3 Entwerfen von Identitäts- und

Transkript

1 3 Entwerfen von Identitäts- und Zugriffsmanagementkomponenten Prüfungsanforderungen von Microsoft: Designing Support Identity and Access Management Components o Plan for domain or forest migration, upgrade, and restructuring o Design the branch office deployment o Design and implement public key infrastructure o Plan for interoperability Quelle: Microsoft Lernziele: Planen der Domänenmigration, des Upgrades und der Umstrukturierung Entwerfen einer Zweigstelleneinrichtung Entwerfen und Einrichten der Public Key Infrastruktur Planen der Interoperabilität 3.1 Einführung In vielen Fällen müssen Sie sich auch um die Randbedingungen einer Domänenplanung kümmern, indem Sie sich mit der vorhandenen Active Directory Struktur entweder abfinden müssen, oder Sie ändern müssen. Diese Entscheidung werden Sie auch in Bezug auf eine Zweigstelleneinrichtung treffen müssen, da Windows Server 2008 hier andere Möglichkeiten bietet, als die vorherigen Versionen. 241

2 Planen von Domänenmigration, Upgrade und der Umstrukturierung 3.2 Planen von Domänenmigration, Upgrade und der Umstrukturierung Wenn Sie bereits eine Infrastruktur vorfinden, müssen Sie diese zunächst analysieren, und dann Entscheidungen treffen, ob Sie mit dieser Infrastruktur leben können, oder nicht. Meistens werden Sie sich für den Einsatz von Windows Server 2008 entscheiden, um alle Funktionen zur Verfügung zu haben. Allerdings sind nicht alle Szenarien durchführbar. Mögliche Szenarien mit Windows Server 2008 Umgebung Windows 2000: In einer Windows 2000 Gesamtstruktur kann ein Windows Server 2008 als zusätzlicher Domänencontroller (DC) zu einer bestehenden Domäne hinzugefügt werden. Umgebung Windows Server 2003: In einer Windows 2003 oder R2 Gesamtstruktur kann ein Windows Server 2008 als zusätzlicher Domänencontroller zu einer bestehenden Domäne hinzugefügt werden. Ein Windows Server 2003 mit mindestens dem Service Pack 1 oder Windows Server 2003 R2 Domänencontroller, kann per Inplace-Update auf Windows Server 2008 aktualisiert werden. Nicht machbare Änderungen Umgebung Windows NT: Ein Inplace-Update von Windows NT auf Windows Server 2008 ist nicht möglich. Umgebung Windows 2000: Ein Inplace-Update von Windows 2000 auf Windows Server 2008 ist nicht möglich. Umgebung Windows Server 2003: Ein Inplace-Update von einem Windows Server 2003/R2 Domänencontroller (oder Mitgliedsserver) mit Exchange Server

3 auf Windows Server 2008 kann nicht durchgeführt werden Ein Inplace-Update von früheren Server Betriebssystemen, ist auf den Windows Server 2008 Core nicht möglich Ein Cross-Update von einem x86 auf x64 System kann nicht durchgeführt werden Ein Cross-Update auf eine andere Betriebssystem-Sprache kann nicht durchgeführt werden Das Inplace-Upgrade Bei einem Inplace-Upgrade werden einfach nur die Domänencontroller auf Windows Server 2008 upgegraded. Im einfachsten Fall wird zunächst ein zusätzlicher Domänencontroller mit Windows Server 2008 installiert, und dann werden die anderen Domänencontroller upgegraded. Eine gute Möglichkeit, ein Inplace-Upgrade zu beginnen, ist die Installation eines zusätzlichen Domänencontrollers, und die Übertragung aller FSMO- Rollen auf diesen. Auch der Globale Katalog sollte übertragen werden. Danach können Sie alle anderen Domänencontroller bearbeiten. Um ein Inplace-Upgrade durchführen zu können, müssen natürlich einige Voraussetzungen erfüllt sein: Voraussetzungen Domänenfunktionsmodus Die Domäne, der ein Windows Server 2008 Domänencontroller hinzugefügt werden soll, muss sich mindestens im Domänenfunktionsmodus Windows 2000 pur befinden. Gesamtstrukturfunktionsmodus Um nur einen Domänencontroller zu einer bestehenden Domäne hinzufügen zu können, ist der Gesamtstrukturfunktionsmodus egal. Allerdings: Sollten Sie die Benutzung eines RODC planen, muss der Gesamtstrukturfunktionsmodus Windows Server 2003 oder höher sein. Betriebssystem der Domänencontroller Alle Domänencontroller in der Gesamtstruktur sollten sich mindestens auf Windows 2000 Server mit Service Pack 4 befinden. 243

4 Planen von Domänenmigration, Upgrade und der Umstrukturierung Allerdings: Für ein späteres Upgrade dieser einzelnen Domänencontroller ist ein direktes Upgrade auf Windows Server 2008 von Windows 2000 nicht möglich! Sie müssen erst auf Windows Server 2003 upgraden. Hinzufügen des ersten Domänencontrollers zu einer bestehenden Gesamtstruktur Um einen Domänencontroller mit Windows Server 2008 zu einer bestehenden Domäne hinzufügen zu können, müssen Sie das bestehende Schema aktualisieren. Windows Server 2008 benutzt ein deutlich leistungsfähigeres Schema, als alle Vorgängerversionen, und kann nur funktionieren, wenn dieses Schema vor der Installation als zusätzlicher Domänencontroller bereits vorhanden ist. Deswegen bleibt uns nichts anderes übrig, als die Schemaerweiterung im Vorfeld nach ganz bestimmten Richtlinien durchzuführen. Schritt 1: adprep /forestprep Um die Schemaänderung zu beginnen, legen Sie auf dem bestehenden Schemamaster die Server 2008 DVD ein, wechseln Sie ins Verzeichnis \Sources\adprep, und geben Sie den Befehl adprep /forestprep ein. Abbildung 3.1: adprep /forestprep Bitte beachten Sie, dass Sie zur Bestätigung nicht einfach die Eingabetaste drücken, sondern c eingeben, und dann erst die Eingabetaste drücken! 244

5 Es ist wichtig, diesen Schritt auf dem Schemamaster auszuführen. Wenn Sie adprep /forestprep auf einem anderen Domänencontroller als dem Schemamaster starten, erhalten Sie eine Fehlermeldung, und das Tool bricht den Vorgang ab. Damit Sie diesen Befehl ausführen können, müssen Sie Mitglied in folgenden Sicherheitsgruppen sein: Organisations-Admins Schema-Admins Domänen-Admins in der Domäne, in der der Schema-Master Mitglied ist Was bewirkt der Befehl? Es werden neue Klassen und Attribute erzeugt, und dem bestehenden Schema hinzugefügt. Theoretisch können Sie diese Änderungen natürlich auch händisch vornehmen, aber davon kann ich Ihnen nur abraten. Das Tool ADPREP macht es sicher und zuverlässig! Warten Sie bitte nach dem Ausführen des Befehls adprep /Forestprep eine Weile ab, bis die Schemaänderungen wirklich an alle Domänencontroller der Gesamtstruktur repliziert worden sind! Machen Sie erst nach der Replikation die nächsten Konfigurationsschritte! Schritt 2: adprep /domainprep /gpprep Der nächste Schritt ist die Eingabe des Befehls adprep /domainprep /gpprep auf dem bestehenden Infrastrukturmaster in der Domäne, der man den Windows Server 2008 Domänencontroller hinzufügen möchte. Abbildung 3.2: adprep /domainprep /gpprep Auch hier ist es so, dass das Tool den Vorgang abbricht, wenn die Änderungen nicht auf dem Infrastrukturmaster vorgenommen werden. 245

6 Planen von Domänenmigration, Upgrade und der Umstrukturierung Wenn Sie eine Gesamtstruktur haben, müssen Sie diesen Befehl natürlich in allen Domänen durchführen, die Sie mit einem Windows Server 2008 Domänencontroller ausstatten wollen. Die Berechtigung, die Sie hierfür benötigen, ist natürlich nur die Mitgliedschaft in der Gruppe der jeweiligen Domänen Admins. Was bewirkt der Befehl? mit /domainprep werden Änderungen an der Domänenpartition durchgeführt, /gpprep erreicht eine Änderung der Berechtigungen im Sysvol-Verzeichnis, wo die Gruppenrichtlinien gespeichert sind. 3. Schritt: adprep /rodcprep (optional) Sollten Sie einen RODC einsetzen wollen, muss das Schema auch darauf vorbereitet werden. Abbildung 3.3: adprep /rodcprep Dieser Befehl muss nur ein einziges Mal ausgeführt werden, und es ist auch völlig egal, auf welchem Domänencontroller in der Gesamtstruktur er aufgerufen wird. Das Tool nimmt beim Ausführen Kontakt zu allen Infrastrukturmastern in der Gesamtstruktur auf, und nimmt die benötigten Einstellungen vor. Die benötigten Berechtigungen für diese Vorbereitung ist die Mitgliedschaft in der Gruppe der Organisations-Admins. 246

7 Zusammenfassung des Inplace-Upgrades: Folgende Schritte müssen Sie vornehmen: adprep /forestprep auf dem Schemamaster adprep /domainprep /gpprep auf dem Infrastrukturmaster Wenn RODC geplant: adprep /rodcprep auf einem beliebigen Domänencontroller Migration und Restrukturierung Es wird Szenarien geben, in denen möchten Sie nicht mit dem alten Szenario leben, sondern möchten eine neue Domäne oder eine neue Gesamtstruktur erstellen, in der sich zukünftig alle Konten befinden sollen. Oder Sie möchten eine Domänenkonsolidierung durchführen, eventuell werden die bestehenden untergeordneten Domänen nicht mehr benötigt. Ein wichtiges Szenario für die Konsolidierung einer bestehenden Struktur in eine einzelne Domäne ist die Möglichkeit, mehrere Kennwortrichtlinien zu vergeben! Dies war in vorherigen Versionen des Windows Servers nicht möglich. Aus diesem Grund mussten bisher immer mehrere Domänen erstellt werden, wenn verschiedene Anforderungen an die Kennwortrichtlinien bestanden. Windows Server 2008 kann ja bekanntlich mehrere Kennwortrichtlinien verwalten, und allein schon aus diesem Grund ist es möglich, eine komplexe Struktur zu konsolidieren. Eine weitere Anwendungsmöglichkeit für eine Migration ist das Sichern von Servern. Wenn Sie beispielsweise bestimmte Server vor den täglichen Gefahren, die eine Domäne gefährden, schützen möchten, dann könnten Sie eine neue Domäne erstellen, und diese an die produktive Domäne nur mit unidirektionalen Vertrauensstellungen anschließen. In diese neue Domäne verschieben Sie dann die Server. Sollte nun ein Problem in der produktiven Domäne auftauchen, betrifft es in keinster Weise die durch Migration ausgelagerten Server. Allerdings ist die Komplexität einer Migration in eine neue Umgebung nicht zu unterschätzen: 247