IT-Administrator - Active Directory

• LDAP (Lightweight Directory Access Protocol)
• JET (Joint Engine Technologie) Datenbank
• DNS (Domain Name System)
• Kerberos
• NTFS (New Technologie File System)
• CIFS (Common Internet File System) 

Der Infrastrukturmaster steuert die Berechtigungen von Benutzern die aus unterschiedlichen Domänen kommen. Da die Berechtigungsanfragen sonst sehr lange dauern würden, wenn zum Beispiel in den Berechtigungen einer Ressource Benutzerkonten oder Gruppen aus unterschiedlichen Domänen gesetzt sind, dient der Infrastrukturmaster quasi als Cache für diese Zugriffe, um die Abfrage der Berechtigungen zu Beschleunigen.

Zeigt die DNS Partitionen im AD an.

Der Unterschied zwischen globalen und universalen Gruppen ist, dass globale Gruppen nur Benutzerkonten oder andere globale Gruppen aufnehmen können, die zur eigenen Domäne gehören. In universale Gruppen können dagegen Benutzerkonten oder globale Gruppen aller Domänen aufgenommen werden, zu denen eine Vertrauensstellung besteht.

Gruppenrichtlinien-Einstellungen in Windows mit anzeigen lassen

• Stellt automatisiert die Verbindung der DCs her
  • Konfiguriert auf Basis der Standorte, der Standortverknüpfungen, der Zeitpläne und Kosten die AD Replikation
• Verbindet nicht jeden DC mit jedem, sondern schafft intelligente Topologie
• Überprüft vorhandene Verbindungen alle 15 min und ändert bei Bedarf die Replikationstopologie

Gesamtstruktur (Forest)

Der Distinguished Name (DN) ist der LDAP-Name eines AD-Objektes.

Gruppenrichtlinien sind Einstellungen, mit denen sowohl auf Benutzer als auch auf Computer Einfluss genommen werden kann.

Gruppenrichtlinien ermöglichen es:

• zentralisierte und dezentralisierte Richtlinien zu implementieren
• sicherzustellen das Benutzer die für sie vorgesehenen Rechte haben
• die Richtlinien des Unternehmens durchzusetzen

• Computerbezogene (Computerkonfiguration)
• Benutzerbezogene (Benutzerkonfiguration)

1. Computer (Lokale Richtlinie) [niedriegste Berechtigung]
2. Site (Standort)
3. Domäne
4. OU [höchste Berechtigung]

Eine Freigabe kann versteckt werden durch anhängen eines Dollar-Zeichens am Ende des Freigabenamens.

%username%

C:/Windows/NTDS/ntds.dit

• Organisationseinheiten
• Standorte
• Active-Directorys 

Der DHCP-Server muss autorisiert werden.

Er muss vom Typ Active Directory integriert sein und es dürfen nur sichere Updates zugelassen werden.

Kerberos ist ein verteilter Authentifizierungsdienst (Netzwerkprotokoll) für offene und unsichere Computernetze (wie zum Beispiel das Internet).

FSMO sind spezielle Aufgaben, die Domain Controller innerhalb des Active Directorys übernehmen. Die Aufgaben können auf verschiedene Server verteilt werden, jedoch darf keine dieser Rollen von mehreren Servern gleichzeitig übernommen werden.

• In der Zone _msdcs werden die SRV-Einträge für Dienst / Funktion im AD vorgenommen
• Anwendungsverzeichnispartitionen werden für die DNS-Replikation im AD genutzt
• Neue Ereignisprotokolle
• Ordner %systemroot%\ntds und %systemroot%\sysvol werden erstellt
• DCs sind per ping immer erreichbar
  • Änderungen an der Firewall
• Normale Benutzer können sich an DCs nicht anmelden
• Anmeldung nur noch an Domäne möglich (nicht mehr lokal)
• neue Snap-Ins für die MMC werden verfügbar:
  • Active Directory-Benutzer und Computer
  • Active Directory-Standorte und Dienste
  • Active Directory-Domänen und Vertrauenseinstellungen
  • Active Directory Schema (nach Freischaltung)

10

• STRG + PAUSE drücken
• Einstellungen für Computername ändern
• Auf dem Reiter für Computername auf ändern klicken
• Domänennamen eintragen 
• mit Domänenkonto (gegebenfalls nur bestimmte Freigegebene) authentifizieren

Er gewährleistet die Eindeutigkeit von Objekten in der Domäne durch Bereitstellen eines SID-Pools (Security-ID-Pool).

regsvr32 schmmgmt.dll

dcpromo

• OUs können hierarchisch angeordnet werden
  • dienen zum Abbilden der Organisationsstruktur
  • zum Zusammenfassen von gleichartigen Objekten
  • zum Delegieren von administrativen Aufgaben

• der Infrastrukturmaster sollte nicht auf einem globalen Katalog liegen.
• Domänennamenmaster und Schemamaster sollten auf einem gemeinsamen Domaincontroller liegen, der auch globaler Katalog ist.
• PDC-Emulator und RID-Master sollten auf einem Domaincontroller liegen, der auch globaler Katalog ist.

Synchronisiert einen Domänen-Controller mit all seinen Replikationspartnern.

Gruppenrichtlinien sind Sammlungen von Benutzer- und Computerkonfigurationseinstellungen, die mit Computern, Standorten, Domänen oder Organisationseinheiten (OUs) verknüpft werden, um das Verhalten des Benutzerdesktops zu steuern und darüber hinaus Dinge wie Sicherheitseinstellungen, Anmelde- und Abmeldeskripte, Skripte für den Start und das Herunterfahren eines Computers zu definieren oder z.B. Ordnerumleitungen festzulegen.

Mit Gruppenrichtlinien kann das Verhalten des Betriebssystems bestimmt und dessen Optionen können eingeschränkt werden. Es gibt aber auch Gruppenrichtlinien, mit denen das Verhalten und die Optionen von Anwendungen wie z.B. Microsoft Office von zentraler Stelle aus gesteuert werden können.

Bei standortübergreifender Replikation wird nicht sofort die Replikation gestartet, sondern erst zum nächsten Zeitpunkt den der Zeitplan zulässt.

• Verzeichnisdienst (Datenbank zum speichern von Objekte)
• Dienst zum Venwalten (Suchen, Anlegen, Andern, Löschen, ...) von Objekten der Datenbank
•  stellt einen zentralen Punkt für die Netzwerkverwaltung bereit
• Objekte in einem Verzeichnisdienst: Benutzer, Ressourcen

net stop netlogon

net start netlogon

• S - Bedeutet, dass es sich um eine SID handelt
• 1 - Revisionsnummer (zur Zeit für NT und 2000 immer 1)
• 5 - Identifier Authority (zur Zeit für NT und 2000 immer 5)
• 21-515967899-920026266-1708537768 - Domänen ID
• 1000 Benutzer ID - RID

Siehe Tabelle.

Es werden die AD-Rolleninhaber angezeigt.

Gilt für Forwar- und Lookup-Zone:

• DNS-Manager öffnen
• Eigenschaften von Domäne öffnen
• Zonentyp ändern
• Aktivieren: Zone im Active Directory speichern (DNS-Server muss als Domänencontroller eingerichtet sein)

Dynamische Updates: Nur sichere

• beinhaltet eine Referenz (Objektname + Teilmenge der Attribute) auf alle Objekte der Gesamtstruktur
• beinhaltet eine vollständige Kopie aller Objekte inklusive Attribute der eigenen Domäne

dient :

• zum Suchen eines Objektes, ohne alle Domänen einzeln abfragen zu müssen
• unterstützt den Anmeldeprozess von Benutzern (speichert die Mitgliedschaften in Universellen Gruppen)

• Zentrale Datenspeicherung
• Skalierbarkeit
• Erweiterbarkeit
• Verwaltungsfähigkeit
• Integration in DNS
• Verwaltung der Clientkonfigurationen
• richtlinienbasierte Verwaltung
• Replikation von Information
• flexible sichere Authentifizierung
• Sicherheitsintegration
• Interoperabilität mit anderen Systemen