Active Directory.pdf - Gattner

AD DS-integrierte Zonen 77
Sichere Updates sind nur in AD DS-integrierten Zonen verfügbar. Mit sicheren Updates können Sie
steuern, wer zum Registrieren und Aktualisieren der DNS-Einträge berechtigt ist. Standardmäßig sind
die Mitglieder der Gruppe Authentifizierte Benutzer zum Aktualisieren ihrer Einträge in DNS berechtigt.
Das bedeutet, dass Computer, die Domänenmitglieder sind, zum Aktualisieren ihrer eigenen
DNS-Einträge berechtigt sind. Sie können dies jedoch ändern, indem Sie die Zugriffssteuerungsliste
für die DNS-Zone bearbeiten.
Weitere Informationen Weitere Informationen zum Konfigurieren von dynamischem DNS finden Sie im
Artikel „DNS Technical Reference“.
Alterungseinstellungen und Aufräumvorgänge
In großen Unternehmensumgebungen besteht ein Problem mit der Verwendung der AD DS-integrierten
Zonen darin, Clientcomputern das Aktualisieren ihrer Ressourceneinträge in DNS zu ermöglichen.
Werden diese Aktualisierungen vorgenommen, liegen in DNS unter Umständen Tausende
Einträge vor, wodurch die Größe der Datenbankdatei stark ansteigt. Wenn Clientcomputer heruntergefahren
werden, während weiterhin eine Verbindung mit dem Netzwerk besteht, geben die Clientcomputer
ihre Ressourceneinträge in den AD DS frei. Wenn jedoch die Clientverbindung mit dem Netzwerk
nicht ordnungsgemäß getrennt wird, werden die zugehörigen Hosteinträge (A) unter Umständen
nicht gelöscht. Um diese Ressourceneinträge (Resource Records, RRs) in den AD DS-Zonen zu bereinigen,
können Sie Alterungseinstellungen und Aufräumvorgänge konfigurieren.
Mit DDNS erhält jede zu DNS hinzugefügte Ressource einen Zeitstempel basierend auf den Datumsund
Uhrzeiteinstellungen des Servercomputers. Ressourceneinträge, die in DNS manuell hinzugefügt
wurden, erhalten den Zeitstempelwert 0 um anzugeben, dass die Einträge nicht durch die Alterungseinstellungen
und Aufräumvorgänge gelöscht werden sollen.
Standardmäßig sind Alterungseinstellungen und Aufräumvorgänge für Windows Server 2008-DNS-
Server und -Zonen nicht aktiviert. Nach dem Aktivieren der Alterungseinstellungen und Aufräumvorgänge
überwacht der DNS-Server die Zeit aller Einträge seit der letzten Aktualisierung des Eintrags.
Wenn die seit der letzten Aktualisierung vergangene Zeit die konfigurierte Altersgrenze überschreitet,
wird der Eintrag über einen Aufräumvorgang aus DNS entfernt.
Laden von Zonen im Hintergrund
Wie bereits erwähnt besteht ein mögliches Problem bei der Verwendung AD DS-integrierter Zonen
und der Aktivierung von dynamischem DNS darin, dass Sie unter Umständen über Tausende Clientcomputer
verfügen, die ihre Hosteinträge in DNS registrieren. Beim Starten des AD DS-Domänencontrollers
oder einem Neustart des DNS-Dienstes müssen alle DNS-Zoneninformationen aus dem
AD DS-Datenspeicher gelesen werden. In besonders großen Organisationen kann das Laden des
AD DS-Datenspeichers beim Neustart des DNS-Servers eine Stunde oder mehr Zeit in Anspruch nehmen.
Das führt dazu, dass der DNS-Server während der gesamten, zum Laden der AD DS-basierten
Zonen erforderlichen Zeit für Dienstclientanforderungen effektiv nicht zur Verfügung steht.
In Windows Server 2008 wird ein neues Feature zum Laden von Zonen im Hintergrund bezeichnet,
mit dem dieses Problem umgangen wird. Mit diesem Feature kann ein DNS-Server bereits mit der
Verarbeitung von DNS-Clientanforderungen beginnen, während im Hintergrund die Zonendaten aus
den AD DS geladen werden. Der DNS-Server führt beim Starten folgende Vorgänge aus:
• Auflisten aller zu ladenden Zonen.
• Laden der Stammhinweise aus Dateien oder dem AD DS-Datenspeicher.