Active Directory Service Interface So konfigurieren Sie Active Directory mit dem ADSI-Editor

ADSI-Edit ist ein mächtiges Tool, wenn es darum geht, Einstellungen in Active Directory zu ändern, oder Fehler zu beheben. Wir zeigen in diesem Beitrag, welche Möglichkeiten ADSI-Edit bietet, und geben Tipps rund um das Tool.

ADSI-Edit (Active Directory Service Interface) gehört zu den Bordmitteln auf Windows-Servern, wenn Active Directory installiert wird. Mit dem Befehl "adsiedit.msc" startet das Tool. Danach kann eine Verbindung mit Active Directory hergestellt werden, um Einstellungen direkt zu ändern. ADSI-Edit kann Daten in Active Directory bearbeiten, hilft aber auch dabei, Informationen von Objekten auszulesen.

Erste Schritte mit ADSI-Edit: Objekte in Active Directory wiederherstellen

Nach dem Start von ADSI-Edit über "adsiedit.msc" kann über das Kontextmenü von "ADSI-Editor" auf der linken Seite eine Verbindung zu Active Directory aufgebaut werden. Abhängig von den Einstellungen, die angepasst werden sollen, müssen in den Verbindungseinstellungen verschiedene Optionen ausgewählt werden. Wir zeigen nachfolgend ein Beispiel dafür:

Bildergalerie

Bildergalerie mit 7 Bildern

Objekte in Active Directory lassen sich innerhalb der Tombstone-Lifetime wiederherstellen. Diese beträgt bei Windows Server 2016/2019 und Windows Server 2022 180 Tage. Der Wert lässt sich mit ADSI-Edit über den Container "Konfiguration" überprüfen und auch anpassen. Dazu öffnen Sie ADSI-Edit und verbinden sich. Wählen Sie bei "Bekannten Namenskontext auswählen" die Option "Konfiguration" aus.

Navigieren Sie zu "Konfiguration/Configuration/Services/Windows NT/Directory Service". Rufen Sie die Eigenschaften von "Directory Service" auf. Den Tombstone-Wert finden Sie auf der Registerkarte "Attribut-Editor" beim Wert "tombstoneLifetime". Sie können den Wert an dieser Stelle auch anpassen, das ist allerdings in den wenigsten Fällen notwendig.

Objekte in Active Directory löschen

ADSI-Edit kann auch Objekte in Active Directory löschen und hat damit umfassenden Einfluss auf die Stabilität von Active Directory. So ist es zum Beispiel möglich, Exchange-Integrationen komplett aus Active Directory zu löschen. Sinnvoll kann das sein, wenn andere Fehlerbehebungen nicht mehr funktionieren. Allerdings sollten diese Aufgaben nur dann vorgenommen werden, wenn das AD zuvor gesichert wurde und der Admin, der diese Aufgabe durchführt, auch über ausreichend Erfahrungen in diesem Bereich verfügt:

Die Einstellungen dazu sind auch in Active Directory zu finden. Die aktuellen Daten, die in Active Directory für den Exchange-Server gespeichert sind, können Sie mit ADSI-Edit in Erfahrung bringen:

• Starten Sie den ADSI-Editor

• Klicken Sie mit der rechten Maustaste auf „ADSI-Editor“ und wählen Sie „Verbindung herstellen“

• Aktivieren Sie die Option „Bekannten Namenskontext auswählen“ und wählen Sie „Konfiguration“ aus

• Klicken Sie auf „OK“

• Navigieren Sie zu "Konfiguration/Configuration/CN=Services/CN=Microsoft Exchange/<Name der Organisation>/CN=Administrative Groups/CN=Exchange Administrative Groups". Hier finden Sie die wichtigsten Daten von Exchange zur Verbindung mit Active Directory

• Im Container „CN=Servers“ finden Sie weitere Container für jeden einzelnen Server

• Klicken Sie mit der rechten Maustaste auf das Exchange-Serverobjekt und wählen Sie im Kontextmenü den Befehl „Eigenschaften“. Suchen Sie nach dem Attribut „msExchInstallPath“. Dieses Attribut speichert den aktuellen Installationspfad.

Löschen Sie die Container, lässt sich dadurch Exchange komplett aus der Organisation entfernen. Das zeigt auch die Gefahr von ADSI-Edit. Mit dem Tool sollte nicht unbedacht umgegangen werden.

Über ADSI-Edit lassen sich auch Fehler beheben, zum Beispiel bei Problemen mit öffentlichen Ordnern. Zum Löschen des Hierarchiepostfachs öffnen Sie ADSI-Edit. Aktivieren Sie die Option "Bekannten Namenskontext auswählen" und wählen Sie im Dropdownlistenfeld den Eintrag "Konfiguration" aus. Navigieren Sie zu "Konfiguration/CN=Configuration/CN=Services/CN=Microsoft Exchange/<Name der Organisation>".

Rufen Sie nun über das Kontextmenü der Organisation deren "Eigenschaften" auf. Suchen Sie den Eintrag "MsExchDefaultPublicFolderMailbox" und klicken Sie auf "Bearbeiten" und dann auf "Löschen". Bestätigen Sie den Löschvorgang mit "OK". Erstellen Sie jetzt ein neues Hierarchiepostfach. Verwenden Sie dazu zum Beispiel in der Exchange Management Shell den Befehl "New-Mailbox -PublicFolder -Name MasterHierarchy". Das kann Probleme mit Exchange-Organisationen beheben.

Organisationseinheiten in Active Directory verstecken

Mit ADSI-Edit ist es auch möglich, Organisationseinheiten zu verstecken. Dazu wird ADSI-Edit geöffnet und eine Verbindung mit dem Konfigurationscontainer hergestellt. Es ist aber auch möglich Attribute von AD-Objekten außerhalb von ADSI-Edit zu ändern, zum Beispiel über das Snap-In Active Directory-Benutzer und -Computer (dsa.msc). Nach Aktivierung von "Erweiterte Features" bei "Ansicht" lassen sich über "Eigenschaften" mit "Attribut-Editor" die gleichen Einstellungen aufrufen, die auch in ADSI-Edit für dieses Objekt zur Verfügung stehen.

Durch Anpassung des Attributs "showInAdvancedViewOnly" kann festgelegt werden, dass bestimmte OU nur dann zu sehen sind, wenn die bereits erwähnte "Erweiterte Ansicht" in Active Directory-Benutzer und -Computer aktiviert ist. Dazu muss das Attribut auf "Wahr" gesetzt werden. Mit "Falsch" erfolgt die Ansicht der OU auch in der Standardansicht. Der gleiche Wert ist in ADSI-Edit nach der Verbindung mit "Standardmäßiger Namenskontext" zu finden. In den Eigenschaften der OU ist hier das gleiche Attribut bei "Attribut-Editor" zu finden.

Definition

Was ist Active Directory?