Active Directory.pdf - Gattner

636 Kapitel 16: Active Directory Lightweight Directory Services
Dsdbutil muss an einer Eingabeaufforderung gestartet werden. Verbinden Sie sich anschließend mit
einer bestimmten Instanz durch Eingabe von Activate Instance Instanzname. Um alle in Dsdbutil
verfügbaren Befehle anzuzeigen, geben Sie Help ein. Wie Ntdsutil bietet auch Dsdbutil kontextbezogene
Hilfe, weshalb nach Eingabe von Help an einer beliebigen Eingabeaufforderung alle in diesem
Kontext verfügbaren Optionen angezeigt werden.
Hinweis Wenn Sie die Datei MS-ADLDS-DisplaySpecifiers.ldf hinzufügen können Sie AD LDS-Standorte
mit dem Snap-In Active Directory-Standorte und -Dienste verwalten. Um sich mit einer AD LDS-Instanz zu
verbinden, müssen Sie den Servernamen und die Portnummer eingeben.
Konfigurieren der Zugriffssteuerung
In den AD LDS gibt es für jedes Verzeichnisobjekt eine Zugriffsteuerungsliste, die bestimmt, welche
Benutzer auf das jeweilige Objekt zugreifen dürfen. Zugriffsteuerungslisten werden standardmäßig
ganz oben in jeder Verzeichnispartition zugewiesen und von allen Objekten in einer gegebenen Verzeichnispartition
übernommen. Wenn Ihre Anwendung erfordert, dass spezifische Berechtigungen auf
verschiedenen Ebenen der Verzeichnisstruktur zugewiesen werden, können Sie mit Dienstprogrammen
wie Dsacls und Ldp.exe Berechtigungen anzeigen und zuweisen.
Dsacls ist ein Befehlszeilenprogramm, mit dem Berechtigungen in einem Verzeichnis wie den AD
LDS angezeigt und geändert werden können. Dsacls verwendet die folgende in Tabelle 16.9 beschriebene
Syntax:
dsacls Objekt [/a] [/d {Benutzer | Gruppe}:Berechtigungen [...]]
[/g {Benutzer | Gruppe}:Berechtigungen [...]] [/i:{p |s|t}][/n] [/p:{y | n}]
[/r {Benutzer | Gruppe} [...]] [/s [/t]]
Tabelle 16.9
Syntax von Dsacls
Parameter
Beschreibung
Objekt
Dies ist der Pfad zum Verzeichnisdienstobjekt, dessen Zugriffsteuerungslisten angezeigt oder geändert
werden sollen. Sie müssen den vollständigen LDAP-Namen angeben. Beispiel: CN=App-
Data,OU=Software,CN=App1,DC=AdatumApps. Um einen Server anzugeben, setzen Sie \\
Servername:Portnummer\ vor das Objekt. Beispiel: \\SEA-SVR1:3389\ CN=AppData,OU=Software,CN=App1,DC=AdatumApps
/a Zeigt die Überwachungsinformationen sowie Berechtigungs- und Besitzinformationen an.
/d {Benutzer | Gruppen}:Berechtigungen:
Verweigert die angegebenen Berechtigungen einem Benutzer oder einer Gruppe.
/g {Benutzer | Gruppen}:Berechtigungen:
Erteilt die angegebenen Berechtigungen einem Benutzer oder einer Gruppe.
/i:{p | s | t} :
Gibt eines der folgenden Vererbungskennzeichen an:
• p: Dient zum Weitergeben vererbbarer Berechtigungen um nur eine Stufe.
• s: Dient zum Weitergeben vererbbarer Berechtigungen nur an Unterobjekte.
• t: Dient zum Weitergeben vererbbarer Berechtigungen an dieses Objekt und Unterobjekte.
/n:
Ersetzt den aktuellen Zugriff auf das Objekt, anstatt ihn zu bearbeiten.
/p:{y | n}:
Dieser Parameter bestimmt, ob das Objekt Berechtigungen von seinem übergeordneten Objekte
erbt. Wenn Sie diesen Parameter weglassen, werden die Vererbungseigenschaften des Objekts
nicht geändert.
/r {Benutzer | Gruppe}: Entfernt alle Berechtigungen für den angegebenen Benutzer bzw. die angegebene Gruppe.