Active Directory.pdf - Gattner

319
K A P I T E L 9
Delegieren der Active Directory-Domänendiensteverwaltung
Inhalt dieses Kapitels:
Active Directory-Verwaltungsaufgaben . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 320
Zugreifen auf Active Directory-Objekte . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 321
Active Directory-Objektberechtigungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 323
Delegieren von Verwaltungsaufgaben . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 338
Überwachen der Verwendung von Administratorrechten. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 341
Tools für die delegierte Verwaltung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 346
Planen der delegierten Verwaltung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 348
Zusammenfassung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 349
Zusätzliche Ressourcen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 349
Die Active Directory-Domänendienste (Active Directory Domain Services, AD DS) werden typischerweise
als Verzeichnisdienst bereitgestellt, der von mehreren Geschäftsbereichen innerhalb einer
Organisation gemeinsam verwendet wird. Durch die Verwendung eines gemeinsamen Verzeichnisdiensts
lassen sich die Kosten für Verwaltung und Pflege der Infrastruktur reduzieren, es müssen
jedoch verschiedene andere Faktoren berücksichtigt werden:
• Unabhängige Verwaltung von Benutzern und Ressourcen für einzelne Bereiche, wenn eine
dezentrale Verwaltung erforderlich ist
• Sicherstellen, dass Administratoren oder Benutzer innerhalb ihres Geschäftsbereichs ausschließlich
Aufgaben ausführen dürfen, für die sie berechtigt sind
• Sicherstellen, dass bestimmte Objekte oder Informationen, die im Verzeichnis gespeichert sind,
ausschließlich für Administratoren mit den erforderlichen Berechtigungen verfügbar sind
Diesen Faktoren kann durch umfangreiche Kenntnisse zur Delegierung von Verwaltungsaufgaben
Rechnung getragen werden. Bei der Delegierung erteilt ein Administrator auf höherer Ebene anderen
Benutzern Berechtigungen zum Durchführen bestimmter Verwaltungsaufgaben innerhalb der Active
Directory-Struktur. Die Active Directory-Struktur bietet eine hierarchische Sicht des Verzeichnisdiensts:
zunächst auf Standort- und Domänenebene, dann auf OU-Ebene (Organizational Unit, Organisationseinheit)
innerhalb einer Domäne. Diese Hierarchie bietet leistungsfähige Optionen zum Verwalten
von Berechtigungen und Delegieren von Verwaltungsaufgaben auf unterschiedlichen Ebenen
innerhalb der logischen Infrastruktur.
In diesem Kapitel wird die Delegierung der Verwaltung erläutert. Zunächst werden die unterschiedlichen
Typen von Verwaltungsaufgaben beschrieben, die innerhalb eines Unternehmens delegiert werden
können. Anschließend werden der Objektzugriff, die Typen von Berechtigungen, die Objekten
innerhalb des Verzeichnisses zugewiesen werden können, sowie die Verwendung dieser Berechtigungen
zur Delegierung der Verwaltung erklärt.