Active Directory.pdf - Gattner

Logische Struktur der AD DS 53
Gesamtstrukturvertrauensstellungen können in einer Windows Server 2008-Umgebung äußerst nützlich
sein. Wenn eine Organisation aus politischen oder technischen Gründen mehrere Gesamtstrukturen
benötigt, kann Benutzern unter Verwendung einer Gesamtstrukturvertrauensstellung problemlos
Zugriff auf sämtliche Ressourcen innerhalb aller Domänen erteilt werden. Dabei spielt es keine Rolle,
in welcher Gesamtstruktur sich der Benutzer oder die Ressource befindet. Wenn zwei Unternehmen
mit Windows Server 2008-Gesamtstrukturen fusionieren, können die beiden Gesamtstrukturen mithilfe
der Vertrauensstellung logisch zusammengeführt werden.
Wenngleich Gesamtstrukturvertrauensstellungen ausgezeichnete Funktionen bieten, gelten auch
einige Einschränkungen:
• Gesamtstrukturvertrauensstellungen sind gegenüber anderen Gesamtstrukturen nicht transitiv.
Wenn zwischen Adatum.com und WoodgroveBank.com beispielsweise eine Gesamtstrukturvertrauensstellung
besteht und WoodgroveBank.com über eine Gesamtstrukturvertrauensstellung mit
Fabrikam.com verfügt, besteht zwischen Adatum.com und Fabrikam.com nicht automatisch eine
Gesamtstrukturvertrauensstellung.
• Gesamtstrukturvertrauensstellungen ermöglichen lediglich die Authentifizierung zwischen
Gesamtstrukturen, bieten jedoch keine weiteren Funktionen. So verfügt z.B. jede Gesamtstruktur
weiterhin über eine individuelle globale Katalog-, Schema- und Konfigurationsverzeichnispartition.
Zwischen den beiden Gesamtstrukturen werden keine Informationen repliziert, die Gesamtstrukturvertrauensstellung
ermöglicht lediglich das Zuweisen von Zugriffsberechtigungen für
Ressourcen innerhalb von Gesamtstrukturen.
• In einigen Fällen ist es nicht sinnvoll, dass sämtliche Domänen in einer Gesamtstruktur allen
Domänen in einer anderen Gesamtstruktur vertrauen. Wenn dies zutrifft, können unidirektionale,
nicht transitive externe Vertrauensstellungen zwischen einzelnen Domänen in zwei separaten
Gesamtstrukturen eingerichtet werden. Alternativ kann für die Gesamtstrukturvertrauensstellung
auch die ausgewählte Authentifizierung konfiguriert werden, sodass der Zugriff auf Ressourcen
auf einem Server in der vertrauenden Domäne für die Benutzer einer vertrauenswürdigen Domäne
explizit aktiviert werden muss.
Weitere Informationen
finden Sie in Kapitel 5.
Weitere Informationen zur Planung von Gesamtstrukturvertrauensstellungen
Externe Vertrauensstellungen
Externe Vertrauensstellungen können zwischen AD DS-Domänen in unterschiedlichen Gesamtstrukturen
oder zwischen einer AD DS-Domäne und einer Domäne unter Windows NT 4.0 oder niedriger
erstellt werden. Diese Vertrauensstellungen können zum Bereitstellen von Zugriff auf Ressourcen in
einer Domäne außerhalb der Gesamtstruktur verwendet werden, zu der keine Gesamtstrukturvertrauensstellung
besteht, oder zum Erstellen einer direkten Vertrauensstellung zwischen zwei Domänen,
für die bereits eine Gesamtstrukturvertrauensstellung konfiguriert wurde. Der Unterschied zwischen
einer externen Vertrauensstellung und einer Gesamtstrukturvertrauensstellung besteht darin, dass die
externe Vertrauensstellung nicht nur zwischen den Stammdomänen der Gesamtstruktur, sondern zwischen
zwei beliebigen Domänen in einer der beiden Gesamtstrukturen konfiguriert wird. Ferner weisen
externe Vertrauensstellungen die folgenden Merkmale auf:
• Externe Vertrauensstellungen sind nicht transitiv. Die Vertrauensstellung besteht nur zwischen
zwei Domänen.