Sie erhalten einen kurzen Überblick über die verschiedenen Domänenkonzepte.

Transkript

1 4 Domänenkonzepte Ziele des Kapitels: Sie verstehen den Begriff Domäne. Sie erhalten einen kurzen Überblick über die verschiedenen Domänenkonzepte. Sie verstehen die Besonderheiten der Vertrauensstellungen zwischen Windows NT Server Domänen. Sie kennen die Einsatzmöglichkeiten der vier Domänenmodelle unter Windows NT Server. Microsoft Windows NT Server 4.0 Administration 27

2 Eine Domäne ist eine Gruppe von Servern, die über gemeinsame Sicherheitsrichtlinien und Benutzerkontendatenbanken verfügen. Ein Server (mit einer Installation von Windows NT Server) stellt den Domänen-Controller dar und verwaltet die zentralen Sicherheitsdatenbanken für die Domäne. Andere Server in der Domäne dienen als Backup-Domänen-Controller und können Anmeldungen überprüfen. Computer unter Windows NT Server (Member-Server), die nicht als Domänenoder Backup-Controller fungieren, Windows NT Workstation-Computer, LAN- Manager 2.x Server und andere Arbeitsstationen (z.b. mit Windows for Workgroups oder MS DOS) können ebenfalls Mitglieder einer Domäne sein. Die Benutzer, die auf eine mit Windows NT Server laufende Domäne zugreifen möchten, werden vom Primären-Domänen-Controller (PDC) oder von einem Backup-Domänen-Controller (BDC) überprüft. Zu einer Anmeldung gehören der Benutzername, das Kennwort und die Domänenbezeichnung. Unter Windows NT haben Administratoren zentral uneingeschränkte Kontrolle über die Systemsicherheit. In einer Windows NT Server Domäne werden automatisch Kopien der Benutzerdatenbank auf Backup-Domänen-Controllern angelegt, damit die Benutzerüberprüfung jederzeit gewährleistet ist. Abbildung 4.1: Domäne 28 Microsoft GmbH 1996

3 Alle in der Domäne zusammengefaßten Server arbeiten auf Basis der zentralen Datenbank der Benutzerkonten. So ergeben sich zwei Vorteile des Domänenkonzepts: Der Administrator muß nur ein Konto pro Benutzer verwalten. Der Benutzer kann mit einer Anmeldung alle Daten, Drucker und andere Ressourcen erreichen, für die ihm Berechtigungen gegeben wurden. 4.1 Trusted Domains - Domänen vertrauen einander Mit Windows NT Domänen wurde ein neues Domänen-Konzept eingeführt, das Vertrauensstellungen mehrerer Domänen zueinander ermöglicht. Mit diesen Vertrauensstellungen wird die Nutzung von Ressourcen über die Grenzen von Domänen hinweg deutlich vereinfacht und die zentrale Verwaltung auch großer Netze mit einer Vielzahl von Domänen ermöglicht. Große unternehmensweite Netze können mit diesem Konzept aufgebaut werden, ohne daß der Verwaltungsaufwand zunimmt. Vertrauensstellungen zwischen Domänen dienen der Vereinfachung von administrativen Aufgaben. Ressourcen können in einer oder mehreren Domänen zusammengefaßt werden, während die Benutzerkonten in einer übergeordneten Domäne eingerichtet sind, der die Ressourcen-Domänen vertrauen. Die Datenbank der Benutzer und Gruppen kann so in einer zentralen Domäne zusammengefaßt und nicht mehrfach definiert und verwaltet werden. Die Anmeldung eines Benutzers wird über die Vertrauensstellungen weitergegeben. So kann die Anmeldung in der Ressourcen-Domäne erfolgen, wird aber von der übergeordneten Domäne verifiziert. Die Vertrauensstellungen können einseitig oder beidseitig sein, wobei beidseitiges Vertrauen als zwei einseitige Vertrauensstellungen eingerichtet wird, von einer Domäne zur anderen und umgekehrt. Mit Windows NT Server und Vertrauensstellungen zwischen Domänen (Trust Relationships) lassen sich vier Domänenmodelle konstruieren: Single Domain Model, Master Domain Model, Multiple Master Domain Model, Complete Trust Domain Model. Microsoft Windows NT Server 4.0 Administration 29

4 Welches dieser Domänenmodelle einsetzbar ist, hängt von der Struktur und Größe des Netzes und der Unternehmensorganisation ab. Folgende Punkte entscheiden über das zu wählende Domänenmodell: Anzahl der Benutzer, Firmenstruktur, Niederlassungen und Abteilungen, Berechtigungsstruktur für die Ressourcen. Die Domänenmodelle müssen in der Praxis nicht exakt nach einem bestimmten Modell ausgelegt sein. Sie lassen sich für konkrete Netzumgebungen auch mischen. Eine Gemeinsamkeit existiert in allen Domänenmodellen: Ein Benutzerkonto soll im Netz nur ein einziges Mal vorliegen. Die Konzepte und Details der Benutzer- und Gruppenverwaltung in Windows NT Domänen werden später ausführlich erläutert. 4.2 Single Domain Model - Einfache Domäne Bei diesem Modell haben wir es mit nur einer einzigen Domäne zu tun. Da keine weiteren Domänen vorliegen, sind auch keine Vertrauensbeziehungen zu verwalten. Dieses Modell eignet sich am besten für Unternehmen unter Benutzern (maximal Benutzer), bei denen keine Vertrauensbeziehungen (Trusts) unter den einzelnen Abteilungen geschaffen werden müssen. Dieses Modell bietet eine zentrale Verwaltung sämtlicher Benutzerkonten, zudem müssen die lokalen Gruppen nur einmal festgelegt werden. Bei einem Unternehmen mit mehreren Domänen, die keinen Informationsaustausch untereinander erfordern, besteht die beste Konfiguration oft in mehreren Einzeldomänen. Wenn das Unternehmen jedoch vor einer beträchtlichen Expansion steht, sollte man sich eher für ein flexibles Modell entscheiden, zum Beispiel für das Modell mit mehreren Master-Domänen. Wächst das Unternehmen über den Grenzwert von Benutzern hinaus, kann das Modell der Single Domain nicht mehr sämtliche Benutzer unterstützen. Eine Umkonfiguration der Benutzerdatenbank verursacht einen enormen Aufwand an Verwaltungsarbeit. 30 Microsoft GmbH 1996

5 4.3 Master Domain Model - Master Domäne Abbildung 4.2: Master Domain Model Im Master Domain Model liegen die Benutzerkonten auf einer übergeordneten Domäne. Weitere Domänen stellen die Ressourcen im Netz zur Verfügung und vertrauen der übergeordneten Domäne. Durch diese Vertrauensstellungen können die zentral eingerichteten Benutzer die Ressourcen wie Daten und Drucker verwenden, ohne daß die Konten mehrfach angelegt und verwaltet werden müssen. Die Vertrauensstellungen werden in nur einer Richtung aufgebaut. Diese richten sich von den Ressourcen-Domänen zur übergeordneten Domäne. Das Master Domain Model erlaubt die Strukturierung der Ressourcen im Netz in mehrere Domänen bei gleichzeitiger zentraler Administration und kann bis zu einer Zahl von ca Benutzern eingerichtet werden. 4.4 Multiple Master Domain Model - Mehrfache Master Domänen Dieses Modell eignet sich für sehr große Netze mit mehr als ca Benutzern, die dennoch zentral administriert werden sollen. Aus Gründen der Leistungsfähigkeit muß bei so großen Netzen mehr als eine übergeordnete Domäne eingerichtet werden. Durch die Konstruktion nach dem Multiple Master Model werden große Netze bei weiterhin zentraler Administration skalierbar. Dieses Modell vereint die Vorteile einer zentralen Verwaltung und der Einrichtung mehrerer Domänen in sich. In einem Unternehmen mit einer Reihe von Abteilungen kann jede dieser Abteilungen ihre eigenen Ressourcen verwalten. Microsoft Windows NT Server 4.0 Administration 31

6 Die Benutzerkonten und globalen Gruppen müssen jedoch nach wie vor nur einmal in der Master-Domäne definiert werden. Die Vertrauensstellungen dieses Modells sind von den Ressourcen-Domänen zu allen übergeordneten Domänen einzurichten. Weiterhin müssen beidseitige Beziehungen zwischen den Masterdomänen eingerichtet werden. Abbildung 4.3: Multiple Master Domain Dieses Modell hat die gleichen Vorteile wie das einfache Master Domain Model, z.b. logische Ressourcenanordnung und zentrale Administration. Es hat aber natürlich auch Nachteile gegenüber den kleineren Modellen, die auf der größeren Zahl der zu verwaltenden Vertrauensstellungen beruhen. Vorteile: Zentrale Administration. Administration von Ressourcen auch innerhalb von Abteilungs- und Niederlassungsdomänen. Logische Ressourcenanordnung möglich. Mit beliebiger Zahl von Benutzern einzurichten. Nachteile: Mehrfache Definition von Gruppen nötig. Viele Vertrauensstellungen. Aufteilung der Benutzerkonten auf mehrere Domänen nötig. 32 Microsoft GmbH 1996

7 4.5 Complete Trust Domain Model - Kompletter Vertrauensverbund Abbildung 4.4: Complete Trust Domain Model Das Complete Trust Domain Model ist nicht auf zentralisierte Administration mehrerer Domänen ausgerichtet. Es ermöglicht dagegen den Zugriff auf Ressourcen in beliebigen Domänen innerhalb des Netzes, obwohl alle Domänen die Administration selbst handhaben. Keine der Domänen ist einer anderen übergeordnet, Vertrauensstellungen sind immer zweiseitig. Auch in diesem Modell wird ein Benutzerkonto nur einmal innerhalb des Netzes definiert. Das Modell ist geeignet für Netzstrukturen, die eine Gruppierung von Benutzern und Ressourcen mit jeweils eigener Verwaltung erfordern. Beispielsweise könnten sich Unternehmen mit weitgehend selbständigen Abteilungen oder Niederlassungen für dieses Modell entscheiden, wenn keine zentrale Verwaltung des Netzes vorgesehen ist. Das Netz kann sehr hohe Benutzerzahlen enthalten, ist also weitgehend skalierbar. Nachteilig ist die hohe Anzahl von Vertrauensbeziehungen, die zwischen allen Domänen eingerichtet und verwaltet werden müssen. Alle Vertrauensstellungen müssen dabei zweiseitig sein. Die Struktur des Complete Trust Domain Models erfordert, daß zumindest die Einrichtung von Benutzern abgestimmt werden muß. Mehrfache Anlage des gleichen Benutzernamens in zwei oder mehr Domänen kann zu Unklarheiten bei der Rechtezuweisung führen. Microsoft Windows NT Server 4.0 Administration 33

8