Active Directory.pdf - Gattner

72 Kapitel 3: Active Directory-Domänendienste und DNS
AD DS-integrierte Zonen
Neben der Verwendung von DNS für die Ermittlung von Domänencontrollern kann Windows Server
2008 außerdem in DNS integriert werden, indem die DNS-Zoneninformationen im AD DS-Datenspeicher
gespeichert werden.
Vorteile der Nutzung AD DS-integrierter Zonen
AD DS-integrierte Zonen bieten zahlreiche Vorteile:
• Das Verfahren zum Übertragen von Zonen wird durch die AD DS-Replikation ersetzt. Da die Zoneninformationen
in den AD DS gespeichert werden, werden die Daten über das normale AD DS-
Replikationsverfahren repliziert. Das bedeutet, dass die Replikation auf Attributebene vorgenommen
wird, sodass nur die Änderungen an den Zoneninformationen repliziert werden. Außerdem
kann der Replikationsdatenverkehr zwischen Standorten stark komprimiert und so zusätzliche
Bandbreite eingespart werden. Durch die Verwendung AD DS-integrierter Zonen können Sie
außerdem Anwendungspartitionen für die feine Abstufung der Replikation von DNS-Informationen
verwenden. Darüber hinaus werden beim Hinzufügen neuer Domänencontroller zur Domäne
die DNS-Informationen ohne zusätzliche Konfiguration automatisch auf den Domänencontroller
repliziert.
• Integrierte Zonen ermöglichen eine Multimaster-DNS-Serverkonfiguration. Ohne die AD DS kann
DNS nur einen primären Namenserver für jede DNS-Zone unterstützen. Das bedeutet, dass alle
Änderungen an den Zoneninformationen auf dem primären Namenserver vorgenommen und
anschließend auf den sekundären Namenserver übertragen werden müssen. Mit AD DS-integrierten
Zonen verfügt jeder DNS-Server über eine beschreibbare Kopie der Domäneninformationen,
sodass Änderungen an den Zoneninformationen an jeder beliebigen Stelle in der
Organisation vorgenommen werden können. Die Informationen werden dann auf alle weiteren
DNS-Server repliziert.
• Integrierte Zonen ermöglichen sichere Updates. Wenn eine Zone als AD DS-integrierte Zone konfiguriert
wird, können Sie für die Zone die ausschließliche Verwendung von sicheren Updates
konfigurieren. Dadurch können Sie besser steuern, welche Benutzer und Computer die Ressourceneinträge
in den AD DS aktualisieren können.
• Integrierte Zonen bieten zusätzliche Sicherheit. Da die DNS-Zonendaten in den AD DS gespeichert
werden, können Sie zum Schutz des dnsZone-Objektcontainers im Verzeichnis Zugriffsteuerungslisten
(Access Control Lists, ACLs) verwenden. Dieses Feature ermöglicht Ihnen, den Zugriff auf
die Zone oder einen bestimmten Ressourceneintrag in der Zone sehr präzise zu steuern.
Einige Organisationen entscheiden sich nicht sofort für die Verwendung AD DS-integrierter Zonen,
da dafür die Installation von DNS auf einem Windows Server 2008-Domänencontroller erforderlich
ist. Dies kann eine zusätzliche Last für den Domänencontroller bedeuten. Wenn alle Clientcomputer
in einer Organisation zur Registrierung ihrer Hosteinträge in DNS konfiguriert wurden, besteht ein
weiteres Problem darin, dass die AD DS-Datenbank unter Umständen Tausende zusätzliche Einträge
umfasst.