Active Directory.pdf - Gattner

28 Kapitel 2: Active Directory-Domänendienstkomponenten
Auf der DVD Über das auf der CD enthaltene Windows PowerShell-Skript ListDomainControllers.ps1 können
sämtliche Domänencontroller in einer Domäne und globalen Katalogserver in einer Gesamtstruktur aufgelistet
werden. Bei Ausführung von Windows PowerShell auf einem Computer unter Windows Server 2008
muss die PowerShell-Skriptausführungsrichtlinie über den Befehl Set-ExecutionPolicy RemoteSigned zum
Zulassen von nicht signierten Zertifikaten konfiguriert werden. Ferner muss bei der Ausführung eines Windows
PowerShell-Skripts der vollständige Pfad angegeben werden.
Beispiele für VMScript-Skripte (Visual Basic Scripting Edition) zum Abrufen von AD DS-Informationen finden
Sie auf der Script Center Script Repository-Website unter http://www.microsoft.com/technet/scriptcenter/
scripts/default.mspx?mfr=true.
Betriebsmaster
Die AD DS sind als Multimaster-Replikationssystem konzipiert. Dies erfordert, dass mit Ausnahme
von RODCs sämtliche Domänencontroller über Schreibberechtigungen für die Verzeichnisdatenbank
verfügen. Dieses System eignet sich für die meisten Verzeichnisvorgänge, für bestimmte Verzeichnisvorgänge
wird jedoch ein einzelner autorisierender Server benötigt. Domänencontroller mit spezifischen
Rollen werden als Betriebsmaster bezeichnet, und jeder von ihnen verfügt über eine FSMO-
Rolle (Flexible Single-Master Operations). Domänencontroller mit Betriebsmasterrollen werden zum
Ausführen bestimmter Aufgaben eingesetzt, um Konsistenz sicherzustellen und mögliche Konflikte
bei Einträgen in der AD DS-Datenbank zu verhindern. In den AD DS gibt es die folgenden fünf
Betriebsmasterrollen:
• Schemamaster
• Domänennamenmaster
• RID-Master
• PDC-Emulator
• Infrastrukturmaster
Die ersten beiden Rollen, Schemamaster und Domänennamenmaster gelten pro Gesamtstruktur. Dies
bedeutet, dass es nur einen Schemamaster und nur einen Domänennamenmaster pro Gesamtstruktur
gibt. Die anderen drei Rollen gelten pro Domäne, das heißt, dass für jede Domäne in der Gesamtstruktur
eine dieser Betriebsmasterrollen vorhanden ist. Bei der Installation der AD DS und Erstellung
des ersten Domänencontrollers in der Gesamtstruktur werden diesem Domänencontroller alle
fünf Rollen zugewiesen. Ebenso werden beim Hinzufügen von Domänen zur Gesamtstruktur dem ersten
Domänencontroller in jeder neuen Domäne die pro Domäne geltenden Betriebsmasterrollen zugewiesen.
Beim Hinzufügen von Domänencontrollern zu einer Domäne können diese Rollen an andere
Domänencontroller übertragen werden.
Schemamaster
Der Schemamaster ist der einzige Domänencontroller mit Schreibberechtigungen für das Verzeichnisschema.
Zum Ändern des Schemas muss der Administrator (der Mitglied der Sicherheitsgruppe
Schema-Admins sein muss) mit dem Schemamaster verbunden sein. Beim Versuch, Schemaänderungen
auf einem Domänencontroller durchzuführen, bei dem es sich nicht um den Schemamaster
handelt, schlägt dieser Vorgang fehl. Nach dem Durchführen einer Änderung werden Schemaaktualisierungen
auf allen anderen Domänencontrollern in der Gesamtstruktur repliziert.