Active Directory.pdf - Gattner

24 Kapitel 2: Active Directory-Domänendienstkomponenten
Vorsicht Gehen Sie beim Hinzufügen von Attributen zum globalen Katalog mit Vorsicht vor. Wenn ein
Attribut zum globalen Katalog hinzugefügt wird, muss der globale Katalog in allen Domänen innerhalb der
Gesamtstruktur neu berechnet werden, und die aktualisierten Informationen müssen auf allen globalen
Katalogservern repliziert werden. Dies ist insbesondere dann wichtig, wenn eine Umgebung über Domänencontroller
unter Windows 2000 verfügt. Wenn ein neues Attribut zum globalen Katalog auf einem Domänencontroller
unter Windows 2000 hinzugefügt oder von diesem entfernt wird, erstellt und repliziert der Domänencontroller
den gesamten globalen Katalog neu. Domänencontroller unter Windows Server 2003 und
höher replizieren lediglich das Delta (also das Attribut, das zum PAS hinzugefügt oder aus diesem entfernt
wurde). In großen Organisationen mit mehreren Domänen kann dies eine erhebliche Prozessor- und Netzwerklast
verursachen. In den meisten Fällen wird der PAS nur geändert, wenn dies für eine bestimmte
Anwendung erforderlich ist. Bei der Installation von Exchange 2000 Server oder höher werden z.B. eine
Vielzahl von neuen Attributen zum globalen Katalog hinzugefügt.
Der erste in der Gesamtstruktur installierte Domänencontroller wird automatisch als globaler Katalogserver
konfiguriert. Während der Installation der AD DS oder über die Option Globaler Katalog im
Verwaltungstool Active Directory-Standorte und -Dienste können weitere Domänencontroller als globale
Katalogserver bestimmt werden.
Hinweis In den meisten Fällen sollte an jedem Bürostandort, der als AD DS-Standort konfiguriert ist, ein
globaler Katalogserver konfiguriert werden. Dadurch wird der Anmeldeprozess für Benutzer in diesem Büro
optimiert. In Kapitel 5, „Entwerfen der Active Directory-Domänendienstestruktur“ finden Sie Informationen zur
erforderlichen Anzahl an globalen Katalogservern sowie zum geeigneten Standort dieser Komponenten.
Globale Katalogserver sind aus verschiedenen Gründen wichtig. Ein Grund ist, dass diese Server die
Effizienz von AD DS-Suchvorgängen erhöhen. Ohne einen globalen Katalog würden Suchanfragen, die
von einem Domänencontroller für ein Objekt in einer anderen Domäne empfangen werden, dazu führen,
dass dieser Domänencontroller die Abfrage an einen Domänencontroller in der Objektdomäne
weitergibt. Diese Suche wäre nur möglich, wenn die Suchabfrage die Domäne enthält, in der sich das
Objekt befindet. Da der globale Katalog eine vollständige Liste aller Objekte in der Gesamtstruktur
enthält, kann der globale Katalogserver unter Verwendung eines Attributs, das in den globalen Katalog
repliziert wurde, auf sämtliche Abfragen antworten, ohne dass auf einen anderen Domänencontroller
verwiesen werden muss.
Hinweis Globale Katalogabfragen sind mit normalen LDAP-Abfragen identisch, die an einen Domänencontroller
unter Windows Server 2008 gesendet werden. Diese Abfragen unterscheiden sich lediglich
dadurch, dass für die globale Katalogabfrage anstelle des TCP-Ports 389 (der LDAP-Standardport) der TCP-
Port 3268 verwendet wird. Wenn ein Domänencontroller, der auch als globaler Katalogserver eingesetzt wird,
eine Abfrage über Port 389 empfängt, wird der globale Katalog nicht nach Objekten in anderen Domänen
durchsucht.
Globale Katalogserver werden ferner bei der Verarbeitung von Benutzeranmeldungen verwendet.
Bei jeder Benutzeranmeldung an einer Domäne wird ein globaler Katalogserver kontaktiert. Der
Grund dafür ist, dass Domänencontroller, die nicht als globaler Katalogserver konfiguriert sind, keine
Informationen zu universellen Gruppenmitgliedschaft enthalten. Universelle Gruppen können Benutzer-
und Gruppenkonten aus einer beliebigen Domäne innerhalb einer bestimmten Gesamtstruktur
umfassen. Da universelle Gruppenmitgliedschaften gesamtstrukturweit gelten, kann die Gruppenmitgliedschaft
nur durch einen Domänencontroller aufgelöst werden, der über gesamtstrukturweite Verzeichnisinformationen
verfügt – der globale Katalog.