Active Directory.pdf - Gattner

8 Kapitel 1: Neuerungen in Active Directory für Windows Server 2008
Hinweis Wenn ein Domänencontroller mit Windows Server 2008 einer vorhandenen Active Directory-
Domäne hinzugefügt wird, müssen Sie Adprep ausführen, um das Active Directory-Schema um die beiden
neuen Objektklassen zu erweitern, die für die fein abgestimmte Kennwortrichtlinie erforderlich sind. Das
Befehlszeilenprogramm Adprep bereitet das Schema auf die Änderungen vor, die zur Unterstützung der AD
DS unter Windows Server 2008 erforderlich sind. Weitere Informationen zum Verwenden von Adprep finden
Sie in Kapitel 6, „Installieren der Active Directory-Domänendienste“, sowie in „Schrittweise Anleitung für die
Konfiguration abgestimmter Kennwort- und Kontosperrungsrichtlinien“ unter http://technet2.microsoft.com/
windowsserver2008/de/library/76521193-4f13-47d8-85ad-70c3cdbdb4061031.mspx?mfr=true.
Richtlinienergebnissatz für fein abgestimmte Kennwortrichtlinie
Fein abgestimmte Kennwortrichtlinieneinstellungen können sowohl Benutzerobjekten als auch globalen
Sicherheitsgruppen zugewiesen werden. Der Richtlinienergebnissatz (Resultant Set of Policy,
RSOP) kann nur für das Benutzerobjekt berechnet werden. Wenn mehrere PSOs mit einem Benutzer
oder einer Gruppe verknüpft sind, wird der Richtlinienergebnissatz, der zugeordnet wird, wie folgt
bestimmt:
1. Ein PSO, das direkt mit einem Benutzerobjekt verknüpft ist, ist das resultierende PSO. Wenn
mehrere PSOs direkt mit dem Benutzerobjekt verknüpft sind, wird im Ereignisprotokoll eine
Warnmeldung protokolliert, und das PSO mit dem niedrigsten Vorrangwert ist das resultierende
PSO.
2. Wenn kein PSO mit dem Benutzerobjekt verknüpft ist, werden die Mitgliedschaften in globalen
Sicherheitsgruppen des Benutzers und alle für den Benutzer geltenden PSOs basierend auf diesen
globalen Gruppenmitgliedschaften verglichen. Das PSO mit dem niedrigsten Vorrangwert ist das
resultierende PSO. (Wenn es mehrere niedrigste Vorrangwerte gibt, wird deren Anwendungsreihenfolge
anhand der PSO-GUID bestimmt).
3. Ergibt sich aus den Bedingungen (1) und (2) kein PSO, gilt die Standarddomänenrichtlinie.
Es gibt drei direkt auf das Benutzerobjekt anwendbare Einstellungen, die stets die Einstellungen außer
Kraft setzen, die aufgrund der fein abgestimmten Kennwortrichtlinie gelten. Sie können diese Bits im
Attribut userAccountControl des Benutzerobjekts festlegen:
• Umkehrbare Kennwortverschlüsselung erforderlich
• Kennwort nicht erforderlich
• Kennwort läuft nicht ab
Diese Bits setzen die Einstellungen im resultierenden PSO außer Kraft, das dem Benutzerobjekt zugeordnet
wird (ebenso wie diese Bits die Einstellungen in der Standarddomänenrichtlinie unter Windows
2000 und Windows Server 2003 außer Kraft setzen).
Neustartmöglichkeit der Active Directory-Domänendienste
Die Neustartmöglichkeit der Active Directory-Domänendienste unter Windows Server 2008 ermöglicht
dem Administrator das Ausführen von Aufgaben, die offline erfolgen, ohne den Domänencontroller
neu starten zu müssen. In früheren Windows Server-Versionen war für Offlineaufgaben wie die
Offlinedefragmentierung der Datenbank ein Neustart des Domänencontrollers im Verzeichnisdienst-
Wiederherstellungsmodus erforderlich.