Active Directory.pdf - Gattner

156 Kapitel 5: Entwerfen der Active Directory-Domänendienstestruktur
Hinweis Am besten kann man die Art, wie eine einzige Gesamtstruktur die Zusammenarbeit vereinfacht,
anhand von Microsoft Exchange 2000 Server und späteren Versionen nachvollziehen. Die Gesamtstrukturgrenze
ist auch die Grenze für die Exchange Server-Organisation. Exchange Server speichert die meisten
Konfigurationsdaten in der Konfigurationsverzeichnispartition, sodass das Nachrichtenrouting in einem großen
Unternehmen einfach verwaltet werden kann. Die globale Adressliste (GAL) besteht aus allen E-Mail-
Empfängern im globalen Katalog. Eine einzige Exchange Server-Organisation ist für die meisten Unternehmen
ideal. Innerhalb eines Unternehmens sind Kalenderinformationen, öffentliche Ordner und Empfängerdaten
für jedermann zugänglich, und viele Arten der Zusammenarbeit sind standardmäßig aktiviert. Sobald
Sie mehrere Organisationen (und mehrere Gesamtstrukturen) bereitstellen, sind diese Vorteile wesentlich
schwieriger umzusetzen.
Auch wenn die Freigabe von Informationen durch AD DS vereinfacht wird, werden auch eine Reihe
von Einschränkungen durchgesetzt, welche die Zusammenarbeit verschiedener Abteilungen des
Unternehmens in mehrerlei Hinsicht erfordern. Zu diesen Einschränkungen gehören Folgende:
• Ein Schema Alle Domänen in der Gesamtstruktur nutzen ein einziges Schema. Dies klingt zwar
lapidar, kann jedoch der wichtigste Grund für ein Unternehmen sein, mehrere Gesamtstrukturen
einzusetzen. Wenn eine Geschäftseinheit beschließt, eine Anwendung einzusetzen, die das
Schema verändert, sind hiervon alle Geschäftseinheiten betroffen. Wenn sich gleich 20 Geschäftseinheiten
für den Einsatz von schemaverändernden Anwendungen entschließen, kann dies unkontrollierbare
Auswirkungen haben. Jede Schemaänderung muss getestet werden, um sicherzustellen,
dass kein Konflikt mit anderen Schemaänderungen entsteht.
• Richtlinien zur Änderungskontrolle Weil Änderungen an der Gesamtstruktur sich auf jede Domäne
auswirken können und weil die meisten größeren Änderungen nur zentral vorgenommen werden
sollten, muss eine gut definierte Richtlinie zur Änderungskontrolle eingesetzt werden.
• Zentrale Verwaltung Die Entscheidung für den Einsatz einer einzigen Gesamtstruktur bedeutet,
dass einige Komponenten der Netzwerkadministration zentral verwaltet werden müssen. Beispielsweise
besitzt nur die Gruppe Schema-Admins das Recht zum Ändern des Schemas. Die einzige
Gruppe zum Hinzufügen und Entfernen von Domänen aus der Gesamtstruktur ist die Gruppe
Organisations-Admins. Beide Gruppen sind in der Gesamtstruktur-Stammdomäne enthalten, und
die Handlungen dieser Administratoren betreffen die gesamte Gesamtstruktur. Die Gruppe Organisations-Admins
wird der domänenlokalen Gruppe Administratoren automatisch auf jedem
Domänencontroller in der Gesamtstruktur hinzugefügt. Für einige Unternehmen ist diese Art der
zentralen Verwaltung nicht akzeptabel.
• Vertrauenswürdige Administratoren Der Einsatz einer einzigen Gesamtstruktur erfordert ein
gewisses Maß an Vertrauen von allen Administratoren in allen Domänen. Jeder Administrator mit
den Rechten zum Verwalten eines Domänencontrollers kann Änderungen vornehmen, die sich auf
die ganze Gesamtstruktur auswirken. Das heißt, dass alle Domänenadministratoren sehr vertrauenswürdig
sein müssen. Sie können das Risiko, dass Administratoren für die ganze Gesamtstruktur
gültige Änderungen vornehmen, verringern, indem Sie an Standorten, an denen keine
besonders vertrauenswürdigen Administratoren beschäftigt sind, RODCs einsetzen.
Während Sie sich mit der Frage beschäftigen, wie viele Gesamtstrukturen eingesetzt werden sollen,
müssen Sie die Vorteile einer einzelnen Gesamtstruktur gegen die Art und Weise abwägen, in der eine
einzelne Gesamtstruktur ein hohes Maß an Integration zwischen Domänen, OUs und den von diesen
Objekten dargestellten Geschäftseinheiten verlangt.