Grundlagen der Active Directory Domain Services

Active Directory Domain Services (AD DS) ist ein Verzeichnisdienst, der die Verwaltung von Netzwerkressourcen vereinfacht. Es ermöglicht die zentrale Authentifizierung, Autorisierung und Verwaltung von Benutzern, Computern und anderen Netzwerkobjekten.

Die logische Struktur von AD DS besteht aus Gesamtstrukturen, Domänen und Organisationseinheiten (OUs). Subnetzmasken gehören zur physischen Netzwerkkonfiguration und sind nicht Teil der AD DS-Struktur.

LDAP (Lightweight Directory Access Protocol) ist das primäre Protokoll für die Kommunikation zwischen Domänencontrollern in AD DS. Es ermöglicht den Austausch von Benutzerinformationen und anderen AD DS-Daten.

Ein Objekt ist die kleinste Einheit in der AD DS-Hierarchie. Es repräsentiert ein Netzwerkobjekt wie einen Benutzer, Computer oder eine Gruppe.

Vertrauensstellungen zwischen Domänen können transitiv sein, d.h. sie können auf andere Domänen übertragen werden. Auch können sie manuell konfiguriert werden, um die Authentifizierung zwischen Domänen zu ermöglichen. Vertrauensstellungen sind jedoch nicht immer bidirektional.

Der Global Catalog-Server speichert alle Objekte der Gesamtstruktur. Er bietet einen globalen Index, der es Benutzern ermöglicht, in der gesamten Gesamtstruktur nach Objekten zu suchen.

Domänencontroller, Standorte und Subnetzwerke sind Bestandteile der physischen Struktur von AD DS. Schemata hingegen sind die logische Definition von Objekten und deren Attributen und gehören zur logischen Struktur.

Organisationseinheiten (OUs) ermöglichen die logische Gruppierung von Objekten in AD DS, um die Verwaltung zu vereinfachen. Sie dienen nicht der physischen Gruppierung von Netzwerkressourcen oder der Implementierung von Sicherheitsrichtlinien auf Netzwerkebene.

Das Attribut 'ipAddress' wird typischerweise nicht für Benutzerobjekte in AD DS verwendet, da es sich um ein Computerattribut handelt. Die anderen Attribute 'sAMAccountName', 'userPrincipalName' und 'distinguishedName' werden häufig für Benutzerobjekte verwendet.

Sicherheitsgruppen haben eine eindeutige Sicherheitskennung (SID), die für die Zugriffssteuerung verwendet wird. Verteilungsgruppen haben keine SID und werden hauptsächlich für E-Mail-Verteilerlisten verwendet.

In AD DS werden Berechtigungen standardmäßig von übergeordneten Containern an untergeordnete Objekte vererbt. Diese Vererbung kann jedoch unterbrochen werden, um spezifische Berechtigungen für einzelne Objekte zu vergeben.

Das Schema in AD DS definiert die Struktur und Regeln für Objekte und deren Attribute. Es enthält die Definitionen für Benutzer, Computer, Gruppen und andere Objekte.

Windows PowerShell ist ein mächtiges Tool für die Automatisierung und Verwaltung, aber es wird nicht primär für die Verwaltung von AD DS verwendet. Tools wie Active Directory-Benutzer und -Computer, Active Directory-Standorte und -Dienste sowie Active Directory-Domänen und -Vertrauensstellungen werden hauptsächlich für die AD DS-Verwaltung eingesetzt.

Gruppenrichtlinien (Group Policies) dienen der Konfiguration und Kontrolle der Benutzer- und Computerumgebungen in AD DS. Sie definieren Einstellungen, Sicherheitseinstellungen und andere Richtlinien, die auf Benutzer und Computer angewendet werden.

Die Replikation von AD DS-Daten zwischen Domänencontrollern erfolgt automatisch. Änderungen werden jedoch nicht immer sofort auf alle Domänencontroller repliziert, da die Replikation in bestimmten Intervallen erfolgt. Die Replikationstopologie kann manuell optimiert werden, um die Replikationsgeschwindigkeit und -effizienz zu verbessern. Konflikte bei der Replikation werden automatisch gelöst, wenn möglich.

Die Gesamtstruktur-Stammdomäne ist die oberste Ebene in der AD DS-Hierarchie. Sie verwaltet das Gesamtstrukturschema und kann nicht von anderen Domänen abhängig sein. Untergeordnete Domänen können eigene Gruppenrichtlinien haben und Vertrauensstellungen zu externen Domänen aufbauen.

Der Global Catalog dient als schreibgeschütztes Teilreplikat aller Objekte der gesamten Gesamtstruktur. Er enthält Informationen über alle Objekte, aber keine vollständigen Kopien.

Flexible Single Master Operations (FSMO) Rollen werden verwendet, um Konflikte bei bestimmten Datenbankoperationen zu vermeiden, indem für bestimmte Aufgaben nur ein einzelner Domänencontroller verantwortlich ist. Es handelt sich nicht um Lastverteilung, Hochverfügbarkeit oder Automatisierung.

Schemaerweiterungen erfordern eine sorgfältige Planung und sollten nur bei Bedarf durchgeführt werden. Änderungen am Schema können Auswirkungen auf die gesamte Gesamtstruktur haben und sollten nicht leichtfertig vorgenommen werden.

Read-Only Domain Controller (RODC) speichern eine schreibgeschützte Kopie der AD DS-Datenbank. Sie können keine Änderungen an der Datenbank vornehmen und dienen hauptsächlich zur Authentifizierung von Benutzern an Standorten mit eingeschränkter Konnektivität.

Der Global Catalog-Server speichert eine partielle Kopie aller Objekte in der Gesamtstruktur und liefert so einen globalen Index für effiziente Suche.

Die RID-Master-Rolle ist für die Vergabe von eindeutigen Sicherheitskennungen (RIDs) an Objekte innerhalb einer Domäne verantwortlich. Jede Domäne hat einen eigenen RID-Master, der RID-Pools an andere Domänencontroller vergibt.

In einer Active Directory-Gesamtstruktur gibt es nur einen Domänennamensmaster. Er ist für die Verwaltung der Domänennamen verantwortlich.

Das Cmdlet 'Install-ADDSDomainController' wird verwendet, um einen neuen Domänencontroller in eine bestehende Domäne zu installieren. Es ermöglicht die Konfiguration des Domänencontrollers und die Angabe der erforderlichen Einstellungen.

Das Active Directory Migration Tool (ADMT) ist für die Migration von Benutzerkonten und anderen Daten zwischen Active Directory-Gesamtstrukturen konzipiert, nicht zur Bereitstellung von neuen Domänencontrollern.

Die Infrastruktur-Master-Rolle ist für die Aktualisierung von Verweisen zwischen Domänen verantwortlich. Sie stellt sicher, dass Verbindungen und Referenzen zwischen Domänen korrekt aktualisiert werden.

Das Active Directory Administrative Center ist ein grafisches Tool, das für die Verwaltung von FSMO-Rollen in Windows Server 2016 und höher empfohlen wird. Es bietet eine intuitive Oberfläche für die Übertragung von FSMO-Rollen.

Der Schema-Master ist für die Verwaltung des Gesamtstrukturschemas verantwortlich. Er ist der einzige Domänencontroller, der Änderungen am Schema vornehmen kann. Er ist jedoch nicht für die Replikation von Schemaänderungen zuständig.

Die PowerShell-Cmdlets Get-ADDomainController, Get-ADForest und Get-ADDomain können verwendet werden, um die aktuelle Position der FSMO-Rollen anzuzeigen.

Jeder Domänencontroller kann als globaler Katalogserver konfiguriert werden, jedoch ist es nicht notwendig, dass jeder Domänencontroller diese Rolle übernimmt. Es ist jedoch wichtig, dass mindestens ein globaler Katalogserver pro Standort vorhanden ist, um domänenübergreifende Gruppenmitgliedschaften zu ermöglichen.

Die Schema-Partition in Active Directory ist verantwortlich für die Verwaltung der Schemaklassen und -attribute. Sie enthält die Definitionen aller Objekte und deren Attribute in der Gesamtstruktur.

Das Tool Ldifde.exe wird verwendet, um das Active Directory-Schema zu erweitern. Es ermöglicht die Definition neuer Attribute, Klassen und anderer Schemaelemente.

Der PDC-Emulator ist für die Zeitsynchronisation in der Domäne verantwortlich. Er ist der primäre Zeitserver und stellt die korrekte Zeit für alle Clients und Server in der Domäne sicher.

Metadata Cleanup ist eine Methode, um einen Domänencontroller zu entfernen, der nicht mehr verfügbar ist. Es entfernt die Metadaten des Domänencontrollers aus Active Directory, ohne dass der Domänencontroller selbst zugänglich ist.

Das PowerShell-Cmdlet 'Set-ADDomainController -Identity "DC01" -GlobalCatalog $true' wird verwendet, um einen Domänencontroller zu einem globalen Katalogserver zu machen. Diese Option aktiviert die globale Katalogrolle auf dem angegebenen Domänencontroller.

Der RID-Master ist für die Vergabe von RID-Pools an andere Domänencontroller verantwortlich. Es gibt nur einen RID-Master pro Gesamtstruktur, aber jeder Domänencontroller erhält von ihm einen Pool an RIDs, um eigene Objekte zu erstellen.

ADSI Edit ist ein Tool, das für die Analyse und Modifikation des Active Directory-Schemas verwendet wird. Es bietet einen detaillierten Einblick in die Schemastruktur und ermöglicht die Bearbeitung von Schemaelementen.

System State Backups enthalten alle wichtigen Daten von einem Domänencontroller, einschließlich der Active Directory-Datenbank. Authoritative Restores können verwendet werden, um gelöschte Objekte wiederherzustellen, während Non-Authoritative Restores die Daten durch Replikation aktualisieren.

Globale Katalogserver verbessern die Anmeldezeiten und die Suche in der Gesamtstruktur. Sie verbessern die Sicherheit durch Redundanz, aber sie reduzieren nicht den Replikationsverkehr.

FSMO-Rollen können automatisiert übertragen werden, ohne manuelle Schritte manuell durchzuführen. Die Übertragung erfordert keinen Neustart des Zielservers und kann sogar zwischen Domänen stattfinden.

Eine ESAE-Gesamtstruktur (Enhanced Security Administrative Environment) dient der Verbesserung der Sicherheit für privilegierte Konten. Sie verwendet eine dedizierte administrative Gesamtstruktur, um die Sicherheit für Administratoren mit hohen Rechten zu erhöhen.

Zwischen einer Stammdomäne und einer untergeordneten Domäne innerhalb derselben Gesamtstruktur wird automatisch eine transitive bidirektionale Vertrauensstellung erstellt. Dies ermöglicht eine nahtlose Authentifizierung zwischen den Domänen.

Der Replikationsmonitor (repadmin.exe) ist ein Kommandozeilen-Tool, das für die Überwachung und Behandlung von Problemen bei der AD DS-Replikation verwendet wird. Er bietet detaillierte Informationen über den Replikationsstatus und ermöglicht die Behebung von Replikationsfehlern.

Benutzerdefinierte AD DS-Partitionen ermöglichen die Speicherung anwendungsspezifischer Daten, um die Organisation von AD DS-Daten zu verbessern und die Verwaltung zu erleichtern.

Multidirektionale Vertrauensstellungen sind nicht gültig. Vertrauensstellungen können entweder einwegig eingehend, einwegig ausgehend oder bidirektional konfiguriert werden.

Das PowerShell-Cmdlet 'New-ADDirectoryPartition' wird verwendet, um eine neue Anwendungspartition in AD DS zu erstellen. Es ermöglicht die Definition der Partition und die Konfiguration der zugehörigen Einstellungen.

Der ISTG (Intersite Topology Generator) ist für die Replikation zwischen Standorten in AD DS verantwortlich. Er erstellt eine Replikationstopologie für Standorte und koordiniert den Datenfluss zwischen Domänencontrollern an verschiedenen Standorten.

Kurzschlussvertrauensstellungen werden zwischen zwei Domänen in derselben Gesamtstruktur erstellt, um den Replikationsverkehr zu reduzieren. Sie ermöglichen eine direkte Verbindung zwischen den beiden Domänen und verkürzen die Replikationskette.

Das PowerShell-Cmdlet 'Test-ADReplicationHealth' wird verwendet, um den Replikationsstatus eines bestimmten Domänencontrollers zu überprüfen. Es testet die Integrität der Replikation und identifiziert eventuelle Replikationsfehler.

Der Global Catalog ist ein gesamtstrukturweiter Indexierungsdienst, der die Suche nach Objekten in der gesamten Gesamtstruktur erleichtert. Er speichert nicht alle Gruppenrichtlinienobjekte, verwaltet keine Vertrauenstellungen zwischen Gesamtstrukturen und koordiniert keine Replikation zwischen Standorten.

Standortweite Anwendungspartitionen sind kein gültiger Typ von Anwendungspartitionen in AD DS. Gültige Typen sind domänenweite Anwendungspartitionen, gesamtstrukturweite Anwendungspartitionen und benutzerdefinierte Anwendungspartitionen.

Active Directory-Standorte und -Dienste ist ein Tool, das für die Visualisierung und Verwaltung der Replikationstopologie in AD DS verwendet wird. Es zeigt die Beziehung zwischen Domänencontrollern, Standorten und Replikationsverbindungen an.

Eine ESAE-Architektur verwendet eine dedizierte administrative Gesamtstruktur für privilegierte Konten. Sie erfordert nicht drei separate Gesamtstrukturen, ist nicht auf Windows Server 2019 oder höher beschränkt und eliminiert nicht die Notwendigkeit von Vertrauensstellungen.

DFSR (Distributed File System Replication) wird standardmäßig für die Replikation der SYSVOL-Freigabe in Windows Server 2016 und höher verwendet. Es ermöglicht eine effiziente und zuverlässige Replikation von Gruppenrichtlinien und anderen Daten.

Der KCC (Knowledge Consistency Checker) ist für die automatische Generierung und Verwaltung der Replikationstopologie in AD DS verantwortlich. Er überwacht die Verbindungen zwischen Domänencontrollern und erstellt Replikationsverbindungen, um die Datenkonsistenz sicherzustellen.

Die Windows Server-Umgebung benötigt keine zwingend fortgeschrittenen Kenntnisse in der Entwicklung von Cloud-nativen Anwendungen.