Active Directory.pdf - Gattner

370 Kapitel 10: Verwalten von Active Directory-Objekten
Hinweis Windows NT verwendet zwar globale und lokale Gruppen, domänenlokale Gruppen können
jedoch in Windows NT nicht verwendet werden. Wenn Sie in Ihrer Domäne über Mitgliedsserver verfügen,
auf denen Windows NT ausgeführt wird, benötigen Sie weiterhin lokale Gruppen auf jedem Server. Wenn
auf Ihren Servern Windows 2000, Windows Server 2003 oder Windows Server 2008 ausgeführt wird und für
Ihre Domänenfunktionsebene mindestens Windows 2000 einheitlich festgelegt ist, sollten Sie nach Möglichkeit
domänenlokale Gruppen verwenden. Domänenlokale Gruppen können über mehrere Server hinweg
verwendet werden. Wenn Sie darüber hinaus domänenlokale Gruppen anstelle von lokalen Gruppen verwenden,
können Sie eine Ressource zwischen Servern verschieben und die gleiche domänenlokale Gruppe
zum Zuweisen von Berechtigungen verwenden.
Beim Erstellen des Sicherheitsgruppenentwurfs müssen Sie sich die Frage stellen, wann globale
Gruppen und wann universelle Gruppen zu verwenden sind. In manchen Fällen haben Sie keine Wahl.
E-Mail-aktivierte Gruppen für Exchange 2000 Server und Exchange Server 2003 beispielsweise, die
Mitglieder mehrerer Domänen umfassen, können nicht ordnungsgemäß verarbeitet werden, wenn sie
keine universellen Gruppen sind. Exchange Server 2007 erstellt alle neuen E-Mail-aktivierten Gruppen
als universelle Gruppen.
In den meisten Fällen empfahl es sich beim Erstellen des universellen Gruppenentwurfs in Windows
2000 Active Directory, universelle Gruppen nicht allzu häufig zu verwenden, vor allem wenn Standorte
vorhanden waren, die über langsame Netzwerkverbindungen verfügten. Dies war bedingt durch
Replikationsprobleme mit dem globalen Katalog. Wenn Ihre Gesamtstruktur auf Windows 2000-
Funktionsebene ausgeführt wird, gilt diese Empfehlung weiterhin. Wenn für die Interimsfunktionsebene
Ihrer Gesamtstruktur Windows Server 2003 oder Windows Server 2003 festgelegt wurde,
besteht dieses Replikationsproblem nicht mehr, da die Replikation verknüpfter Werte implementiert
wurde. Durch die Option Zwischenspeichern der universellen Gruppenmitgliedschaft muss nicht mehr
in jedem Standort ein globaler Katalogserver bereitgestellt werden. Durch diese Verbesserungen ist es
in Windows Server 2008 Active Directory weniger problematisch, sich für die Verwendung universeller
oder globaler Gruppen zu entscheiden. Meist sind globale oder universelle Gruppen nahezu austauschbar.
Verwalten von Computern
Bei einem weiteren Objekttyp in Active Directory handelt es sich um das Computerobjekt. Computerobjekte
werden verwendet, um Domänencontroller, Mitgliedsserver und Arbeitsstationen zu repräsentieren.
Computer führen eine Authentifizierung an der Domäne mithilfe des Computerobjekts auf die
gleiche Weise durch, wie Benutzer mithilfe von Benutzerobjekten eine Authentifizierung an der
Domäne durchführen. Computerkonten ändern ihr Kennwort mit einem Hintergrundprozess automatisch
alle 30 Tage.
Hinweis Alle Computer, auf denen Windows NT, Windows 2000, Microsoft Windows XP Professional,
Windows Server 2003, Windows Vista und Windows Server 2008 ausgeführt wird, müssen über ein Computerkonto
in der Domäne verfügen. Computer, auf denen Microsoft Windows 95 oder Microsoft Windows 98
ausgeführt wird, können in der Domäne nicht über Konten verfügen.
Computerobjekte werden nur selten direkt in Active Directory verwaltet. Wenn Sie mit der rechten
Maustaste auf ein Computerkonto in Active Directory klicken, können Sie sehen, dass nur wenige
Verwaltungsoptionen angezeigt werden. Eine der verfügbaren Optionen ist die Option zum Zurücksetzen
des Computerkontos.