Active Directory.pdf - Gattner

Entwerfen der Gesamtstruktur 159
Besitzer und Administratoren von Diensten und Daten
In großen Unternehmen sind die administrativen AD DS-Rollen oft in verschiedene Kategorien
unterteilt. Eine Möglichkeit, die verschiedenen Kategorien zu beschreiben, besteht in der
Unterscheidung zwischen Dienstbesitzern und -administratoren sowie Datenbesitzern und
-administratoren:
• Dienstbesitzer und -administratoren sind für AD DS als Dienst verantwortlich. Das heißt, sie
sind für den Entwurf und die Verwaltung der AD DS-Infrastruktur zuständig. Die Dienstbesitzer
treffen die Entscheidungen, wie viele Gesamtstrukturen, Domänen und Standorte erforderlich
sind, damit der AD DS-Dienst den Anforderungen des Unternehmens entspricht. Die
Dienstadministratoren besitzen die erforderlichen Rechte und Berechtigungen, um diese AD
DS-Objekte zu erstellen und zu verwalten.
• Datenbesitzer und -administratoren sind für die in AD DS gespeicherten Daten verantwortlich.
Die Datenbesitzer legen Richtlinien und Prozesse für die Datenverwaltung fest, und die Datenadministratoren
besitzen die Rechte und Berechtigungen zum Erstellen der AD DS-Objekte
innerhalb der von den Dienstbesitzern und -administratoren definierten Struktur.
Grundsätzlich empfiehlt es sich, nur sehr wenige Dienstadministratoren in einem Unternehmen zu
beschäftigen. Demnach sollten nur sehr wenige Konten die erforderlichen Berechtigungen zum
Ändern der AD DS-Struktur besitzen. Standardmäßig besitzen die Gruppen Domänen-Admins in
der Gesamtstruktur-Stammdomäne, Organisations-Admins und Schema-Admins die Berechtigungen
von Dienstbesitzern. Da Berechtigungen für Datenadministratoren jedoch auf bestimmte
Container innerhalb einer OU begrenzt werden können, kann ein Unternehmen wesentlich mehr
Datenadministratoren einsetzen. Um die Konten von Datenadministratoren zu konfigurieren, sollten
Sie die erforderlichen Gruppen und Konten erstellen demjenigen Container und spezifische
Berechtigungen zuweisen, auf den der Datenadministrator zugreifen muss.
Beim Entwerfen einer administrativen Trennung oder Autonomie müssen Sie sowohl Dienstadministratoren
als auch Datenadministratoren berücksichtigen. Auch wenn ein Dienstadministrator höhere
Berechtigungen besitzt, kann auch ein Datenadministrator noch Änderungen an AD DS vornehmen,
die sich auf die ganze Gesamtstruktur auswirken. Wenn ein Datenadministrator beispielsweise
ein neues Benutzerkonto erstellt, wird der globale Katalog für das gesamte Unternehmen
geändert.
Eine detailliertere Diskussion zur Rolle von Dienst- und Datenbesitzern und -administratoren finden
Sie unter „Creating a Forest Design“ unter http://technet2.microsoft.com/windowsserver/en/
library/ff92f142-66ea-498b-ad0f-a379c411eb6e1033.mspx?mfr=true. Dieser Leitfaden basiert auf
dem Einsatz von Windows Server 2003-Gesamtstrukturen. Viele der Grundsätze gelten auch für
Windows Server 2008. Sie sollten außerdem im TechCenter für Windows Server 2008 nach einer
aktualisierten Version dieses Leitfadens suchen.
Administrative Autonomie heißt, dass Sie vollständige administrative Kontrolle über einige Komponenten
der Gesamtstruktur besitzen. Sie können über administrative Autonomie auf Gesamtstrukturebene,
Domänenebene oder OU-Ebene verfügen. Administrative Autonomie heißt jedoch nicht, dass
Sie endgültige oder exklusive Kontrolle besitzen. Beispielsweise können Sie Ihre Domäne vollständig
verwalten, die Gruppe Organisations-Admins der Gesamtstruktur-Stammdomäne besitzt jedoch
ebenfalls administrative Berechtigungen für Ihre Domäne.