tippsblog.ch » AD

Windows 2003 Server HowTo: Teil5: Installation von Active Directory

Martin — Sat, 26 Apr 2008 08:00:40 +0000

Im letzten Teil haben wir uns um die Grundlagen von Active Directory gekümmert. Wir wissen nun, was ein Verzeichnisdienst ist und was die Voraussetzungen für ein Active Directory nötig sind.

In diesem Teil geht es darum, Active Directory zu installieren. Wir brauchen für dieses HowTo die Windows 2003 Server Installations CD.

Wir starten den Server, welcher wir bereits installiert haben.

Vorbereitung für die Installation von AD

Als erstes werden wir die 2. Netzwerkkarte, welche wir zusätzlich installiert haben und gebridged ist, deaktivieren. Dieser Schritt ist notwendig, damit es keine Probleme bei der Installation von AD gibt.

Dazu machen wir einen Doppelklick auf die Netzwerkkarte in VMware, die gebridged ist und disconnecten diese Karte, so wie dies auf dem Screenshot zu sehen ist.

Einen Neustart des Servers ist nicht nötig.

Eine weitere Voraussetzung für die Installation von AD ist, das die Netzwerkkarte, welche noch verbleibend im System vorhanden ist, eine fixe IP Adresse hat. Also kontrollieren wir im Server, ob dies so eingestellt ist, wie dies auf dem Screenshot zu sehen ist:

Der Eintrag für die DNS Server lassen wir leer. Später wird dann unser eigener Server ein DNS Server sein.

Nun sind die Voraussetzungen geschaffen, damit wir die Installation von AD beginnen können.

Installation von AD

Nun wechseln wir auf den Server in VMware. Start -> Ausführen dcpromo eingeben und mit OK bestätigen Jetzt wird der Assistent gestartet, um Active Directory zu installieren

Mit einem Klick auf Weiter erscheint eine Hinweismeldung, die man beachten sollte, wenn man den Server in einem hetrogenen Netz betreiben möchte, also mit unterschiedlichen Betriebssystemen. Mit einem Klick auf Weiter gelangen wir zum nächsten Schritt.

Jetzt muss der Typ des Domänencontrollers ausgewählt werden. Da wir über noch keine bestehende Domäne verfügen, wählen wir die vordefinierte Option.

Die Domänenstruktur definiert, ob die neu erstellte Domäne in eine Bereits bestehende Strukur eingefügt werden soll oder nicht. In unserem HowTo werden wir auch die voreingestellte Option auswählen, da wir unsere erste Domäne erstellen.

Nun stellt der Assistent fest, das auf dem Server noch kein DNS Server konfiguriert ist. Der DNS Server ist Grundvoraussetzung, damit AD überhaupt lauffähig ist. Wir möchten, das der Assistent der DNS Server selbst konfiguriert und wählen deshalb die 2. Option aus.

Im nächsten Schritt müssen wir der Domäne einen Namen geben. Ich empfehle keine Domänennamen wie bern.ch oder bern.de, da es oft zu Problemen führen kann mit dem Top Level Domains im Internet. Namen wie bern.local wäre passend.

Wenn man auf Weiter klickt, dauert es einen Augenblick, also nicht gleich das Gefühl haben, der Assistent sei abgestürtzt.

Nun wird noch der NetBIOS Name definiert. Am besten lässt man der vorgeschlagenen Namen.

Jetzt wird der Speicherort der Active Directory Datenbank definiert. In unserem Beispiel belassen wir diesen vorgeschlagenen Speicherort. Jedoch ist es oft so, das dieser aus Performance Gründen auf eine andere, physikalische Festplatte, geändert wird, was auch Sinn macht, aber in unserem HowTo absolut nicht notwendig ist.

Im nächsten Schritt muss der Speicherort der Dateien, die öffentlich Zugänglich sind, definiert werden. Diesen Speicherort belassen wir auf der Standardeinstellung.

Jetzt wird nach der Standardberechtigung für die Benutzer und Gruppenobjekte gefragt. Hier wird die 2. Option gewählt, da wir nur Windows 2003 Server kompatible Berechtigungen verwenden werden. Die obere Option ist nur dann notwendig, wenn noch Windows Server im Einsatz sind, welche vor der Version Windows 2000 Server installiert sind, da diese kein Active Directory kennen.

Sollte Active Directory mal beschädigt sein, muss dies wiederhergestellt werden und dafür benutzt man ein Passwort. Das wird in diesem Schritt definiert. Es sollte ein sehr sicheres Passwort gewählt werden.

Nun erfolgt noch die Zusammenfassung der gemachten Einstellungen und mit einem Klick auf Weiter, wird die Installation von AD gestartet. Das dauert einen Augenblick. Ist die Installation abgeschlossen, erscheint ein weiteres Dialogfenster, das mit Fertigstellen bestätigt wird. Nun muss der Server neu gestartet werden. Nicht erschrecken, wenn der Server länger beim Start hat, als vorher, das ist völlig normal, wenn AD installiert ist.

Nach der Installation gibt es im Startmenu unter Verwaltung drei neue Einträge, mit welchen man das Active Directory verwalten kann:

Auch ist in der Verwaltung die Konsole für den DNS Server hinzugefügt worden:

Somit ist die Installation von AD abgeschlossen. Im nächsten HowTo werden wir zusätzlich noch die Windows 2003 Administrator Tools installieren, welche weitere Instrumente zur Verwaltung des Server bieten.

Windows 2003 Server HowTo Teil4: Grundlagen Active Directory

Martin — Thu, 17 Apr 2008 07:53:24 +0000

Nun ist unser Windows 2003 Server mit allen Service Packs und Patches aktualisiert worden. Jetzt geht es ans eingemachte. In diesem HowTo Teil 4 geht’s als erstes darum die Grundlagen von Active Directory (AD) zu erarbeiten. So erhält man ein besseres Verständnis für die Funktionsweise von Active Directory. Man könnte ganze Bücher über die Funktionsweise von Active Directory füllen und man wäre noch nicht am Ende. Ich beschränke mich auf die wirklich wichtigen Grundlagen, die meiner Meinung nach wichtig sind.

Was ist ein Verzeichnisdienst?

Ein Verzeichnisdienst ist das Herzstück einer IT Umgebung. Dort werden Ressourcen wie Benutzer, Gruppen, Computer, Freigaben und Kontakte zentral verwaltet. Im Grunde genommen ist es eine riesige Datenbank, welche Richtlinien und Objekte für andere Subsysteme wie Mailserver (Exchange) zur Verfügung stellt. Anhand der hinterlegten Objekte und Sicherheitsrichtlinen weis das Subsystem, welche Berechtigungen und/oder Sicherheitsrichtlinen für jeden Benutzer oder ein anderes Objekt hinterlegt ist.

Der Verzeichnisdienst ist keine Erfindung von Microsoft, sondern vorreiter ist Novell wo der Verzeichnisdienst als Novell Directory Service (NDS) bekannt geworden ist, heute heisst der Dienst bei Novell eDirectory.

Jeder Verzeichnisdienst hat als Grundlage den X.500 Standard um auch Kompatibilität zu Unix Systemen zu gewährleisten. Gerade in einem heterogenen (Netzwerk von verschiedenen Betriebssystemen) Netzwerk ist dies sehr wichtig.

Vorteile von Verzeichnisdiensten

Hier 6 Vorteile von Verzeichnisdiensten innerhalb einer Firma:

Skallierbarkeit: Jede Firma kann in seiner Grösse und somit auch in der Anzahl Mitarbeiter wachsen. Daher ist es wichtig, das auch die Verwaltung von Ressourcen fähig ist, solche Änderungen mitzumachen. Eingeschlossen sind auch Standortwechsel oder weitere Standorte in die IT Infrastruktur eingeflochten werden müssen. Mit einem Verzeichnisdienst ist dies einfach zu bewerkstelligen.
Erweiterbarkeit: Mit Erweiterbearkeit ist gemeint, das es auch ohne Probleme möglich ist, weitere IT Infrastruktur in Form eines Mailservers als Beispiel zu erweitern. Oder auch andere Messaging Systeme zu integrieren.
Sicherheit: Durch einen Verzeichnisdienst kann klar definiert werden, welche Rechte ein Benutzer auf andere Objekte in einem Verzeichnisdienst hat. Es werden sogenannte Access Control Lists ACL (Zugriffskontrolllisten) geführt.
Verfügbarkeit: Es ist ohne Probleme möglich, mehrere Domänencontroller zu betreiben und bei einem Ausfall eines Domänenkontrollers diesen durch einen funktionsfähigen zu ersetzen.
Performance: Ein Verzeichnisdienst ist dazu ausgelegt, schnell Informationen zu finden und an die entsprechende Stelle oder Applikation zu liefern.

Aus was bestehen Informationen, welche in einem Verzeichnisdienst gespeichert werden?

Informationen werden in einem Verzeichnisdienst als Objekte erfasst, welche hierarchisch angeordnet sind. Jedes Objekt kann mehrere Attribute und dazugehörige Werte haben.

Ein Beispiel:

Jedes Objekt hat einen einzigartigen Namen, den sogenannten Distinguished Name (Definierter Name) (DN). Alle Informationen, also Objekte, werden als Directory Information Base (DIB) bezeichnet.

Hierarchische Anordnung der DIB

Die DIB selbst ist ebenfalls hierarchisch angeordnet und wird als DIT (Directory Information Tree) bezeichnet. An erster Stelle und somit zuoberst ist immer Root. An Root werden beispielsweise Objekte wie Benutzer und Computer angehänkt, aber auch Organisationseinheiten, Domänen, Standorte usw. einer Firma.

Als Beispiel einer DIT:

In einer DIT wird unterschieden zwischen Non-Leaf-Objekten, also Objekte, welche weitere Unterobjekte besitzen, in unserem Beispiel die Domäne (DC) und Leaf-Objekten, welche keine weiteren Unterobjekte besitzen, also die Mitarbeiter in unserem Beispiel.

Eindeutige Namen der Objekte

Um Objekte in einem Verzeichnisdienst eindeutig identifizieren zu können, hat jedes Objekt mindestens einen eindeutigen Namen. Ein Objekt kann aber auch unterschiedliche Namen besitzen, da auch verschiedene Anwendungen auf das Objekt zugreifen.

Dies sind folgende Namen:

Distinguished Name (DN)
Relative Distinguished Name (RDN)
User Principal Name (UPN)
Canonical Name (CNAME)

Machen wir ein Beispiel:
Die Firma tiger.com hat Standorte in San Francisco und Las Vegas. Im Standort Las Vegas gibt es Abteilungen wie IT, Sales und HR. In der Abteilung IT arbeitet Jack Tiger.

Das Objekt (Mitarbeiter) Jack Tiger hätte nun folgende Namen:

DN: cn=Jack Tiger, ou=IT, ou=Las Vegas, dc=tiger, dc=com
RDN: cn=Jack Tiger
UPN: jack.tiger@tiger.com
CNAME: tiger.com/Las Vegas/IT/Jack Tiger

Der DN Name ist der wichtigste und wird oft verwendet.

Was ist nun Active Directory?

Active Directory ist ein Microsoft Produkt, das erstmals in Windows 2000 Server Verwendung fand und basiert auf dem Verzeichnisdienst. In AD werden Objekte verwaltet, welche über eine Domäne (Domain Controller) an die verschiedensten Dienste, welche diese Informationen benötigen, zur Verfügung gestellt werden. Also ohne Domäne, kein Active Directory. Das werdet Ihr dann bei der Installation sehen.

Planung eines Active Directory

Eine Planung von Active Directory kann folgendermassen aussehen:

Installation von Windows 2003 Server
Installation DNS
Installation von Active Directory
Erstellen von Organisationseinheiten (OU)
Erstellen und Verwalten von Netzwerkressourcen
Erstellen von Standorten und Replikationen
Backup / Restore von Active Directory
Implementieren in den operativen Betrieb

Die Struktur eines Active Directory

Es wird unterschieden zwischen einer logischen Struktur und einer physikalische Struktur.

Eine logische Struktur besteht aus:

Objekte (Benutzer, Computer, Gruppen, Freigaben usw.):
Die häufigsten Objekte sind Benutzer, Computer, Freigaben, Gruppen, Drucker usw. welche als Objekte im AD gespeichert werden. Wir haben ja gelernt, das ein solches Objekt viele unterschiedliche Attribute haben kann.

Organisationseinheiten (OU):
Organisationseinheiten dienen dazu, Objekte innerhalb einer Domäne zu Strukturieren. OU’s sind auch zur Delegation von Verwaltungsaufgaben und zur Implementierung von Gruppenrichtlinen zu benutzen.

Domäne:
Wie bereits erwähnt, gibt es ohne Domäne kein AD. Ein AD besteht aus mindenstens einer Domäne und Forest (dazu später mehr). In einer Domäne können Millionen von Objekten gespeichert werden. Jede Domäne verfügt über eigene Sicherheitseinstellungen, die unabhängig von anderen Domänen funktionieren. Eine Domäne besteht aus einen Namen, beispielsweise tiger.com die über einen DNS Server vergeben wird.

Struktur (Tree):
Ein Tree beschreibt die erste Domäne (Root Domain) an welcher weitere Domänen angehängt werden können. Das ganze Gebilde ist dann ein Tree.

Gesamtstruktur (Forest):
In der Gesamtstruktur ist das ganze Verzeichnis gemeint, das aus mehreren Domänen und AD’s bestehen kann. (Tree = Bäume und Forest = Wald)

Vertrauensstellungen (Trusts):
Vertrauensstellungen sind Verknüpfungen zwischen verschiedenen Domänen. So ist es z.B. möglich, sich auf einer anderen Domäne als User anzumelden, aber die gleichen Zugriff zu haben, die man bei einer anderen Domäne ebenfalls hat. Es gibt verschiedene Vertrauensstellungen, aber auf die werde ich hier nicht eingehen, da es den Rahmen eindeutig sprängen würde.

So, nun das sollte es gewesen sein. Auf die physikalische Struktur einer Domäne und AD gehe ich nicht ein. Bald werden wir dann dieses Theoretische Wissen über Domäne und AD auch in unserem HowTo anwenden können.

Update 18.04.2008: Wie die beiden Stefan’s richtig erkannt haben, sollte man für den Domänennamen keine Endung einer Toplevel Domain wählen, sondern am besten wären in diesem Beispiel tiger.local. Sonst kann es zu Problemen führen mit dem DNS Server.

Windows 2003 Server HowTo: Übersicht und Themen

Martin — Sun, 09 Mar 2008 23:38:39 +0000

In den nächsten Wochen und Monaten startet eine ganze Reihe von Blog Beiträgen, die sich mit der Installation, Konfiguration und Administration von Microsoft Windows 2003 Server beschäftigt. Dabei wird das Augenmerk auf Einfachheit gelegt. Die Installation und Konfiguration kann auch auf einem normalen Rechner nachvollzogen werden.

Übersicht über die geplanten Themen

Empfohlene Systemvoraussetzungen für W2K3 Server Standard Edition
Erstellen eines Teams in VMware, Netzwerksegment und virtuellen PC für W2K3 Server
Installation von Microsoft Windows 2003 Server in VMware
Implementieren von DNS Server
Konfiguration von DNS Server
Erstellen von MX Records
Erstellen von A Records
Grundlagen einer Domäne
Installation einer Domäne
XP und Vista Client in eine Domäne einbinden
GPO auf Domänenebene konfigurieren
Grundlagen zu Active Directory (AD)
Installation von AD
Benutzerspezifische Konfiguration in AD
Eine kleine Firma in AD planen und abbilden
Grundlagen von FTP Server
Installation von FTP Server
Grundlagen von Webserver
Installation von Webserver
….

Voraussetzungen

Gültige Windows 2003 Server Lizenz (Standard Edition genügt völlig).
Gültige VMware Workstation Lizenz ab Version 6.0.
Einen einigermassen gut ausgerüsteter Rechner mit mindestens 2 GB RAM.
Viel Zeit und Interesse

Das Hostsystem spielt dabei keine Rolle, es muss einfach VMware darauf laufen.

Eure Vorschläge

Wer weitere Vorschläge für Themen hat, soll sich doch am besten direkt an die Kommentare anhängen. Ich bin für alles offen.

tippsblog.ch » AD

Windows 2003 Server HowTo: Teil5: Installation von Active Directory

Vorbereitung für die Installation von AD

Installation von AD

Verwandte Beiträge:

Windows 2003 Server HowTo Teil4: Grundlagen Active Directory

Was ist ein Verzeichnisdienst?

Vorteile von Verzeichnisdiensten

Aus was bestehen Informationen, welche in einem Verzeichnisdienst gespeichert werden?

Hierarchische Anordnung der DIB

Eindeutige Namen der Objekte

Was ist nun Active Directory?

Planung eines Active Directory

Die Struktur eines Active Directory

Verwandte Beiträge:

Windows 2003 Server HowTo: Übersicht und Themen

Übersicht über die geplanten Themen

Voraussetzungen

Eure Vorschläge

Verwandte Beiträge: