Active Directory.pdf - Gattner

206 Kapitel 5: Entwerfen der Active Directory-Domänendienstestruktur
Deaktivieren Sie die automatische Standortabdeckung auf Domänencontrollern unter Windows
Server 2003. Dieser Schritt ist über die Registrierung möglich.
Erhöhen Sie die Gewichtung der vom RODC registrierten DNS-SRV-Ressourceneinträge,
oder verringern Sie die Priorität der von Windows Server 2003 registrierten SRV-Einträge,
damit die Clientcomputer sich mit höherer Wahrscheinlichkeit eher am RODC als an einem
Windows Server 2003-Domänencontroller authentifizieren.
Konfigurieren Sie die Domänencontrollerlocator-DNS-Einträge über die Gruppenrichtlinien.
Sie können den DNS-Locatoreinträgen über die Gruppenrichtlinien unterschiedliche Gewichtungen
zuordnen.
Weitere Informationen Einzelheiten zur Konfigurierung dieser Optionen finden Sie in englischer Sprache
unter „Step-by-Step Guide for Read-Only Domain Controller in Windows Server 2008“ unter http://
technet2.microsoft.com/windowsserver2008/en/library/ea8d253e-0646-490c-93d3-
b78c5e1d9db71033.mspx?mfr=true.
Entwerfen der RODC-Verwaltung Beim Entwerfen der Bereitstellung von RODCs müssen Sie auch die
delegierte Verwaltung für die RODCs einplanen. Einer der Vorteile eines RODCs besteht darin, dass
Sie einen delegierten lokalen Administrator für den RODC konfigurieren können, ohne Berechtigungen
auf Domänenebene zu erteilen. Der delegierte Administrator kann sich für Wartungsarbeiten
(z.B. zur Aktualisierung eines Treibers) an einem RODC anmelden. Er könnte sich jedoch nicht an
einem anderen Domänencontroller anmelden oder andere Verwaltungsaufgaben in der Domäne ausführen.
Die Delegierung von Administratorrechten für einen RODC sollte in Betracht gezogen werden, wenn
sich der Domänencontroller an einem Zweigstellenstandort ohne Domänenadministratoren befindet.
Auch wenn Sie die meisten administrativen Aufgaben remote durchführen können, steht der lokale
Administrator zur Verfügung, wenn die WAN-Verbindung nicht verfügbar ist (sofern Sie die Zwischenspeicherung
von Anmeldeinformationen für den lokalen Administrator aktiviert haben). Wenn
Sie lokale Administratorberechtigungen delegieren, wird das Benutzerkonto keiner zusätzlichen
Sicherheitsgruppe hinzugefügt. Stattdessen wird der Benutzer- oder Gruppenname in einem Attribut
des RODC-Computerobjekts in den AD DS beibehalten, das beim Versuch des Benutzers, sich am
RODC anzumelden, verwendet wird.
Die Anmeldeinformationen des delegierten lokalen Administrators werden per Voreinstellung nicht
auf dem RODC zwischengespeichert. Dies bedeutet, dass sich der delegierte lokale Administrator
nicht am RODC anmelden kann, wenn kein beschreibbarer Domänencontroller verfügbar ist. Wenn
Sie den delegierten Administrator hauptsächlich als Backup im Fall eines WAN-Ausfalls einsetzen
möchten, müssen Sie für das Administratorkonto die Zwischenspeicherung von Anmeldeinformationen
aktivieren. Außerdem müssen Sie sicherstellen, dass der Administrator vom RODC authentifiziert
wurde oder dass der Zwischenspeicher für Anmeldeinformationen für dieses Benutzerkonto
vorbelegt wurde.
Entwerfen von Richtlinien zur Kennwortreplikation Eine weitere Entwurfsoption, die Sie für RODCs in
Betracht ziehen müssen, ist die Zwischenspeicherung von Anmeldeinformationen. Standardmäßig
werden lediglich die Anmeldeinformationen des RODC-Computerkontos und eines speziellen
KRBTGT-Kontos auf dem RODC gespeichert. Dies bedeutet, dass der RODC bei der Authentifizierung
eines Benutzers oder Computers gegenüber dem RODC über eine Verbindung zu einem
beschreibbaren Domänencontroller verfügen muss. Bei Empfang der Authentifizierungsanforderung
leitet der RODC diese an einen beschreibbaren Domänencontroller weiter.