Active Directory Workshop, Teil 3

Planung, Umsetzung und Betrieb eines Domänennetzes

| Autor / Redakteur: Thomas Joos / Andreas Donner

Wer ein Domänennetzwerk mit Active Directory aufbauen möchte, sollte sich im Vorfeld konkrete Gedanken machen.
Wer ein Domänennetzwerk mit Active Directory aufbauen möchte, sollte sich im Vorfeld konkrete Gedanken machen. (Bild: © profit_image - stock.adobe.com)

Um ein Domänennetzwerk aufzubauen, sind nur wenige Schritte notwendig. Allerdings lassen sich diese nur sehr schwer rückgängig machen. Vor dem Aufbau eines Active Directory lohnt es sich also, gut zu planen.

Zunächst sollten nicht mehr Active-Directory-Domänen aufgebaut werden als notwendig. Ein Active Directory wird nicht stabiler, wenn mehr Domänen zum Einsatz kommen. Denn für jede Domäne benötigen Sie mehrere Domänen-Controller, die auch gesichert und gewartet werden müssen. Vor dem Aufbau sollte daher im Unternehmen strukturiert vorgegangen werden (siehe: Abbildung 1).

Mehrere Domänen sind nicht immer sinnvoll

Sinnvoll sind mehrere Domänen, wenn die Verwaltung strikt getrennt werden soll, zum Beispiel, wenn mehrere Tochterunternehmen ein gemeinsames Active Directory aufbauen. Beachtet werden muss in diesem Fall aber, dass Gruppenrichtlinien immer auf eine Domäne begrenzt sind (siehe: Abbildung 2). Wenn Gruppenrichtlinien zum Einsatz kommen, müssen beim Einsatz mehrerer Domänen in einer Gesamtstruktur auch mehrere Gruppenrichtlinien erstellt werden.

Betreiben Unternehmen mehrere Niederlassungen, die aber von den gleichen Administratoren verwaltet werden, ist es nicht notwendig mehrere Domänen zu erstellen. Eine Domäne kann sich problemlos über mehrere physische Standorte ausdehnen. Diese lassen sich in Active Directory anlegen und zentral verwalten (siehe: Abbildung 3). Die verschiedenen Domänen-Controller lassen sich in Standorte gruppieren. Dadurch wird auch die Replikation der Server gesteuert (siehe: Abbildung 4).

Aufbau einer Active-Directory-Umgebung

Soll eine Active-Directory-Umgebung aufgebaut werden, besteht der erste Schritt darin, einen neuen Domänen-Controller zu installieren. Durch diesen wird die erste Domäne in einer Gesamtstruktur erstellt. Auf dieser Umgebung wird aufgebaut. Es lassen sich jederzeit weitere Domänen und auch zusätzliche Domänen-Controller hinzufügen.

Schreibgeschützte Domänen-Controller nutzen

Sinnvoll kann es an dieser Stelle zum Beispiel auch sein, mit schreibgeschützten Domänen-Controller (Read Only Domain Controller, RODC) zu arbeiten. Diese erhalten Daten von normalen Domänen-Controllern, können aber selbst keine Änderungen in Active Directory durchführen. Sinnvoll sind solche vor allem dann, wenn Domänen-Controller in Niederlassungen positioniert werden sollen, in denen die Sicherheit der Server nicht gewährleistet werden kann.

Neben schreibgeschützten können auch Core-Server als sichere Domänen-Controller installiert werden. In diesem Fall steht auf dem Server selbst keine grafische Oberfläche zur Verfügung. Die Server lassen sich aber mit Verwaltungstools von anderen Servern aus verwalten – über „Remote Server Administration Tools für Windows-PCs“ oder mit dem neuen Web-basierten Server-Manager (Project Honolulu).

Domänenstrukturen mit eigenen Namensräumen

Neben der Einführung untergeordneter Domänen können in einer Gesamtstruktur auch neue Domänenstrukturen hinzugefügt werden. Eine Struktur innerhalb einer Gesamtstruktur teilt sich mit allen ihren untergeordneten Domänen einen Namensraum. In diesem Beispiel wäre das die Struktur joos.int mit der untergeordneten Domäne de.joos.int. In manchen Unternehmen kann es jedoch sinnvoll sein, unabhängige Namensräume zu erstellen, die zwar Bestandteil der Gesamtstruktur sind, aber einen eigenen Namensraum zur Verfügung stellen.

Ein Beispiel wäre die neue Struktur woodgroove.local in der Gesamtstruktur joos.int. Neue Strukturen werden vor allem dann geschaffen, wenn Teile des Unternehmens, zum Beispiel durch eine Akquisition, vom Namen her unabhängig erscheinen wollen. Im Grunde genommen ist eine neue Domänenstruktur zunächst nichts anderes als eine neue untergeordnete Domäne der Root-Domäne der Gesamtstruktur, mit dem Unterschied, dass sie einen eigenen Namensraum nutzt.

Vor dem Aufbau einer Domänenstruktur muss darauf geachtet werden, dass die Namensauflösung mit DNS korrekt funktioniert. Alle Domänen-Controller müssen in der Lage sein, per DNS die Namen anderer Domänen-Controller aufzulösen. Nur dann ist eine Replikation zwischen den Domänencontrollern möglich, und die Active-Directory-Gesamtstruktur läuft stabil.

Bei der Erstellung von untergeordneten Domänen und Strukturen werden durch die Verzahnung von Active Directory und DNS auch die Anforderungen an die DNS-Infrastruktur komplizierter. Bevor eine neue untergeordnete Domäne erstellt werden kann, muss die passende DNS-Infrastruktur erstellt sein. Wenn untergeordnete Domänen oder Strukturen erstellt werden, stehen generell zwei Möglichkeiten für die Namensauflösung zur Verfügung:

  • Die DNS-Server der Root-Domäne verwalten auch die DNS-Domänen der untergeordneten Domänen.
  • Die untergeordneten Domänen verwalten jeweils ihre eigene DNS-Domäne.

Sichere Domänen-Controller

Sobald ein Domänen-Controller installiert ist, sollte dieser regelmäßig gesichert und auch sicher betrieben werden. Domänen-Controller und ihre Daten lassen sich schnell und einfach sichern und wiederherstellen. Das ist wichtig, da die Infrastrukturdienste, die Active Directory nutzen, ein stabiles und leistungsstarkes AD benötigen.

AD für Einsteiger – Wozu dient der Verzeichnisdienst

Active Directory Workshop, Teil 1

AD für Einsteiger – Wozu dient der Verzeichnisdienst

09.05.18 - Unternehmen, die ein Netzwerk mit mehreren Client-Computern betreiben und ihren Anwendern individuell angepassten Zugriff auf diese Computer und auf Freigaben im Netzwerk geben wollen, kommen kaum um einen Verzeichnisdienst herum. Active Directory (AD) hat sich zum De-facto Standard entwickelt. Hier ein Einstieg. lesen

Server-Rollen im Überblick

Active Directory Workshop, Teil 2

Server-Rollen im Überblick

11.05.18 - Active Directory (AD) besteht nicht nur aus Domänen-Controller, sondern aus einer Vielzahl weiterer Server-Dienste, die ein gemeines Verzeichnis nutzen, aber jeweils eigene Funktionen zur Verfügung stellen. Hier ein Überblick: lesen

*Der Autor, Thomas Joos, schreibt als freier Autor IT-Fachbücher und -artikel. Auf DataCenter-Insider füllt er seinen eigenen Blog mit Tipps und Tricks für Administratoren: „Toms Admin-Blog“. Der vorliegenden Artikel gehört zu einem kompletten Active-Directory-Workshop.

Was meinen Sie zu diesem Thema?

Schreiben Sie uns hier Ihre Meinung ...
(nicht registrierter User)

Kommentar abschicken
copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45297405 / Software)