Active Directory.pdf - Gattner

174 Kapitel 5: Entwerfen der Active Directory-Domänendienstestruktur
Daher ist es außerdem leicht, die Stammdomäne im Fall einer Notfallwiederherstellung an einen
anderen physischen Standort zu verschieben.
• Eine dedizierte Stammdomäne ist einfacher zu verwalten als eine Stammdomäne, die viele
Objekte enthält. Da die Verzeichnisdatenbank klein ist, können die Stammdomänencontroller
leicht gesichert und wiederhergestellt werden. Die Stammdomäne kann nicht ersetzt werden;
wenn die Stammdomäne zerstört ist und nicht wiederhergestellt werden kann, müssen Sie die
ganze Gesamtstruktur neu aufbauen.
• Eine dedizierte Stammdomäne veraltet außerdem nie, vor allem dann nicht, wenn die Domäne
einen generischen Namen erhält.
Aus diesen Gründen sollten die meisten Unternehmen, die sich für die Verwendung mehrerer Domänen
entschließen, ernsthaft die Verwendung einer dedizierten Stammdomäne in Betracht ziehen.
Selbst einige Unternehmen, die nur eine Domäne einzusetzen planen, sollten die Vorteile einer
dedizierten Stammdomäne abwägen.
Die dedizierte Stammdomäne erfordert eine bestimmte Konfiguration, die für die anderen Domänen in
der Gesamtstruktur nicht relevant ist. Zunächst einmal müssen die Domänencontroller der Stammdomäne
so gut wie möglich abgesichert werden, weil die Stammdomäne die Gesamtstrukturbetriebsmaster
enthält. Die Gesamtstrukturdomäne umfasst außerdem die Gruppen, die die Gesamtstruktur und das
Schema verändern können. Noch mehr als in allen anderen Domänen müssen die Mitglieder der
Administratorengruppen in der Stammdomäne extrem vertrauenswürdig sein. Sie werden wahrscheinlich
die Option Eingeschränkte Gruppen in der Domänensicherheitsrichtlinie verwenden, um die Mitgliedschaft
in diesen Gruppen zu verwalten. Die DNS-Konfiguration der Stammdomäne sollte ebenfalls
so sicher wie möglich sein. Da zusätzliche Computer wahrscheinlich nicht in der Stammdomäne
installiert werden, sollten Sie während der Installation der Domänencontroller sichere dynamische
Aktualisierungen für die DNS-Zone der Stammdomäne aktivieren und anschließend dynamische
Aktualisierungen für diese Zone deaktivieren.
Entwerfen von Domänenhierarchien
Nachdem der Stammdomänenentwurf abgeschlossen ist, müssen Sie im nächsten Schritt festlegen,
wie viele zusätzliche Domänen Sie einrichten müssen und wie die übrigen Domänen in den DNS-
Namespace für die Gesamtstruktur passen.
Es gibt grundsätzlich drei Modelle zum Erstellen zusätzlicher Domänen in einer AD DS-Gesamtstruktur:
• Erstellen von Domänen basierend auf der geografischen Lage, also regionale Domänen Regionale
Domänen werden hauptsächlich zum Verringern des Replikationsdatenverkehrs über langsame
oder teure WAN-Verknüpfungen verwendet. Regionale Domänen sind die bevorzugte Option für
Unternehmen mit einer großen Anzahl an Benutzern, die geografisch verstreut sind. Beispielsweise
Unternehmen mit Niederlassungen auf mehreren Kontinenten können sich zur Implementierung
regionaler Domänen entschließen, um den Replikationsdatenverkehr zwischen Kontinenten
einzuschränken. Regionale Domänen sind auch die bevorzugte Option, wenn die geografisch verteilten
Bereiche des Unternehmens sich fest etabliert haben und wahrscheinlich nicht geändert
werden. Die Domänenkonfiguration ist nach der Bereitstellung schwierig zu ändern.