Active Directory.pdf - Gattner

80 Kapitel 3: Active Directory-Domänendienste und DNS
Hinweis Wenn Sie den ersten Domänencontroller in einer Domäne installieren und ihn als DNS-Server
konfigurieren, versucht der Installations-Assistent automatisch, einen Delegierungseintrag in der übergeordneten
DNS-Zone zu erstellen. Wenn Sie beispielsweise eine neue AD DS-Domäne mit dem Namen
Corp.Adatum.com erstellt haben, versucht der Assistent zum Installieren der Active Directory-Domänendienste
eine Verbindung mit dem Namenserver herzustellen, der autorisierend für die Domäne Adatum.com
ist, und anschließend versucht er einen Delegierungseintrag für die Domäne Corp.Adatum.com zu erstellen.
Wenn der DNS-Server nicht verfügbar ist oder das zum Ausführen des Installations-Assistenten verwendete
Konto nicht über die erforderlichen Berechtigungen zum Erstellen des Delegierungseintrags verfügt, erhalten
Sie die in Abbildung 3.6 dargestellte Fehlermeldung. Sie können mit der Installation fortfahren und den
Delegierungseintrag bei Bedarf manuell erstellen.
Abbildung 3.6
Warnmeldung, dass das Erstellen eines Delegierungseintrags fehlgeschlagen ist
Sicherheitswarnung Wenn es sich bei der übergeordnete Domäne für Ihren Domänennamen um einen
internetbasierten DNS-Server handelt (wenn Sie z.B. die Domäne Adatum.com erstellen, ist die übergeordnete
Domäne die auf Internet-DNS-Servern gehostete Domäne .com), sollten Sie keinen Delegierungseintrag
konfigurieren, der auf Ihre internen DNS-Server zeigt. Die internen DNS-Zonen Ihrer AD DS sollten nie im
Internet offengelegt werden.
Weiterleitungen und Stammhinweise
Weiterleitungen und Stammhinweise bieten ebenfalls die Methode zum Verbinden der unterschiedlichen
Ebenen der DNS-Hierarchie. In den meisten Fällen werden Weiterleitungen und Stammhinweise
von den DNS-Servern verwendet, die sich in den unteren Ebenen des DNS-Namespaces befinden,
um Informationen von übergeorndneten DNA-Servern abzurufen. Sowohl Weiterleitungen als
auch Stammhinweise werden vom DNS-Server für die Ermittlung von Informationen verwendet, die
sich nicht in seinen Zonendateien befinden. Ein DNS-Server kann beispielsweise nur für die Domäne
Adatum.com autorisierend sein. Wenn dieser DNS-Server eine Abfrage von einem Client erhält, der
eine Namensauflösung in der Domäne TreyResearch.com anfordert, muss der DNS-Server in der
Domäne Adatum.com über eine Möglichkeit zum Ermitteln dieser Informationen verfügen.
Weiterleitungen
Eine Konfigurationsmöglichkeit besteht in Weiterleitungen. Bei einer Weiterleitung handelt es sich
lediglich um einen weiteren DNS-Server, der auf einen anderen DNS-Server zurückgreift, wenn er
eine Abfrage nicht auflösen kann. Der autorisierende Server der Domäne Adatum.com erhält beispielsweise
eine rekursive Abfrage für die Domäne TreyResearch.com.