Active Directory.pdf - Gattner

Physische Struktur der AD DS 39
Diese Nummer ist hierarchisch aufgebaut und lässt sich wie folgt aufschlüsseln:
1 – ISO
2 – ANSI
840 – USA
xxxx – Eine eindeutige Nummer zur Identifizierung Ihres Unternehmens
Nach dem Erhalt der Nummer können Sie den für Ihr Unternehmen zugewiesenen Teil der Hierarchie
verwalten. Beispielsweise können Sie beim Erstellen eines neuen Attributs MitarbeiterEintrittsdatum
eine Nummer wie 1.2.840.xxxx.12. zuweisen.
Die AD DS sind mit den OID-Standards konform. Die OID für einen Kontakt in den AD DS lautet
z.B. 1.2.840.113556.1.5.15. Die ersten drei Bereiche der Nummer wurden ISO, ANSI und den
USA zugewiesen. ANSI wies 113556 anschließend Microsoft zu, und Microsoft wies 1 Active
Directory, 5 Active Directory-Klassen und 15 den Contact-Klassen zu.
Wichtig Sie müssen sicherstellen, dass Änderungen am Schema über eine eindeutige OID verfügen,
sodass Ihre Änderungen mit zukünftigen Änderungen kompatibel sind. Eine Möglichkeit zum Sicherstellen der
Eindeutigkeit ist das Abrufen einer eindeutigen Kennung für Ihr Unternehmen. Ein weiteres Attribut, dass
beim Ändern des Schemas eindeutig sein muss, ist das Attribut LdapDisplayName. Stellen Sie vor dem
Ändern des Schemas sicher, dass Sie sämtliche Regeln für das Durchführen dieser Änderungen verstanden
haben.
Deaktivieren von Schemaobjekten
Wenngleich das Erweitern des Schemas ein unkomplizierter Vorgang ist, sollten solche Änderungen
sorgfältig geplant werden. Nachdem das Schema erweitert oder vorhandene Klassen oder Attribute
geändert wurden, können diese Änderungen nicht rückgängig gemacht werden. Schemaojekte können
nicht gelöscht werden. Wenn beim Erweitern des Schemas ein Fehler unterläuft, kann das Objekt
deaktiviert werden. In Windows Server 2008 können deaktivierte Schemaobjekte bei Bedarf erneut
verwendet werden, und neue Schemaobjekte können mit demselben LDAP-Anzeigenamen oder derselben
OID wie das deaktivierte Objekt erstellt werden.
Im Hinblick auf die Deaktivierung von Klassen- und Attributobjekten im Schema müssen verschiedene
Aspekte berücksichtigt werden. Erstens können Category 1- oder base schema-Objekte nicht
deaktiviert werden. Zweitens können keine Attribute deaktiviert werden, die Mitglied einer Klasse
sind, die nicht ebenfalls deaktiviert wird. Durch diese Einschränkung werden Fehler beim Erstellen
neuer Instanzen der nicht deaktivierten Klasse verhindert, wenn das deaktivierte Attribut ein erforderliches
Attribut ist.
Hinweis Wenn Ihre Gesamtstruktur auf Windows Server 2003-Funktionsebene festgelegt ist, kann ein
neues Objekt erstellt werden, das dieselben Identifikationsattributwerte (also attributeID, governsID, lDAP-
DisplayName, mAPIID oder schemaIDGUID) verwendet wie ein außer Kraft gesetztes Schemaobjekt (sofern
der definierte Name des neuen Objekts eindeutig ist). Dadurch ist es möglich, ein Schemaobjekt zu deaktivieren
und anschließend ein völlig neues Schemaobjekt so zu erstellen, als wäre das alte Objekt gelöscht
worden.
Zum Deaktivieren eines Klassen- oder Attributobjekts setzen Sie den booleschen Wert des Attributs
isDefunct für das Schemaobjekt auf true. Dieser Schritt kann über ein Tool wie ADSI-Editor ausgeführt
werden.