Active Directory.pdf - Gattner

188 Kapitel 5: Entwerfen der Active Directory-Domänendienstestruktur
Adatum kann auch beschließen, AD DS mit einem anderen Domänennamen als dem, der derzeit auf
den BIND-DNS-Servern verwendet wird, bereitzustellen. Beispielsweise kann das Unternehmen sich
entscheiden, Adatum.net als AD DS-DNS-Namen zu nutzen. In diesem Fall können die DNS-Server
unter Windows Server 2008 als autorisierende Server für Adatum.net und die BIND-Server als autorisierend
für Adatum.com konfiguriert werden. Der DNS-Server unter Windows Server 2008 kann
anschließend mit einer bedingten Weiterleitung an den BIND-DNS-Server für Adatum.com konfiguriert
werden.
Hinweis Der Abschnitt zum Planen des DNS-Namespaces weiter oben in diesem Kapitel hat eine Reihe
von möglichen Szenarios für die Bereitstellung von DNS-Namespaces aufgezeigt. Die im Abschnitt zur
Namespaceplanung erörterten DNS-Server sind im Wesentlichen austauschbar: Alle DNS-Server könnten
BIND-Server oder DNS-Server unter Windows Server sein. Theoretisch könnten Sie Windows Server 2008
DNS sogar zum Hosten des externen DNS-Namens verwenden und BIND DNS für AD DS-Domänen einsetzen.
Entwerfen der Struktur von Organisationseinheiten
Nach dem Abschluss des Entwurfs auf Domänenebene besteht der nächste Schritt darin, einen OU-
Entwurf für jede Domäne zu erstellen. Wie in Kapitel 2, „Active Directory-Domänendienstkomponenten“,
bereits beschrieben wurde, werden OUs zum Erstellen einer hierarchischen Struktur innerhalb
einer Domäne verwendet. Mithilfe dieser Hierarchie können administrative Aufgaben delegiert
oder eine Reihe von Gruppenrichtlinieneinstellungen auf eine Sammlung von Objekten angewendet
werden.
Organisationseinheiten und der AD DS-Entwurf
Beim Entwerfen der OU-Struktur stellen Sie eine Sammlung von Objekten zusammen, um diese
Objekte auf dieselbe Weise zu verwalten. Beispielsweise soll ein gemeinsamer Satz an Desktopeinstellungen
für alle Benutzer in einer bestimmten Abteilung konfiguriert werden. Indem Sie alle
Benutzer in einer OU gruppieren, können Sie eine Gruppenrichtlinie auf diese OU anwenden, die den
Benutzerdesktop automatisch konfiguriert. Außerdem können Sie Objekte gruppieren, um dieser
Objektgruppe einen Administrator zuzuweisen. Wenn Sie beispielsweise eine Außenstelle mit einem
lokalen Administrator besitzen, können Sie eine OU erstellen, alle Benutzer- und Computerobjekte in
der Außenstelle in diese OU platzieren und anschließend die Verwaltung dieser OU an den lokalen
Administrator delegieren.
OUs verfügen über mehrere Eigenschaften:
• Der OU-Entwurf wirkt sich nicht auf den Entwurf des DNS-Namespaces aus. OUs erhalten
Verzeichnisnamen innerhalb eines DNS-Namespaces. Beispielsweise kann eine OU den definierten
Namen OU=Manager,DC=Adatum,DC=com besitzen. In diesem Fall lautet der DNS-
Name Adatum.com, und die OU-Namen sind LDAP-Namen innerhalb des DNS-Namespaces.
• OUs können innerhalb anderer OUs erstellt werden. Standardmäßig werden administrative Rechte
und Gruppenrichtlinieneinstellungen, die für OUs höherer Ebenen eingestellt werden, von untergeordneten
OUs übernommen. Dieses Standardverhalten kann geändert werden.
• OUs sind für Endbenutzer transparent. Wenn ein Benutzer AD DS nach einem beliebigen Objekt
durchsucht, fragt die Benutzeranwendung die Information vom globalen Katalog ab. Der Benutzer
muss die OU-Struktur nicht kennen, um sich anzumelden oder Objekte in AD DS zu finden.