Active Directory.pdf - Gattner

Delegieren von Verwaltungsaufgaben 339
• Zuweisen von Vollzugriff für bestimmte Objekte in der gesamten Domäne Einigen Unternehmen
implementieren eine höchst zentralisierte Benutzer- und Gruppenverwaltung, in der nur eine einzige
Gruppe zum Hinzufügen und Löschen von Benutzer- und Gruppenkonten berechtigt ist. In
diesem Szenario kann dieser Gruppe Vollzugriff für Benutzer- und Gruppenobjekte unabhängig
davon erteilt werden, wo sich die Objekte innerhalb der Domäne befinden. Dies ist ferner ein
recht gängiges Szenario für Organisationen mit zentraler Desktop- und Serververwaltungsgruppe.
Den Mitgliedern der Desktopverwaltungsgruppe kann Vollzugriff auf alle Computerobjekte in der
Domäne zugewiesen werden.
• Zuweisen von Berechtigungen zum Ändern von bestimmten Objekteigenschaften In einigen Fällen
kann es sinnvoll oder erforderlich sein, dass eine Administratorengruppe lediglich zum Verwalten
bestimmter Objekteigenschaften berechtigt ist. Beispielsweise kann einer Administratorengruppe
ausschließlich die Berechtigung zum Zurücksetzen von Kennwörtern für sämtliche Benutzerkonten
zugewiesen werden, jedoch keine weiteren Administratorrechte. Oder den Mitarbeitern der
Personalabteilung wird die Berechtigung zum Ändern der persönlichen und öffentlichen Informationen
für alle Benutzerkonten innerhalb der Domäne zugewiesen, jedoch keine Berechtigung
zum Erstellen oder Löschen von Benutzerkonten.
Mit Windows Server 2008 AD DS können all diese Optionen separat verwendet bzw. beliebig kombiniert
werden. Wie bereits erwähnt, ist eine Möglichkeit zum Konfigurieren von delegierten Berechtigungen
der direkte Zugriff auf die ACL für ein Objekt, um die Berechtigungen zu konfigurieren. Aufgrund
der Anzahl von verfügbaren Optionen und der Fehleranfälligkeit kann diese Option jedoch
recht komplex werden.
Direkt von der Quelle: Delegieren der Verwaltung
Beim Delegieren der Berechtigungen zum Erstellen von Benutzern und Gruppen ist es unabdinglich,
ein System zum Nachverfolgen von Änderungen zu implementieren. Dies vereinfacht nicht
nur die tägliche Verwaltung, sondern ist zudem bei der Behandlung von Zugriffsproblemen äußerst
hilfreich.
Greg Robb
Microsoft Premier Field Engineer
Zum Vereinfachen dieser Aufgabe umfassen die AD DS den Assistenten zum Zuweisen der Objektverwaltung.
Zum Verwenden dieses Assistenten führen Sie die folgenden Schritte aus:
1. Öffnen Sie die Verwaltungskonsole Active Directory-Benutzer und -Computer, und wechseln Sie
zum übergeordneten Objekt, dessen Verwaltung delegiert werden soll. In den meisten Fällen wird
die Verwaltung auf Ebene einer OU delegiert, dieser Vorgang kann jedoch auch auf Domänenoder
Containerebene (z.B. für die Container Computers und Users) ausgeführt werden. Klicken
Sie mit der rechten Maustaste auf das übergeordnete Objekt, und wählen Sie Objektverwaltung
zuweisen. Klicken Sie auf Weiter.
2. Fügen Sie auf der Seite Benutzer oder Gruppen die Benutzer oder Gruppen hinzu, denen die
Objektverwaltung zugewiesen werden soll. Klicken Sie auf Hinzufügen, um Active Directory
nach den erforderlichen Benutzern oder Gruppen zu durchsuchen.
3. Wählen Sie anschließend die Aufgabe, die delegiert werden soll. In dem in Abbildung 9.13
gezeigten Fenster kann eine allgemeine Aufgabe ausgewählt oder eine benutzerdefinierte Aufgabe
für die Delegierung erstellt werden.