Active Directory Design Fragen?

Hallo,

ad 1) Eine gleiche Benennung führt zu Problemen. Namen ala musterfirma.local machen da mehr Sinn...

ad 2) 2 DCs erhöhen die Sicherheit falls sich mal einer verabschiedet kann der 2te ja für Ihn einspringen...

ad 3) bin ich jetzt überfragt

ad 4) Im AD sind meines Wissens nach keine Konfigurationen von Fremdprogrammen hinterlegt, die Verweilen mist
im Profil oder auf der Lokalen Festplatte.

Is mal so was mir auf die schnelle einfällt aber gibs sicher Leute die darüber mehr wissen

grüße

edit Hm ne Minute zu spät

Salve,


Für die Wahl des Domänen-Namens, gibt es mehrere Varianten:

1. Der Active Directory-Name lautet so wie die Internetdomain. Der Vorteil ist: Kurzer und einprägsamer Name.
Der Nachteil ist: Die externen Ressourcen (www, FTP etc.) können intern nicht aufgelöst werden.
Die Lösung ist: Im internen DNS müssen die externen Ressourcen die von intern erreichabr sein sollen mit der externen
IP-Adresse eintragen werden.

2. Der Active Directory-Name ist eine Subdomäne zum externen Internet-Auftritt.
Bedeutet, wenn der Inet-Auftritt "Contoso.com" lautet, so wäre der AD-Name "intra.contoso.com". Diese Variante, wäre auch meine empfohlene.

3. Der Active Directory-Name ist ein anderer als die Inet-Domain z.B. contoso.local usw. Sogar die Endung LOCAL kann zu Problemen führen, denn
damit könnten Probleme mit Apple-PCs auftreten. Auch wäre es denkbar, dass die Endung LOCAL offiziell wird (sowie info, biz usw.).

4. Oder der Webauftritt lautet contoso.de und die interne AD-Domäne lautet contoso.net.
Dabei sollten natürlich beide Domains beim ISP registriert werden.

5. Die TLD AA, ZZ und die Bereiche QM–QZ und XA–XZ.
http://de.wikipedia.org:80/wiki/ISO_3166

6. Einen abstrakten AD-Domänennamen, unabhängig vom Firmennamen. Das hat den Vorteil, wenn sich die Firma umbenennt, muss nicht sofort
die AD-Domäne wegen einem Namen unbenannt werden.



Jede Domäne benötigt mindestens einen DC. Idealerweise sollten aber in jeder Domäne zwei DCs zur Verfügung stehen,
wegen der Ausfallsicherheit. Dabei spielt es keine Rolle ob es sich um einen Single-Domain oder Multi-Domain Forest handelt.



Ja, dann müssen die Metadaten des AD bereinigt werden.

[LDAP://Yusufs.Directory.Blog/ - Die Metadaten des Active Directory unter Windows Server 2008 bereinigen]
http://blog.dikmenoglu.de/Die+Metadaten+Des+Active+Directory+Unter+Wind ...



Das kommt darauf an, was du genau im AD speichern möchtest. Die Personalnumern und die Schuhgröße von den Mitarbeitern kannst du z.B. im AD speichern.
Das hängt aber nunmal von der Applikation ab, die man einsetzen möchte. Z.B. speichert Exchange jede Menge (Konfig.)Informationen im AD,
da Exchange sehr AD-lastig ist.


Viele Grüße
/ > Yusuf Dikmenoglu

Moin,

zu 1) Das kommt drauf an...wir haben z.B. konzern.de als FQDN genommen. Aber bei uns ist das komplette Netzwerk mit einem öffentlichen /8 IP-Netz ausgestattet. Somit ist es theoretisch möglich, dass jeder Rechner vom Internet aus erreichbar ist. Da macht es einigermaßen Sinn. In einer 0815 Unternehmen würde ich entweder zu lan.frima.de oder firma.local tendieren.

zu 2) Nein, benötigst du nicht. Wir haben z.B. für jedes Land und Tochterfirma einen Unterdomäne abgebildet. Da es in jedem Land entsprechende Admins gibt bzw. die entsprechende Mitarbeiterzahl hat.

zu 3) BITTE NIEMALS LÖSCHEN! Was verstehst du unter ausfällt? Wenn du einen DC nicht mehr benötigst stuft man diesen wieder zum Memberserver herunter und entfernt ihn dann über System aus der Domäne. Wir haben z.B. pro Land 2-4 Domänencontrollers.

zu 4) Wir haben eben die Standardfelder ausgefüllt (Name, Büro, Tele, Eihneit, Teamname, etc...). Eben die vorhandenen Felder ausgefüllt.


Grüße,
Dani

Ich merke es gerade. Dann wollen wir mal Abhilfe schaffen.


DCs sind eine physikalische- und die Domäne eine logische Komponente des "Active Directory".


Nach diesem Beispiel handelt es sich um --> eine Gesamtstruktur <-- mit mehreren Domänen.
Ich Fachjargon spricht man hier von einem Multi-Domain Forest. Es befinden sich mehr als eine Domäne innerhalb einer Gesamtstruktur.


Es handelt sich um --> eine Gesamtstruktur <-- die insgesamt vier Domänen beinhaltet.
Dabei wird die Domäne "firma.muster.de" als Root-Domäne bezeichnet, da man mit dieser die Gesamtstruktur erstellt.
Also wenn du den ersten Server zum DC hochstufst und somit deine erste Domäne erstellst, wird zum einen eine Gesamtstruktur
und zum anderen deine Root-Domäne erstellt.

Die anderen drei Domänen: "ort1.firma.muster.de, ort2.firma.muster.de und ort3.firma.muster.de" werden als Subdomänen bezeichnet.
Sie befinden sich alle auf der gleichen Ebene unterhalb der Root-Domäne.


Nicht "Schicht", sondern wie wir jetzt gelernt haben: Root-Domäne.
Da sich idealerweise in jeder Domäne min. zwei DCs befinden sollten und es sich in deinem Beispiel um vier Domänen handelt,
wäre die ideale Anzahl /acht DCs/ zu haben.


Ja, genau das ist ja der Sinn und Vorteil eines Active Directory und einer Multi-Master Umgebung. Sobald sich zwei DCs in der Domäne befinden
und diese ordnungsgemäß konfiguriert sind und funktionieren, merken die Clients nichts von einem DC-Ausfall. Deshalb sollen ja
min. zwei DCs in der Domäne existieren. Aber elementar ist das DNS. Denn standardmäßig sollte auf JEDEM DC immer das DNS
mit installiert werden, wobei die Forward Lookup Zone AD-integriert gespeichert sein sollte. Auch der GC sollte in den allermeisten Umgebungen
standardmäßig auf jedem DC aktiviert werden.


Gruß, Yusuf

Also ganz kann ich den Antworten nicht folgen bezüglich der Frage nach dem Domainname. Es ist richtig, dass ein häufiges vorgehen ist, dass man die interne Domain anders nennt. Es gibt Szeanrien, in denen man das genau so macht und wo es auch sinnvoll ist.

Was definitiv falsch ist, ist die Aussage, dass externe Resourcen nicht mehr erreichbar sind und ein Vorschlag wie interner DNS auf extern halte ich für grob fahrlässig.

Zunächst mal ist entscheiden, wo die Domäne liegt. Domains wie .com etc kannst du auch komplett selbst verwalten. Bei .de Domains benötigst du den Statuen gemäß einen Provider. Einzige Möglichkeit der (fast) vollen Kontrolle ist ein HiddenDNS. Nicht zu verwechseln mit dem was der Provider in seiner Weboberfläche anbietet für die Verwaltung der DNS Einträge. Wenn man einen HiddenDNS betreibt oder eine Domain selbst verwaltet, also quasi als Provider für die Domain auftritt, dann muß man sich zum einen als viele Statuten halten, zum anderen muß man genau wissen was man macht und einen entsprechenden DNS Server berteibt man nicht unmittelbar in seinem direkten Netzwerk, da dies eine Schwachstelle wäre.

Den Teil, den du von der Domain verwalten kannst, ob per HiddenDNS, Selbstverwaltet oder über Provider ist für der Topleveldomain. Hier kannst du die Subdomains als auch die Host verwalten. Der ns Eintrag, Beispielsweise ns.meinefirma.de ist der sogenannte Nameserver. mx steht für Mail Exchange und www, naja, das kennst du ja. Therotisch könntest du auch abc hinschreiben und auf etwas verweisen, dann wäre das keine Subdomain, sondern auch ein Host. So könntest du für jeden Hosteintrag eine andere feste IP Adresse ansteuern.

Das sei aber alles nur vollständigkeitshalber erwähnt. Wenn Du dich tiefer einarbeiten willst empfehle ich Dir vorallem die englischsprachige Literatur und die RFC Dokumente. Auf Deutsch - wenn auch nicht ganz taufrisch ist dieses Werk zu empfehlen: http://www.amazon.de/DNS-Implementierung-Windows-Netzwerk-Konzept-Reali ...

Auf was bzw. auf welches Zitat beziehst du dich bei dieser Aussage?


Gruß, Yusuf Dikmenoglu