Active Directory.pdf - Gattner

388 Kapitel 10: Verwalten von Active Directory-Objekten
Tabelle 10.12
Cmdlet
Get-Contact
Set-Contact
Exchange-Verwaltungsshell-Cmdlets (Fortsetzung)
Beschreibung
Dieses Cmdlet wird zum Abrufen einer Liste von Kontakten verwendet, die festgelegten Kriterien
entsprechen.
Mit diesem Cmdlet werden die Eigenschaften der angegebenen Kontakte bearbeitet. Die mithilfe
des Cmdlets Get-Contact abgerufene Benutzerliste kann an dieses Cmdlet weitergeleitet
werden.
Zusammenfassung
In diesem Kapitel wurde ein Überblick über die häufigsten Windows Server 2008 Active Directory-
Objekte sowie über die Verfahren zum Verwalten von Active Directory-Objekten gegeben. Ein Großteil
der von Ihnen durchgeführten Verwaltungsaufgaben fällt für diese Objekte an. Insbesondere werden
Sie sich mit der Verwaltung von Gruppen- und Benutzerkonten beschäftigen, da Mitarbeiter neu
eingestellt werden oder das Unternehmen verlassen, oder weil Sie im Rahmen der Absicherung von
Netzwerkressourcen neue Gruppen erstellen müssen. Das Festlegen einer effektiven Strategie für
Gruppentypen und -bereiche ist von grundlegender Bedeutung. Darüber hinaus fallen auch bei
Objekten wie Computerobjekten, Druckerobjekten oder freigegebenen Ordnerobjekten Verwaltungsaufgaben
an.
In Windows Server 2008 haben Sie mehrere Möglichkeiten zur Automatisierung der Verwaltung von
Active Directory-Objekten. Diese umfassen z. .B Befehlszeilenprogramme wie CSVDE und
LDIFDE. Für komplexere Aufgaben stehen VBScript oder Windows PowerShell zur Verfügung.
Empfohlene Vorgehensweisen
• Verwenden Sie die Tools Ldp.exe und Adsiedit.msc zum Bearbeiten von Objektattributen, die in
Standardverwaltungstools wie z.B. Active Directory-Benutzer und -Computer nicht angezeigt
werden. Gehen Sie jedoch beim direkten Bearbeiten von Objekten sehr umsichtig vor.
• Verwenden Sie UPNs, um das Anmeldeverfahren in Umgebungen mit mehreren Domänen zu vereinfachen.
Benutzer können sich an beliebigen Computern anmelden, ohne im Anmeldefeld die
geeignete Domäne auswählen zu müssen.
• Verwenden Sie beim Auswählen eines Dienstkontos nach Möglichkeit das Konto, das über die
wenigsten Berechtigungen verfügt. Das Konto LOKALER DIENST verfügt über die geringsten
Berechtigungen. Das Konto NETZWERKDIENST kann als lokales Computerkonto auf Netzwerkressourcen
zugreifen. Mit dem Konto SYSTEM erhalten Sie vollen Zugriff auf den lokalen Computer
und können über das lokale Computerkonto auf Netzwerkressourcen zugreifen.
• Für eine einfachere Anwendung empfiehlt es sich, Gruppen in einer Hierarchie zu organisieren.
Fügen Sie Gruppen zu globalen oder universellen Gruppen hinzu, um sie zu organisieren. Weisen
Sie domänenlokalen Gruppen Berechtigungen für Ressourcen zu, und fügen Sie diesen Gruppen
anschließend die geeigneten Mitglieder globaler und universeller Gruppen hinzu.
• Beim Organisieren von Gruppen zwischen vertrauten Gesamtstrukturen sollten Benutzer in
globalen Gruppen platziert werden, die wiederum in universellen Gruppen in der gleichen
Gesamtstruktur platziert werden. Domänenlokalen Gruppen sollten Berechtigungen für Ressourcen
zugewiesen werden, anschließend können die geeigneten Mitglieder universeller Gruppen als
Mitglieder domänenlokaler Gruppen festgelegt werden.