Active Directory.pdf - Gattner

AD LDS – Architektur und Komponenten 625
• Auf einem lokalen Computer definierte Windows-Benutzer. Benutzerkonten auf dem lokalen
Computer können Berechtigungen für AD LDS-Objekte zugewiesen werden und können AD
LDS-Gruppen hinzugefügt werden.
• In einer AD DS-Domäne definierte Windows-Benutzer. Benutzerkonten in der AD DS-Domäne,
zu welcher der AD LDS-Server gehört, oder anderen vertrauenswürdigen Domänen können auch
Berechtigungen für AD LDS-Objekte zugewiesen werden und können AD LDS-Gruppen hinzugefügt
werden.
Hinweis Das Windows-Konto des Administrators, der die AD LDS-Instanz installiert hat, wird der Gruppe
Administratoren in der Partition Konfiguration hinzugefügt. Wenn Sie die AD LDS für die Verwendung eines
Windows-Kontos als Dienstkonto einrichten, wird dieses Konto der Gruppe Instanzen im Container Konfiguration
hinzugefügt.
Windows-Benutzerkonten können Gruppen in mehreren Verzeichnispartitionen hinzugefügt werden,
auch der Konfigurationsverzeichnispartition. Darüber hinaus können Windows-Benutzern Berechtigungen
für Objekte in mehreren Partitionen zugewiesen werden.
Hinweis Um einen AD LDS-Benutzer oder ein Windows-Benutzerkonto einer AD LDS-Gruppe hinzuzufügen,
müssen Sie das Benutzerkonto dem Attribut multivalue member des entsprechenden Gruppenobjekts
hinzufügen. Führen Sie diesen Schritt mit ADSI Edit aus. Weitere Informationen finden Sie im Artikel
„Schrittweise Anleitung zu den ersten Schritten mit Active Directory Lightweight Directory Services“ unter
http://technet2.microsoft.com/windowsserver2008/de/library/682674f4-a652-4772-8567-
2f27417f4ec81031.mspx?mfr=true.
Wie bei AD LDS-Benutzerkonten ist der Geltungsbereich einer AD LDS-Gruppe auf die Partition
beschränkt, in der die Gruppe erstellt wurde. Die einzige Ausnahme dieser Regel ist die Gruppe
Administratoren in der Konfigurationsverzeichnispartition, deren Mitglieder Vollzugriff auf alle
Objekte in allen Partitionen haben.
Standardgruppen in den AD LDS
Wie die AD DS arbeiten die AD LDS mit Benutzerkonten und Gruppen, um einen Zugriff auf die
Informationen im Verzeichnisspeicher bereitzustellen. Wenn Sie eine AD LDS-Instanz installieren
und eine Anwendungspartition erstellen, wird standardmäßig in jeder Verzeichnispartition ein Satz
mit Standardgruppen erstellt. Darüber hinaus können Sie benutzerdefinierte Gruppen erstellen oder
AD DS-, lokale oder Gruppenkonten verwenden, um Berechtigungen für AD LDS-Daten zuzuweisen.
Tabelle 16.6 enthält die in einer AD LDS-Instanz erstellten Standardgruppen.
Tabelle 16.6
AD LDS-Standardgruppen
Partition Gruppe Zweck Standardmitglieder
Konfiguration Administratoren Diese Gruppe hat Vollzugriffsberechtigungen
für die Instanz sowie
alle Verzeichnispartitionen in der
Instanz.
Konfiguration Leser Diese Gruppe hat Lesezugriff auf die
Konfigurationspartition (einschließlich
Schema).
Der Administrator, der bei der Erstellung
der Instanz zugewiesen wird. Dieses Konto
muss ein Windows-Sicherheitsprinzipal
(mit entweder einem AD DS- oder
lokalem Konto) sein.
Keine