Übersicht über Active Directory-Domänendienste

Betrifft: Windows Server 2012

Wussten Sie, dass Microsoft Azure eine ähnliche Funktionalität in der Cloud bietet? Erfahren Sie mehr zu Microsoft Azure-Identitätslösungen. Erstellen einer Hybrididentitätslösung in Microsoft Azure: – Bereitstellen von Windows Server Active Directory auf Azure Virtual Machines. - Informationen zur Identitäts- und Zugriffsverwaltungslösung mit Microsoft Enterprise Mobility. – Installieren eines Active Directory-Replikatdomänencontrollers in einem virtuellen Azure-Netzwerk. - Verwalten von Identitäten für Hybridumgebungen mit einer einzigen Gesamtstruktur mithilfe der Cloudauthentifizierung. – Weitere Informationen zu Azure Active Directory und seiner Integration in Ihre vorhandene Active Directory-Infrastruktur.

Mithilfe der AD DS-Serverrolle (Active Directory® Domain Services, Active Directory-Domänendienste) können Sie eine skalierbare, sichere und verwaltbare Infrastruktur für die Benutzer- und Ressourcenverwaltung erstellen und die Unterstützung für verzeichnisfähige Anwendungen (z. B. Microsoft® Exchange Server) bereitstellen.

Dieses Thema enthält einen allgemeinen Überblick über die AD DS-Serverrolle. Weitere Informationen zu den neuen Funktionen in AD DS in Windows Server 2012 finden Sie unter Neues in den Active Directory-Domänendiensten (AD DS).

Mit AD DS wird eine verteilte Datenbank bereitgestellt, in der Informationen zu Netzwerkressourcen und anwendungsspezifische Daten aus AD-fähigen Anwendungen gespeichert und verwaltet werden. Ein Server, auf dem AD DS ausgeführt wird, wird als Domänencontroller bezeichnet. Administratoren können AD DS verwenden, um die Elemente eines Netzwerks (z. B. Benutzer, Computer und andere Geräte) in einer hierarchischen Struktur aus Einschlussbeziehungen zu organisieren. Diese hierarchische Struktur umfasst die Active Directory-Gesamtstruktur, Domänen in der Gesamtstruktur sowie die Organisationseinheiten in den einzelnen Domänen.

Das Verwalten von Netzwerkelementen in einer hierarchischen Containerstruktur bietet die folgenden Vorteile:

• Die Gesamtstruktur fungiert als Sicherheitsbegrenzung für eine Organisation und definiert den Autoritätsumfang für Administratoren. Standardmäßig enthält eine Gesamtstruktur eine einzelne Domäne, die als Stammdomäne der Gesamtstruktur bezeichnet wird.

• In der Gesamtstruktur können zusätzliche Domänen erstellt werden, damit die Partitionierung von AD DS-Daten möglich ist. Damit haben Organisationen die Möglichkeit, Daten ausschließlich bei Bedarf zu replizieren. Dadurch können Skalierungsvorgänge von AD DS global in einem Netzwerk ausgeführt werden, für das die verfügbare Bandbreite eingeschränkt ist. In einer Active Directory-Domäne werden außerdem zahlreiche weitere Hauptfunktionen unterstützt, die sich auf die Verwaltung beziehen. Dazu zählen beispielsweise die netzwerkweite Benutzeridentität, Authentifizierung und Vertrauensstellungen.

• Mit Organisationseinheiten wird die Delegierung von Befugnissen vereinfacht, sodass die Verwaltung einer großen Anzahl von Objekten erleichtert wird. Durch die Delegierung können Besitzer die vollständige oder eingeschränkte Autorität über Objekte auf andere Benutzer oder Gruppen übertragen. Delegierung ist wichtig, da mit ihrer Hilfe die Verwaltung einer großen Anzahl von Objekten auf mehrere Personen verteilt werden kann, die zum Ausführen von Verwaltungsaufgaben berechtigt sind.

Die Sicherheit ist in AD DS über die Anmeldeauthentifizierung und Steuerung des Zugriffs auf Ressourcen im Verzeichnis integriert. Mit einer einzigen Netzwerkanmeldung können Administratoren Verzeichnisdaten und die Organisation im gesamten Netzwerk verwalten. Autorisierte Netzwerkbenutzer können auch mit einer einzigen Netzwerkanmeldung auf Ressourcen an einer beliebigen Stelle im Netzwerk zugreifen. Durch die richtlinienbasierte Verwaltung wird selbst die Verwaltung der komplexesten Netzwerke erleichtert.

Im Folgenden werden einige weitere AD DS-Features aufgeführt:

• Ein Satz von Regeln, das Schema, mit dem die Klassen der Objekte und Attribute definiert werden, die im Verzeichnis enthalten sind, die Einschränkungen und Begrenzungen für Instanzen dieser Objekte und das Format ihrer Namen

• Ein globaler Katalog, der Informationen zu jedem Objekt im Verzeichnis enthält. Benutzer und Administratoren können mithilfe des globalen Katalogs Verzeichnisinformationen suchen, unabhängig davon, welche Domäne im Verzeichnis die Daten tatsächlich enthält.

• Ein Abfrage- und Indexmechanismus, sodass Objekte und ihre Eigenschaften veröffentlicht und von Netzwerkbenutzern bzw. Anwendungen gefunden werden können.

• Ein Replikationsdienst, mit dem Verzeichnisdaten in einem Netzwerk verteilt werden. Alle beschreibbaren Domänencontroller in einer Domäne nehmen an der Replikation teil und enthalten eine vollständige Kopie aller Verzeichnisinformationen für ihre Domäne. Jede Änderung an den Verzeichnisdaten wird zu allen Domänencontrollern in der Domäne repliziert.

• Betriebsmasterrollen (auch als Flexible Single Master Operations bzw. FSMO bezeichnet): Domänencontroller, die Betriebsmasterrollen enthalten, sind für die Ausführung bestimmter Aufgaben vorgesehen, um Konsistenz sicherzustellen und widersprüchliche Einträge im Verzeichnis auszuschließen.

Anforderungen für die Ausführung der Active Directory-Domänendienste

Welche Hardware-, Software- oder Einstellungskonfigurationen sind erforderlich, um dieses Feature auszuführen? Welche Voraussetzungen müssen für die Ausführung der Rolle erfüllt sein? Ist für die Rolle/das Feature spezielle Hardware erforderlich?

Ausführen der Active Directory-Domänendienste

Wie verwende ich Windows PowerShell zur Bereitstellung und Konfiguration dieser Rolle?

Ausführliche Anweisungen zur Installation und Konfiguration von AD DS mithilfe des AD DS-Bereitstellungsmoduls für die Windows PowerShell®-Befehlszeilenschnittstelle finden Sie im Bereitstellungshandbuch für Active Directory-Domänendienste (https://go.microsoft.com/fwlink/?LinkId=222597).

Wie kann ich diese Rolle in einer Multiserverumgebung bereitstellen und konfigurieren?

AD DS ist ein verteilter Dienst, der für die Ausführung auf mehreren Domänencontrollern ausgelegt ist. Ausführliche Anleitungen zur Installation und Konfiguration von AD DS auf mehreren Domänencontrollern finden Sie im Bereitstellungshandbuch für Active Directory-Domänendienste (https://go.microsoft.com/fwlink/?LinkId=222597).

Wie kann ich diese Rolle auf virtuellen Computern nutzen?

AD DS hat unter Windows Server 2012 Schutzvorrichtungen zur Ausführung auf virtuellen Computern, damit die Sicherheit und Konsistenz von virtualisierten AD DS-Umgebungen gewährleistet ist. Weitere Informationen zum Ausführen von AD DS auf virtuellen Computern finden Sie unter Ausführen von Domänencontrollern in Hyper-V (https://go.microsoft.com/fwlink/?LinkID=213293).

Sicherheitsüberlegungen bei der Verwendung dieser Rolle

AD DS ist nach der Installation standardmäßig sicher. Weitere Informationen zu den Standardsicherheitseinstellungen für Domänencontroller, zu Risiken und zum sicheren Betrieb von Domänencontrollern finden Sie unter Leitfaden mit bewährten Methoden zum Absichern von Active Directory-Installationen.

Besonderheiten bei der Remoteverwaltung dieser Rolle

Installieren Sie zur Remoteverwaltung von AD DS die Remoteserver-Verwaltungstools (RSAT). Von RSAT stehen eine 32-Bit- und eine 64-Bit-Version zur Verfügung. Weitere Informationen finden Sie unter Remoteserver-Verwaltungstools (https://go.microsoft.com/fwlink/?LinkId=222628).

Besonderheiten bei der Verwaltung der Rolle für Server Core-Installationen

AD DS kann auf einer Server Core-Installation oder einem Server mit einer Minimal Server Interface installiert werden, und dies wird empfohlen, wo eine Reduzierung des Platzbedarfs der Betriebssysteminstallation vorteilhaft ist, z. B. für eine dedizierte Serverrolle in einem Datencenter, für Virtualisierungsgäste oder RODCs in Zweigstellen. Ab Windows Server 2012 kann ein Domänencontroller, der auf einer Server Core-Installation ausgeführt wird, in eine Serverinstallation mit einer GUI (auch bekannt als vollständige Installation) und umgekehrt konvertiert werden.

Das Upgrade von einer Server Core-Installation, die auf einer früheren Version von Windows Server ausgeführt wird, wird unterstützt, aber es gibt keine Möglichkeit, ein Upgrade direkt von einer Server Core-Installation einer früheren Version von Windows Server auf eine Serverinstallation mit einer GUI bzw. direkt von einer Serverinstallation mit einer GUI auf eine Server Core-Installation auszuführen. In diesem Fall müssen Sie ein direktes Upgrade auf den gleichen Installationstyp unter Windows Server 2012 ausführen und nach dem Upgrade nach Bedarf in eine andere Installation konvertieren.

Weitere Informationen finden Sie unter Windows Server-Installationsoptionen.

Rollendienste für die Active Directory-Domänendienste

Bei der Identitätsverwaltung für UNIX handelt es sich um einen Rollendienst von AD DS, der nur auf Domänencontrollern installiert werden kann. Mit zwei Technologien des Identity Management für UNIX, Server für NIS und Kennwortsynchronisierung, wird die Integration von Computern unter Windows® in Ihre vorhandene UNIX-Umgebung erleichtert. AD DS-Administratoren können Server für NIS zum Verwalten von NIS-Domänen (Network Information Service, Netzwerkinformationsdienst) verwenden. Mit Kennwortsynchronisierung werden Kennwörter zwischen den Betriebssystemen Windows und UNIX automatisch synchronisiert.

Weitere Verweise

• Installieren von AD DS mithilfe von Windows PowerShell

• Befehlsverzeichnis für die Active Directory-Domänendienste

• Best Practices Analyzer für die Active Directory-Domänendienste

• Problembehandlung für die Active Directory-Domänendienste