WikiDer > Active Directory

Active Directory

Active Directory (AD) ist eine proprietäre Implementierung von Microsoft des VerzeichnisdienstLDAP in Kombination mit DNS und Kerberos für den Einsatz in Windows-Umgebungen ab Windows 2000.

Active Directory ermöglicht Administratoren die Verwaltung von Richtlinien (Rechte und Einstellungen) im Netzwerk einer Organisation. Auch eine automatische Installation von Software und Patches ist möglich. Active Directory speichert objektbezogene Einstellungen zentral in einer Datenbank. Ein AD-Netzwerk kann von einem Netzwerk von einigen Hundert bis zu Millionen von Objekten reichen.

Ein Active Directory besteht aus:

Active Directory wurde eingeführt mit Windows 2000-Server. Die Ankunft von Windows 2003-Server markiert eine neue Version von Active Directory.

Probleme in Windows NT 4.0

Das Aufkommen von Active Directory löste eine Reihe wichtiger Probleme in der Welt der Windows NT 4.0 auf. So war beispielsweise die Anzahl der Objekte pro Domain auf 64.000 begrenzt, aber in der Praxis war diese Zahl bei weitem nicht erreichbar. Das verwendete Login-Protokoll NTLM nicht mehr den Anforderungen der Zeit entsprach. Die Verwaltung mehrerer Domänen und insbesondere der Beziehungen zwischen ihnen (Trust Relations) war sehr komplex. Die Domänendatenbank von Windows NT 4.0 kann nur wenige Objekttypen enthalten (Benutzer, Computer, lokale und globale Gruppen). Alle Protokolle, die für den Zugriff auf dieses "Verzeichnis" verwendet wurden, waren nicht standardmäßig. Darüber hinaus war die Replikation an mehreren Standorten innerhalb einer Domäne in einer Zeit, in der WAN-Verbindungen extrem teuer waren, extrem bandbreitenintensiv.

Active Directory hat dies mit einer Reihe von Maßnahmen gelöst. Als Standardprotokolle wurden LDAP, DNS und Kerberos (vorhandene Protokolle) eingeführt. Es wurde auf einen neuen Datenbanktyp umgestellt, in dem mehr Objekte untergebracht werden konnten. Das Schema wurde auch erweiterbar, was bedeutete, dass neue Attribute zu bestehenden Objekten und sogar neuen Objekttypen hinzugefügt werden konnten. Das Bereitstellen einer Gesamtstruktur löste sofort alle Vertrauensbeziehungsprobleme zwischen Domänen, während die Verwendung von Seiten verbesserte Replikation zwischen verschiedenen Standorten.

Komponenten

Domänen

Das Herzstück von Active Directory sind Domänen, wie z Windows NT 4.0 existierte bereits. Es ist wahrscheinlich, dass Microsoft beschlossen hat, dieses Konzept durchzusetzen, um die Abwärtskompatibilität zu früheren Windows-Versionen nicht zu beeinträchtigen.

Wie in Windows NT sind Domänen die Replikationsgrenzen (gesamter) Objekte. Außerdem muss der Name eines Objekts (z. B. ein Benutzername oder ein Computername) in der gesamten Domäne eindeutig sein, unabhängig von seiner Position im Baum. Organisationseinheiten.

Es wurden jedoch erhebliche Verbesserungen an der Domäne vorgenommen. Die Zahl der möglichen Objekte innerhalb einer Domäne wurde von 64.000 auf viele Millionen erhöht. Damit kann die Anzahl der Domänen in einem Netzwerk im Vergleich zu einem Netzwerk auf Basis von Windows NT deutlich reduziert werden.

Eine Domänendatenbank ist auch nicht auf die Objekttypen beschränkt, die sie standardmäßig bereits enthält. Es ist möglich, nachträglich neue Objekttypen hinzuzufügen oder bestehende Objekte (zB Benutzer) um zusätzliche Attribute zu erweitern. Microsoft Exchange 2000 und höher machen von dieser Möglichkeit Gebrauch, indem sie beispielsweise Benutzerobjekte um Attribute erweitern, die angeben, welche E-Mail-Adressen sie besitzen und wo ihr Postfach zu finden ist. (Übrigens muss eine solche Schemaerweiterung für alle Domänen in der Gesamtstruktur durchgeführt werden.)

Objekte können unterteilt werden in Organisationseinheiten (OUs), damit sie übersichtlicher gespeichert werden. Es bietet auch die Möglichkeit, diese Objekte ganz oder teilweise zu steuern delegieren an andere Administratoren. Schließlich bieten OUs die Möglichkeit, Gruppenrichtlinien flexibel bereitzustellen.

Ein wichtiger Unterschied zu Windows NT 4.0 ist die Multi-Master-Replikation. Letzteres verringert die Bedeutung der PDC weil Änderungen an Objekten jetzt in jedem Domänencontroller können durchgeführt werden, wonach sie auf die anderen Domänencontroller repliziert werden können.

Jede Domäne hat mindestens 1 Domänencontroller, ein Domänencontroller kann maximal eine Domänendatenbank enthalten. Es gibt jedoch Domänencontroller, die eine Teilmenge aller Objekte aus allen anderen Domänen enthalten. Ein solcher Domänencontroller heißt a Globaler Katalog. Der Globale Katalog ist für den gesamten Login-Datenverkehr erforderlich.

Domainnamensystem

Da das Windows Internet Naming System (WINS) seine Einschränkungen hatte, verwendet Active Directory das bereits vorhandene Protokoll DNS, um Computernamen in IP-Adressen aufzulösen. Die Wahl für DNS bedeutete auch einen endgültigen Bruch mit den Netzwerkprotokollen IPX/SPX und NetBEUI. TCP/IP, im Netzland bereits de facto Standard, ist für Active Directory erforderlich.

Die Benennung von Domänen in Active Directory wurde zu domain.nl, aber auch Namen wie sub.domain.nl, sub2.domain.nl, domain.be oder sub.sub.domain.nl sind möglich.

NetBIOS wird weiterhin aus Gründen der Abwärtskompatibilität unterstützt.

Wälder

Wälder sind die Gesamtheit der Domänen. Alle Domänen innerhalb einer Gesamtstruktur vertrauen einander direkt oder indirekt. Alle Domänen in einer Gesamtstruktur können dieselbe Art von Objekten beherbergen (sie haben dasselbe Schema). Die Namen der Domänen werden alle nach dem Domänennamensystem bestimmt.

Es beginnt mit einer Root-Domain. Dieser kann einen beliebigen Namen haben, aber üblich ist so etwas wie domain.local.

Planen

Das Schema definiert, welche Objekttypen in die Domänendatenbanken aufgenommen werden können und welche Attribute in den einzelnen Objekten enthalten sind.Während NT4.0 nur vier Objekttypen (Benutzer, lokale und globale Gruppen und Computer) erlaubt, Active Directory sofort mehrere Dutzend . Beispiele für neue Objekte sind Kontakte, Gruppenrichtlinienobjekte, Sites, Site-Links, Drucker und natürlich Organisationseinheiten.

Bei der Installation von Exchange 2000 oder 2003 oder ISA-Server Enterprise Edition erweitert den Zeitplan weiter. Beispielsweise werden den Benutzerobjekten Attribute hinzugefügt, die bestimmen, auf welchem ​​Exchange-Server sich das Postfach befindet und wie die E-Mail-Aliasse lauten.

Websites

Um den Replikations- und Anmeldeverkehr über das WAN zu reduzieren, Seiten definiert sein. Einfach ausgedrückt ist ein Standort ein LAN, es können aber auch mehrere LANs sein, die über Hochgeschwindigkeitsverbindungen miteinander verbunden sind. Es gibt immer langsame oder teure Leitungen zwischen den Standorten. Die Site wird durch ein oder mehrere IP-Subnetze definiert. Ein Client, der sich anmeldet, sucht immer nach einem Domänencontroller an seinem eigenen Standort. Dadurch kann der Login-Traffic (Authentifizierung, Verteilung von Gruppenrichtlinien) innerhalb der eigenen Site verbleiben und die WAN-Verbindungen bleiben frei.

Domänencontroller innerhalb eines Standorts replizieren sich untereinander. Für den Replikationsverkehr zu einem anderen Standort ist immer ein Domänencontroller verantwortlich, im Gegensatz zum Domänencontroller sichern unter Windows NT 4.0. Dadurch müssen die Informationen von anderen Standorten nur einmal über die WAN-Verbindung laufen.

Ebenfalls DFSClients verwenden Websites. Ein DFS-Client sucht immer nach einem Replikat in seinem eigenen Standort oder einem benachbarten Standort.

Windows Server 2003

Die Ankunft von Windows Server 2003 brachte eine Reihe von Verbesserungen an Active Directory über Windows 2000.

Eine wichtige Verbesserung war die Tatsache, dass mehrere Änderungen auf verschiedenen Domänencontrollern in einem sogenannten mehrwertiges Attribut werden nun korrekt repliziert. Dadurch konnten verschiedene Administratoren auf verschiedenen Domänencontrollern gleichzeitig Gruppenmitgliedschaften ändern (Benutzer hinzufügen und entfernen). In Windows 2000 wurde das mehrwertige Attribut "Mitglieder" als Ganzes repliziert, wobei die Änderung von beiden Administratoren repliziert wurde. Ab Windows Server 2003 war es möglich, die einzelnen Teile eines mehrwertigen Attributs zu replizieren, sodass beide Administratoren ihre Änderungen auch nach der Replikation sehen konnten.

Kompatibilität mit Unix und Linux

Da Microsoft die Technologie für Active Directory entwickelt hat, gab es zeitweise nur Software für Windows. Samba ist ein dekompiliertOpen Source-Implementierung von Active Directory für beide Linux wenn Unix. Dadurch können auch Linux- und Unix-Rechner in ein Windows-Netzwerk mit Active Directory eingebunden werden. Auch der Austausch von Dateien zwischen diesen Betriebssystemen ist möglich. Seit Samba-Version 4 ist es sogar möglich, die Active Directory-Funktionalität weitgehend von einem Linux/Unix-Server übernehmen zu lassen. Das Samba-Team arbeitet aktiv mit Microsoft zusammen und verbringt viel Zeit damit, ihre Implementierung mit den Testsuiten von Microsoft zu testen. Dadurch wird auch sichergestellt, dass die Software Microsoft-Tests für Protokolle wie Netlogon, LSA und LDAP besteht. Allerdings hat Samba 4 auch einige Einschränkungen. So funktioniert die DFS-Replikation, dh die Sysvol/Netlogon-Replikation, noch nicht. (Stand Mitte 2013)