Active Directory.pdf - Gattner

158 Kapitel 5: Entwerfen der Active Directory-Domänendienstestruktur
Für einige Unternehmen mag die Verwendung mehrerer Gesamtstrukturen attraktiv erscheinen. Die
Netzwerkinfrastruktur wird jedoch hierdurch wesentlich komplexer. Folgende Aspekte sind unter
anderem zu berücksichtigen:
• Erhöhter Administrationsaufwand für die Netzwerkverwaltung. Mindestens eine Domäne sowie
die Konfiguration auf Gesamtstrukturebene müssen in jeder Gesamtstruktur verwaltet werden.
• Weniger Möglichkeiten zur Zusammenarbeit zwischen Benutzern. Ein Beispiel hierfür ist das
Durchsuchen des Netzwerks nach Ressourcen. Benutzer können nicht länger den globalen Katalog
nach Ressourcen in der anderen Gesamtstruktur durchsuchen. Benutzer müssen geschult werden,
um nach Ressourcen außerhalb des globalen Katalogs suchen zu können.
• Zusätzlicher Verwaltungsaufwand für den Zugriff von Benutzern auf Ressourcen in anderen
Gesamtstrukturen. Administratoren müssen die Vertrauensstellungen konfigurieren, statt die vorgegebenen
Vertrauensstellungen zu nutzen. Wenn zwischen den Gesamtstrukturen Informationen
synchronisiert werden müssen, so muss auch dies zunächst konfiguriert werden.
Einbeziehen des Unternehmens in den Gesamtstrukturentwurf
Wenige Unternehmen besitzen rein technische Gründe für den Einsatz mehrerer Gesamtstrukturen.
Eine Gesamtstruktur kann mehrere Domänen enthalten, wobei jede Domäne Hunderte oder Tausende
von Objekten umfassen kann. Die Domänen können mit mehreren Namespaces und je
Domäne mit einer unterschiedlichen Verwaltung bereitgestellt werden.
Wenn Sie den Entscheidungsträgern Ihres Unternehmens jedoch die Liste der Anforderungen einer
Gesamtstruktur vorlegen, also zentrale Steuerung, ein gemeinsames Schema oder vertrauenswürdige
Administratoren, stoßen Sie mit Sicherheit auf Widerstand. Die üblichen Gründe, aus denen Unternehmen
mehrere Gesamtstrukturen einsetzen, liegen in der Unternehmenspolitik oder darin, dass verschiedene
Abteilungen oder Geschäftseinheiten sich nicht auf die zentralen Komponenten zur Verwaltung
einer einzigen Gesamtstruktur einigen können. In manchen Fällen kann das Unternehmen
sich nicht auf einen Prozess zur Gesamtstruktur- oder Schemaänderung einigen. In anderen Fällen
macht die Tatsache, dass ein Domänenadministrator in einer Domäne sämtliche anderen Domänen in
der Gesamtstruktur schädigen kann, eine Gesamtstruktur mit einer einzigen Domäne inakzeptabel. Dies
gilt vor allem für das gängige Szenario, in dem eine Reihe von zuvor unabhängigen Unternehmen
aufgrund von Firmenübernahmen oder Fusionen jetzt zusammen arbeiten müssen.
Separate Gesamtstrukturen sind möglicherweise die Lösung für einige dieser Unternehmen; Sie
müssen jedoch die Entscheidungsträger darauf hinweisen, was ihnen entgeht, wenn sie auf mehreren
Gesamtstrukturen bestehen. Die Implementierung mehrerer Gesamtstrukturen ermöglicht eine
Autonomie zwischen den Geschäftseinheiten, bedeutet jedoch auch, dass die gemeinsame Nutzung
von Informationen viel schwieriger und die Verwaltung der Umgebung wesentlich kostspieliger
wird.
Entwerfen von Gesamtstrukturen für die AD DS-Sicherheit
Für manche Unternehmen begründet sich die Entscheidung für mehrere Gesamtstrukturen letztlich
darauf, dass das Unternehmen administrative Autonomie oder eine administrative Abgrenzung zwischen
den Geschäftseinheiten erfordert. In AD DS gibt es viele Arten administrativer Tätigkeiten.
Hierzu gehören sowohl die Konfiguration der Verzeichnisdienste (Gesamtstrukturkonfiguration,
Domänencontrollerplatzierung, DNS-Konfiguration) als auch die Verwaltung der Daten im Verzeichnisdienst
(Verwalten von Benutzer- und Gruppenobjekten, Gruppenrichtlinienobjekten etc.).