Active Directory.pdf - Gattner

348 Kapitel 9: Delegieren der Active Directory-Domänendiensteverwaltung
Zum Sicherstellen, dass die Administratoren das benutzerdefinierte MMC-Snap-In nach der Bereitstellung
nicht ändern, können die MMC-Optionen über den Eintrag Optionen im Menü Datei geändert
werden. Es kann konfiguriert werden, dass das MMC-Snap-In im Benutzermodus gespeichert
wird; ferner können die Berechtigungen so festgelegt werden, dass der Endbenutzer keine Änderungen
am MMC-Snap-In speichern kann. Abbildung 9.18 zeigt das entsprechende Dialogfeld.
Einzelheiten zum Erstellen von benutzerdefinierten MMC-Snap-Ins finden Sie unter Windows-Hilfe
und Support.
Abbildung 9.18
Konfigurieren eines benutzerdefinierten MMC-Snap-Ins, um Änderungen zu verhindern
Planen der delegierten Verwaltung
Wie in diesem Kapitel gezeigt, bietet Windows Server 2008 AD DS die erforderlichen Tools zum
Delegieren von Administratorrechten in einer Domäne. Trotz aller positiven Aspekte bei der Delegierung
von Berechtigungen birgt dieser Vorgang auch das Risiko, die falschen Berechtigungen zuzuweisen.
Dies könnte dazu führen, dass Benutzer in Active Directory Aufgaben ausführen können, für die
sie nicht berechtigt sein sollten. Falsche Berechtigungen kann auch bedeuten, dass nicht ausreichend
Berechtigungen zugewiesen werden, sodass die Benutzer ihre erforderlichen Aufgaben nicht ausführen
können. Zum Erstellen einer Delegierungsstruktur, in der Benutzer genau die Berechtigungen
erhalten, die sie benötigen, sind daher umfangreiche Planungsmaßnahmen erforderlich. Im Folgenden
finden Sie verschiedene Empfehlungen, um Sie bei der Planung der delegierten Verwaltung
zu unterstützen:
• Dokumentieren Sie sorgfältig die Verwaltungsanforderungen für alle potenziellen Administratoren.
In den meisten Unternehmen benötigen mehrere Benutzer und Gruppen bestimmte Administratorrechte
innerhalb der Domäne. Eine Vielzahl dieser Benutzer könnten Mitglieder der Gruppe
Domänen-Admins sein. Wenn Sie die erforderlichen Verwaltungsaufgaben der Benutzer dokumentieren,
stellen Sie üblicherweise fest, dass eine deutlich niedrigere Zugriffsebene erforderlich ist.