lernbar/content/handouts/V4-active-directory.md

id, titel, block, woche, worum, rahmenplan, lernfeld, merksatz, karten

id	titel	block	woche	worum	rahmenplan	lernfeld	merksatz	karten
V4	Active Directory – Domäne, Organisationseinheiten, Gruppen	server	10	Active Directory ist das Verzeichnis, in dem steht, wer jemand ist und was er darf. Seine Struktur entscheidet, ob es nach fünf Jahren noch beherrschbar ist.	B3 A6 B1	LF10	OUs ordnen, Gruppen berechtigen. Konten in globale Gruppen, globale in domänenlokale, Rechte an die domänenlokalen.	frage antwort Wozu dienen Organisationseinheiten und wozu Gruppen im Active Directory? Organisationseinheiten ordnen Objekte und sind der Ort, an dem Gruppenrichtlinien verknüpft und Verwaltungsaufgaben delegiert werden. Gruppen vergeben Berechtigungen. Ein Konto liegt in genau einer OU, kann aber in vielen Gruppen sein. frage antwort Wofür steht AGDLP? Accounts in Global groups, Global groups in Domain Local groups, Permissions an die Domain Local groups. Die globale Gruppe beschreibt die Rolle (etwa Buchhaltung), die domänenlokale das Recht (etwa Ablage Buchhaltung ändern). frage antwort Warum betreibt man mindestens zwei Domänencontroller? Weil ohne Domänencontroller niemand sich anmelden kann und die Namensauflösung oft ebenfalls ausfällt. Mit zwei Domänencontrollern übernimmt der zweite, wenn einer ausfällt oder gewartet wird.

Das Wesentliche

• Die Domäne ist der Verwaltungsbereich: Benutzer, Computer, Gruppen und Richtlinien an einer zentralen Stelle. Ein Rechner, der Mitglied der Domäne ist, lässt Anmeldungen mit Domänenkonten zu.
• Domänencontroller halten das Verzeichnis und prüfen Anmeldungen. Mindestens zwei, damit ein Ausfall oder eine Wartung niemanden aussperrt.
• Active Directory braucht DNS. Clients finden die Domänencontroller über DNS-Einträge. Ein Client mit falschem DNS-Server findet die Domäne nicht – die häufigste Ursache für „Domäne nicht verfügbar".
• Organisationseinheiten (OUs) ordnen: nach Standort, nach Abteilung oder nach Art des Objekts. An OUs werden Gruppenrichtlinien verknüpft und Verwaltung delegiert. Konten und Computer gehören nicht in die Standardcontainer, sondern in eigene OUs.
• Gruppen berechtigen. Die Struktur nach AGDLP: Konten (A) kommen in globale Gruppen nach Rolle (G), diese in domänenlokale Gruppen nach Recht (DL), und nur die domänenlokalen Gruppen bekommen Berechtigungen (P).
• Namen nach Regel: GG-Buchhaltung für die Rolle, DL-FS-Buchhaltung-Aendern für das Recht. Aus dem Namen soll hervorgehen, wofür die Gruppe da ist.
• Ein Konto einrichten heißt nicht, einen Kollegen zu kopieren. Wer kopiert, kopiert auch alle Rechte, die der Kollege über die Jahre angesammelt hat.

Übersicht

Gruppenbereich	Mitglieder	Typischer Zweck
Global	Konten und globale Gruppen derselben Domäne	Rolle: Buchhaltung, Vertrieb, IT
Domänenlokal	Konten und Gruppen aus allen Domänen	Recht an einer Ressource dieser Domäne
Universal	Konten und Gruppen aus allen Domänen	Rollen über mehrere Domänen hinweg

In einem Betrieb mit einer einzigen Domäne genügen globale und domänenlokale Gruppen.

Prüfungsfrage

Frage: Die Mitarbeiter der Buchhaltung sollen auf der Freigabe Buchhaltung Dateien ändern dürfen, die Geschäftsführung soll sie nur lesen. Beschreiben Sie die Umsetzung nach AGDLP.

Antwort: Konten der Buchhaltung kommen in die globale Gruppe GG-Buchhaltung, Konten der Geschäftsführung in GG-Geschaeftsfuehrung. Für die Rechte werden zwei domänenlokale Gruppen angelegt: DL-FS-Buchhaltung-Aendern und DL-FS-Buchhaltung-Lesen. GG-Buchhaltung wird Mitglied von DL-FS-Buchhaltung-Aendern, GG-Geschaeftsfuehrung Mitglied von DL-FS-Buchhaltung-Lesen. Nur die beiden domänenlokalen Gruppen erhalten NTFS-Berechtigungen auf dem Ordner – Ändern bzw. Lesen. Wechselt jemand die Abteilung, wird nur seine Mitgliedschaft in der globalen Gruppe geändert; an den Berechtigungen auf dem Ordner ändert sich nichts.