4
Passwörter zwischen zwei AD-Strukturen migrieren
Hallo Zusammen,
ich arbeite aktuell an folgendem Problem:
Ich habe zwei verschiedene, autonome ADS-Domänen, ein "Hauptsystem" und ein "Laborsystem".
In jeder Domäne existieren die gleichen Benutzer.
Benutzer ändern ihr Benutzerpasswort nur im Hauptsystem.
Nun sollen diese geänderten Passwörter auch in das Laborsystem übertrage werden,
damit sich die Benutzer mit ihrem neuen Passwort auch dort anmelden können.
So wie ich es gelesen habe, ist dies mit ldifde oder csvde leider nicht möglich?!
Ausserdem sollte das ganze möglichst sicher und automatisch in regelmäßigen Abständen laufen (z.B. als geplantes Script oder so).
Bisher sind die Netze voll getrennt, Vertrauensstellungen exisiteren nicht (wenn es unerlässlich wäre, könnte die Labordomäne der Hauptdomäne vertrauen).
Hat jemand eine Idee oder einen Tip?
Danke & schöne Grüße,
Jan
ich arbeite aktuell an folgendem Problem:
Ich habe zwei verschiedene, autonome ADS-Domänen, ein "Hauptsystem" und ein "Laborsystem".
In jeder Domäne existieren die gleichen Benutzer.
Benutzer ändern ihr Benutzerpasswort nur im Hauptsystem.
Nun sollen diese geänderten Passwörter auch in das Laborsystem übertrage werden,
damit sich die Benutzer mit ihrem neuen Passwort auch dort anmelden können.
So wie ich es gelesen habe, ist dies mit ldifde oder csvde leider nicht möglich?!
Ausserdem sollte das ganze möglichst sicher und automatisch in regelmäßigen Abständen laufen (z.B. als geplantes Script oder so).
Bisher sind die Netze voll getrennt, Vertrauensstellungen exisiteren nicht (wenn es unerlässlich wäre, könnte die Labordomäne der Hauptdomäne vertrauen).
Hat jemand eine Idee oder einen Tip?
Danke & schöne Grüße,
Jan
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 52954
Url: https://administrator.de/contentid/52954
Ausgedruckt am: 25.11.2024 um 21:11 Uhr
4 Kommentare
Neuester Kommentar
Ich würde an deiner Stelle eine Vertrauensstellung einrichten. Ob in beide Richtung oder nur in eine kannst nur du entscheiden da ich die Gründe hierfür nicht kenne.
Du kannst die Synchronisation ja so einstellen das du keine ständige Verbindung brauchst (wenn es auch ein anderer Standort ist) und z.B. nur alle X Stunden die Änderungen übertragen werden.
Gruß und schönen Feierabend
Du kannst die Synchronisation ja so einstellen das du keine ständige Verbindung brauchst (wenn es auch ein anderer Standort ist) und z.B. nur alle X Stunden die Änderungen übertragen werden.
Gruß und schönen Feierabend
Hi,
danke für die Antwort.
Ich könnte evtl. eine einseitige Vertrauensstellung einrichten, so dass das Labor der Hauptdomäne vertraut (aus Sicherheitsgründen kann ich in der Hauptdomäne sowas nicht machen).
Wie kann ich denn dann die Kennwörter automatisch synchronisieren lassen???
Zuordnung kann dann ja nur über username im Klartext gehen.
P.S.: Beide Domänen derzeit W2K, Labor bald W2K3
danke für die Antwort.
Ich könnte evtl. eine einseitige Vertrauensstellung einrichten, so dass das Labor der Hauptdomäne vertraut (aus Sicherheitsgründen kann ich in der Hauptdomäne sowas nicht machen).
Wie kann ich denn dann die Kennwörter automatisch synchronisieren lassen???
Zuordnung kann dann ja nur über username im Klartext gehen.
P.S.: Beide Domänen derzeit W2K, Labor bald W2K3
so hab nun ein wenig Luft für heute...
Also erstmal etwas grundsätzliches. Es werden keine Kennwörter synchronisiert. Es handelt sich um eine replikation des AD. Die Benutzer in der Domäne A (Hauptdomain) melden sich in der Domäne B (Labor) mit ihrem Benutzerkonto aus der Damäne A an. Es gibt also nur eine SID und ein Passwort. In den beiden links sind grundsätzliche Dinge beschrieben. Schau dir auch die Menüstruktur auf der linken Seite an.
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/libra ...
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/libra ...
Mich würde noch interessieren ob die beiden Domains in einer Organisation liegen oder ob es sich um unterschiedliche Firmen handelt. Wenn es eine Firma ist warum habt ihr die Domain aufgeteilt?
Also erstmal etwas grundsätzliches. Es werden keine Kennwörter synchronisiert. Es handelt sich um eine replikation des AD. Die Benutzer in der Domäne A (Hauptdomain) melden sich in der Domäne B (Labor) mit ihrem Benutzerkonto aus der Damäne A an. Es gibt also nur eine SID und ein Passwort. In den beiden links sind grundsätzliche Dinge beschrieben. Schau dir auch die Menüstruktur auf der linken Seite an.
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/libra ...
http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/libra ...
Mich würde noch interessieren ob die beiden Domains in einer Organisation liegen oder ob es sich um unterschiedliche Firmen handelt. Wenn es eine Firma ist warum habt ihr die Domain aufgeteilt?
hmmm...
danke erst einmal für den Hinweis, daran habe ich auch schon gedacht, aber...
ich bin mir nicht sicher, ob das so klappt....
Ersteinmal zum Hintergrund.
Es handelt sich um einen Laborbereich in einer Hochschule.
Das Hauptnetz ist das AD-Campusnetzwerk, hier laufen zig verschiedene
Systeme zusammen und es gibt mehrere Administratoren und eingesetzte
Administrationswerkeuge. An diesem System darf nichts verändert werden.
Das Labornetzwerk ist eigenes Netz, das von bestimmten Gruppen genutzt wird.
Jeder Student und Mitarbeiter hat ein eindeutiges Konto im Haupnetzwerk
und kann sein Passwort "normal" an beliebigen Arbeitsstationen oder aber auch
durch ein Online-Benutzermanagement ändern.
Im Laborbereich wird für Jeden, der das Labor nutzen soll, ein gleichnamiges
Benutzerkonto angelegt, insbesondere darum, weil ein eigenes Profil benötigt wird (!).
Ausserdem muss der Administrator des Laborbereichs diese Benutzer und Profile selber verwalten und z.B. unabhängig vom Hauptnetz sperren können.
Ziel ist es jetzt halt, dass ein geändertes Kennwort in der Hauptdömäne in das Labor übertragen wird.
Oder ein anderer Weg, der zum gleichen "symptomatischen" Ziel führt.
Aber halt selektives Sperren und "Laborprofil" sollen möglich sein.
Die Zusammenlegung der Domänen in eine Domäne oder einen Tree ist aus
internen Gründen nicht möglich.
Noch Ideen?
Danke & schöne Grüße,
Jan
danke erst einmal für den Hinweis, daran habe ich auch schon gedacht, aber...
ich bin mir nicht sicher, ob das so klappt....
Ersteinmal zum Hintergrund.
Es handelt sich um einen Laborbereich in einer Hochschule.
Das Hauptnetz ist das AD-Campusnetzwerk, hier laufen zig verschiedene
Systeme zusammen und es gibt mehrere Administratoren und eingesetzte
Administrationswerkeuge. An diesem System darf nichts verändert werden.
Das Labornetzwerk ist eigenes Netz, das von bestimmten Gruppen genutzt wird.
Jeder Student und Mitarbeiter hat ein eindeutiges Konto im Haupnetzwerk
und kann sein Passwort "normal" an beliebigen Arbeitsstationen oder aber auch
durch ein Online-Benutzermanagement ändern.
Im Laborbereich wird für Jeden, der das Labor nutzen soll, ein gleichnamiges
Benutzerkonto angelegt, insbesondere darum, weil ein eigenes Profil benötigt wird (!).
Ausserdem muss der Administrator des Laborbereichs diese Benutzer und Profile selber verwalten und z.B. unabhängig vom Hauptnetz sperren können.
Ziel ist es jetzt halt, dass ein geändertes Kennwort in der Hauptdömäne in das Labor übertragen wird.
Oder ein anderer Weg, der zum gleichen "symptomatischen" Ziel führt.
Aber halt selektives Sperren und "Laborprofil" sollen möglich sein.
Die Zusammenlegung der Domänen in eine Domäne oder einen Tree ist aus
internen Gründen nicht möglich.
Noch Ideen?
Danke & schöne Grüße,
Jan
