolge der Anwendungen Prüfliste: Schritte zum Schutz des Computers vor -Viren Fein abgestimmte Kennwortrichtlinien Active Directory-Replikation und Standort-Design Replikation zwischen Standorten Standort-Konfiguration: Bevorzugte Bridgeheadserver: Wie Clients über DNS ihre Standort-Zugehörigkeit erfahren Einrichten von Universal Group Membership Caching TCP-Ports für Active Directory-Replikation Design von Standortverknüpfungen (Beispiel) Standortverknüpfungsbrücken zur Kontrolle des Active Directory-Replikationsflusses Wartung der ADDS-Dienste Datenänderungsprozess Verschieben der ADDS-Datenbank in einen anderen Ordner Offline-Defragmentierung Integritätsprüfung 401 Mag. Christian Zahler, August

5 redmondfs 25 Sichern und Wiederherstellen von Active Directory Sichern und Nicht-autorisierendes Wiederherstellen von Active Directory Autorisierende Wiederherstellung einer OU Reanimierung eines Benutzerobjekts AD-Snapshots Entfernen von Daten aus Active Directory nach fehlgeschlagener Domänencontroller- Herabstufung Entfernen von verwaisten Domänen Erzwungenes Entfernen von AD mit dcpromo /forceremoval Überwachung von Active Directory Ereignisanzeige Zuverlässigkeits- und Leistungsüberwachung Überwachungsrichtlinien Active Directory Lightweight Directory Services (ADLDS) Installation Zugriff auf die ADLDS-Instanz mit ntdsutil Verzeichnispartitionen einer ADLDS-Instanz Abfragen von ADLDS-Instanzen mit dem ADSI-Editor Erstellen von ADLDS-Anwendungspartitionen Synchronisieren zwischen ADLDS und ADDS mit adamsync Active Directory-Verbunddiente (ADFS, Active Directory Federation Services) Vorbereitende Tätigkeiten Einrichten eines einzelnen ADFS-Servers Konfiguration eines Kontenverbundservers (vertrauende Seite) Verbundserverfarm Verbundserverproxy Active Directory-Rechteverwaltungsdienste (ADRWIS, Active Directory Rights Management Services) Mag. Christian Zahler, August 2011