Active Directory.pdf - Gattner

Entwerfen der Gesamtstruktur 163
Die Gesamtstruktur mit eingeschränktem Zugriff unterschiedet sich von der organisatorischen
Gesamtstruktur dadurch, dass zwischen den beiden Domänen keine Vertrauensstellungen konfiguriert
werden.
Die Gesamtstruktur mit eingschränktem Zugriff ist darauf ausgelegt, administrative Isolation sicherzustellen.
Das bedeutet, dass kein Benutzerkonto in einer Gesamtstruktur außerhalb der Gesamtstruktur
mit eingeschränktem Zugriff Berechtigungen für Daten oder Zugriff auf Daten in der Gesamtstruktur
besitzt. Wenn Benutzer in der organisatorischen Gesamtstruktur Zugriff auf die Gesamtstruktur
mit eingeschränktem Zugriff benötigen, müssen sie über ein separates Benutzerkonto in dieser
Gesamtstruktur verfügen und zwei Clientcomputer besitzen, die jeweils einer anderen Gesamtstruktur
angehören. Abbildung 5.6 zeigt eine Darstellung des Gesamtstrukturmodells mit eingeschränktem
Zugriff.
Benutzer müssen in
beiden Gesamtstrukturen
über Konten und
Clientcomputer verfügen
Server
Benutzer
Gruppe
Zwischen Gesamtstrukturen
ist keine Vertrauensstellung
konfiguriert
Server
Benutzer
Gruppe
Freigegebene Ressourcen
Adatum.com
Freigegebene Ressourcen
AdatumRestricted.com
Abbildung 5.6
Ein Gesamtstrukturmodell mit eingeschränktem Zugriff
Definieren des Gesamtstrukturbesitzes
Unabhängig von der Anzahl der eingesetzten Gesamtstrukturen müssen Sie die Besitzer der einzelnen
Gesamtstrukturen festlegen. Technisch ist es einfach, die Besitzer der Gesamtstrukturen zu definieren.
Die Gruppe Schema-Admins, die Gruppe Organisations-Admins und die Gruppe Domänen-
Admins in der Stammdomäne können als Gesamtstrukturbesitzer betrachtet werden, weil sie steuern,
welche Änderungen an der Gesamtstruktur vorgenommen werden können. Diese Rollen sind jedoch
rein technischer Natur, und die Personen in diesen Gruppen sind fast nie die letzte Instanz, die
entscheidet, ob Änderungen an der Gesamtstruktur tatsächlich durchgeführt werden. Die Gruppe
Schema-Admins kann zum Beispiel das Schema ändern, aber ein Mitglied der Gruppe Schema-Admins
besitzt normalerweise nicht die Befugnis zu entscheiden, ob die Anforderung einer Schemaänderung
genehmigt wird.
Gesamtstrukturbesitzer sollten eine Kombination aus technischem Fachwissen und Geschäftssinn besitzen.
Es sollte sich um Personen handeln, die die allgemeinen Geschäftsanforderungen eines Unternehmens
kennen, jedoch auch die technischen Auswirkungen der Erfüllung all dieser Anforderungen
verstehen. Gesamtstrukturbesitzer können entscheiden, dass eine schemaverändernde Anwendung eingesetzt
wird, weil sie dem Unternehmen erhebliche geschäftliche Vorteile bringt. Der Schemaadministrator
erhält anschließend die Aufgabe, das Schema entsprechend zu bearbeiten.
In einem Unternehmen mit mehreren Geschäftseinheiten sollte die Gruppe der Gesamtstrukturbesitzer
aus Vertretern sämtlicher Geschäftseinheiten bestehen. Auch wenn es wichtig ist, dass alle
Geschäftseinheiten repräsentiert werden, muss diese Gruppe jedoch auch in der Lage sein, effizient
zu handeln.