Migrationsleitfaden Version 3.0

� gewisse Attribute aus Binär- oder Hash-Werten bestehen, deren Ent- und Verschlüsselungsalgorithmen
nicht bekannt sind (zum Beispiel das Attribut userParameters)
und nur über separate Schnittstellen außerhalb LDAP modifiziert werden
können (zum Beispiel Windows Terminal Server API) und
� die Verwendung der grafischen Oberfläche zusätzliche Prozesse neben dem reinen
Schreiben der LDAP Attribute auslöst (zum Beispiel beim Festlegen eines
Home-Verzeichnisses wird dieses auf dem File-Server mit den entsprechenden
Rechten angelegt).
Die Server-Version von Windows 2000/2003 wird mit zahlreichen grafischen Werkzeugen
zur Verwaltung der in Active Directory standardmäßig abgelegten Informationen, wie
Benutzer- und Gruppenkonten oder DNS-Konfiguration, ausgeliefert. U.a. wird hierzu die
Microsoft Management Console (MMC) verwendet. Darüber hinaus stehen die aus Windows
NT bekannten Werkzeuge für die Kommandozeile zur Verfügung, mit denen Benutzer
und Gruppen angelegt, gelöscht und bearbeitet werden können. Über diese
Werkzeuge lässt sich jedoch nur ein Teil der in Active Directory gespeicherten Kontoinformationen
bearbeiten.
Mit ldifde steht außerdem ein kommandozeilenbasiertes Programm zur Verfügung, mit
dem sich Verzeichniseinträge aus einer LDIF- Datei (LDAP Data Interchange Format)
erzeugen lassen.
Insgesamt wenden sich die mit Windows 2000/2003 Server gelieferten Verwaltungswerkzeuge
eher an erfahrene Windows-Administratoren. Sie eignen sich kaum dazu,
einfache administrative Aufgaben, wie das Anlegen oder Verändern von Benutzerkonten
an weniger ausgebildete Kräfte zu delegieren.
Mit ADSI (Active Directory Service Interface) existiert eine COM-basierende Schnittstelle,
mit der eine Vielzahl von Aufgaben automatisiert werden kann.
1.4.3 Neuerungen hinsichtlich der Strukturierung
Wie bereits erwähnt, bleibt die Struktureinheit Domäne als Grenze der Sicherheitszone
auch in einem Active Directory erhalten. Im Active Directory ist die Domäne als ein Baustein
einer Gesamtstruktur (forest) und der dazu gehörenden Baumstrukturen (tree) zu
betrachten, die in einem DNS Namensraum hierarchisch gegliedert sind. Die einzelnen
Domänen sind über sogenannte bidirektionale Transitive Kerberos-Trusts (Vertrauensstelllungen)
miteinander verbunden. Diese müssen nicht mehr einzeln eingerichtet werden
(Die aus Windows NT bekannten Vertrauensstellungen via NTLM können weiterhin
eingesetzt werden). Mit einem Anmeldevorgang können Konten mit den erforderlichen
Berechtigungen auf die Ressourcen beliebiger Domänen in der Gesamtstruktur zugreifen.
Wird von einem Active Directory gesprochen, ist damit immer die Gesamtstruktur
gemeint und nicht einzelne Bäume oder Domänen.
Die folgende Abbildung zeigt eine Windows NT Domänenstruktur, in der zwei Account-
Domänen und fünf Ressourcendomänen durch Vertrauensstellungen miteinander verwoben
sind.
Seite 208