Windows 2000 Active Directory Design

Michael Völk, Dr. David Street Windows 2000 Active Directory Design MCSE-Examen Nr. 70-219 ADDISON-WESLEY An imprint of Pearson Education München Boston San Francisco Harlow, England Don Mills, Ontario Sydney Mexico City Madrid Amsterdam

Kapitel 3 Fragen zum MS-Prüfungsreport 3.1 Besser Schlafen 3.1.1 Aktualisierung von Windows 2000 Die Firma Besser Schlafen GmbH möchte das Netzwerk ihres Unternehmens auf den neuesten Stand bringen und dabei die Clientcomputer, die Windows 95 ausführen und die NT 4.0-Domänencontroller komplett auf die entsprechenden Windows 2000-Betriebssysteme umstellen. Die Clientcomputer sollen auf Windows 2000 Professional und die Domänencontroller auf Windows 2000 Server aktualisiert werden. 3.1.2 Hintergrund Die Firma Besser Schlafen GmbH stellt Matratzen aus Schaumstoff und Latex her und liefert diese an verschiedene Hersteller von Betten. Es gibt in Deutschland drei Dienststellen. Diese sind in Berlin, München und Hannover zu finden. Die Zentrale ist in Berlin, wo sich folgende Abteilungen befinden: Buchhaltung EDV-Verwaltung Herstellung 35

Kapitel 3 Fragen zum MS-Prüfungsreport Produktionsinstandhaltung Produktionskontrolle Verkauf und Werbung Administration Layout Mitarbeiterverwaltung Produktentwurf Materialbeschaffung Die folgenden Abteilungen befinden sich in den Zweigstellen Hannover und München: EDV-Verwaltung Herstellung Produktionsinstandhaltung Produktionskontrolle Verkauf und Werbung In der Produktion wird in zwei Acht-Stunden-Schichten und in der Verwaltungs- und Büroabteilung in einer Tagesschicht gearbeitet. 3.1.3 Führende Mitarbeitermeinungen Geschäftsführer Das Geld, das für die EDV-Administration ausgegeben wird, entspricht nicht dessen Nutzen. Die Kunden und Lieferanten sollen eine Verbindung zu unserem Netzwerk herstellen können, um die Möglichkeit zu haben, die Bestände zu aktualisieren, die Preise festzulegen und Rechnungen zu stellen. Momentan wird ein Großteil unserer Prozesse über Papierformulare abgewickelt. Der Aufwand bei der manuellen Eingabe von Daten sowie das Arbeiten mit Papierformularen ist vom Zeitaufwand zu hoch und nicht rentabel. Weiterhin sind unsere Daten nicht so aktuell wie wir es uns wünschen. Damit ein schnellerer Zugriff durch die Mitarbeiter stattfinden kann, möchten wir daher die Systeme automatisieren und konsolidieren. Damit können die Daten der Angestellten besser erfasst und verarbeitet werden. Leiter der EDV-Verwaltung Momentan wird die gesamte Benutzerverwaltung von Berlin aus erledigt, sonst findet keine zentralisierte Administration statt. Außerdem hat die Firma keine Internet-Mail-Anbindung. 36

Besser Schlafen Unsere Windows NT 4.0-Domänenstruktur ist in mehrere Domänen aufgeteilt, um die Verwaltungsaufgaben delegieren zu können. Die Benutzerkonten sollen weiterhin in Berlin erstellt werden. Den EDV-Mitarbeitern in den Standorten Hannover und München soll die Möglichkeit gegeben werden, Kennwörter zurückzusetzen und ¾nderungen an den Konten vorzunehmen. Die EDV-Mitarbeiter in Hannover und München sollen aber nicht die völlige Kontrolle über die Benutzerverwaltung haben, sondern nur einen Teil der administrativen Tätigkeiten übernehmen. Wir gehen davon aus, dass Clientcomputer, die auf dem Betriebssystem Windows 95 aufsetzen, keine ausreichenden Sicherheitsfunktionen besitzen. Die WAN-Verbindungen zwischen München und Berlin sowie Hannover und Berlin sind zu 80 Prozent ausgelastet. Die EDV-Infrastruktur soll nur außerhalb der Geschäftszeiten gewartet werden. Dies soll innerhalb eines Zeitraums von vier Stunden geschehen. Wo immer möglich soll der Datenverkehr auf die Abendstunden verlegt werden. Ich muss alle anfallenden Kosten bei der Verbesserung der EDV-Infrastruktur rechtfertigen. 3.1.4 Vorgeschichte Die Betriebsysteme wurden zuletzt 1998 aktualisiert. Es wurde von Windows 3.11 und Netware 3.0 auf Windows NT 4.0 und Windows 95 umgestellt. Die Updates für die Betriebsysteme wurden stets unmittelbar nach Verfügbarkeit eingespielt, inklusive Service Pack 4, welches zu außerordentlichen Problemen geführt hat. Als 1998 die Systeme aktualisiert wurden, kam es zu Problemen bezogen auf die Systemintegration und die Gültigkeit von Benutzerkonten und Benutzerberechtigungen, wodurch die Arbeitsabläufe der Mitarbeiter teilweise nicht fortgesetzt werden konnten. Schuld an diesem Chaos hatte das Systemhaus, welches damals die Umstellung durchgeführt hatte. Viele Mitarbeiter haben dies noch im Gedächtnis, wenn es um die Aktualisierung geht. Die Firma reagiert sensibel auf Ausfallzeiten während Systemumstellungen. 3.1.5 Momentane EDV-Umgebung Allgemein Die Besser Schlafen GmbH beschäftigt ungefähr 5.000 Mitarbeiter und benutzt ca. 3.000 Computer. Diese sind folgendermaßen verteilt: 2.250 in Berlin, 450 in München und 300 in Hannover. 37

Kapitel 3 Fragen zum MS-Prüfungsreport Die Produktionsumgebung wird von UNIX-Computern gesteuert. Momentan gibt es vier Windows NT 4.0-Domänen: eine globale Kontendomäne in Berlin, die alle Benutzerkonten enthält und Ressourcendomänen in Berlin, München und Hannover. Netzwerkinfrastruktur Hannover und München sind mit Berlin über 64 KBit/s-Leitungen verbunden. Die NT 4.0-Administratoren finden die Bandbreite bedenklich, können aber den Ausbau der Bandbreite momentan nicht rechtfertigen. Daher soll die Datenübertragung so weit wie möglich außerhalb der Geschäftszeiten stattfinden. Für die Lagerverwaltung wird SAP verwendet. Der SAP-Server befindet sich in Berlin. Die Web des Unternehmens wird von einem Drittanbieter verwaltet. Die Domäne BesserSchlafen.de ist eine registrierte Domäne. Sie verweist aber auf den Server des Drittanbieters. Es werden keine interaktiven Webseiten bereitgestellt. Um die UNIX-Umgebung zu verwalten, gibt es an jedem Standorteinen BIND DNS-Server. Die UNIX-DNS-Struktur arbeitet komplett unabhängig von anderen Systemen und verwendet einen privaten Stamm. Das Supportteam für Windows 2000 muss jederzeit auf die von Windows 2000-unterstützte DNS-Umgebung zugreifen können. Momentan hat die Firma keinen direkten Internetzugang. Clientcomputerumgebung Die Produktentwurfmannschaft verwendet UNIX-Computer. Textverarbeitung und E-Mails werden von Windows-Computern getätigt. Der Fertigungsprozess wird von UNIX-Systemen gesteuert. Die Produktionsabteilung greift über ein Terminal-Emulations-Space-Programm auf die UNIX-Systeme zu. Die meisten Mitarbeiter arbeiten mit Windows 95-Computern, die mit Pentium 233 MHz MMX-Prozessoren, 32 MB RAM und 4,2 GB-Festplatten ausgestattet sind. Als Standard Textverarbeitungsprogramm wird Word 97 verwendet. Wenn abteilungsspezifische Anwendungen installiert werden, wird dies lokal von den internen Administratoren durchgeführt. Die Computer in der Herstellungsabteilung werden von mehreren Mitarbeitern verwendet. Auf Wunsch der Firma sollen für alle Computer der Herstellungsabteilung servergespeicherte Profile und Dokumente über die lokalen Server für alle Benutzer zur Verfügung gestellt werden. 38

Besser Schlafen 3.1.6 IT-Infrastruktur Der Hauptsitz der EDV-Verwaltung befindet sich in Berlin. In Berlin wird auch die Netzwerkverwaltung soweit wie möglich durchgeführt. Jede der folgenden Abteilungen verwendet spezielle Software: Verkauf und Werbung, Herstellung, Materialbeschaffung, Administration, Produktionskontrolle und Produktionsinstandhaltung. Um die einzelnen Abteilungen unterstützen zu können, muss über spezielle Sachkenntnisse verfügt werden, deswegen hat jede Abteilung ihre eigene Supportgruppe. Die für alle Abteilungen geltenden EDV-Richtlinien werden in Berlin festgelegt und administriert. Das meiste Supportpersonal arbeitet in Berlin, des Weiteren sind einige Mitarbeiter des Supportpersonals der Zweigstellen nur den EDV-Managern der Abteilung in Berlin unterstellt. Es müssen Berechtigungen an die Supportgruppen der Abteilungen in den Zweigstellen delegiert werden, sodass von ihnen grundlegende Verwaltungsaufgaben wahrgenommen werden können. 3.1.7 Sicherheit Die Sicherheit beim Ressourcenzugriff ist nach der Standard-Microsoft-Vorgehensweise zu realisieren. Um den Ressourcenzugriff nach Benutzern gruppiert zu kontrollieren, werden globale Gruppen in der Masterkontendomäne verwendet. Die lokalen EDV-Administratoren erstellen für den lokalen Ressourcenzugriff lokale Gruppen auf den Servern. Die Benutzerberechtigungen werden von den Administratoren erteilt, indem die entsprechenden globalen Gruppen den lokalen Gruppen hinzugefügtwerden. In der Domäne Berlin haben die lokalen Administratoren der Ressourcendomänen keine administrativen Berechtigungen. 3.1.8 Zielstellungen für Gruppenrichtlinien In Berlin wird die firmenweite Gruppenrichtlinie, wie auch die abteilungsweite Gruppenrichtlinie verwaltet. Die Gruppenrichtlinien sollen so festgelegt werden, dass Ordner umgeleitet werden, die Anmeldeskripte, die für jede Abteilung in jedem Standort angepasst und definiert sind, minimale Anmeldezeiten benötigen und abteilungsspezifische Software verfügbar gemacht wird. Die Desktopeinstellungen sollen 39

Kapitel 3 Fragen zum MS-Prüfungsreport unveränderbar sein. Keine Filtrierung der Gruppenrichtlinienobjekte durch Sicherheitsgruppen soll durchgeführt werden, mit Ausnahme der meisten Gruppenrichtlinien, die die technische Supportgruppe nicht betreffen dürfen. 1 Welches Ziel wird aufgrund der Aktualisierung auf Windows 2000-Active Directory erreicht? A m Auf Papier basierende Geschäftsprozesse werden automatisiert. B m Die Sicherheit wird für die vorhandenen Clientcomputer erhöht. C m Die Kontrolle der unternehmensweiten Standardisierung von Anwendungen und Computerkonfigurationen wird gesteigert sowie weitere Möglichkeiten geschaffen. D m Die Daten für Hersteller und Kunden stehen online zur Verfügung. E m Die beim Einsatz von EDV-Systemen anfallenden Gesamtkosten werden während des ersten Jahres nach der Aktualisierung gesenkt. 2 Über wie viele Domänen sollte die Besser Schlafen GmbH nach Abschluss der Umstellungen verfügen? A m Über vier Domänen, die der Windows NT 4.0-Domänenstruktur entsprechen. B m Über eine Domäne für das gesamte Unternehmen. C m Über eine Domäne für jeden Standort. D m Über eine Domäne für Hannover und München und eine Domäne für Berlin. 3 Sie möchten Windows 2000 implementieren, um die Auswirkungen der Replikation auf den Datenverkehr im WAN der Besser Schlafen GmbH so gering wie möglich zu halten. Wie gehen Sie vor? A m Sie verwenden SMTP-Standortverbindungen für die Replikation. Sie optimieren den Replikationszeitplan der Standortverbindungen. 40

Besser Schlafen B m Sie verwenden IP-Standortverbindungen für die Replikation. Sie optimieren den Replikationszeitplan. C m Sie legen Richtlinien und Prozeduren fest, die ausschließlich globale Gruppen in universellen Gruppen zulassen. D m Sie definieren Gruppenrichtlinienobjekte nur auf der Ebene von Domänen und Organisationseinheiten. E m Sie reduzieren die Anzahl der vom globalen Katalogserver replizierten Attribute. 4 Der Datenbank-Administrator der Mitarbeiterverwaltung versucht, die SAP-Anwendung zu aktualisieren, die mit Active Directory integriert wird und neue Klassen hinzufügt. Die Installation schlägt fehl. Was ist die wahrscheinlichste Ursache? A m Der Administrator, der versucht, das Programm zu installieren, gehört nicht zur Gruppe der Organisations-Administratoren. B m Das Dienstkonto für die Anwendung gehört nicht zur Gruppe der Organisations-Administratoren. C m Der Administrator, der versucht, das Programm zu installieren, gehört nicht zur Gruppe der Schema-Administratoren. D m Der Administrator, der versucht, das Programm zu installieren, gehörtin der lokalen Domäne nichtzur Gruppe der Domänen- Administratoren. E m Der Administrator, der versucht, das Programm zu installieren, hat nicht die Berechtigung, Gruppenrichtlinienobjekte zu erstellen. 5 Welches Windows 2000-Sitedesign sollten Sie für Besser Schlafen GmbH implementieren? A m Sie nutzen die vorhandenen WAN-Leitungen. Sie erstellen für Berlin, München und Hannover je eine Site. B m Sie bauen die WAN-Leitungen auf 1,544 MBit/s aus. Sie erstellen für Berlin, München und Hannover je eine Site. C m Sie bauen die WAN-Leitungen auf 1,544 MBit/s aus. Sie erstellen eine Site, die alle drei Standorte umfasst. 41

Kapitel 3 Fragen zum MS-Prüfungsreport D m Sie nutzen die vorhandenen WAN-Leitungen. Sie erstellen eine Site, die alle drei Standorte umfasst. E m Sie bauen die WAN-Leitungen auf 44,738 MBit/s aus. Sie erstellen eine Site, die alle drei Standorte umfasst. 6 Sie müssen ein Design erstellen, das es ermöglicht, Berechtigungen auf eine Gruppe von Ressourcen zu vergeben, die sich auf drei Servern in der Zweigstelle Berlin befinden. Nach der Umstellung müssen Sie Benutzern aus dem gesamten Unternehmen Berechtigungen zuweisen können. Wie gehen Sie vor? A m Sie erstellen auf den Ressourcenservern im Standort Berlin lokale Gruppen und erteilen diesen den Zugriff auf die Ressourcen. Sie erstellen eine globale Gruppe für die Domäne(n) und fügen dieser diejenigen Benutzer als Mitglieder hinzu, die Zugriff auf die Ressourcen benötigen. Sie fügen die globale Gruppe den lokalen Gruppen hinzu. B m Sie erstellen in der Domäne, in der sich die Ressourcen befinden, eine lokale Domänengruppe und erteilen dieser den Zugriff auf die Ressourcen. Sie erstellen eine globale Gruppe für die Domäne(n) und fügen dieser diejenigen Benutzer als Mitglieder hinzu, die Zugriff auf die Ressourcen benötigen. Sie fügen die globale Gruppe der lokalen Domänengruppe hinzu. C m Sie erstellen in der Domäne, in der sich die Ressourcen befinden, eine lokale Domänengruppe und erteilen dieser den Zugriff auf die Ressourcen. Sie erstellen eine globale Gruppe für die Domäne(n) und fügen dieser diejenigen Benutzer als Mitglieder hinzu, die Zugriff auf die Ressourcen benötigen. Sie erstellen eine universelle Gruppe und fügen dieser die globalen Gruppen als Mitglieder hinzu. Sie fügen die universelle Gruppe der lokalen Domänengruppe hinzu. D m Sie erstellen eine lokale Gruppe auf jedem Ressourcenserver im Standort Berlin und erteilen diesen Gruppen Zugriff auf die Ressourcen. Sie erteilen den lokalen Gruppen jeweils nur den Zugriff auf die Ressourcen des lokalen Servers. Sie erstellen eine globale Gruppe für die Domäne(n) und fügen dieser diejenigen Benutzer als Mitglieder hinzu, die Zugriff auf die Ressourcen benötigen. Sie erstellen eine universelle Gruppe. Sie fügen die globalen Gruppen der universellen Gruppe hinzu. Sie fügen die universelle Gruppe der lokalen Gruppe hinzu. 42

Besser Schlafen 7 In welchen Orten sollten die Serverdienste für Windows 2000 zur Verfügung gestellt werden? A m Sie richten die folgenden Dienste in Berlin ein: einen Schema- Betriebsmaster, einen Domänennamen-Master, einen Infrastruktur- Betriebsmaster, einen RID-Master, eine PDC-Emulation und einen globalen Katalog. Sie richten je einen der folgenden Dienste sowohl in München als auch in Hannover ein: einen RID-Master, einen Infrastruktur-Betriebsmaster, eine PDC-Emulation und einen globalen Katalog. B m Sie richten die folgenden Dienste in Berlin ein: einen Schema- Betriebsmaster, einen Domänennamen-Master, einen Infrastruktur- Betriebsmaster, einen RID-Master, eine PDC-Emulation und einen globalen Katalog. Sie richten die folgenden Dienste sowohl in München als auch in Hannover ein: einen RID-Master, einen Domänennamen-Master, eine PDC-Emulation und einen globalen Katalog. C m Sie richten die folgenden Dienste in Berlin ein: einen Schema- Betriebsmaster, einen Domänennamen-Master, einen Infrastruktur- Betriebsmaster, einen RID-Master, eine PDC-Emulation und einen globalen Katalog. Sie richten die folgenden Dienste sowohl in München als auch in Hannover ein: einen Infrastruktur-Betriebsmaster und einen globalen Katalog. D m Sie richten die folgenden Dienste in Berlin ein: einen Schema- Betriebsmaster, einen Domänennamen-Master, einen Infrastruktur- Betriebsmaster, einen RID-Master, eine PDC-Emulation und einen globalen Katalog. Sie richten einen globalen Katalog sowohl in München als auch in Hannover ein. 8 In welcher Reihenfolge sollten Sie die Umgebung der Besser Schlafen GmbH aktualisieren? A m Sie aktualisieren die Kontendomäne Berlin. Sie verwenden diese Domäne als Stammdomäne. Sie führen die Aktualisierung der drei Windows NT 4.0-Ressourcendomänen auf Windows 2000 separat durch. Sie konsolidieren diese drei Domänen zu einer Domäne. B m Sie führen die Aktualisierung der vier Windows NT 4.0-Domänen auf Windows 2000 separatdurch. Sie aktualisieren diese Domänen direkt. Sie verwenden die vorhandene Struktur der Vertrauensstellungen. 43

Kapitel 3 Fragen zum MS-Prüfungsreport C m Sie erstellen eine neue Stammdomäne. Sie aktualisieren die drei Windows NT 4.0-Ressourcendomänen auf Windows 2000. Sie aktualisieren die Windows NT 4.0-Kontendomäne für Berlin auf Windows 2000. Sie konsolidieren alle Konten in der Stammdomäne. D m Sie aktualisieren die vier Windows NT 4.0-Domänen auf Windows 2000. Sie aktualisieren diese Domänen direkt. Sie 9 Welche Sitetopologie sollten Sie für die Lokalitäten und die Standortverbindungen der Firma Besser Schlafen GmbH implementieren? (Wählen Sie nur eine der fünf Antworten aus.) A m Sie erstellen je eine Site für München, Berlin und Hannover sowie SMTP-Standortverbindungen zwischen München und Berlin und zwischen Berlin und Hannover. Sie legen in den Verbindungen fest, dass die Replikation zwischen München und Berlin in der Zeit von 00:00 Uhr bis 02:00 Uhr und die Replikation zwischen Berlin und Hannover von 03:00 Uhr bis 05:00 Uhr ausgeführtwird. B m Sie erstellen je eine Site für München, Berlin und Hannover sowie SMTP-Standortverbindungen zwischen München und Berlin und zwischen Berlin und Hannover. Sie legen in den Verbindungen fest, dass die Replikation zwischen München und Berlin und zwischen Berlin und Hannover in der Zeitvon 02:00 Uhr bis 04:00 Uhr ausgeführtwerden. C m Sie erstellen je eine Site für München, Berlin und Hannover sowie IP-Standortverbindungen zwischen München und Berlin und zwischen Berlin und Hannover. Sie legen in den Verbindungen fest, dass die Replikation zwischen München und Berlin in der Zeit von 00:00 Uhr bis 02:00 Uhr und die Replikation zwischen Berlin und Hannover von 03:00 Uhr bis 05:00 Uhr ausgeführtwird. D m Sie erstellen je eine Site für München, Berlin und Hannover sowie IP-Standortverbindungen zwischen München und Berlin und zwischen Berlin und Hannover. Sie legen in den Verbindungen fest, dass die Replikation zwischen München und Berlin und zwischen Berlin und Hannover in der Zeitvon 02:00 Uhr bis 04:00 Uhr ausgeführt werden. E m Sie erstellen eine Site, die alle drei Standorte umfasst. 44

Besser Schlafen 10 Wie sollten Sie die DNS-Umgebung konfigurieren, um Windows 2000 in der Besser Schlafen GmbH zu unterstützen? A m Sie verwenden die vorhandenen DNS-Server und aktualisieren diese, um SRV-Einträge zu unterstützen. Um sekundäre Zonen zu unterstützen, fügen Sie der Umgebung weitere DNS-Server hinzu, die unter Windows 2000 ausgeführt werden. B m Sie installieren Microsoft DNS-Server auf Windows 2000-Computern und integrieren DNS in Active Directory. C m Sie verwenden die vorhandenen DNS-Server und aktualisieren diese, um dynamische Aktualisierungen zu unterstützen. D m Sie fügen der Umgebung weitere DNS-Server hinzu, auf denen die neueste Version von BIND ausgeführt wird. 45