Definition Was ist ein Domänencontroller?

Der Domänencontroller ist ein Server, der eine Domäne und seine verschiedenen Objekte zentral verwaltet und kontrolliert. Anwender, die sich an einer Netzwerkdomäne anmelden möchten, wenden sich zuerst an den für ihre Domäne zuständigen Domänencontroller.

Anbieter zum Thema

Lenovo Global Technology Germany GmbH

Paessler AG

Southern Tech GmbH

Ursprünglich wurde der Domänencontroller schon 1970 von IBM eingeführt. Microsoft hat den Begriff übernommen und nutzt den Domaincontroller, abgekürzt DC, für Windows-Netzwerke. Es handelt sich um die zentrale Instanz innerhalb einer Domäne, die für die Authentifizierung und Rechtesteuerung der Nutzer zuständig ist.

Gegenüber einfachen Windows-Arbeitsgruppen bietet sich der Vorteil, dass Benutzer und ihre zugehörigen Rechte nicht mehr lokal anzulegen und zu verwalten sind. Änderungen über den Domänencontroller gelten für alle User und Objekte der Domain. Die Rolle des Domänencontrollers kann ein Server übernehmen, der Mitglied in der Domäne ist.

Aufgrund der besonderen Stellung für den spezifischen Teilbereich des Netzwerks wird der benannte Server zum Domänencontroller. Je nach Größe und Komplexität des Netzes kommen pro Domain ein oder mehrere Controller zum Einsatz. Da sich ohne einen funktionierenden Controller kein User an der Domäne anmelden kann, sind die Controller in der Regel redundant realisiert. Um eine höhere Verfügbarkeit und bessere Lastverteilung sicherzustellen, sind meist mindestens zwei oder mehr Controller pro Domain vorhanden. Diese replizieren ihre Informationen regelmäßig und können die Masterrolle beim Ausfall des Domain Masters ohne Funktionseinschränkung übernehmen.

Anwender müssen sich gegenüber dem Controller authentifizieren. Können sie nachweisen, dass sie Mitglied der Domäne sind, erhalten sie die entsprechenden Benutzerrechte für beispielsweise bestimmte Verzeichnisse oder Druckerressourcen. Mittlerweile existieren auch Lösungen, die es gestatten, Server als Domänencontroller zu deklarieren, auf denen Nicht-Windows-Betriebssysteme wie Linux laufen. Die Kompatibilität ist jedoch in einigen Bereichen eingeschränkt.

Die Redundanz des Domänencontrollers

Da der Domänencontroller eine zentrale Rolle für die User zur Nutzung der Netzwerkressourcen darstellt, gab es von Microsoft frühzeitig entsprechende Redundanzkonzepte. In NT4-Domänen existierte ein Primary Domain Controller (PDC) und ein Backup Domain Controller (BDC). Änderungen waren nur auf dem PDC möglich. Der BDC hielt eine regelmäßig aktualisierte Sicherheitskopie der Daten und ließ sich bei Bedarf zum Primary-System ernennen.

Ab Windows 2000 bietet Microsoft das Active Directory mit der so genannten Multimaster-Replikation an. Alle Domänencontroller besitzen nun eine beschreibbare Kopie der Active-Directory-Datenbank. Jede Änderung wird automatisch an alle anderen DCs repliziert. Dieser Mechanismus sorgt dafür, dass alle Domänencontroller sich stets auf dem gleichen Informationsstand befinden. Fällt ein DC aus, hat dies keinen Informationsverlust zur Folge und ein anderer DC übernimmt dessen Funktion.

Die Replikationsintervalle lassen sich vom Administrator abhängig von der Windows-Server-Version auf verschiedene Werte bis in den Sekundenbereich einstellen und der Netzwerkstruktur anpassen. Seit Windows Server 2008 existiert zusätzlich das Konzept des Read Only Domain Controllers.

Die verschiedenen Rollen des Domänencontrollers innerhalb des Active Directories

Insgesamt kann ein Domänencontroller innerhalb des Microsoft Active Directories bis zu fünf verschiedene Rollen annehmen. Das dahinterstehende Konzept nennt sich Flexible Single Master Operators (FSMOs). Die fünf Rollen sind:

• PDC-Emulator

• Infrastrukturmaster

• RID-Master

• Schemamaster

• Domänennamenmaster

Abhängig von der jeweiligen Rolle existiert diese einmalig pro Domain oder einmalig pro Gesamtstruktur. PDC-Emulator, Infrastrukturmaster und RID-Master finden sich einmal in jeder Domäne, der Schemamaster und der Domänennamenmaster nur einmal pro gesamter Domänenstruktur. Da der Ausfall jeder dieser Server spezifische Probleme verursacht, ist das Komplettsystem redundant aufgebaut und verfügt über Backupfunktionen.

Der PDC-Emulator ist für die Verwaltung und die Anwendung der Gruppenrichtlinien zuständig. Darüber hinaus ist er verantwortlich für Kennwortänderungen bei den Benutzern und dient als Zeitserver. Der RID-Master gestattet es, neue Objekte in die Domain aufzunehmen. Hierfür weist er eindeutige relative Bezeichner zu. Für das Auflösen von Gruppen über mehrere Domänen hinweg und die Steuerung von Benutzerrechten der User aus unterschiedlichen Domänen sorgt der Infrastrukturmaster. Schemamaster und Domänennamenmaster schließlich sind pro Gesamtstruktur nur einmal vorhanden. Der Schemamaster erlaubt das Erweitern und Verändern von Schemas des Active Directories. Die Rolle des Domänennamenmasters wird automatisch dem ersten installierten Domänencontroller in der neuen Gesamtstruktur zugewiesen. Er wird immer dann benötigt, wenn eine neue Domain in die Gesamtstruktur aufgenommen werden soll.

Active Directory im Fokus

Bildergalerie mit 55 Bildern

(ID:44795376)