Active Directory.pdf - Gattner

3
K A P I T E L 1
Neuerungen in Active Directory für Windows
Server 2008
Inhalt dieses Kapitels:
Neuerungen in den Active Directory-Domänendiensten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Zusätzliche Active Directory-Dienstrollen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
Zusammenfassung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
Neuerungen in den Active Directory-Domänendiensten
Wenngleich vieles von dem, was Sie für die Verwaltung einer Active Directory-Domäne wissen müssen,
im Vergleich zu vorherigen Versionen der Verzeichnisdienstimplementierung, z.B. unter Windows
2000 und Windows Server 2003, unverändert geblieben ist, gibt es mehrere nützliche neue Features
für Administratoren zur Verbesserung der Steuerung und Sicherheit der Domänenumgebung. In
diesem Kapitel werden sechs Weiterentwicklungen in den Active Directory-Domänendiensten (AD
DS) sowie vier neue Funktionen behandelt, die Active Directory in Ihrem Unternehmen ausfüllen
kann und wird.
Schreibgeschützte Domänencontroller (Read-Only Domain Controllers,
RODC)
Eines der neuen Features von Windows Server 2008 ist die Möglichkeit der Bereitstellung eines
schreibgeschützten Domänencontrollers. Auf diesem neuen Domänencontrollertyp befinden sich, wie
der Name schon sagt, schreibgeschützte Partitionen der Active Directory-Datenbank.
Ein schreibgeschützter Domänencontroller ermöglicht Unternehmen die einfache Bereitstellung eines
Domänencontrollers in Umgebungen, in denen die physische Sicherheit nicht gewährleistet ist, z.B.
an Zweigstellenstandorten, oder in Szenarien, in denen die lokale Speicherung aller Domänenkennwörter
als Hauptbedrohung der Sicherheit gilt, z.B. bei einer anwendungsbezogenen Rolle. Ein solcher
Domänencontroller eignet sich auch für die gemeinsame Verwendung mit der Server Core-Installationsoption
von Windows Server 2008.
Unternehmen, welche die physische Sicherheit eines Zweigstellen-Domänencontrollers garantieren
können, stellen ggf. aufgrund der reduzierten Verwaltungsanforderungen ebenfalls einen schreibgeschützten
Domänencontroller bereit, die durch Features wie eine Trennung der Administratorrolle
ermöglicht werden.
Da die Verwaltung eines schreibgeschützten Domänencontrollers an eine Domänenbenutzer- oder
Sicherheitsgruppe delegiert werden kann, ist ein schreibgeschützter Domänencontroller gut für Standorte
geeignet, an denen es keine Mitglieder der Gruppe Domänen-Admins geben soll. Schreibgeschützte
Domänencontroller besitzen folgende Eigenschaften: