Active Directory.pdf - Gattner

AD LDS – Architektur und Komponenten 623
Da Sie mehrere AD LDS-Instanzen auf einem Server installieren können, kann ein Server an mehreren
Konfigurationssätzen mit Replikationsverbindungen zu mehreren anderen Servern mit gemeinsam
genutzten Konfigurationssätzen beteiligt sein. Abbildung 16.2 zeigt ein Beispiel der Funktionsweise
von Konfigurationssätzen.
Wenn Sie eine AD LDS-Instanz mit dem Active Directory-Anwendungsmodus-Setup-Assistent
installieren, können Sie eine eindeutige Instanz oder ein Replikat einer vorhandenen Instanz installieren.
Beim Installieren eines Replikats einer vorhandenen Instanz fügen Sie diese Instanz einem auf
einem anderen Server definierten Konfigurationssatz hinzu. Sie können eine AD LDS-Instanz nur
während der Installation der Instanz einem Konfigurationssatz hinzufügen. Nachdem eine AD LDS-
Instanz erstellt wurde, kann Sie einem Konfigurationssatz weder hinzugefügt noch aus diesem entfernt
werden.
Hinweis Konfigurationssätze sind dahingehend rein konzeptuell, dass Sie einem Konfigurationssatz keinen
Namen zuweisen müssen und keinen Konfigurationssatz erstellen können, um ihm später Instanzen
hinzuzufügen. Zum Verwalten von Konfigurationssätzen müssen Sie die Instanzen verwalten, die den Konfigurationssatz
bilden.
AD LDS – Replikationssicherheit
Ein weiterer Punkt, bei dem sich die AD LDS- von der AD DS-Replikation unterscheidet, ist die
Absicherung der Replikationsverbindungen und des dazugehörigen Datenverkehrs. Da sämtliche AD
DS-Domänencontroller Mitglieder derselben Gesamtstruktur sind, können Sie das Kerberos-Sicherheitsprotokoll
zum Authentifizieren und Absichern des Replikationsdatenverkehrs nutzen. Sie können
die Serverrolle AD LDS auf Computern bereitstellen, die Mitglied derselben Domäne oder
Gesamtstruktur sind, die sich in verschiedenen Gesamtstrukturen befinden oder die Mitglied keiner
Domäne sind.
Dies bedeutet, dass die AD LDS-Server ggf. in allen Szenarien nicht dieselben Authentifizierungsund
Sicherheitsmechanismen nutzen können. Um die Sicherheit der Replikation zu gewährleisten,
authentifizieren die AD LDS Replikationspartner vor der Replikation, wobei die Replikationsauthentifizierung
stets über einen sicheren Kanal erfolgt. Nach der Authentifizierung der Replikationspartner
wird der gesamte Replikationsdatenverkehr zwischen den beiden Partnern verschlüsselt. AD
LDS-Replikationspartner authentifizieren sich gegenseitig über das Dienstkonto, das für die jeweilige
AD LDS-Instanz angegeben ist. Die Methode, die zur Replikationsauthentifizierung innerhalb eines
Konfigurationssatzes verwendet wird, hängt vom Wert des Attributs msDS-ReplAuthenticationMode
für die Konfigurationsverzeichnispartition ab.
Tabelle 16.5 enthält die verfügbaren Optionen für das Konfigurieren der Sicherheit für die AD LDS-
Replikation und des entsprechenden Attributwerts (msDS-ReplAuthenticationMode) des Authentifizierungsmodus
für die jeweilige Sicherheitsstufe. Die standardmäßige Replikationssicherheitsstufe für
eine neue, eindeutige AD LDS-Instanz ist 1, es sei denn, als AD LDS-Dienstkonto ist ein lokales
Benutzerkonto angegeben. In diesem Fall ist die Replikationssicherheitsstufe 0.