Active Directory.pdf - Gattner

Neuerungen in den Active Directory-Domänendiensten 5
Ausnahmen bilden das Computerkonto des schreibgeschützten Domänencontrollers und das besondere
(und eindeutige) Konto krbtgt, über das jeder schreibgeschützte Domänencontroller verfügt.
Sie können das Zwischenspeichern von Anmeldeinformationen auf dem schreibgeschützten Domänencontroller
konfigurieren, indem Sie die Kennwortreplikationsrichtlinie des jeweiligen Domänencontrollers
ändern. Beispiel: Wenn der schreibgeschützte Domänencontroller die Anmeldeinformationen
aller Benutzer in der Zweigstelle zwischenspeichern soll, die sich regelmäßig an diesem
Standort anmelden, können Sie alle Benutzerkonten für Benutzer in der Zweigstelle der Kennwortreplikationsrichtlinie
hinzufügen. Auf diese Weise können sich Benutzer am Domänencontroller
anmelden, selbst wenn die WAN-Verbindung zu einem beschreibbaren Domänencontroller nicht verfügbar
ist. Außerdem können Sie alle Zweigstellen-Computerkonten hinzufügen, sodass sich diese
Konten beim schreibgeschützten Domänencontroller authentifizieren können, auch wenn die WAN-
Verbindung ausfällt. Bei diesen beiden Szenarien muss die WAN-Verbindung zu einem beschreibbaren
Domänencontroller während der ersten Anmeldung verfügbar sein, damit die Anmeldeinformationen
auf dem schreibgeschützten Domänencontroller zwischengespeichert werden können.
Trennung der Administratorrolle
Sie können lokale Administratorberechtigungen für einen schreibgeschützten Domänencontroller an
beliebige Domänenbenutzer delegieren, ohne ihnen Benutzerrechte für die Domäne oder andere Domänencontroller
erteilen zu müssen. Dadurch kann sich ein Benutzer in einer lokalen Zweigstelle für Wartungsarbeiten
(z.B. zur Aktualisierung eines Treibers) an einem schreibgeschützten Domänencontroller
anmelden. Er kann sich jedoch nicht an einem anderen Domänencontroller anmelden oder andere
Verwaltungsaufgaben in der Domäne ausführen. Auf diese Weise kann die Fähigkeit zur effektiven
Verwaltung des schreibgeschützten Domänencontrollers in einer Zweigstelle an einen Benutzer an
diesem Standort delegiert werden, ohne die Sicherheit der restlichen Domäne zu gefährden.
Schreibgeschütztes DNS
Sie können den DNS-Serverdienst auf einem schreibgeschützten Domänencontroller installieren. Ein
schreibgeschützter Domänencontroller kann alle vom DNS verwendeten Anwendungsverzeichnispartitionen
replizieren, einschließlich ForestDNSZones und DomainDNSZones. Wenn der DNS-Server
auf einem schreibgeschützten Domänencontroller installiert ist, können Clients diesen wie jeden
anderen DNS-Server zur Auflösung von Namen abfragen.
Der DNS-Server auf einem schreibgeschützten Domänencontroller unterstützt jedoch keine direkten
Clientaktualisierungen. Demzufolge registriert der schreibgeschützte Domänencontroller keine
Namenserver-Ressourceneinträge für Active Directory-integrierte Zonen, als dessen Host er dient.
Wenn ein Client versucht, seine DNS-Einträge im Abgleich mit einem schreibgeschützten Domänencontroller
zu aktualisieren, gibt der Server eine Weiterleitung zurück. Der Client kann anschließend
versuchen, die Aktualisierung im Abgleich mit dem DNS-Server auszuführen, der in der Weiterleitung
angegeben ist. Im Hintergrund versucht der DNS-Server auf dem schreibgeschützten Domänencontroller,
den aktualisierten Eintrag vom DNS-Server zu replizieren, der die Aktualisierung durchgeführt
hat. Diese Replikationsanforderung gilt nur für ein einzelnes Objekt (den DNS-Eintrag). Die
gesamte Liste der geänderten Zonen- bzw. Domänendaten wird bei dieser besonderen Replikationsanforderung
für ein einzelnes Objekt nicht repliziert. Zur Optimierung der Sicherheit muss der
schreibgeschützte Domänencontroller der Zweigstelle seine Domänencontrollereinträge (z.B. Zeitserver,
LDAP-Host, KDC-Host usw.) bei einem Windows Server 2008-Domänencontroller registrieren.
Wenn anschließend die Sicherheit des schreibgeschützten Domänencontrollers gefährdet sein
sollte, kann dieser keine DNS-Einträge ändern oder die Identität eines anderen Domänencontrollers
annehmen bzw. sich nicht Clients außerhalb des eigenen Standorts ankündigen.