Active Directory.pdf - Gattner

204 Kapitel 5: Entwerfen der Active Directory-Domänendienstestruktur
Durch die automatische Standortabdeckung wählen die AD DS die Domänencontroller in dem Standort
aus, der über die günstigste Standortverknüpfung verbunden ist, um den Standort ohne Domänencontroller
abzudecken. Eine zweite Methode zum Festlegen des Domänencontrollers, der für die
Authentifizierung der Benutzer verwendet wird, besteht darin, IP-Subnetzobjekte für die Niederlassung
ohne Domänencontroller zu erstellen und das IP-Subnetzobjekt anschließend einem vorhandenen
Standort hinzuzufügen.
Ein weiterer Aspekt, den Sie bei Bereitstellung mehrerer Domänen einplanen müssen, sind die Standorte
der Gesamtstruktur-Stammdomänencontroller. Diese Domänencontroller sind erforderlich, wenn
ein Benutzer auf eine Ressource in einer anderen Domänenstruktur zugreift oder wenn ein Benutzer
sich an einer Domäne in einer anderen als der eigenen Domänenstruktur anmeldet. Aus diesem Grund
sollten Sie Gesamtstruktur-Stammdomänencontroller in allen Niederlassungen aufstellen, in denen
eine große Anzahl von Benutzern arbeitet oder in denen eine erhebliche Menge an Datenverkehr an
die Stammdomänencontroller geleitet wird. Wenn in der Netzwerktopologie Ihres Unternehmens
regionale Hubniederlassungen enthalten sind, sollten Sie die Bereitstellung eines Stammdomänencontrollers
in jeder der Hubniederlassungen erwägen.
Achtung Aufgrund der Bedeutung der Stammdomäne und der Auswirkungen auf die Gesamtstruktur,
wenn die Stammdomäne jemals verloren gehen sollte, sollten die Gesamtstruktur-Stammdomänencontroller
geografisch verteilt werden. Auch wenn es keinen ersichtlichen Grund für das Aufstellen eines Stammdomänencontrollers
in Niederlassungen außerhalb des Hauptsitzes gibt, empfiehlt es sich dennoch, allein um
geografische Redundanz zu gewährleisten. Wie alle Domänencontroller sollten jedoch auch die Stammdomänencontroller
niemals in einer Niederlassung platziert werden, in der sie nicht physisch abgesichert werden
können.
Platzieren globaler Katalogserver
Globale Katalogserver sind erforderlich, damit Benutzer sich an den AD DS-Domänen anmelden oder
AD DS nach Verzeichnisinformationen durchsuchen können. Im Allgemeinen bedeutet das, dass Sie
einen globalen Katalogserver in jedem Standort platzieren sollten. Dieses Ideal ist jedoch abzuwägen
gegen den Replikationsdatenverkehr, der durch das Aufstellen eines globalen Katalogservers in jedem
Standort entsteht. Wenn Sie in einem sehr großen Unternehmen mit mehreren umfangreichen Domänen
arbeiten, ist der Replikationsdatenverkehr für den globalen Katalog beträchtlich.
Eine Verbesserung an Windows Server 2003 Active Directory und Windows Server 2008 AD DS ist
die Tatsache, dass Anmeldungen an einer Domäne ohne Zugriff auf einen globalen Katalogserver
unterstützt werden. Dies wird durch die Unterstützung der Zwischenspeicherung der universellen
Gruppenmitgliedschaft ermöglicht. Ist die Zwischenspeicherung der universellen Gruppenmitgliedschaft
aktiviert, können Domänencontroller die universelle Gruppenmitgliedschaften für Benutzer in
der Domäne zwischenspeichern. Wenn der Benutzer sich erstmals am Standort anmeldet, muss seine
universelle Gruppenmitgliedschaft von einem globalen Katalogserver abgerufen werden. Nach der
ersten Anmeldung speichert der Domänencontroller die universelle Gruppenmitgliedschaft des Benutzers
jedoch auf unbestimmte Zeit zwischen. Die Zwischenspeicherung der universellen Gruppenmitgliedschaft
auf dem Domänencontroller wird alle acht Stunden durch Kontaktieren eines festgelegten
globalen Katalogservers aktualisiert. Zum Aktivieren der Zwischenspeicherung der universellen
Gruppenmitgliedschaft öffnen Sie das Verwaltungsprogramm Active Directory-Standorte und
-Dienste und erweitern das Standortobjekt für den Standort, in dem Sie diese Einstellung aktivieren
möchten. Klicken Sie mit der rechten Maustaste auf das Objekt NTDS Site Settings, und wählen Sie
Eigenschaften.