BSA 2.SA
Verzeichnisdienst/AD
Verzeichnisdienst/AD
Was ist ein Verzeichnisdienst?
Ein Verzeichnisdienst ist eine verteilte, redundante, dem Client-/Server-Prinzip folgende hierarchische Datenbank.
Was bedeutet verteilt?
Informationen, die bereitgestellt werden, sind physikalisch über mehrere Server verteilt. Erscheinen dem Nutzer aber als eine logische Datenbasis. (verteilt = beliebig skalierbar)
Was bedeutet redundant?
Gibt es mehrere Domänencontroller im Netzwerk, replizieren diese sich untereinander, so dass alle die gleichen Daten haben bzw. über die gleichen Daten verfügen.
In welcher Struktur arbeitet ein Verzeichnisdienst?
In einer Baumstruktur, da diese bei den überwiegend vorkommenden Lesezugriffen besonders effizient sind.
Was ist das Client-Server-Prinzip?
Der Client ist für die Kontaktaufnahme verantwortlich, hierzu benötigt er eine Netzwerkverbindung. Der Server versucht daraufhin die gewünschte Leistung zu erbringen.
Was sind die grundsätzlichen Anforderungen an einen Verzeichnisdienst?
- leichte Erweiterbarkeit
- hohe Skalierbarkeit
- hohe Verfügbarkeit
- hohe Performance
- hohe Sicherheit
Was bedeutet Erweiterbarkeit?
Die Fähigkeit zur Erweiterung eines Systems und den Aufwand für die Implementierung der Erweiterung. Systemfunktionen dürfen nicht beeinträchtigt werden.
Was bedeutet Skalierbarkeit?
Die Fähigkeit parallel zu den vorgegebenen Aufgaben zu wachsen oder zu schrumpfen. Skalierbarkeit bezeichnet auch die mögliche Datenverteilung von einem auf mehrere Server.
Was bedeutet Verfügbarkeit?
Die Wahrscheinlichkeit, dass das System bestimmte Anforderungen zu einem bestimmten Zeitpunkt erfüllt.
Welche Vorteile kann ein Verzeichnisdienst im Unternehmen bieten?
Die Organisationsstruktur kann fast vollends nachgebildet werden. Reale und IT-spezifische Ressourcen sind zentral abgelegt und können zentral verwaltet werden.
Was sind reale und IT-spezifische Ressourcen?
- Benutzer/Gruppen
- Geräte Computer, Drucker)
- Daten, Informationen
- Berechtigungen
- Namensräume
- Räume
- Organisationsstruktur, Über/Unterstellung, Erreichbarkeiten
- Organisationseinheiten
- Zertifikate
Was sind die Bestandteile eines Directory-Server-Eintrags?
Objectclass -> Schema inklusive Bezugswerte
cn, sn, mail,.... -> Attribute : Attributswerte
Wie sieht der Aufbau einer Baumstruktur aus?
So
Was ist ein Distinguished Name?
Der vollständige Pfad zum gewünschten Eintrag, auch „eindeutiger Name“. Dient zur eindeutigen Identifizierung.
Ch = 102, on = 1. Etage, on: Zimmer, o = Hotel Linde, C- DE
Welche Probleme kann es beim Distinguished Name geben?
Ein Distinguished Name ist nicht zeitstabil. Man kann als zusätzliche Attribute, künstliche Schlüssel wie die GUID oder die SID hinzufügen.
Welche Teil Datenbanken gibt es im AD?
- Schemapartition
(Definition Objektklassen/Attribute, Aufbau der Datenbank, es gibt nur ein Schema in einem Forest)
- Konfigurationspartition
(Struktur des Forest, gleiche Konfiguration für alle DC des Forest)
- Domänenpartition
(„Normale“ Objekte der Domäne, eine Domänenpartition pro Domäne)
- Applikationspartition: Domain DNS, Forest DNS
(Speicherung von LDAP-Inhalten, freie Entscheidung bei der Replizierung)
Wie weit wird welche Teildatenbank repliziert?
- Schemapartition, zwischen allen DCs aller Domänen im Forest
- Forest DNS, zwischen allen DCs aller Domänen im Forest
- Konfigurationspartition, zwischen allen DCs einer Domäne
- Domänenpartition, zwischen allen DCs einer Domäne
- Domain DNS, zwischen allen DCs einer Domäne
Welche Arten der Replikation gibt es?
Master-Slave-Replikation, der Master gibt Änderungen an Slaves weiter. Der Master hat immer den aktuellen Stand.
Multimaster-Replikation, Änderungen werden am aktuellen DC durchgeführt, bei einer Replikation werden die Änderungen an die anderen DCs übertragen (Ausnahme: Änderungen am Schema oder Erweiterung der Domänen Struktur)
Was ist die Multi-Master-Replikation?
Jeder DC darf gleichberechtigt AD-Objekte hinzufügen, löschen oder modifizieren. Die anderen DCs übernehmen diese Änderungen jeweils. Treten dabei Konflikte auf, gilt das Prinzip des „last writer wins“, das heißt der letzte Schreibvorgang ist gültig alle anderen werden verworfen.
Was sind die Vorteile der Multi-Master-Replikation?
- solide Redundanz: fällt ein DC aus, aktualisieren die anderen DCs die AD-Datenbank weiter.
- Standortunabhängig: DCs als Replikationsmaster können an verschiedenen Standorten eingesetzt werden, diese replizieren über WAN miteinander.
Was sind Nachteile der Multi-Master-Replikation?
- Replikationskonflikte: „Last writer wins "ist nicht immer geeignet, stattdessen ist für bestimmte Aufgaben eine zentrale Instanz vorzuziehen mit der alle anderen replizieren. (Single-Master-Replikation)
- Höhere Sicherheitsanforderungen: Durch viele Replikationsmaster sind viele Angriffsstellen im Forest vorhanden, daher ist es wichtig alle DCs aktuell und sicher zu halten.
Was ist eine Update Sequence Number?
Jede Änderung an Verzeichnisinhalten wird zunächst in ein Journal geschrieben. Jeder Journaleintrag wird mit einer USN versioniert. Das Journal wird repliziert und die Änderungen auf den DCs umgesetzt. Bei konkurrierenden Schreibzugriffen setzt sich die höhere USN durch.
Was ist FSMO?
Flexible Single Master Operations, sind spezielle Aufgaben, die nur jeweils ein Server innerhalb einer Domäne oder eines Forest innehaben darf. Die verschiedenen FSMO-Rollen selbst, können dabei auf mehrere Server verteilt sein.
Welche FSMO-Rollen sind Gesamtstruktur-Rollen?
- Schema-Master: Definiert die Klassenschablonen und Attribute für alle Active-Directory- Objekte. Er muss also verfügbar sein, wenn etwa Objekte um Attribute erweitert werden.
- Domain Naming Master: Verwaltet die Domänennamen innerhalb einer Gesamtstruktur. Eine Domäne oder Subdomäne anzulegen ist nur möglich, nach Bestätigung durch den Domain Naming Master.
Welche FSMO-Rollen sind Domänen-Rollen?
- Infrastruktur-Master: Sorgt dafür, dass gegenseitige Verweise von Objekten über Domänengrenzen hinweg aufeinander konsistent sind, also kein Gruppenobjekt einen Benutzer enthält, den dieses Benutzerobjekt nicht als Gruppenzugehörigkeit hat. Der Infrastruktur-Master darf sich nicht auf dem DC befinden, der den globalen Katalog enthält, außer alle DCs haben den globalen Katalog.
- RID-Master: Verteilt RIDs als Pools an DCs, diese werden wiederum an neu erstellte Objekte vergeben. RIDs gehören zur SID, es handelt sich dabei um die fortlaufende Nummer im letzten Teil nach der Local ID.
- PDC-Emulator: Verarbeitet alle Passwort-Rücksetzungen/Änderungen direkt, verkürzt so die Zeit, nach der sich der Benutzer wieder anmelden kann, so dass dieser nicht auf die komplette Replizierung warten muss. Der DC der einen Passwort-Fehler feststellt, prüft das beim PDC-Emulator gegen, bevor der Nutzer abgewiesen wird. Ist auch Zeit-Server für alle Clients.
Wie funktioniert das Übertragen von FSMO-Rollen?
Der erste DC in einer Gesamtstruktur erhält alle 5 FSMO-Rollen, der erste DC einer neuen Subdomäne erhält die 3 Domänen-FSMOs. Man kann die Rollen flexibel verteilen, dabei können die FSMOs des Forest nur die DCs der ersten Domäne der Gesamtstruktur erhalten.
Welche Möglichkeiten der Datensicherung gibt es im AD?
- Serversicherung: Bietet die Möglichkeiten der vollständigen Sicherung (alle Volumes), ausgewählte Volumes oder der Sicherung des Systemstatus.
- Snapshot: Bietet die Möglichkeit einer Momentaufnahme (Schattenkopie), diese kann zum Vergleich von Daten genutzt werden. Keine "echte" Wiederherstellung.
- Dump: Bietet die Möglichkeit Objekte aus der Datenbank zu exportieren.
- AD-Papierkorb: Hier werden gelöschte Objekte vor der endgültigen Löschung zwischengespeichert, allerdings können Attribute möglicherweise verloren gehen.
- Tombstone-Reanimation: Tombstones sind gelöschte Objekte, die noch nicht gänzlich aus der Datenbank gelöscht wurden. Die Flag „isDeleted“ wurde auf TRUE gesetzt und nach der Gültigkeitsdauer werden diese gelöscht. Tombstones bewahren nicht alle Attribute auf.
Welche Besonderheiten hat das AD im Verzeichnisbaum?
Country, Organization → domain component (dc)
c = intern , o = fsbwit
DC = fsbwit, DC = intern
common name (cn) können im AD, Container sein.
-
- 1 / 28
-
Flashcards
Was ist ein Verzeichnisdienst?
Ein Verzeichnisdienst ist eine verteilte, redundante, dem Client-/Server-Prinzip folgende hierarchische Datenbank.
Was bedeutet verteilt?
Informationen, die bereitgestellt werden, sind physikalisch über mehrere Server verteilt. Erscheinen dem Nutzer aber als eine logische Datenbasis. (verteilt = beliebig skalierbar)
Was bedeutet redundant?
Gibt es mehrere Domänencontroller im Netzwerk, replizieren diese sich untereinander, so dass alle die gleichen Daten haben bzw. über die gleichen Daten verfügen.
In welcher Struktur arbeitet ein Verzeichnisdienst?
In einer Baumstruktur, da diese bei den überwiegend vorkommenden Lesezugriffen besonders effizient sind.
Was ist das Client-Server-Prinzip?
Der Client ist für die Kontaktaufnahme verantwortlich, hierzu benötigt er eine Netzwerkverbindung. Der Server versucht daraufhin die gewünschte Leistung zu erbringen.
Was sind die grundsätzlichen Anforderungen an einen Verzeichnisdienst?
- leichte Erweiterbarkeit
- hohe Skalierbarkeit
- hohe Verfügbarkeit
- hohe Performance
- hohe Sicherheit
Was bedeutet Erweiterbarkeit?
Die Fähigkeit zur Erweiterung eines Systems und den Aufwand für die Implementierung der Erweiterung. Systemfunktionen dürfen nicht beeinträchtigt werden.
Was bedeutet Skalierbarkeit?
Die Fähigkeit parallel zu den vorgegebenen Aufgaben zu wachsen oder zu schrumpfen. Skalierbarkeit bezeichnet auch die mögliche Datenverteilung von einem auf mehrere Server.
Was bedeutet Verfügbarkeit?
Die Wahrscheinlichkeit, dass das System bestimmte Anforderungen zu einem bestimmten Zeitpunkt erfüllt.
Welche Vorteile kann ein Verzeichnisdienst im Unternehmen bieten?
Die Organisationsstruktur kann fast vollends nachgebildet werden. Reale und IT-spezifische Ressourcen sind zentral abgelegt und können zentral verwaltet werden.
Was sind reale und IT-spezifische Ressourcen?
- Benutzer/Gruppen
- Geräte Computer, Drucker)
- Daten, Informationen
- Berechtigungen
- Namensräume
- Räume
- Organisationsstruktur, Über/Unterstellung, Erreichbarkeiten
- Organisationseinheiten
- Zertifikate
Was sind die Bestandteile eines Directory-Server-Eintrags?
Objectclass -> Schema inklusive Bezugswerte
cn, sn, mail,.... -> Attribute : Attributswerte
Wie sieht der Aufbau einer Baumstruktur aus?
So
Was ist ein Distinguished Name?
Der vollständige Pfad zum gewünschten Eintrag, auch „eindeutiger Name“. Dient zur eindeutigen Identifizierung.
Ch = 102, on = 1. Etage, on: Zimmer, o = Hotel Linde, C- DE
Welche Probleme kann es beim Distinguished Name geben?
Ein Distinguished Name ist nicht zeitstabil. Man kann als zusätzliche Attribute, künstliche Schlüssel wie die GUID oder die SID hinzufügen.
Welche Teil Datenbanken gibt es im AD?
- Schemapartition
(Definition Objektklassen/Attribute, Aufbau der Datenbank, es gibt nur ein Schema in einem Forest)
- Konfigurationspartition
(Struktur des Forest, gleiche Konfiguration für alle DC des Forest)
- Domänenpartition
(„Normale“ Objekte der Domäne, eine Domänenpartition pro Domäne)
- Applikationspartition: Domain DNS, Forest DNS
(Speicherung von LDAP-Inhalten, freie Entscheidung bei der Replizierung)
Wie weit wird welche Teildatenbank repliziert?
- Schemapartition, zwischen allen DCs aller Domänen im Forest
- Forest DNS, zwischen allen DCs aller Domänen im Forest
- Konfigurationspartition, zwischen allen DCs einer Domäne
- Domänenpartition, zwischen allen DCs einer Domäne
- Domain DNS, zwischen allen DCs einer Domäne
Welche Arten der Replikation gibt es?
Master-Slave-Replikation, der Master gibt Änderungen an Slaves weiter. Der Master hat immer den aktuellen Stand.
Multimaster-Replikation, Änderungen werden am aktuellen DC durchgeführt, bei einer Replikation werden die Änderungen an die anderen DCs übertragen (Ausnahme: Änderungen am Schema oder Erweiterung der Domänen Struktur)
Was ist die Multi-Master-Replikation?
Jeder DC darf gleichberechtigt AD-Objekte hinzufügen, löschen oder modifizieren. Die anderen DCs übernehmen diese Änderungen jeweils. Treten dabei Konflikte auf, gilt das Prinzip des „last writer wins“, das heißt der letzte Schreibvorgang ist gültig alle anderen werden verworfen.
Was sind die Vorteile der Multi-Master-Replikation?
- solide Redundanz: fällt ein DC aus, aktualisieren die anderen DCs die AD-Datenbank weiter.
- Standortunabhängig: DCs als Replikationsmaster können an verschiedenen Standorten eingesetzt werden, diese replizieren über WAN miteinander.
Was sind Nachteile der Multi-Master-Replikation?
- Replikationskonflikte: „Last writer wins "ist nicht immer geeignet, stattdessen ist für bestimmte Aufgaben eine zentrale Instanz vorzuziehen mit der alle anderen replizieren. (Single-Master-Replikation)
- Höhere Sicherheitsanforderungen: Durch viele Replikationsmaster sind viele Angriffsstellen im Forest vorhanden, daher ist es wichtig alle DCs aktuell und sicher zu halten.
Was ist eine Update Sequence Number?
Jede Änderung an Verzeichnisinhalten wird zunächst in ein Journal geschrieben. Jeder Journaleintrag wird mit einer USN versioniert. Das Journal wird repliziert und die Änderungen auf den DCs umgesetzt. Bei konkurrierenden Schreibzugriffen setzt sich die höhere USN durch.
Was ist FSMO?
Flexible Single Master Operations, sind spezielle Aufgaben, die nur jeweils ein Server innerhalb einer Domäne oder eines Forest innehaben darf. Die verschiedenen FSMO-Rollen selbst, können dabei auf mehrere Server verteilt sein.
Welche FSMO-Rollen sind Gesamtstruktur-Rollen?
- Schema-Master: Definiert die Klassenschablonen und Attribute für alle Active-Directory- Objekte. Er muss also verfügbar sein, wenn etwa Objekte um Attribute erweitert werden.
- Domain Naming Master: Verwaltet die Domänennamen innerhalb einer Gesamtstruktur. Eine Domäne oder Subdomäne anzulegen ist nur möglich, nach Bestätigung durch den Domain Naming Master.
Welche FSMO-Rollen sind Domänen-Rollen?
- Infrastruktur-Master: Sorgt dafür, dass gegenseitige Verweise von Objekten über Domänengrenzen hinweg aufeinander konsistent sind, also kein Gruppenobjekt einen Benutzer enthält, den dieses Benutzerobjekt nicht als Gruppenzugehörigkeit hat. Der Infrastruktur-Master darf sich nicht auf dem DC befinden, der den globalen Katalog enthält, außer alle DCs haben den globalen Katalog.
- RID-Master: Verteilt RIDs als Pools an DCs, diese werden wiederum an neu erstellte Objekte vergeben. RIDs gehören zur SID, es handelt sich dabei um die fortlaufende Nummer im letzten Teil nach der Local ID.
- PDC-Emulator: Verarbeitet alle Passwort-Rücksetzungen/Änderungen direkt, verkürzt so die Zeit, nach der sich der Benutzer wieder anmelden kann, so dass dieser nicht auf die komplette Replizierung warten muss. Der DC der einen Passwort-Fehler feststellt, prüft das beim PDC-Emulator gegen, bevor der Nutzer abgewiesen wird. Ist auch Zeit-Server für alle Clients.
Wie funktioniert das Übertragen von FSMO-Rollen?
Der erste DC in einer Gesamtstruktur erhält alle 5 FSMO-Rollen, der erste DC einer neuen Subdomäne erhält die 3 Domänen-FSMOs. Man kann die Rollen flexibel verteilen, dabei können die FSMOs des Forest nur die DCs der ersten Domäne der Gesamtstruktur erhalten.
Welche Möglichkeiten der Datensicherung gibt es im AD?
- Serversicherung: Bietet die Möglichkeiten der vollständigen Sicherung (alle Volumes), ausgewählte Volumes oder der Sicherung des Systemstatus.
- Snapshot: Bietet die Möglichkeit einer Momentaufnahme (Schattenkopie), diese kann zum Vergleich von Daten genutzt werden. Keine "echte" Wiederherstellung.
- Dump: Bietet die Möglichkeit Objekte aus der Datenbank zu exportieren.
- AD-Papierkorb: Hier werden gelöschte Objekte vor der endgültigen Löschung zwischengespeichert, allerdings können Attribute möglicherweise verloren gehen.
- Tombstone-Reanimation: Tombstones sind gelöschte Objekte, die noch nicht gänzlich aus der Datenbank gelöscht wurden. Die Flag „isDeleted“ wurde auf TRUE gesetzt und nach der Gültigkeitsdauer werden diese gelöscht. Tombstones bewahren nicht alle Attribute auf.
Welche Besonderheiten hat das AD im Verzeichnisbaum?
Country, Organization → domain component (dc)
c = intern , o = fsbwit
DC = fsbwit, DC = intern
common name (cn) können im AD, Container sein.
