Active Directory.pdf - Gattner

358 Kapitel 10: Verwalten von Active Directory-Objekten
Hinweis Bei der Aktualisierung einer Windows 2000-Gesamtstruktur auf Windows Server 2008 wird das
Objekt inetOrgPerson im Schema erstellt, wenn Sie den Befehl Adprep.exe mit der Option
/forestprep ausführen. Das Tool Adprep.exe wird auf der Windows Server 2008-DVD im Ordner \sources\
adprep bereitgestellt.
Sie können das inetOrgPerson-Objekt mithilfe des Verwaltungstools Active Directory-Benutzer und
-Computer erstellen. Um ein inetOrgPerson-Objekt im Verwaltungstool Active Directory-Benutzer
und -Computer zu erstellen, wechseln Sie zu dem Container, in dem Sie das Objekt erstellen möchten,
klicken Sie mit der rechten Maustaste darauf, wählen Sie Neu, und klicken Sie auf InetOrgPerson.
Sie müssen beim Erstellen des inetOrgPerson-Objekts zumindest den Benutzeranmeldenamen
und den vollständigen Namen angeben. Bei dem inetOrgPerson-Objekt handelt es sich um eine
Unterklasse des Benutzerobjekts, d.h. es umfasst alle Merkmale der Benutzerklasse, einschließlich
der Möglichkeit, als Sicherheitsprinzipal zu agieren. Die inetOrgPerson-Objekte können wie jedes
andere Benutzerobjekt verwaltet und verwendet werden.
Um das Attribut userPassword als effektives Kennwort für die Authentifizierung von inetOrgPersonund
Benutzerobjekten verwenden zu können, muss für die Domänenfunktionsebene mindestens Windows
Server 2003 festgelegt sein. Diese Festlegung ist für Programmierer hilfreich, die Active Directory
als LDAP-Verzeichnis verwenden. Für die Konvertierung eines inetOrgPerson-Objekts in ein
Benutzerobjekt (oder umgekehrt) muss für die Gesamtstrukturfunktionsebene mindestens Windows
Server 2003 festgelegt sein.
Kontaktobjekte
Bei dem dritten Objekttyp, der für die Darstellung von Benutzern in Active Directory verwendet werden
kann, handelt es sich um das Kontaktobjekt. Kontaktobjekte unterscheiden sich von inetOrgPerson-
und Benutzerobjekten dahingehend, dass sie nicht als Sicherheitsprinzipale fungieren können.
Kontaktobjekte werden in der Regel ausschließlich zu Informationszwecken verwendet. Um ein Kontaktobjekt
im Verwaltungstool Active Directory-Benutzer und -Computer zu erstellen, wechseln Sie
zu dem Container, in dem Sie das Objekt erstellen möchten, klicken Sie mit der rechten Maustaste
darauf, wählen Sie Neu, und klicken Sie auf Kontakt. Beim Erstellen eines Kontaktobjekts müssen Sie
zumindest den vollständigen Namen angeben. Darüber hinaus können Sie beim Erstellen eines Kontaktobjekts
zahlreiche Attribute des Objekts ausfüllen, einschließlich Telefonnummern und Adressen.
Hinweis Sie können, wie auch bei Benutzerobjekten, den Standardanzeigenamen für Kontakte mithilfe
des Tools Adsiedit.msc bearbeiten. Bearbeiten Sie für Kontakte das Attribut createDialog des Objekts
CN=contact-Display anstelle des Objekts CN=user-Display.
Kontakte sind in vielen Szenarien hilfreich. Sie können Kontakte zum einen verwenden, wenn ein
Benutzer in Ihrer Domäne nicht als Sicherheitsprinzipal fungieren darf, seine Kontaktinformationen
jedoch zugänglich sein müssen. In Ihrem Büro arbeiten beispielsweise Berater, die keine Netzwerkanmeldung
vornehmen können, ihre Kontaktinformationen müssen jedoch an einem für alle Personen
in Ihrem Unternehmen einfach zugänglichen Ort gespeichert werden. Zum anderen können Sie Kontakte
zum Freigeben von Informationen zwischen Gesamtstrukturen verwenden. Ihr Unternehmen hat
beispielsweise mit einem anderen Unternehmen fusioniert, das Active Directory bereits einsetzt. Sie
können zwischen den beiden Gesamtstrukturen gesamtstrukturübergreifende Vertrauensstellungen
erstellen, sodass Sie Netzwerkressourcen freigeben können. Der globale Katalog (Global Catalog,
GC) umfasst jedoch weiterhin nur die Konten für die einzelne Gesamtstruktur. Möglicherweise müssen
einige oder alle Konten beider Gesamtstrukturen von den Benutzern angezeigt werden können.