Active Directory.pdf - Gattner

190 Kapitel 5: Entwerfen der Active Directory-Domänendienstestruktur
All diese Optionen und viele mehr werden durch das Erstellen einer OU-Struktur in AD DS und das
anschließende Delegieren des Administratorzugriffs ermöglicht. Sie können beinahe jeden Level an
Administratorzugriff auf OU-Ebene erteilen. Wenn Sie zum Beispiel eine OU für eine Außenstelle
erstellen, können Sie dem Administrator in dieser Außenstelle die vollständige Steuerung aller
Objekte in diesem Büro übertragen. Dieser Administrator kann anschließend jede administrative Aufgabein
dieser OU durchführen, auch die Erstellung untergeordneter OUs und die Delegierung von
Berechtigungen an andere Administratoren. Wenn Sie eine OU für jede Abteilung erstellen, können
Sie einigen Benutzern in der Abteilung sehr spezielle Rechte, beispielsweise das Recht zum Zurücksetzen
von Kennwörtern, erteilen. Sie können administrative Rechte sogar basierend auf den Objekttypen
in einer OU gewähren: Die Abteilungsadministratoren können beispielsweise Benutzerkonten,
jedoch keine Gruppen- oder Computerobjekte ändern. In Kapitel 9, „Delegieren der Active Directory-
Domänendiensteverwaltung“, wird die Delegierung der Verwaltung detaillierter ausgeführt.
Für die meisten Unternehmen beruht der Entwurf der obersten OUs auf der Anforderung zur Verwaltungsdelegierung.
Die oberste OU basiert wahrscheinlich auf dem geografischen Standort oder auf
Geschäftsabteilungen. Oft sind diese OU-Grenzen auch Verwaltungsgrenzen.
Auf dem Gruppenrichtlinienentwurf basierender OU-Entwurf
Der zweite Grund für die Erstellung von OUs liegt in der Verwaltung der Zuweisung von Gruppenrichtlinienobjekten.
Gruppenrichtlinieneinstellungen werden für die Änderungs- und Konfigurationsverwaltung
von Desktops verwendet. Mit Gruppenrichtlinieneinstellungen können Sie Benutzern eine
Standarddesktopkonfiguration, einschließlich der automatischen Installation einer Reihe von Anwendungen,
bereitstellen. Anhand von Gruppenrichtlinieneinstellungen können Sie außerdem steuern,
welche Änderungen Benutzer an ihren Computern vornehmen können, und viele Sicherheitseinstellungen
konfigurieren. Fast alle Gruppenrichtlinieneinstellungen in AD DS werden auf OU-Ebene
zugewiesen. Die Bereitstellung von Gruppenrichtlinieneinstellungen spielt daher für den OU-Entwurf
eine wichtige Rolle. Gruppieren Sie beim Planen der OU-Struktur Objekte zusammen, die dieselben
Gruppenrichtlinieneinstellungen verlangen. Wenn beispielsweise alle Benutzer in einer Abteilung dieselben
Anwendungen benötigen, können diese mithilfe eines Gruppenrichtlinienobjekts installiert
werden. Die Benutze benötigen vielleicht außerdem einen Standardsatz an Laufwerkzuordnungen.
Die Anmeldeskripts für die Benutzer können über ein Gruppenrichtlinienobjekt zugewiesen werden.
Vielleicht möchten Sie auf alle Dateiservern in Ihrem Unternehmen eine Sicherheitsvorlage anwenden.
Gruppieren Sie zu diesem Zweck alle Dateiserver in einer OU und weisen Sie die Sicherheitsvorlage
über ein Gruppenrichtlinienobjekt zu.
In den meisten Unternehmen werden die unteren Ebenen des OU-Entwurfs vorrangig durch den
Bedarf an Gruppenrichtlinienobjekten bestimmt. Standardmäßig werden alle Gruppenrichtlinieneinstellungen
von übergeordneten OUs übernommen. Das heißt, dass Sie ein Gruppenrichtlinienobjekt
auf viele Abteilungen anwenden können, die in der OU-Struktur weit oben angesiedelt sind, und
anschließend spezifischere Gruppenrichtlinienobjekte auf niedrigerer Ebene zuweisen können. Wenn
Sie die Standardvererbung von Gruppenrichtlinieneinstellungen ändern möchten, können Sie eine OU
erstellen und die Richtlinienvererbung für diese OU-Ebene deaktivieren. Diese starke Abhängigkeit
des OU-Entwurfs von Gruppenrichtlinien bedeutet, dass Sie die Funktionalität der Gruppenrichtlinien
und die Anforderungen für Ihr Unternehmen genau kennen müssen. In Kapitel 11, „Einführung
in Gruppenrichtlinien“, Kapitel 12, „Einsetzen von Gruppenrichtlinien zum Verwalten von Benutzerdesktops“,
und Kapitel 13, „Einsetzen von Gruppenrichtlinien zum Verwalten der Sicherheit“, wird
detailliert beschrieben, wie Gruppenrichtlinien verwendet werden können.