Active Directory Workshop Teil 3 Planung, Umsetzung und Betrieb eines Domänennetzes

Um ein Domänennetzwerk aufzubauen, sind nur wenige Schritte notwendig. Allerdings lassen sich diese nur sehr schwer rückgängig machen. Vor dem Aufbau eines Active Directory lohnt es sich also, gut zu planen.

Anbieter zum Thema

Lenovo Global Technology Germany GmbH

Paessler AG

Southern Tech GmbH

Microsoft Deutschland GmbH

Zunächst sollten nicht mehr Active-Directory-Domänen aufgebaut werden als notwendig. Ein Active Directory wird nicht stabiler, wenn mehr Domänen zum Einsatz kommen. Denn für jede Domäne benötigen Sie mehrere Domänencontroller, die auch gesichert und gewartet werden müssen. Vor dem Aufbau sollte daher im Unternehmen strukturiert vorgegangen werden (siehe Abbildung 1).

Bildergalerie

Bildergalerie mit 6 Bildern

Mehrere Domänen sind nicht immer sinnvoll

Sinnvoll sind mehrere Domänen, wenn die Verwaltung strikt getrennt werden soll, zum Beispiel, wenn mehrere Tochterunternehmen ein gemeinsames Active Directory aufbauen. Beachtet werden muss in diesem Fall aber, dass Gruppenrichtlinien immer auf eine Domäne begrenzt sind (siehe Abbildung 2). Wenn also Gruppenrichtlinien zum Einsatz kommen, müssen beim Einsatz mehrerer Domänen in einer Gesamtstruktur auch mehrere Gruppenrichtlinien erstellt werden. Mehr zum Thema Gruppenrichtlinien ist auch im Beitrag „So behalten Sie Gruppenrichtlinien sicher im Griff“.

Betreiben Unternehmen mehrere Niederlassungen, die aber von den gleichen Administratoren verwaltet werden, ist es nicht notwendig mehrere Domänen zu erstellen. Eine Domäne kann sich problemlos über mehrere physische Standorte ausdehnen. Diese lassen sich in Active Directory anlegen und zentral verwalten (siehe Abbildung 3). Die verschiedenen Domänencontroller lassen sich in Standorte gruppieren. Dadurch wird auch die Replikation der Server gesteuert (siehe Abbildung 4).

Aufbau einer Active Directory-Umgebung

Soll eine Active-Directory-Umgebung aufgebaut werden, besteht der erste Schritt darin, einen neuen Domänencontroller zu installieren. Durch diesen wird die erste Domäne in einer Gesamtstruktur erstellt. Die Vorgehensweise dazu haben wir im Beitrag „In 14 Schritten zum perfekten Domänencontroller“ behandelt. Auf dieser Umgebung wird schließlich aufgebaut. Es lassen sich jederzeit weitere Domänen und auch zusätzliche Domänencontroller hinzufügen.

Schreibgeschützte Domänencontroller nutzen

Sinnvoll kann es an dieser Stelle zum Beispiel auch sein, mit schreibgeschützten Domänencontrollern (Read Only Domain Controller, RODC) zu arbeiten. Diese Domänencontroller erhalten Daten von normalen Domänencontrollern, können aber selbst keine Änderungen in Active Directory durchführen. Sinnvoll sind solche Domänencontroller vor allem dann, wenn Domänencontroller in Niederlassungen positioniert werden sollen, in denen die Sicherheit der Server nicht gewährleistet werden kann.

Neben schreibgeschützten Domänencontrollern können auch Core-Server als sichere Domänencontroller installiert werden. In diesem Fall steht auf dem Server selbst keine grafische Oberfläche zur Verfügung. Die Server lassen sich aber mit Verwaltungstools von anderen Servern aus verwalten – über Remote Server Administration Tools für Windows-PCs oder mit dem neuen webbasierten Server-Manager (Project Honolulu).

Bildergalerie

Bildergalerie mit 6 Bildern

Domänenstrukturen mit eigenen Namensräumen nutzen

Neben der Einführung untergeordneter Domänen können in einer Gesamtstruktur auch neue Domänenstrukturen hinzugefügt werden. Eine Struktur innerhalb einer Gesamtstruktur teilt sich mit allen ihren untergeordneten Domänen einen Namensraum. In diesem Beispiel wäre das die Struktur joos.int mit der untergeordneten Domäne de.joos.int. In manchen Unternehmen kann es jedoch sinnvoll sein, unabhängige Namensräume zu erstellen, die zwar Bestandteil der Gesamtstruktur sind, aber einen eigenen Namensraum zur Verfügung stellen.

Ein Beispiel wäre die neue Struktur woodgroove.local in der Gesamtstruktur joos.int. Neue Strukturen werden vor allem dann geschaffen, wenn Teile des Unternehmens, zum Beispiel durch eine Akquisition, vom Namen her unabhängig erscheinen wollen. Im Grunde genommen ist eine neue Domänenstruktur zunächst nichts anderes als eine neue untergeordnete Domäne der Rootdomäne der Gesamtstruktur, mit dem Unterschied, dass sie einen eigenen Namensraum nutzt.

Vor dem Aufbau einer Domänenstruktur muss darauf geachtet werden, dass die Namensauflösung mit DNS korrekt funktioniert. Alle Domänencontroller müssen in der Lage sein, per DNS die Namen anderer Domänencontroller aufzulösen. Nur dann ist eine Replikation zwischen den Domänencontrollern möglich, und die Active Directory-Gesamtstruktur läuft stabil.

Bei der Erstellung von untergeordneten Domänen und Strukturen werden durch die Verzahnung von Active Directory und DNS auch die Anforderungen an die DNS-Infrastruktur komplizierter. Bevor eine neue untergeordnete Domäne erstellt werden kann, muss die passende DNS-Infrastruktur erstellt sein. Wenn untergeordnete Domänen oder Strukturen erstellt werden, stehen generell zwei Möglichkeiten für die Namensauflösung zur Verfügung:

• Die DNS-Server der Rootdomäne verwalten auch die DNS-Domänen der untergeordneten Domänen.

• Die untergeordneten Domänen verwalten jeweils ihre eigene DNS-Domäne.

Domänencontroller sicher betreiben

Sobald ein Domänencontroller installiert ist, sollte dieser regelmäßig gesichert und auch sicher betrieben werden. Domänencontroller und ihre Daten lassen sich schnell und einfach sichern und wiederherstellen. Das ist wichtig, da die Infrastrukturdienste, die Active Directory nutzen, ein stabiles und leistungsstarkes AD benötigen. Mit dem einen oder anderen Tipp aus dem Beitrag „Tipps & Tricks für Windows Server 2016“ lassen sich auch komplexe Active Directory-Strukturen aufbauen.

Um eine Sichere AD-Umgebung aufzubauen, helfen die Tipps im Beitrag „5 Schritte zur sicheren Active Directory-Umgebung“. Auch der Beitrag „Sichere Benutzerkonten in Windows Server 2016“ geht darauf ein, wie sichere Domänencontroller und Active Directory-Umgebungen betrieben werden.

Active Directory im Fokus

Bildergalerie mit 55 Bildern

Active Directory Workshop Teil 1

AD für Einsteiger – Wozu dient der Verzeichnisdienst

Active Directory Workshop Teil 2

Serverrollen im Überblick

Active Directory Workshop Teil 4

Azure AD: das Active Directory für die Cloud

Active Directory Workshop Teil 5

Administration von Domänen und AD-Strukturen

(ID:45271430)