Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

258 Kapitel 9: Optimieren der Active Directory-Domänendienste für Sicherheit
und die Datenbank, werden auf dem RODC selbst erstellt. Bei den Installationsquelldateien
haben Sie zwei Optionen zur Auswahl: Entweder werden sie von einem anderen DC auf den
RODC repliziert oder es wird das IFM-Feature (Install From Media) genutzt.
Hinweis Sie müssen Ntdsutil.exe verwenden, um die Installationsmedium zu erstellen, wenn Sie IFM
nutzen möchten.
Während der Installation erkennt der Assistent automatisch, ob der Name des Servers dem
Namen eines RODC-Kontos entspricht, das vorher angelegt wurde. Wenn der Assistent einen
passenden Kontonamen findet, fragt er der Benutzer, ob er dieses Konto für die RODC-
Installation verwenden soll. Daher ist wichtig, dass der Server nicht zur Domäne hinzugefügt
wird, bevor Sie versuchen, ihn mit dem RODC-Konto zu verbinden.
Welche Voraussetzungen müssen erfüllt sein?
Bevor Sie einen RODC bereitstellen können, müssen folgende Voraussetzungen erfüllt sein:
Ein beschreibbarer DC, der unter Windows Server 2008 läuft, muss in der Domäne vorhanden
sein. Der RODC muss Authentifizierungsanforderungen an diesen DC weiterleiten,
weil die Kennwortreplikationsrichtlinie darauf definiert ist.
Die Domänenfunktionsebene muss Windows Server 2003 oder höher sein, damit die
eingeschränkte Kerberos-Delegierung verfügbar ist. Eingeschränkte Delegierung wird
für Sicherheitsaufrufe eingesetzt, in denen die Identität des Aufrufers angenommen werden
muss.
Die Gesamtstrukturfunktionsebene muss Windows Server 2003 oder höher sein, damit
die verknüpfte Wertreplikation verfügbar ist. Dies stellt sicher, dass die Replikationskonsistenz
höher ist.
Sie müssen Adprep/Rodcprep einmal in der Gesamtstruktur ausführen, um die Berechtigungen
für alle DNS-Anwendungsverzeichnispartitionen in der Gesamtstruktur zu aktualisieren.
Das macht es allen RODCs, die auch DNS-Server sind, möglich, die Berechtigungen
erfolgreich zu replizieren.
Die Rolle des PDC-Emulators muss auf einem Windows Server 2008-Computer laufen.
Andernfalls kündigt sich der RODC gegenüber seinen Clients nicht als Zeitquelle an.
Einzelheiten finden Sie in http://technet2.microsoft.com/windowsserver2008/en/library/
49eaca29-3399-4dd6-adcc-87a574e5d7921033.mspx?mfr=true.
Hinweis Falls Sie einen RODC-gefilterten Attributsatz verwenden wollen, empfehle ich Ihnen, die
Gesamtstrukturfunktionsebene auf Windows Server 2008 zu setzen. Einzelheiten finden Sie im Abschnitt
»RODC-gefilterte Attributsätze« weiter oben in diesem Kapitel.
Neustartfähige Active Directory-Domänendienste
Was haben Sie von einem Feature wie neustartfähigen AD DS? Als ich zum ersten Mal davon
hörte, war ich nicht überzeugt, aber je mehr ich darüber nachdachte, desto besser gefiel
mir die Idee. Der Vorteil ist, dass Sie ohne Ihren Server neu zu starten manche Operationen
ausführen können, die normalerweise einen Neustart des DCs erfordern, zum Beispiel das
Einspielen von Sicherheitsupdates. Sie können damit auch AD DS anhalten, um Aufgaben
wie eine Offlinedefragmentierung der Active Directory-Datenbank durchzuführen. Der
größte Vorteil ist aber, dass andere Dienste, die auf dem Server laufen und nicht von AD DS