3 Active Directory installieren

3 Active Directory installieren In diesem Kapitel gehe ich auf die neuen Active Directory-Funktionen im Einsatz mit Windows Server 2008 ein. Die Funktion eines Domänen-Controllers wird in Windows Server 2008 durch die neuen Active Directory-Domänendienste dargestellt. 3.1 Vorbereitungen für Active Directory Der erste Schritt bei der Installation von Active Directory besteht darin, den Namen des Servers festzulegen und den NetBIOS-Namen und das DNS-Suffix des ersten Domänen-Controllers so zu wählen, wie später die Active Directory-Domäne benannt werden soll. Konfigurieren Sie daher zunächst über SYSTEMSTEUERUNG SYSTEM ERWEITERTE SYSTEMEINSTELLUNGEN, Registerkarte COMPUTERNAME, Schaltfläche ÄNDERN den NetBIOS-Namen des neuen Domänen-Controllers, zum Beispiel dc01. Klicken Sie dann in diesem Fenster auf die Schaltfläche WEITERE und geben Sie das DNS-Suffix des Servers an. Geben Sie an dieser Stelle den exakten DNS-Namen an, den Ihre Active Directory-Domäne später erhalten soll, zum Beispiel contoso.com. 75

Kapitel 3 Active Directory installieren Abbildung 3.1: Definieren des Computernamens und des DNS-Suffixes eines Domänen- Controllers Der vollständige Name des Servers (FQDN) setzt sich aus dem Computernamen und dem primären DNS-Suffix zusammen. Der vollständige Computername des Domänen-Controllers lautet in unserem Beispiel somit dc01.contoso.com. Nachdem Sie die Änderungen vorgenommen haben, müssen Sie den Server neu starten. 3.1.1 Konfigurieren der IP-Einstellungen des Servers Haben Sie den vollständigen Computernamen festgelegt, sollten Sie als Nächstes die IP-Einstellungen des Servers anpassen. Wichtig ist an dieser Stelle, dass Sie die lokale IP-Adresse des Servers als primären DNS-Server festlegen. Da dieser Server der erste Domänen-Controller des neuen Active Directory werden soll, wird er auch der erste DNS-Server. Die IP-Einstellungen für Netzwerkverbindungen erreichen Sie über den Link NETZWERKVERBINDUNGEN VERWALTEN im Netzwerk- und Freigabecenter. Am schnellsten gelangen Sie an diese Konfiguration über START AUSFÜHREN NCPA.CPL. 76

Vorbereitungen für Active Directory Abbildung 3.2: Verwalten der Netzwerkverbindungen über»netzwerk- und Freigabecenter«Rufen Sie die Eigenschaften des IPv4-Protokolls auf, um die IP-Einstellungen für die Domäne vorzunehmen. Tragen Sie in den Eigenschaften des IP-Protokolls die IP-Adresse des Servers als bevorzugten DNS-Server ein. Da ein DNS-Server vom Client nur über die IP-Adresse und nicht über den Namen gefunden wird, sollte ein DNS-Server immer mit einer statischen IP-Adresse konfiguriert werden. An dieser Stelle müssen Sie noch keinen alternativen DNS-Server eintragen. Der alternative DNS-Server wird erst von einem Client befragt, wenn der bevorzugte DNS-Server nicht mehr antwortet. Wählen Sie eine beliebige IP-Adresse, die sich im Subnetz der Testumgebung befindet. 77

Kapitel 3 Active Directory installieren Abbildung 3.3: Konfigurieren derip-einstellungen Erweiterte Netzwerkeinstellungen für die Domänenaufnahme Über die Schaltfläche ERWEITERT erreichen Sie weitere Einstellungen, um die Namensauflösung per DNS oder WINS im Netzwerk einzustellen. Normalerweise werden Sie hier keine Einstellungen vornehmen müssen, da bereits die Standardeinstellungen ausreichen. Für manche Netzwerke kann jedoch eine Anpassung sinnvoll sein. Ob dies für Sie erforderlich ist, erfahren Sie auf den folgenden Seiten. Wenn Sie die erweiterten Einstellungen anpassen, sollten Sie darauf achten, sich die Standardeinstellungen zu notieren, da diese später nicht einfach nachzuvollziehen sind, falls Sie erneut Änderungen vornehmen müssen. Auf der Registerkarte WINS können Sie einen WINS-Server eintragen, sofern Sie einen solchen im Netzwerk betreiben. WINS steht für Windows Internet Name Service und ist der Vorgänger der dynamischen DNS-Aktualisierung. Während DNS für die Namensauflösung mit vollqualifizierten Domänennamen zuständig ist, werden mit WINS NetBIOS-Namen aufgelöst. Auf den Arbeitsstationen können Sie diese Einstellungen auch mit Hilfe eines DHCP-Servers verteilen. Ich beschreibe die Installation eines solchen Servers im Anschluss an die Erstellung des Active Directory. 78

Vorbereitungen für Active Directory Auf der Registerkarte DNS werden schließlich notwendige Einstellungen vorgenommen, um Windows Server 2008 besser in eine Windows-Domäne einzubinden. Für eine generelle Aufnahme von Windows Vista oder Windows Server 2008 in eine Domäne sind hier keine Änderungen vorzunehmen. Auf den folgenden Seiten erfahren Sie jedoch an Hand von Beispielen, wann hier Änderungen sinnvoll sein können. Zunächst sind standardmäßig immer nur die folgenden Optionen bzw. Kontrollkästchen aktiviert: Primäre und verbindungsspezifische DNS-Suffixe anhängen Übergeordnete Suffixe des primären DNS-Suffixes anhängen Adressen dieser Verbindung in DNS registrieren Abbildung 3.4: Erweiterte DNS-Einstellungen für Windows Server 2008 Die einzelnen Optionen spielen bei der Namensauflösung in einer DNS-Infrastruktur eine erhebliche Rolle: PRIMÄRE UND VERBINDUNGSSPEZIFISCHE DNS-SUFFIXE ANHÄNGEN Durch die Aktivierung dieser Option wird festgelegt, dass der Rechner versucht, bei der Auflösung von Rechnernamen immer automatisch das konfigurierte primäre DNS- Suffix des eigenen Computernamens anzuhängen. Wollen Sie zum Beispiel einen Rechnernamen mit der Bezeichnung dc01 auflösen, versucht der Rechner eine Namensauflösung nach dc01.contoso.com, falls das primäre DNS-Suffix des Servers contoso.com ist. 79

Kapitel 3 Active Directory installieren ÜBERGEORDNETE SUFFIXE DES PRIMÄREN DNS-SUFFIXES ANHÄNGEN Diese Option bedeutet, dass auch die Namen von übergeordneten Domänen bei der Namensauflösung verwendet werden. Wenn Sie zum Beispiel in einer untergeordneten Domäne mit der Bezeichnung muenchen.de.contoso.com einen Servernamen dc05 auflösen wollen, versucht der Rechner zunächst die Auflösung über dc05.muenchen.de.contoso.com, falls dies das primäre DNS-Suffix des PC oder Servers ist. Im Anschluss wird versucht, den Namen über dc05.de.contoso.com und dann über dc05.contoso.com aufzulösen, da diese Domänen der Domäne muenchen.de.contoso.com übergeordnet sind. DNS-SUFFIX FÜR DIESE VERBINDUNG Zusätzlich haben Sie noch die Möglichkeit, in diesem Bereich ein weiteres beliebiges DNS-Suffix einzutragen. Wenn der Rechner den eingegebenen Namen bei seinem konfigurierten DNS-Server nicht über sein eigenes primäres DNS-Suffix finden kann, versucht er es mit dem DNS- Suffix in diesem Feld. Wollen Sie zum Beispiel den Servernamen dc06 auflösen, versucht der Computer zunächst die Auflösung in dc06.contoso.com, sofern dies sein primäres DNS-Suffix ist. Tragen Sie im Feld DNS-SUFFIX für diese Verbindung noch ein Suffix in der Form muenchen.de.microsoft.com ein, versucht der PC, auch den Namen nach dc06.muenchen.de.microsoft.com aufzulösen. Außerdem haben Sie durch diese Funktion die Möglichkeit, mehrere DNS-Suffixe zu verwenden, sofern Sie im Server verschiedene Netzwerkkarten betreiben. ADRESSEN DIESER VERBINDUNG IN DNS REGISTRIEREN Auch diese Option ist bereits standardmäßig aktiviert. DNS-Server ab Windows Server 2000 haben die Möglichkeit, Einträge dynamisch zu registrieren. Durch dieses dynamische DNS müssen Hosteinträge nicht mehr manuell durchgeführt werden. Sobald sich ein Rechner im Netzwerk anmeldet, versucht er, seinen FQDN beim konfigurierten DNS-Server automatisch einzutragen, sofern diese Option nicht deaktiviert wurde. Dieser Punkt ist für die interne Namensauflösung in einem Active Directory-Netzwerk von sehr großer Bedeutung. Außer den standardmäßig aktivierten Optionen gibt es noch weitere Einstellungen, die Sie in diesem Fenster konfigurieren können: DIESE DNS-SUFFIXE ANHÄNGEN Wenn Sie diese Option aktivieren, können Sie DNS-Suffixe konfigurieren, mit denen unvollständige Rechnernamen aufgelöst werden. Aktivieren Sie diese Option, werden weder das primäre DNS-Suffix des Servers noch die DNS-Suffixe dieser Verbindung verwendet. Es werden die DNS- Suffixe in der Reihenfolge angehängt, die im Feld DIESE DNS-SUFFIXE ANHÄNGEN (IN REIHENFOLGE) konfiguriert sind. Achten Sie bei der Konfiguration darauf, dass möglichst das DNS-Suffix der Windows-Domäne, in der dieser Server Mitglied ist oder werden soll, als erstes in dieser Liste eingetragen ist. Diese Option wird häufig benutzt, um die Namensauflösung in Gesamtstrukturen mit mehreren Strukturen zu vereinfachen. Dazu werden in der Reihenfolge alle Strukturen der Gesamtstruktur eingetragen, um eine Namensauflösung innerhalb des Active Directory zu gewährleisten. Vor allem beim Einsatz von Exchange Servern ist 80

Vorbereitungen für Active Directory diese Option sehr nützlich, wenn die Exchange Server über mehrere Strukturen und Domänen verteilt sind. Standardmäßig ist diese Option nicht aktiviert. DNS-SUFFIX DIESER VERBINDUNG IN DNS-REGISTRIERUNG VERWENDEN Wenn Sie dieses Kontrollkästchen aktivieren, wird der Server im DNS mit seinem Computernamen und seinem primären DNS-Suffix registriert, also seinem FQDN (Fully Qualified Domain Name). Zusätzlich wird der Name mit dem DNS-Suffix auch beim DNS-Server registriert, das im Bereich DNS-SUFFIX FÜR DIESE VERBINDUNG konfiguriert ist. Diese Option ist ebenfalls nicht standardmäßig aktiviert. Falls Sie schnell und effizient Servernamen in verschiedenen DNS-Zonen auflösen wollen, aktivieren Sie auf den Computern in den IP-Einstellungen über die Schaltfläche ERWEITERT auf der Registerkarte DNS die Option DIESE DNS-SUF- FIXE ANHÄNGEN (IN REIHENFOLGE). Tragen Sie als Nächstes zuerst den Namensraum der eigenen Struktur ein und hängen Sie danach die Namensräume der anderen Strukturen an. Zweck dieser Konfiguration ist die schnelle Auflösung von Servern in den anderen Strukturen. Wenn Sie zum Beispiel den Domänen- Controller dc1 in der Struktur contoso.com auflösen wollen, müssen Sie stets dc1.contoso.com eingeben, falls Ihr Server nicht Mitglied dieser Struktur ist. Diese Einstellung ist optional, erleichtert aber die Stabilität der Namensauflösung in Ihrem Active Directory. Sie sollten diese Einstellung auf jedem Domänen-Controller sowie auf jedem Exchange Server in Ihrer Gesamtstruktur durchführen sowie auf PCs von Administratoren oder Power Usern, die ständig Verbindung zu anderen Domänen aufbauen müssen. Zuerst sollte immer die eigene Domäne und der eigene Namensraum eingetragen werden, bevor andere Namensräume abgefragt werden. Haben Sie diese Maßnahme durchgeführt, können Sie mit Nslookup den Effekt überprüfen, allerdings erst dann, wenn das Active Directory installiert wurde. Sie können an dieser Stelle lediglich dc1 eingeben. Der Server befragt seinen bevorzugten DNS-Server, ob ein Server mit dem Namen dc1.microsoft.com gefunden wird, wenn es sich hierbei um Ihr primäres DNS-Suffix handelt. Da dieser Server unter Umständen in dieser Domäne nicht vorhanden ist, wird der nächste Namensraum abgefragt. Das ist in diesem Beispiel contoso.com. Viele Administratoren tragen auf ihrem DNS-Server einfach einen neuen statischen Hosteintrag ein, der auf die IP-Adresse des Servers des anderen Namensraumes zeigt. Diese Vorgehensweise ist aber nicht richtig, auch wenn sie grundsätzlich funktioniert. Es wird in diesem Fall nämlich nicht der korrekte DNS-Name des entsprechenden Servers zurückgegeben, sondern der Servername mit der Zone des DNS-Servers, in die der Server als Host eingetragen wurde. Vor allem in größeren Active Directorys sollten Administratoren darauf achten, die Konfigurationen so vorzunehmen, dass sie auch formal korrekt sind. Das hilft oft, unbedachte Probleme zu vermeiden. Wenn Sie zum Beispiel in der Zone microsoft.com einen neuen Eintrag dc1 für den Domänen-Controller dc1.contoso.com erstellen, der auf die IP- Adresse des Servers verweist, wird der Name als dc1.microsoft.com aufgelöst, 81

Kapitel 3 Active Directory installieren obwohl der eigentliche Name des Servers dc1.contoso.com ist. Dadurch funktioniert zwar die Auflösung, aber es wird ein falscher Name zurückgegeben. 3.2 DNS in Windows Server 2008 installieren und verwalten Der Assistent für die Installation von Active Directory kann zwar auch im Rahmen der Einrichtung die DNS-Funktionalität installieren und konfigurieren, allerdings ist diese Vorgehensweise nicht optimal. Besser ist es, DNS getrennt und vor dem Active Directory zu installieren und zu konfigurieren. 3.2.1 DNS-Rolle installieren Um DNS auf einem Windows Server 2008 zu installieren, starten Sie den Server- Manager und klicken auf ROLLEN. Klicken Sie anschließend auf den Link ROLLE HINZUFÜGEN und wählen Sie die Rolle DNS-SERVER aus. Klicken Sie diese Option bitte an und lassen Sie die notwendigen Komponenten installieren. Nach der Installation müssen Sie den Server nicht neu starten. Abbildung 3.5: Installieren der DNS-Rolle auf einem Server 82

DNS in Windows Server 2008 installieren und verwalten Nach der Installation finden Sie das Verwaltungsprogramm für den DNS-Server unter START VERWALTUNG DNS. Wenn Sie die Verwaltung starten, sehen Sie zunächst die Einträge, die Sie an dieser Stelle zur Verwaltung verwenden: Globale Protokolle und die DNS-Ereignisanzeige Forward-Lookupzonen Reverse-Lookupzonen Bedingte Weiterleitungen Standardmäßig werden Sie mit dem lokal installierten DNS-Server verbunden. Erstellen Sie später eine einheitliche Managementkonsole (MMC), können Sie die Verwaltung mehrerer DNS-Server in Ihrem Unternehmen an einer Stelle verbinden. Klicken Sie mit der rechten Maustaste in der Konsole auf den Eintrag DNS, können Sie sich mit weiteren DNS-Servern verbinden. Für die Testumgebung werden diese Schritte nicht benötigt. Mit den Knoten FORWARD-LOOKUP- ZONEN und REVERSE-LOOKUPZONEN werden die Zonen angelegt, die das Active Directory für seinen Betrieb benötigt. Im Knoten GLOBALE PROTOKOLLE finden Sie das gleiche Protokoll wie in der Ereignisanzeige des Servers. Über BEDINGTE WEITERLEITUNGEN können Sie Anfragen zu bestimmten DNS-Zonen an fest definierte DNS-Server weiterleiten. Unter Windows Server 2003 war diese Einstellung noch über die Eigenschaften des DNS-Servers verfügbar. 3.2.2 Erstellen der notwendigen DNS-Zonen für das Active Directory Der nächste Schritt zur Erstellung eines Active Directory besteht in der Erstellung der neuen Zonen, welche die DNS-Domänen des Active Directory verwalten. Starten Sie die DNS-Verwaltung. Erstellen einer Forward-Lookupzone Die erste und wichtigste Zone, die Sie auf einem DNS-Server erstellen, ist die Forward-Lookupzone der ersten Domäne des Active Directory. Diese enthält die Informationen für die Zuordnung von Namen zu IP-Adressen. Klicken Sie dazu in der Managementkonsole mit der rechten Maustaste auf den Eintrag FORWARD- LOOKUPZONEN und wählen Sie im Kontextmenü den Befehl NEUE ZONE aus. Es startet daraufhin der Assistent zum Erstellen neuer Zonen. Im nächsten Fenster können Sie festlegen, welche Art Zone Sie erstellen möchten. Wählen Sie die Option PRIMÄRE ZONE aus. Beim Erstellen neuer Zonen im Active Directory werden ausschließlich primäre Zonen benötigt. Eine sekundäre Zone kann eingetragen werden, falls eine lokale Kopie einer DNS-Zone auf dem Server vorgehalten werden soll; der Inhalt der Zone wird dann automatisch von einem für die Zone zuständigen Server kopiert. 83

Kapitel 3 Active Directory installieren Abbildung 3.6: Erstellen einer primären Forward-Lookupzone Auf der nächsten Seite des Assistenten legen Sie den Namen der neuen Zone fest. Wird bereits ein Active Directory betrieben, kann auf einer vorhergehenden Registerkarte eingestellt werden, auf welche Server die Daten der neuen Zone repliziert werden sollen. Hier ist es wichtig, dass Sie als Zonennamen exakt den Namen wählen, den Sie zuvor als DNS-Suffix des Servers eingetragen haben. Das DNS-Suffix des Domänen-Controllers wird später in dieser Zone integriert und die erste Active Directory-Domäne speichert ihre SRV-Records ebenfalls in dieser Domäne. In diesem Beispiel lautet die Zone contoso.com. Im Anschluss erscheint das Fenster, in dem Sie die Erstellung einer neuen Datei für die Zone bestätigen müssen. Sie könnten an dieser Stelle den Namen der Datei zwar ändern, sollten ihn aber möglichst immer so belassen, wie er festgelegt wurde. Abbildung 3.7: Festlegen des Zonennamens für die neue Domäne Im nächsten Fenster legen Sie die dynamischen Updates der DNS-Zone fest. DNS- Server unter Windows Server 2008 arbeiten mit dynamischen Updates. Das heißt, alle Servernamen und IP-Adressen sowie die SRV-Records des Active Directory 84

DNS in Windows Server 2008 installieren und verwalten werden von dem jeweiligen System automatisch in diese Zone eingetragen. Ohne dynamische Updates können Sie in einer Zone kein Active Directory integrieren. Der Installationsassistent des Active Directory muss in einer Zone Dutzende Einträge automatisch durchführen können. Aktivieren Sie daher im Fenster die Option NICHT SICHERE UND SICHERE DYNAMISCHE UPDATES ZULASSEN. Sichere Updates können Sie nach der Erstellung des Active Directory konfigurieren. Vor der Installation ist diese Einstellung deaktiviert. Abbildung 3.8: Festlegen der Optionen zur automatischen Aktualisierung der Zone Im Anschluss erhalten Sie nochmals eine Zusammenfassung Ihrer Angaben. Danach wird die Zone erstellt und in der MMC angezeigt. Innerhalb der Zone sollte bereits der lokale Server als Host (A) mit seiner IP-Adresse registriert sein. Diese Registrierung findet nur statt, sofern das primäre DNS-Suffix des Servers mit der erstellten Zone übereinstimmt und die dynamische Aktualisierung zugelassen wurde. In den IP-Einstellungen des Servers muss außerdem der DNS-Server eingetragen sein, der die Zone verwaltet. Erstellen einer Reverse-Lookupzone Im Anschluss an die Forward-Lookupzone sollten Sie eine Reverse-Lookupzone erstellen. Diese Zone ist dafür zuständig, IP-Adressen in Rechnernamen zu übersetzen. Diese Zonen werden zwar für den stabilen Betrieb eines Active Directory nicht zwingend benötigt, gehören aber dennoch zu einer ordentlichen Namensauflösung im Netzwerk. Klicken Sie mit der rechten Maustaste auf den Knoten REVERSE-LOOKUPZONE und wählen Sie im Kontextmenü den Befehl NEUE ZONE aus. Auf der ersten Seite des Assistenten wählen Sie wieder die Option PRIMÄRE ZONE. Auf der nächsten Seite können Sie festlegen, ob Sie eine IPv4- oder eine IPv6-Reverse-Lookupzone anlegen wollen. Da Windows Server 2008 neben IPv4 auch IPv6 unterstützt, wird dieses neue Dialogfeld eingeblendet. In den meisten Netzwerken wird derzeit noch ausschließlich mit IPv4 gearbeitet. Aus diesem Grund sollten Sie bei einer Testumgebung auch eine IPv4-Reverse-Lookupzone anlegen. Legen Sie auf der nächsten Seite des Assistenten den IP-Bereich fest, der durch diese Zone verwaltet werden soll. Tragen Sie zur Definition des IP-Bereichs unter NETZWERKKENNUNG den IP-Bereich ein, den Sie verwalten wollen. Für jeden eigenständigen IP-Bereich müssen Sie eine eigene Zone anlegen. Falls Sie ein B-Klasse-Netz (Subnetzmaske 255.255.0.0) verwalten, können Sie auch einfach 85

Kapitel 3 Active Directory installieren die letzte Stelle leer lassen. Hat sich bei einer Zone, die Sie für die Netzwerkkennung 10.0. konfiguriert haben, ein Server mit der IP-Adresse 10.0.1.20 registriert, legt der DNS-Server automatisch einen Ordner 1 unter der Zone 10.0 an. In diesem Ordner wird der Hosteintrag des Servers registriert. Alle weiteren IP-Adressen, wie zum Beispiel 10.0.2.20, werden ebenfalls automatisch als neuer Ordner angelegt. Sie müssen daher bei einem B-Klasse-Netzwerk nicht manuell für jedes Unternetz eine eigene Zone anlegen. Nur wenn sich der IP-Bereich vollständig unterscheidet, zum Beispiel 192.168. und 10.1., müssen Sie zwei getrennte Zonen anlegen. Auf der nächsten Seite des Assistenten legen Sie den Zonennamen fest. Danach müssen Sie die dynamischen Updates zulassen und die Zusammenfassung bestätigen. Als Nächstes wird die neue Zone erstellt. Hat sich der Server noch nicht automatisch registriert, können Sie über die Eingabe des Befehls ipconfig /registerdns in der Befehlszeile die dynamische Registrierung anstoßen. Danach sollte die IP-Adresse des Servers in der Zone registriert sein. Überprüfung und Fehlerbehebung der DNS-Einstellungen Bevor Sie Active Directory auf dem Server installieren, sollten Sie sicherstellen, dass alle DNS-Einstellungen korrekt vorgenommen wurden. Überprüfen Sie, ob sich der Server sowohl in der Forward- als auch in der Reverse-Lookupzone korrekt eingetragen hat. Öffnen Sie danach eine Befehlszeile und geben Sie den Befehl nslookup ein. Die Eingabe des Befehls darf keinerlei Fehlermeldungen verursachen. Es müssen der richtige FQDN des DNS-Servers und seine IP-Adresse angezeigt werden. Sollte das nicht der Fall sein, gehen Sie Schritt für Schritt vor, um den Fehler einzugrenzen: 1. Sollte ein Fehler erscheinen, versuchen Sie es einmal mit dem Befehl ipconfig / registerdns in der Befehlszeile. 2. Sollte der Fehler weiterhin auftreten, überprüfen Sie, ob das primäre DNS- Suffix auf dem Server mit dem Zonennamen übereinstimmt. 3. Stellen Sie als Nächstes fest, ob die IP-Adresse des Servers stimmt und der Eintrag des bevorzugten DNS-Servers auf die IP-Adresse des Servers zeigt. 4. Überprüfen Sie in den Eigenschaften der Zone, ob diese die dynamische Aktualisierung zulässt und ändern Sie gegebenenfalls die Einstellung, damit die Aktualisierung stattfinden kann. Die Eigenschaften der Zonen erreichen Sie, wenn Sie mit der rechten Maustaste auf die Zone klicken und die Eigenschaften auswählen. 5. Treten keine Fehler auf, können Sie mit der Erstellung des Active Directory auf diesem Server beginnen. 86