Active Directory.pdf - Gattner

Verwalten von Benutzern 359
Sie können hierfür mithilfe eines Tools wie Microsoft Identity Integration Server (MIIS) 2003 oder
Microsoft Identity Lifecycle Manager (ILM) 2007 ein Kontaktobjekt für jedes Benutzerkonto der
anderen Gesamtstruktur erstellen und das Kontaktobjekt mit den geeigneten Kontaktinformationen
auffüllen.
Weitere Informationen Weitere Informationen zu ILM 2007 werden auf der Webseite „Microsoft Identity
Lifecycle Manager 2007“ (in englischer Sprache) unter http://www.microsoft.com/windowsserver/ilm2007/
default.mspx bereitgestellt.
Am häufigsten werden Kontaktobjekte für die Integration in die globale Adressliste von Microsoft
Exchange Server verwendet. Wenn Sie ein Kontaktobjekt für E-Mails aktivieren möchten, weisen Sie
dem Konto eine E-Mail-Adresse zu. Die zugewiesene E-Mail-Adresse gilt für ein externes E-Mail-
System, wie beispielsweise einen Internetdienstanbieter oder eine andere Organisation. Dieser E-
Mail-aktivierte Kontakt wird in der globalen Adressliste von Exchange Server angezeigt. Wenn Sie
dem Kontakt eine E-Mail senden, wird diese an die im Kontakt angegebene E-Mail-Adresse gesendet.
Dienstkonten
Bei Diensten handelt es sich um Computerprogramme, die auf Windows-Servern im Hintergrund ausgeführt
werden. Da Dienste so konzipiert sind, dass sie ohne Benutzeroberfläche ausgeführt werden
und ohne dass Benutzer daran angemeldet sind, muss ein Anmeldekonto für den Dienst bereitgestellt
werden. Wenn der Dienst startet, führt er mit dem Anmeldekonto eine Authentifizierung durch und
verfügt über die gleichen Berechtigungen für Ressourcen wie das Anmeldekonto. Beim Festlegen
eines Anmeldekontos auf einem Domänencontroller (Domain Controller, DC) können Sie ein
bestimmtes Benutzerkonto in Active Directory oder einen lokalen Benutzer angeben. Dann würden
Sie dem angegebenen Benutzerkonto die erforderlichen Berechtigungen zuweisen, sodass der Dienst
ordnungsgemäß ausgeführt werden kann.
In Windows Server 2008 sind einige lokale Konten integriert, die eigens zum Ausführen von Diensten
entworfen wurden. Diese Konten verfügen über die Berechtigungen, die in der Regel von diesen
Diensten für die Ausführung benötigt werden. Es können keine Kennwörter für diese Konten konfiguriert
werden. In Tabelle 10.3 werden häufig verwendete Dienstkonten aufgeführt.
Tabelle 10.3
Häufig verwendete Dienstkonten
Lokaler Kontoname
SYSTEM
LOKALER DIENST
NETZWERKDIENST
Beschreibung
Dieses Konto verfügt über volle Zugriffsrechte für den Computer und kann mithilfe der dem
Computerkonto zugewiesenen Berechtigungen auf Netzwerkressourcen zugreifen. Auf einem
DC hat dieses Konto Zugriff auf die gesamte Domäne. Die Nutzung dieses Kontos sollte
weitestgehend vermieden werden.
Die Zugriffsebene dieses Kontos entspricht der Zugriffsebene der integrierten Gruppe Benutzer.
Der Zugriff auf Netzwerkressourcen wird über eine Nullsitzung, d.h. anonym vorgenommen.
Bei diesem Konto handelt es sich um das für die Dienstausführung bevorzugte Konto,
da es nur über eingeschränkte Berechtigungen verfügt.
Dieses Konto verfügt über die gleichen Zugriffsberechtigungen auf lokale Ressourcen wie
das Konto LOKALER DIENST. Der Zugriff auf Netzwerkressourcen wird jedoch über die dem
Computerkonto zugewiesenen Berechtigungen bestimmt.