Active Directory.pdf - Gattner

Physische Struktur der AD DS 27
Delegieren von Administratorrechten für einen RODC
Ein weiteres für schreibgeschützte Domänencontroller verfügbares Feature ist die Trennung von
Administratorrollen, über die ein delegierter lokaler Administrator für den RODC konfiguriert werden
kann, ohne Berechtigungen auf Domänenebene zuzuweisen. Der delegierte Administrator kann
sich für Verwaltungs- und Wartungsarbeiten (z.B. zur Aktualisierung eines Treibers) an einem RODC
anmelden. Er könnte sich jedoch nicht an einem anderen Domänencontroller anmelden oder andere
Verwaltungsaufgaben in der Domäne ausführen. Die Delegierung von Administratorrechten für einen
RODC sollte in Betracht gezogen werden, wenn sich der Domänencontroller an einem Zweigstellenstandort
ohne Domänenadministratoren befindet.
Sicherheitswarnung Für einen RODC delegierte lokale Administratoren verfügen über direkten Zugriff auf
die Datenbankdateien der Active Directory-Domänendienste und könnten folglich auf sämtliche auf dem RODC
gespeicherten Informationen zugreifen (einschließlich der zwischengespeicherten Anmeldeinformationen). Aus
diesem Grund sollten nur äußerst vertrauenswürdige Personen als delegierte lokale Administratoren gewählt
werden.
Hinweis Der delegierte lokale Administrator kann während der Ausführung des Assistenten zum Installieren
von Active Directory-Domänendiensten zum RODC hinzugefügt werden. Wenn Sie lokale Administratorrechte
delegieren, wird das Benutzerkonto nicht zu einer zusätzlichen Sicherheitsgruppe hinzugefügt.
Stattdessen wird der Benutzer- oder Gruppenname in einem Attribut für das RODC-Computerobjekt in
den AD DS gespeichert, das beim Versuch des Benutzers, sich am RODC anzumelden, verwendet wird.
Beachten Sie, dass die Anmeldeinformationen des delegierten lokalen Administrators per Voreinstellung
nicht auf dem RODC zwischengespeichert werden. Dies bedeutet, dass sich der delegierte lokale Administrator
nicht am RODC anmelden kann, wenn kein beschreibbarer Domänencontroller verfügbar ist. Ziehen
Sie das Ändern dieser Einstellung in Betracht, wenn die lokale Verwaltung auf dem RODC beim Ausfall
einer WAN-Verbindung erforderlich ist. Zum Hinzufügen von lokalen Administratoren zu den RODC-Administratorengruppen
nach der Konfiguration der AD DS verwenden Sie das Befehlszeilentool Dsmgmt.exe.
Umfassende Informationen zu diesem Thema finden Sie in Kapitel 6, „Installieren der Active Directory-
Domänendienste“.
Einschränkungen beim Einsatz von RODCs
Einige für beschreibbare Domänencontroller verfügbare Domänencontrolleroptionen sind auf einem
RODC nicht verfügbar. Ein RODC kann nicht als eine der folgenden Rollen konfiguriert werden:
• Besitzer der Betriebsmasterrolle Besitzer der Betriebsmasterrolle müssen Informationen in die AD
DS-Datenbank schreiben können. Der Schemamaster muss beispielsweise in der Lage sein, Definitionen
für neue Objektklassen und Attribute zu schreiben. Der RID-Master muss Werte von
RID-Pools schreiben können, die anderen Domänencontrollern zugewiesen sind. Da die AD DS-
Datenbank auf einem RODC schreibgeschützt ist, kann er nicht als Besitzer einer Betriebsmasterrolle
genutzt werden.
• Bridgeheadserver Bridgeheadserver werden zum Replizieren von Änderungen zwischen verschiedenen
Standorten eingesetzt. Da RODCs lediglich Änderungen per Replikation empfangen,
jedoch keine Replikationsaktualisierungen senden können, können diese Domänencontroller nicht
als Bridgeheadserver für einen Standort eingesetzt werden. Bei Bereitstellung eines RODC an
einem Standort mit anderen Domänencontrollern in derselben Domäne oder Gesamtstruktur wird
einer der anderen Domänencontroller als Bridgeheadserver für den Standort konfiguriert.