Active Directory.pdf - Gattner

Entwerfen der Standorttopologie 205
Wählen Sie auf der Registerkarte Standorteinstellungen die Option Zwischenspeichern der universellen
Gruppenmitgliedschaft aktivieren, und wählen Sie in der Dropdownliste Cache aktualisieren
von den Standort aus, in dem sich der nächste globale Katalogserver befindet.
Entwerfen von Bereitstellungen schreibgeschützter Domänencontroller
Eine der wichtigen neuen Funktionen in Windows Server 2008 ist die Option zum Bereitstellen von
RODCs. RODCs bieten die gesamte Funktionalität, die Clients zur Authentifizierung benötigen, und
gleichzeitig eine zusätzliche Sicherheit für Domänencontroller in Niederlassungen, in denen die physische
Sicherheit des Domänencontrollers nicht sichergestellt werden kann. Beim Entwerfen der
RODC-Bereitstellung müssen Sie sich mit der RODC-Platzierung, mit der Zwischenspeicherung der
Benutzerkontokennwörter auf dem Server und mit der Konfiguration delegierter administrativer
Berechtigungen für den Domänencontroller beschäftigen.
Entwerfen der RODC-Platzierung RODCs sind für die Platzierung an Standorten ausgelegt, an denen
Sie einen Domänencontroller einsetzen möchten, jedoch hinsichtlich der Sicherheit für den Domänencontroller
Bedenken haben. Außerdem können Sie den Einsatz von RODCs in Niederlassungen erwägen,
in denen keine Administratoren beschäftigt sind, die Änderungen an AD DS vornehmen müssten.
In den meisten Fällen werden RODCs in Zweigniederlassungen eingesetzt, sie können jedoch
auch zum Ausführen von Anwendungen verwenden werden, für die ein Domänencontroller erforderlich
ist.
Für die Entscheidung, ob ein RODC in einer Zweigniederlassung eingesetzt werden soll, gelten dieselben
Überlegungen wie für den Einsatz eines Domänencontrollers bei geringerer physischer Sicherheit.
Generell sollte ein RODC als einziger Domänencontroller für die zugehörige Domäne in einem
Standort bereitgestellt werden. Beim Entwurf der Platzeriung von RODCs gibt es zwei zusätzliche
Überlegungen:
• Jeder RODC erfordert einen beschreibbaren Domänencontroller unter Windows Server 2008 für
dieselbe Domäne, von dem der RODC direkt replizieren kann. RODCs können Änderungen an
Schema, Konfiguration und Anwendungspartitionen von einem Windows Server 2003-Domänencontroller
replizieren, jedoch nur Änderungen an der Domänenpartition von einem Windows Server
2008-Domänencontroller. Das bedeutet, dass ein beschreibbarer Domänencontroller unter
Windows Server 2008 in dem Standort platziert werden sollte, der in der Topologie am nächsten
liegt. Wenn Sie Standortverknüpfungsbrücken nicht deaktiviert haben, ist dies kein absolutes
Muss, wird jedoch dennoch dringend empfohlen.
• Domänencontroller unter Windows Server 2003 führen eine automatische Standortabdeckung für
Standorte mit RODCs durch. Anhand der automatischen Standortabdeckung wird sichergestellt,
dass Clients in Domänen ohne Domänencontroller sich am nächstmöglichen Domänencontroller
authentifizieren können. Domänencontroller unter Windows Server 2003 berücksichtigen keine
RODCs bei der Auswertung des Standortabdeckungsbedarfs. Daher führen sie eine automatische
Standortabdeckung für jeden Standort durch, der nur einen RODC für dieselbe Domäne enthält.
Das bedeutet, dass Windows Server 2003-Domänencontroller standortspezifische SRV-Einträge
für den Standort registrieren, was möglicherweise zur Folge hat, dass Clientcomputer sich an den
Domänencontrollern außerhalb des Standorts und nicht am lokalen RODC authentifizieren. Um
dies zu verhindern, können Sie folgendermaßen vorgehen:
Stellen Sie sicher, dass alle Domänencontroller in dem Standort, der dem Standort mit dem
RODC am nächsten liegt, Windows Server 2008 ausführen. Stellen Sie außerdem sicher, dass
mindestens einer dieser Server ein globaler Katalogserver ist.