Active Directory.pdf - Gattner

262 Kapitel 7: Migrieren auf die Active Directory-Domänendienste
• Bei einer Migration innerhalb einer Gesamtstruktur müssen Sie zum Beibehalten der Gruppenmitgliedschaftsregeln
Benutzerkonten und die Gruppen, denen die Benutzer angehören, gleichzeitig
verschieben. Dieses Verfahren wird als geschlossener Satz bezeichnet. Das ADMT nimmt jedoch
keine Berechnung eines vollständigen geschlossenen Satzes vor, daher müssen Sie beim Migrieren
von Benutzern, die Mitglieder globaler Gruppen sind, besonders vorsichtig vorgehen. Wenn
Sie eine Gruppe migrieren, deren Mitgliedschaft ein Benutzerkonto umfasst, das Mitglied einer
anderen globalen Gruppe ist, und wenn diese globale Gruppe umgekehrt kein Mitglied einer der
zu diesem Zeitpunkt migrierten Gruppen ist, bricht die Mitgliedschaft zwischen dem Benutzerkonto
und der globalen Gruppe, die nicht in die Migration integriert ist. Bei anderen Gruppentypen
(wie z.B. universelle Gruppen) besteht dieses Problem nicht, da sie Mitglieder umfassen
können, die sich außerhalb ihrer Domänen befinden.
Konfigurieren von Vertrauensstellungen zwischen Gesamtstrukturen
Als Alternative zum Durchführen einer Domänenumstrukturierung können Sie Vertrauensstellungen
zwischen Gesamtstrukturen bzw. Gesamtstrukturvertrauensstellungen von einer Windows Server
2008-Gesamtstruktur nutzen, um auf Ressourcen in einer anderen, nicht verbundenen Windows Server
2008-Gesamtstruktur zuzugreifen.
Eine deutliche Verbesserung, die in Windows Server 2003 an Active Directory vorgenommen wurde,
ist die Möglichkeit, Vertrauensstellungen zwischen AD DS-Gesamtstrukturen zu erstellen. In Windows
2000 Active Directory können Sie nur eine Vertrauensstellung zwischen einer Domäne in einer
Gesamtstruktur und einer Domäne in einer anderen Gesamtstruktur erstellen. In Windows Server
2003 und Windows Server 2008 können Sie eine Vertrauensstellung zwischen den Stammdomänen
der Gesamtstruktur erstellen. Bei dieser Vertrauensstellung kann es sich um eine uni- oder bidirektionale
Vertrauensstellung handeln. Nachdem die Vertrauensstellung erstellt wurde, können Sie globale
oder universelle Gruppen aus einer Gesamtstruktur nutzen, um Berechtigungen für Ressourcen in
einer anderen Gesamtstruktur zu erteilen.
Hinweis Durch das Erstellen einer Vertrauensstellung zwischen zwei Gesamtstrukturen können nur Ressourcen
zwischen den beiden Gesamtstrukturen freigegeben werden. Alle übrigen Trennungen auf Gesamtstrukturebene
bleiben auch nach dem Erstellen der Vertrauensstellung weiterhin bestehen. Das Erstellen
einer Vertrauensstellung bedeutet beispielsweise nicht, dass die Gesamtstrukturen einen gemeinsamen globalen
Katalog (Global Catalog, GC) oder ein gemeinsames Schema nutzen. Wenn Sie eine Vertrauensstellung
in Active Directory erstellen, wird durch die Vertrauensstellung das Namensuffixrouting zwischen den
beiden Gesamtstrukturen automatisch aktiviert. Benutzer können durch das Namensuffixrouting ihre Benutzerprinzipalnamen
(User Principle Names, UPNs) beim Anmelden an jeder Domäne in einer der Gesamtstrukturen
verwenden. Wenn Sie beispielsweise eine Gesamtstrukturvertrauensstellung zwischen den
beiden Gesamtstrukturen Adatum.com und TreyResearch.com erstellen, können Benutzer der Gesamtstruktur
TreyResearch.com ihren UPN Benutzername@treyresearch.com zur Anmeldung an einer Arbeitsstation
in der Gesamtstruktur Adatum.com verwenden. Das Namensuffixrouting wird standardmäßig auf alle Domänennamen
erster Ebene angewendet, die in der Gesamtstruktur verfügbar sind. Dies umfasst sowohl die
Standard-UPN-Suffixe sowie alle weiteren alternativen Suffixe, die in der Gesamtstruktur konfiguriert sind.
Das Namensuffixrouting funktioniert zwischen Gesamtstrukturen nur dann nicht, wenn in beiden Gesamtstrukturen
das gleiche UPN-Suffix konfiguriert wurde. Wurde das UPN-Suffix aus der Gesamtstruktur Trey-
Research.com in der Gesamtstruktur Adatum.com konfiguriert, können sich Benutzer der Gesamtstruktur
TreyReserch.com nicht mit ihrem UPN an der Gesamtstruktur Adatum.com anmelden.