Active Directory.pdf - Gattner

208 Kapitel 5: Entwerfen der Active Directory-Domänendienstestruktur
Wenn die Sicherheit des RODC beschädigt wird, ist nur eine begrenzte Anzahl an Anmeldeinformationen
auf dem RODC gespeichert.
• Sie konfigurieren die RODC-Replikationsgruppen für die Konfiguration der Zwischenspeicherung von
Anmeldeinformationen. AD DS umfassen zwei Gruppen, die auf die Verwaltung der Zwischenspeicherung
von Anmeldeinformationen durch RODCs ausgelegt sind:
Die Gruppe mit Domänen-RODC-Kennwortreplikationserlaubnis enthält alle Konten, deren
Anmeldeinformationen auf allen RODCs in der Domäne zwischengespeichert werden können.
Wenn Sie dieser Liste einen Benutzer oder eine Gruppe hinzufügen, können dessen bzw.
deren Anmeldeinformationen auf allen RODCs in der Domäne zwischengespeichert werden.
Standardmäßig enthält diese Gruppe keine Mitglieder.
Die Gruppe ohne Domänen-RODC-Kennwortreplikationserlaubnis enthält alle Konten, deren
Anmeldeinformationen nicht auf allen RODCs in der Domäne zwischengespeichert werden
können. Standardmäßig enthält diese Gurppe alle Administratorkonten und alle Domänencontrollerkonten.
Die Gruppe ohne Domänen-RODC-Kennwortreplikationserlaubnis hat Vorrang
vor der Gruppe mit Domänen-RODC-Kennwortreplikationserlaubnis; wenn daher ein Benutzer
oder ein Computer in beiden Gruppen enthalten ist, können die Anmeldeinformationen
nicht auf dem RODC zwischengespeichert werden.
Wählen Sie diese Option, wenn Sie eine konsistente Kennwortreplikationsrichtlinie auf alle RODCs
in der Domäne anwenden möchten. Wenn Sie beispielsweise eine Gruppe von Benutzern verwalten,
die häufig zu allen Remotestandorten mit RODCs reisen, können Sie diese Gruppe der Gruppe mit
Domänen-RODC-Kennwortreplikationserlaubnis hinzufügen. Die Kennwortzwischenspeicherung
kann dennoch für lokale Benutzer aktiviert werden, indem Sie lokale Gruppen direkt der Kennwortreplikationsrichtlinie
hinzufügen.
Achtung Ein weiterer Faktor, den Sie bei der Bereitstellung von RODCs berücksichtigen sollten, ist die
Anwendungskompatibilität. Die meisten Anwendungen, die AD DS verwenden, funktionieren auch dann,
wenn sie sich mit einer schreibgeschützten Version des Datenspeichers verbinden; Anwendungen, die
Schreibzugriff auf AD DS verlangen, funktionieren jedoch möglicherweise nicht. Einzelheiten zu Anwendungen,
die mit RODCs funktionieren, und Vorschläge dazu, wie die Kompatibilität von Drittanbieterprodukten
mit RODCs getestet werden kann, finden Sie unter „Application Compatibility with Read-Only Domain
Controllers“ unter http://technet2.microsoft.com/windowsserver2008/en/library/f1b06c27-0f6a-4932-afe6-
a70749f8ab2f1033.mspx.
Ermitteln von Betriebsmasterservern
Der wichtigste Betriebsmaster für alltägliche Operationen ist der PDC-Emulator (primärer Domänencontroller).
Dieser Server ist besonders wichtig, wenn Ihr Unternehmen Clients der Vorgängerversionen
Windows NT oder Window 9x umfasst, da diese Clients sich mit dem PDC-Emulator verbinden
müssen, um ihre Kennwörter zu ändern. Selbst wenn Ihr Unternehmen diese älteren Clients nicht verwendet,
erhält der PDC-Emulator dennoch weiterhin Änderungen hoher Priorität, wie z.B. Änderungen
am Benutzerkennwort. Demzufolge ist die Platzierung des PDC-Emulators wichtig. Der PDC-
Emulator sollte an einem zentralen Ort platziert werden, an dem die Höchstzahl an Clients sich mit
dem Server verbinden kann.
Die Platzierung der anderen Betriebsmaster ist nicht so wichtig, da es nur minimale Auswirkungen
hat, wenn diese Server vorübergehend nicht erreichbar sind. Wenden Sie beim Planen der Betriebsmasterplatzierung
folgendes Prinzip an: