Active Directory.pdf - Gattner

Replikationsverfahren 103
Hinweis Um den Container Gelöschte Objekte in einer Verzeichnispartition anzuzeigen, verwenden Sie
ein Tool wie beispielsweise Ldp. Nachdem Herstellen einer Verbindung bzw. Bindung mit der Verzeichnispartition
rufen Sie im Menü Optionen die Option Steuerelemente auf. Fügen Sie im Dialogfeld Steuerelemente
das Steuerelement Return deleted objects hinzu. Nach dem Hinzufügen des Steuerelements wird der Container
CN=Deleted Items in der Verzeichnisstruktur angezeigt.
Dieser Tombstone wird dann auf alle weiteren Domänencontroller in der Domäne repliziert. Wenn
alle Domänencontroller die Aktualisierung empfangen, werden die am ursprünglichen Objekt vorgenommenen
Änderungen auf alle Domänencontroller angewendet. Das Tombstone-Objekt verbleibt für
einen festgelegten Zeitraum im der Domänendatenbank. Dieser Zeitraum wird als Tombstone-Ablaufzeit
bezeichnet. Nach der standardmäßig auf 180 Tage festgelegten Tombstone-Ablaufzeit löscht jeder
Domänencontroller den Tombstone aus seiner Datenbankkopie. Das Verfahren zum Entfernen von
Tombstones aus der Datenbank wird als Sammlung veralteter Objekte bezeichnet. Standardmäßig ist
für das Intervall der Sammlung veralteter Objekte in der Gesamtstruktur ein Wert von 12 Stunden festgelegt.
Das bedeutet, dass die Sammlung veralteter Objekte alle zwölf Stunden durchgeführt wird und
dabei alle Tombstones gelöscht werden, deren Tombstone-Ablaufzeit überschritten ist.
Hinweis Die Tombstone-Ablaufzeit wurde in Windows Server 2008 Active Directory abweichend zu Vorgängerversionen
festgelegt. In Windows 2000 und Windows 2003 Active Directory betrug die Tombstone-
Ablaufzeit 60 Tage. In Windows 2003 SP1 wurde dieser Wert auf 180 Tage erhöht, dann wurde er jedoch
in Windows Server 2003 R2 auf 60 Tage zurückgesetzt. Wenn Sie eine vorhandene Domäne mit einer
Tombstone-Ablaufzeit von 60 Tagen auf Windows Server 2008 aktualisieren, wird dieser Zeitraum für die
Ablaufzeit beibehalten. Sie können mithilfe des ADSI-Editors oder des Tools Ldp.exe Änderungen an der
Tombstone-Ablaufzeit und dem Intervall zur Sammlung veralteter Objekte vornehmen. Diese Eigenschaften
werden im Objekt CN=Directory Service,CN=Windows NT,CN=Services,CN=Configuration, DC=ForestRoot-
Domain konfiguriert. Diese Einstellungen werden mithilfe der Attribute garbageCollPeriod und der
tombstoneLifetime definiert. In den meisten Fällen ist es nicht erforderlich, Änderungen an diesen Werten
vorzunehmen.
Verknüpfte Attribute sind im Hinblick auf das Löschen von Objekten als Sonderfälle zu betrachten.
Beim Löschen eines Objekts werden die folgenden Änderungen an den verknüpften Attributen vorgenommen:
• Alle Forwardlinks für das gelöschte Objekt werden entfernt. Wenn beispielsweise ein Gruppenobjekt
gelöscht wird, werden alle Mitgliedsverknüpfungen für das Gruppenobjekt entfernt. Das
bedeutet, dass die Gruppe aus dem Attribut memberOf der rückwärtigen Verknüpfung jedes
Benutzers entfernt wird, der Mitglied der Gruppe war.
• Alle rückwärtigen Verknüpfungen werden für das gelöschte Objekt entfernt. Wenn z.B. ein Benutzer
gelöscht wird, wird der Wert des definierten Namens des Benutzers von den Mitgliedsattributen
jedes Gruppenobjekts entfernt, das das Attribut memberOf des Benutzers aufweist.
Nachdem das verknüpfte Attribut auf einem Domänencontroller bearbeitet wurde, werden die Aktualisierungen
(wie alle anderen Aktualisierungen auch), auf die weiteren Domänencontroller repliziert.
Wichtig Aufgrund des Vorgehens beim Löschen verknüpfter Attribute unterscheidet sich der Vorgang zur
autorisierenden Wiederherstellung dieser Objekte von der Wiederherstellung von Objekten, die keine verknüpften
Attribute aufweisen. Weitere Informationen zu diesem Thema werden in Kapitel 15, „Active Directory-
Notfallwiederherstellung“, bereitgestellt.