Die Active Directory Domain Services unter Windows Server 2008 bieten zahlreiche neue Möglichkeiten, mit Hilfe derer Sie Domänen konsolidieren können,

Präsentation zum Thema: "Die Active Directory Domain Services unter Windows Server 2008 bieten zahlreiche neue Möglichkeiten, mit Hilfe derer Sie Domänen konsolidieren können,"—  Präsentation transkript:

1 Die Active Directory Domain Services unter Windows Server 2008 bieten zahlreiche neue Möglichkeiten, mit Hilfe derer Sie Domänen konsolidieren können, sich besser auf eine Wiederherstellung des Active Directory vorbereiten können, Ihre Außenstandorte sicherer machen oder nur die Administration vereinfachen. In dieser Session erhalten Sie eine Übersicht über die wichtigsten Änderungen im Active Directory und erfahren eine Menge Tipps und Tricks von den Experten. NEXT:

2 Ulf B. Simon-Weidner Senior Consultant, Trainer, Autor

3 Active Directory Active Directory Domain Services Active Directory Application Mode Active Directory Leightweight Domain Services Active Directory Federation Services Rights Management Services Active Directory Rights Management Services Certificate Services Active Directory Certificate Services

4 Servermanager: Installation der Active Directory Produkte als Rollen Überwachung der Standarddienste für Active Directory Domänenkontroller Installations Assistent (DCPromo): Implementieren von Best Practices bei der Standardinstallation Einrichten von DNS-Weiterleitungen und –Delegationen Aktivieren des Globalen Katalogservers Installation von Read-Only-Domänenkontrollern (wenn gewollt in zwei Stufen) Erstellen von Unattended-Dateien Installation über Kommandozeile möglich

5 Bessere Integration der Konsolen Attribute Editor LDP Server Manager Überwachung der Rolle Administration der Rolle Performance Analyzer

6 Herausforderung: Sicherheit in verteilten Infrastrukturen (ungesicherter Domänenkontroller) Lösung: Read-Only-Domänenkontroller AD-DS, DNS und GC für Filialbüros Akzeptiert keine Änderungen (write-referral) "Cached Secrets" werden nur repliziert, wenn sie in der "Allow-Liste" sind Administratorenkonten sind standard- mäßig in der "Deny-Liste", deren Passwörter werden nicht auf den RODCs gecached RO-PAS: Attribute können von der Replikation auf RODCs ausgenommen werden

7 Erläuterungen DNS-Updates Mehrere Domänen Mehrere RODCs in einem Standort Exchange

8 Bisher: Directory Services Restore Modus für viele Wartungsaufgaben notwendig Neu: Active Directory lässt sich stoppen, bestimmte Wartungsaufgaben wie Offline-Defragmentierung können in diesem Modus durchgeführt werden Vorteil: Weniger "Downtime", besser per Script ausführbar Achtung: DSRM-Administrator kann sich nicht bei gestopptem DS anmelden, aber: HKLM\system\currentcontrolset\Control\Lsa DsrmAdminLogonBehavior: REG_DWORD 0: DSRM-Admin kann sich nur im DSRM anmelden (Standardeinstellung) 1: DSRM-Admin kann sich im DSRM und wenn NTDS gestoppt ist anmelden 2: DSRM-Admin kann sich jederzeit anmelden

9 Passwort Einstellungen Bisher: eine Passwort-Richtlinie pro Domäne Neu: Passwort- und Kontosperrung können beliebig definiert werden Werden Gruppen oder Benutzerkonten zugeordnet "Precedence" bestimmt im Konfliktfall welche Einstellung angewendet wird Voraussetzung: Domäne im Windows Server 2008-Modus (alle DCs der Domäne auf Windows Server 2008) Wie: Password Settings Object in cn=Password Settings, cn=System, dc=... erstellen, dann mit Gruppe (oder Benutzer) verlinken

10 Erläuterungen GUI / Tools Warum auf Gruppen/User statt Ous? Warum nicht über GPO verwaltet?

11 Active Directory-Snapshots Snapshot kann online erstellt werden Snapshot hält aktuellen Stand des AD komplett fest Snapshot / Backup kann jederzeit als zusätzliches LDAP-Verzeichnis gestartet werden Online Zugriff mittels LDAP-Browser/Scripts Mehrwert: Active Directory-Recovery (Objekte / Attribute) Identifizieren des richtigen AD-Backups

12 Lokales Backup / Versionierung auf Fileserver / Band Schneller Restore der "gestrigen" Daten Restore der letzten Tagesversionen über Netzwerk Install from Media Active Directory-Recoverysite Online-Recovery Domain- / Forest-Recovery Active Directory-Snapshots Object-Recovery / Tombstone Reanimation Attribute Recovery

13

14 Auf den Snapshot zugreifen Active Directory-Benutzer & -Computer, LDP, ADSIEdit, dsquery,... gegen Port 10000 Snapshot als LDAP-Verzeichnisdienst starten (R/O) Dsamain –dbpath c:\$snap2007...\ntds.dit –ldapport 10000 Snapshot in das Dateisystem verbinden Ntdsutil Snapshot List All / Mount ID Mount {GUID} List All / Mount ID Mount {GUID} Snapshot erstellen Ntdsutil Snapshot Create

15 Objekte können vor versehentlichem Löschen / Verschieben geschützt werden Standard bei OUs die mit Active Directory- Benutzer und –Computer von WS2k8 erstellt werden Entspricht : Deny Everyone to Delete Deny Everyone to Delete Subtree

16 Eigene Ansichten des Eventlogs möglich Weiterleiten und zentrales Sammeln von bestimmten Ereignissen Aufgaben können durch Events ausgelöst werden Mehr Details in Audit-Logs Z.B. Attributänderungen auditpol /get /category:DS Access auditpol /set /subcategory:Directory Service Changes

17 IPv6 Starten von DNS Support von RODCs Timestamps in GUI DNAME-Support: Alias für Namensräume Bedingte Weiterleitungen werden in der GUI unterstützt Bisher: dnscmd /ZoneAdd myexample.net /DsForwarder 10.1.2.4 /DP /forest

18

19 Kein WINS mehr? Wird in DNS erstellt Muss auf Windows Server 2008 liegen Antwortet Kurznamen auf alle Zonenanfragen Dnscmd /config /EnableGlobalnamesSupport Multidomain: Repliziert in AD auf möglichst alle Server SRV-Record in _msdcs möglich

20 Active Directory Notfallplanung Active Directory Snapshots Protected Objects (Objekte vorm löschen schützen) Einsatz von Windows Server 2008 in Niederlassungen Read only DC Fine Grained Password Policy Active Directory Attribute Editor Active Directory Management (dcpromo, aduc) DNS Management (conditional forwarder, dnsmgmt) Active Directory Auditing

21 Europas führender herstellerübergreifender Dienstleister für Informationstechnologie Windows Server 2008 im Haus implementiert Kundenprojekte zu WS2k8 seit Anfang 2007 Zahlreiche Referenzen Große Erfahrung bei Migrationsprojekten Das Magazin für professionelle System- und Netzwerkadministration Mai / Juni 2007: Vorschau auf Windows Server 2008 November 2007 bis Januar 2008: Serie zu Windows Server 2008 März / April 2008: Active Directory Wiederherstellung mit Windows Server 2008

22 Windows Server 2008 Tech Center http://www.microsoft.com/germany/technet/prodtechnol/windowsserver/2008/de fault.mspx http://www.microsoft.com/germany/technet/prodtechnol/windowsserver/2008/de fault.mspx Windows Server 2008 Webcasts: http://www.microsoft.com/germany/technet/webcasts/windowsserver2008.mspx http://www.microsoft.com/germany/technet/webcasts/windowsserver2008.mspx Windows Server 2008 Produktseite: http://www.microsoft.com/germany/windowsserver2008/default.mspx http://www.microsoft.com/germany/windowsserver2008/default.mspx Microsoft Virtualization: http://www.microsoft.com/virtualization/default.mspx http://www.microsoft.com/virtualization/default.mspx

23 Mein Blog (Directory Services – Active Directory): www.msmvps.com/UlfBSimonWeidner Fine Grained Password Policies: Psomgr: www.joeware.netwww.joeware.net MMC: http://blogs.chrisse.se/blogs/chrisse/archive/2007/07/14/fine-grain-password- policy-tool-beta-1-is-ready.aspx http://blogs.chrisse.se/blogs/chrisse/archive/2007/07/14/fine-grain-password- policy-tool-beta-1-is-ready.aspx PowerGUI: http://dmitrysotnikov.wordpress.com/2007/06/19/free-ui-console-for-fine-grained- password-policies/ http://dmitrysotnikov.wordpress.com/2007/06/19/free-ui-console-for-fine-grained- password-policies/ SpecOps Password Policiy Basic: http://www.specopssoft.com/wiki/index.php/SpecopsPasswordPolicybasic/Specops PasswordPolicybasic/ http://www.specopssoft.com/wiki/index.php/SpecopsPasswordPolicybasic/Specops PasswordPolicybasic/ Konferenzen: Directory Experts Conference USA (Chicago, April) TechEd USA (Orlando, Juni) Directory Experts Conference Europe (Ort tba, Herbst 2008) TechEd IT-Forum Europe (Barcelona, November)

24 Wir freuen uns auf Ihre Fragen: Technische Experten stehen Ihnen während der gesamten Veranstaltung in der Haupthalle zur Verfügung.

25 © 2007 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.