Active Directory.pdf - Gattner

Entwerfen der Domänenstruktur 171
Festlegen der Domänenanzahl
Auch wenn die meisten Unternehmen eine einzige Gesamtstruktur verwenden, richten die meisten großen
Unternehmen mehrere Domänen innerhalb dieser Gesamtstruktur ein. Im Idealfall ist eine einzige
Domäne am einfachsten zu verwalten und bietet den Benutzern die unkomplizierteste Umgebung. Es
gibt jedoch auch mehrere Gründe, warum Unternehmen sich für den Einsatz mehrerer Domänen entscheiden.
Verwenden einer einzigen Domäne
Die meisten kleinen bis mittelgroßen Unternehmen sollten die Implementierung einer einzigen Domäne
aus folgenden Gründen in Betracht ziehen:
• Der AD DS-Datenspeicher kann leicht über eine Million Objekte enthalten. Das bedeutet, dass die
Gesamtzahl an Objekten in AD DS selten ein Grund für die Erstellung mehrerer Domänen ist.
• Wenn ein Unternehmen administrative Autonomie zwischen verschiedenen Geschäftseinheiten
benötigt, können Sie Organisationseinheiten verwenden und administrative Aufgaben auf OU-
Ebene delegieren. Wenn das Unternehmen administrative Isolation erfordert, müssen Sie mehrere
Gesamtstrukturen verwenden, da Domänen keine Grenze für administrative Sicherheit darstellen.
• Wenn Ihr Unternehmen häufig umstrukturiert wird oder wenn Benutzer zwischen den Geschäftseinheiten
wechseln, können Benutzer recht einfach zwischen OUs in einer Domäne verschoben
werden. Es ist viel schwieriger, Benutzer zwischen Domänen zu verschieben.
• Einzelne Domänen sind insofern einfacher zu verwalten, als Sie sich nur um eine einzige Gruppe
von Administratoren auf Domänenebene und um einen einzigen Satz an Richtlinien auf Domänenebene
kümmern müssen. Außerdem müssen Sie nur eine Gruppe von Domänencontrollern
verwalten.
• Das einfachste Szenario für die Verwaltung von Gruppenrichtlinien ist das einer Umgebung mit
einer einzigen Domäne. Einige Gruppenrichtlinienobjekte sind im Ordner SYSVOL auf jedem
Domänencontroller in einer Domäne gespeichert. Wenn Sie nur eine Domäne verwenden, werden
die Gruppenrichtlinienobjekte automatisch auf alle Domänencontroller repliziert.
• Eine einzige Domäne bietet die einfachste Umgebung für den Entwurf der Authentifzierung und
des Ressourcenzugriffs. Mit einer einzigen Domäne müssen Sie sich nicht um Vertrauensstellungen
oder das Erteilen des Ressourcenzugriffs an Benutzer in anderen Domänen kümmern. Innerhalb
einer einzigen Domäne ist es außerdem zweckmäßig, nur eine einzige Gruppe für das
Zuweisen des Ressourcenzugriffs zu verwenden, statt sowohl Konto- als auch Ressourcengruppen
zu konfigurieren.
• In einer einzigen Domäne können alle Domänencontroller als globale Katalogserver verwendet
werden, weil die Einschränkungen des Infrastrukturmasters nicht gelten. Das heißt, dass Sie die
Platzierung des globalen Katalogs nicht planen müssen.
Verwenden mehrerer Domänen
Auch wenn eine einzige Domäne für einige Unternehmen die ideale Konfiguration darstellt, setzen
die meisten großen Unternehmen mehrere Domänen ein. Separate Domänen sind in folgenden Fällen
ratsam:
• Der Replikationsdatenverkehr muss eingeschränkt werden. Die Domänenverzeichnispartition, die
größte und am meisten geänderte Verzeichnispartition, wird auf alle Domänencontroller in einer
Domäne repliziert.