Active Directory.pdf - Gattner

Entwerfen der Integration mehrerer Gesamtstrukturen 165
Wenn Unternehmen eine fortgeschrittenere Integration zwischen den Gesamtstrukturen ermöglichen
müssen, können sie die Optionen zum Implementieren einer Art von Verzeichnissynchronisierung
zwischen den Gesamtstrukturen erkunden.
Hinweis Active Directory-Verbunddienste bieten eine weitere Alternative für die Bereitstellung des Zugriffs
auf Anwendungen in einer Gesamtstruktur für Benutzer in einer anderen Gesamtstruktur. Weitere Einzelheiten
hierzu finden Sie in Kapitel 19, „Active Directory-Verbunddienste“.
Entwerfen gesamtstrukturübergreifender Vertrauensstellungen
Die einfachste Möglichkeit, den Zugriff auf freigegebene Ressourcen zwischen Gesamtstrukturen zu
ermöglichen, besteht darin, Vertrauensstellungen zwischen den Gesamtstrukturen oder zwischen
Domänen in den jeweiligen Gesamtstrukturen zu konfigurieren. Wenn Sie Vertrauensstellungen zwischen
Gesamtstrukturen konfigurieren, können Sie entweder Gesamtstrukturvertrauensstellungen,
also transitive Vertrauensstellungen zwischen den Gesamtstruktur-Stammdomänen, oder externe Vertrauensstellungen
zwischen zwei beliebigen Domänen in beiden Gesamtstrukturen konfigurieren.
Hinweis Bevor Sie Vertrauensstellungen zwischen AD DS-Gesamtstrukturen konfigurieren, müssen Sie
sicherstellen, dass Domänencontroller in beiden Gesamtstrukturen die DNS-Adressen für Domänencontroller
in der anderen Gesamtstruktur auflösen können. Die einfachste Möglichkeit, die Namensauflösung
zwischen Gesamtstrukturen zu ermöglichen, ist die Konfiguration bedingter Weiterleitungen in jeder Gesamtstruktur.
Zudem müssen beide Gesamtstrukturen in einer Gesamtstrukturvertrauensstellung zumindest für
die Funktionsebene Windows Server 2003 (oder höher) konfiguriert sein.
Entwerfen von Gesamtstrukturvertrauensstellungen
Beim Erstellen einer Gesamtstrukturvertrauensstellung richten Sie eine Vertrauensstellung zwischen
den Gesamtstruktur-Stammdomänen der beiden Gesamtstrukturen ein. Für das Entwerfen der Konfiguration
der Gesamtstrukturvertrauensstellung gelten folgende Anforderungen:
• Entwerfen der Richtung der Gesamtstrukturvertrauensstellung
• Entwerfen der ausgewählten Authentifizierung
• Entwerfen der SID-Filterung
• Entwerfen des UPN-Suffixrouting
Entwerfen der Richtung der Gesamtstrukturvertrauensstellung Beim Konfigurieren einer Gesamtstrukturvertrauensstellung
können Sie die Richtung der Vertrauensstellung auswählen. Wenn Sie
den Entwurf für die Gesamtstrukturvertrauensstellung erstellen, planen Sie immer die geringste
Zugriffsebene ein, die den Geschäftsanforderungen entspricht. In einem Szenario mit Ressourcengesamtstruktur
sollten Sie beispielsweise eine unidirektionale Vertrauensstellung von der Kontengesamtstruktur
zur Ressourcengesamtstruktur konfigurieren. Ermöglichen Sie bidirektionale Vertrauensstellungen
nur dann, wenn Benutzer in beiden Gesamtstrukturen auf Ressourcen in der jeweils anderen
Gesamtstruktur zugreifen müssen.
Entwerfen der ausgewählten Authentifizierung Die zweite Option, die Sie beim Erstellen einer Gesamtstrukturvertrauensstellung
konfigurieren können, ist die ausgewählte Authentifizierung. Durch Aktivieren
der ausgewählten Authentifizierung besitzen Sie mehr Kontrolle darüber, welche Benutzergruppen
in einer vertrauten Gesamtstruktur auf welche freigegebene Ressourcen in einer vertrauenden
Gesamtstruktur zugreifen können.