Computerjockey

Die Wälder des Active Directory


 

Die größte Herausforderung bei der Einführung von Windows 2000 ist der Schritt vom simplen Domänenmodell zu dem komplexen, hierarchischen Verzeichnisdienst Active Directory. Doch wer sich heute an die Konzeption des Active Directory macht, muss auch an den nächsten Schritt denken: Den Exchange Server 2000.

von Martin Kuppinger

 

Das gilt natürlich nur dann, wenn der Exchange Server als Basis für die Messaging-Infrastruktur im Unternehmen eingesetzt wird. Sobald aber der Exchange Server 2000 verwendet werden soll, bedeutet das zwangsläufig auch den Schritt zum Active Directory. Der Exchange Server 2000 kann damit nur dann erfolgreich betrieben werden, wenn auch die Herausforderung der Konzeption des Active Directory erfolgreich gemeistert wurde - auf welche die Anforderungen des Exchange Server 2000 wiederum erheblichen Einfluss haben.

Grundregeln für das Active Directory-Design
Das Active Directory ist ein hierarchischer, verteilter Verzeichnisdienst mit hoher Skalierbarkeit. Microsoft hat gemeinsam mit Kunden Tests mit mehr als 64 Millionen Objekten durchgeführt, die vom Active Directory verwaltet wurden. Im Gegensatz zum bisherigen Domänenmodell können Informationen im Active Directory sehr viel besser strukturiert werden. Die Organisationsstruktur des Unternehmens lässt sich feingliedrig abbilden. Dazu werden zum einen Domänen und zum anderen organisatorische Einheiten (OUs für Organizational Units) verwendet. Domänen können in Form von Domänenbäumen und diese wiederum als Forests oder, wie Microsoft sie in unglücklicher Übersetzung bezeichnet, Domänengesamtstrukturen zusammengefasst werden. Innerhalb von Domänen können hierarchische Strukturen mit Hilfe von OUs aufgebaut werden.
Ein Domänenbaum ist eine hierarchische Struktur aus Domänen. Diese Domänen können verwendet werden, um organisatorische Strukturen eines Unternehmens abzubilden. Den gleichen Zweck erfüllen auch die OUs. Dennoch gibt es keine vollständige Austauschbarkeit zwischen diesen Strukurelementen. Denn Domänen des Active Directory fungieren beispielsweise als Grenze für Sicherheitseinstellungen. Während sich administrative Berechtigungen innerhalb einer Domäne über alle OUs hinweg vererben, werden sie nicht über die Grenze einer Domäne hinaus vererbt. Auch Gruppenrichtlinien vererben sich über die OUs hinweg nach unten, nicht aber über die Domäne hinaus.
Zudem hat die Domäne auch großen Einfluss auf die physische Speicherung von Informationen. Jeder Domänencontroller hält immer alle Informationen zu einer Domäne. Das bedeutet auf der einen Seite, dass alle diese Informationen zwischen den Domänencontrollern einer Domäne vererbt werden müssen. Das würde für kleinere Domänen sprechen, weil sich daraus auch weniger Replikationslast zu ergeben scheint. Dem steht aber entgegen, dass bei kleineren Domänen zum einen insgesamt mehr Domänencontroller erforderlich sind und das Risiko wächst, dass in einem räumlich verteilten Netzwerk nicht alle Informationen lokal vorhanden sind. Im Ergebnis sprechen die bei weitem meisten Argumente dafür, tendenziell größere Domänen aufzubauen. Dafür spricht auch, dass das Verschieben von Objekten zwischen Domänen sehr viel schwieriger und aufwendiger als innerhalb einer Domäne ist.
Forests schließlich erlauben die Integration mehrerer Domänenbäume zu einem Netzwerk mit einer gemeinsamen Sicherheitsinfrastruktur, in dem es durchgehende, automatisch definierte Vertrauensstellungen gibt und damit jedem Benutzer jeder Domäne im Forest in jeder anderen Domäne einfach Zugriffsberechtigungen gewährt werden können. Forests werden immer dann gebildet, wenn die Domänen unterschiedliche Namensräume wie http://www.kuppinger.com und http://www.it-networks.com haben, aber dennoch in einem gemeinsamen Netzwerk integriert werden sollen.
Die technische Basis für das Active Directory wird von der Exchange-Technologie gebildet. Microsoft hat diese als Fundament für die Entwicklung seines Verzeichnisdienstes verwendet. Dennoch ist der Schritt von den bisherigen Exchange Server-Verzeichnisstrukturen hin zum Active Directory nicht zu unterschätzen, da die logische Abbildung von Objekten fundamental verändert wurde, wie sich schon an den oben beschriebenen Modellen der Domänenstrukturen, Forests und organisatorischen Einheiten erkennen lässt. Das bedeutet, dass weder bestehende Exchange Server-Lösungen so einfach übernommen werden können noch das Active Directory ohne Berücksichtigung der Einflüsse, die durch den Exchange Server 2000 entstehen, konzipiert werden können. Insbesondere sollte das Konzept des Active Directory so gestaltet werden, dass der Exchange Server 2000 in optimaler Weise eingerichtet werden kann, ohne dass Objekte zwischen Domänen verschoben werden müssen.

Einflussfaktoren des Exchange Server 2000
Zwischen dem Exchange Server 2000 und dem Active Directory gibt es eine Vielzahl von Abhängigkeiten. Das beginnt damit, dass der Exchange Server 2000 das Schema des Active Directory um gut 150 Objektklassen und über 800 Attribute erweitert. Rund 275 dieser Attribute - die Zahlen können sich bis zur Final-Version noch etwas verändern - werden im Global Catalog gespeichert. Dieser stellt einen Meta-Index für einen Forest des Active Directory dar und speichert wichtige Informationen aus allen Domänen innerhalb des Forests. Es gibt in der Regel einen Global Catalog-Server pro Site.
Der Exchange Server 2000 setzt einen direkten Zugriff auf einen Global Catalog-Server über eine LAN-Verbindung voraus, um effizient kommunizieren zu können. Dabei ist es auch wichtig, den Site-Begriff des Active Directory zu verstehen. Sites repräsentieren im Active Directory wirklich nur Standorte im Sinne der physischen Struktur des Netzwerks und sind von der logischen Struktur völlig unabhängig. Domänen können sich über mehrere Sites erstrecken, ebenso wie es in einer Site mehrere Domänen geben kann. Der Site-Begriff des Active Directory darf also unter keinen Umständen mit dem von früheren Exchange Server-Versionen verwechselt werden.
Der Global Catalog dient nun auch als Basis für die Global Address List. Während diese bisher auf Basis aller vom Exchange Server verwalteten Benutzer erzeugt wurde, finden sich hier nun Informationen aus dem Global Catalog. Da dieser wiederum Teilinformationen aus allen Domänen eines Forests konsolidiert, sind in der Global Address List also alle Benutzer eines Forests zu finden. Eine Exchange-Organisation kann sich nicht über mehrere Forests erstrecken. Hier kommt noch hinzu, dass mehrere Forests des Active Directory nicht nachträglich kombiniert werden können, wenn sich das Schema - also das intern verwendete Datenmodell - unterscheidet.
Unproblematisch sind dagegen die Abhängigkeiten zwischen den Namen. Aus Sicht der Benutzer sollten die UPN (User Principal Names) von Anwendern zwar identisch mit den eMail-Adressen sein. UPNs sind einheitliche Namen, die für die Anmeldung, aber auch die Identifikation von Benutzern verwendet werden können und beispielsweise die Form mkuppinger@it-networks.com haben. Diese müssen aber nicht unbedingt identisch mit den beim Exchange Server 2000 verwendeten eMail-Adressen sein.
Auch die Replikation des Exchange Server wird über das Active Directory durchgeführt. Das ist auch logisch, da alle Informationen des Exchange Server im Active Directory gespeichert werden. Teile der Informationen sind dabei nur innerhalb einer Domäne direkt verfügbar. Dabei handelt es sich allerdings um Informationen, die insbesondere für systeminterne Zwecke benötigt werden. Die Informationen wie Benutzername oder eMail-Adresse, die überall innerhalb einer Exchange Server-Organisation benötigt werden, werden dagegen auch im Global Catalog gespeichert und damit auch über die Grenze einer Domäne hinweg repliziert.
Die größten Abhängigkeiten zwischen dem Exchange Server 2000 und dem Active Directory liegen damit in zwei Bereichen. Zum einen muss die Struktur von Forests an die geplanten Organisationen des Exchange Server angepasst werden. Alle Domänen, deren Benutzer innerhalb eines auf dem Exchange Server 2000 basierenden Mail-Systems arbeiten sollen, müssen in einem Forest zusammengefasst werden. Anders formuliert: Der Exchange Server 2000 zwingt zu einer - ohnehin unbedingt empfehlenswerten - unternehmensweiten Konzeption für das Active Directory. Zum anderen muss sichergestellt sein, dass die Server, auf denen der Exchange Server 2000 ausgeführt wird, lokalen Zugriff zu Global Catalog Servern haben.
Dagegen hat der Exchange Server 2000 keine signifikanten Auswirkungen auf die Frage, ob beispielsweise mit Domänen oder organisatorischen Einheiten gearbeitet werden sollte oder wie das Active Directory logisch aufgebaut wird. Hier gilt, dass sich die Struktur des Active Directory an der Struktur der Organisation orientieren sollte. Davon profitieren dann sowohl der Exchange Server, der dann ebenfalls auf den organisatorischen Strukturen aufsetzt, als auch andere Anwendungen wie beispielsweise interne "Who is Who"-Lösungen, die auf dem Active Directory basieren.
Zusammenfassend könnte man auch sagen, dass die Einführung des Exchange Server 2000 dann verhältnismäßig unproblematisch sein wird, wenn man die generellen Designregeln für die Strukturierung des Active Directory beachtet hat und in einem unternehmensweiten Projekt mit nur einem Forest gearbeitet wurde. Designfehler im Active Directory schlagen dagegen auch auf den Exchange Server 2000 durch.

Martin Kuppinger ist geschäftsführender Gesellschafter der Ludwigsburger IT-Networks GmbH, einem auf Wissens- und Informationsmanagementlösungen spezialisierten Unternehmen, das unter anderem MCSP und Lotus Business Partner ist. Er hat bei Microsoft Press bereits drei Bücher zu Windows 2000, darunter "Windows 2000 Migrationsplanung" und "Windows 2000 Server. Das Handbuch" veröffentlicht.

IT-Networks GmbH
Martin Kuppinger
Schlossdomäne Monrepos 7
71634 Ludwigsburg
martin@kuppinger.com
www.it-networks.com
Tel. 07141-22152-0
Fax 07141-22152-21

  Top
Letzte Änderung an dieser Datei: 25 Jul 2017 23:46     © 2002 Computerjockey