Active Directory.pdf - Gattner

Domänen
Logische Struktur der AD DS 45
Hinweis Anwendungsverzeichnispartitionen werden üblicherweise durch die Installation von Anwendungen
erstellt, welche die Verwendung einer Anwendungsverzeichnispartition erfordern. Während der
Installation der Anwendung sollten ferner zusätzliche Replikate auf anderen Domänencontrollern erstellt werden
können. Wenngleich Anwendungsverzeichnispartitionen mithilfe von Ntdsutil erstellt werden können, ist
dies in einer Produktionsumgebung nicht üblich. Die Vorgehensweisen zur Verwaltung von Anwendungsverzeichnispartitionen
sind im Windows Server 2008-Hilfe und Supportcenter beschrieben. Detaillierte Informationen
zu Anwendungsverzeichnispartitionen, u.a. zum programmgesteuerten Zugriff auf diese Partitionen,
finden Sie unter „Application Directory Partitions“ auf der folgenden Seite: http://msdn2.microsoft.com/en-us/
library/ms675020.aspx.
Die Domäne ist die grundlegendste Komponente innerhalb des AD DS-Modells. Bei der Installation
der AD DS auf dem ersten Computer unter Windows Server 2008 erstellen Sie eine Domäne. Eine
Domäne dient als Verwaltungsgrenze und definiert gleichzeitig die Grenze für bestimmte Sicherheitsrichtlinien.
Die Domänenstruktur sollte auf den Verwaltungsanforderungen einer Organisation basieren,
wie z.B. der Delegierung von Administratorrechten, sowie auf Betriebsanforderungen wie der
Notwendigkeit, die Replikation zu steuern. Beispielsweise verfügen alle Mitglieder der Gruppe
Domänen-Admins in einer Domäne über vollen Administratorzugriff auf sämtliche Objekte innerhalb
dieser Domäne, standardmäßig jedoch nicht über Administratorzugriff auf Objekte in anderen Domänen.
Innerhalb der AD DS definieren Domänen Folgendes:
• Replikationsgrenzen Domänengrenzen sind Replikationsgrenzen für die Domänenverzeichnispartition
und für die Domäneninformationen im Ordner Sysvol auf sämtlichen Domänencontrollern.
Während andere Verzeichnispartitionen wie die Schema- und Konfigurationspartition sowie die
Partition des globalen Katalogs innerhalb der Gesamtstruktur repliziert werden, wird die Domänenverzeichnispartition
nur innerhalb einer Domäne repliziert. Durch die Partitionierung von
Daten in mehrere Domänen innerhalb derselben Gesamtstruktur kann der Replikationsdatenverkehr
zwischen Domänencontrollern in sehr großen Organisationen verwaltet werden. Die in der
Domänenpartition gespeicherten Informationen werden auf allen anderen Domänencontrollern
innerhalb der Domäne, nicht jedoch auf Domänencontrollern in anderen Domänen repliziert.
• Grenzen für Sicherheitsrichtlinien Einige Sicherheitsrichtlinien können ausschließlich auf Domänenebene
festgelegt werden. Diese Richtlinien, wie Kennwort-, Kontosperrungs- und Kerberos-
Ticketrichtlinien, gelten für alle Domänenkonten.
Hinweis In Windows Server 2008 können fein abgestimmte Kennwortrichtlinien definiert werden,
welche die standardmäßigen Domänenkontorichtlinien für bestimmte Benutzer außer Kraft setzen. Fein
abgestimmte Kennwortrichtlinien lassen sich jedoch nicht auf Containerobjekte anwenden, sondern
lediglich auf einzelne Benutzerkonten oder Sicherheitsgruppen.
• Grenzen für den Ressourcenzugriff Domänengrenzen sind gleichzeitig Grenzen für Authentifizierungs-
und Autorisierungsdienste. Eine Domäne bietet Authentifizierungsdienste für alle Konten
innerhalb dieser Domäne, um Anmeldevorgänge und die SSO-Zugriffssteuerung (Single Sign-On)
auf freigegebene Ressourcen innerhalb der Domänengrenzen zu vereinfachen. Standardmäßig
können Benutzer einer Domäne nicht auf die Ressourcen in einer anderen Domäne zugreifen,
sofern ihnen nicht explizit die erforderlichen Berechtigungen zugewiesen wurden.