20.3 Sicherheitsgruppen im Active Directory 

In Active Directory sieht die Sache ein wenig anders aus: Die Anzahl von Konten in einem Domänenwald ist faktisch unbeschränkt, ein Grund, möglichst wenig Domänen in der Gesamtstruktur anzulegen und stattdessen OUs zur Strukturierung zu nutzen.

Lokale Gruppen können nicht nur ineinander verschachtelt werden. Man spricht jetzt auch von domänenlokalen Sicherheitsgruppen, was nichts anderes bedeutet, als dass auch die lokalen Gruppen jetzt im Active Directory und nicht mehr in der lokalen Sicherheitsdatenbank verwaltet werden. Das wiederum bedeutet, dass einer lokalen Gruppe nun Rechte für beliebige Ressourcen innerhalb der Domäne zugewiesen werden können, in der sie erstellt wurde. Die lokale Gruppe ist also nicht mehr an einen speziellen Server gebunden.

Ebenso können globale Gruppen einer Domäne ineinander verschachtelt werden. Im einheitlichen Modus kann die globale Gruppe ein Mitglied von globalen, lokalen oder universalen Gruppen in der gleichen Domäne sein. Eine globale Gruppe der Domäne X kann aber auch ein Mitglied von universalen oder lokalen Gruppen einer anderen Domäne Y sein, wenn beide Domänen zur selben Gesamtstruktur gehören. Eine globale Gruppe der Domäne X kann aber nicht ein Mitglied einer globalen Gruppe einer anderen Domäne sein.

Universale Gruppen werden zur Zusammenfassung von Gruppen aus unterschiedlichen Domänen zu einer administrativen Einheit verwendet. Eine Liste der Mitgliedschaften in universalen Gruppen wird im globalen Katalog verwaltet. Änderungen an den Daten, die im globalen Katalog gespeichert werden, werden zu jedem globalen Katalog in einer Gesamtstruktur repliziert. Indem die Verwendung universaler Gruppen minimiert wird, kann die Replikationsaktivität im Wesentlichen auf eine einzelne Domäne beschränkt werden.

Sollten Sie aus diesem Grunde aber die Anzahl der universalen Gruppen minimieren? Repliziert werden immer nur Änderungen auf Attributsebene, nicht aber das ganze Objekt. Wenn sich also die Telefonnummer oder der Nachname eines Benutzers ändert, so wird nur diese Attributsänderung über Domänengrenzen hinweg weitergegeben, es wird aber nicht das ganze Objekt mit all seinen Attributsinhalten erneut repliziert. Sobald Ihre Gesamtstruktur steht, alle Benutzer angelegt und die Gruppenmitgliedschaften definiert wurden, nimmt der Replikationsverkehr drastisch ab, es sei denn, Sie arbeiten in einer Organisation, in der eine hohe Personalfluktuation herrscht oder permanent umstrukturiert wird, etwa wegen Firmenfusionen, Firmenauflösungen oder sich ständig und in großer Zahl ändernden Projektgruppen und Mitgliedschaften in temporären Projektgruppen.

Das Konzept, Benutzer nur in globale Gruppen aufzunehmen, diese globalen Gruppen wiederum zu Mitgliedern von lokalen Gruppen zu machen und nur den lokalen Gruppen Rechte zu Ressourcen zuzuweisen, führt damit zu einer unnötigen Komplexität, die eigentlich nur berechtigt ist, solange Sie sich in der Umbauphase von Windows-NT-4.0-Domänen zu einem Active Directory befinden.

Ich rate Ihnen dazu, diesen Weg zu gehen. Oft sind die alten NT-4.0-Server vom Stand der Technik her überaltert. Serverhardware verliert pro Jahr ungefähr 50 Prozent an Wert. Schon allein deshalb sind der Aufwand und das Risiko, alte Windows-NT-4.0-Server mühselig auf Windows Server 2003 zu updaten, oft unakzeptabel. Sie können besser die alte Serverhardware für andere Zwecke weiterverwenden und parallel zur alten Windows-4.0-Domäne ein sauberes Active Directory auf neuer Serverhardware im einheitlichen Modus hochziehen, mit Testkennungen und Testgruppen durchtesten und dann eine Abteilung nach der anderen schlagartig umstellen. Bei dieser Umstellung werden Sie dann auch die Workstations z.B. mit einem RIS-Abbild innerhalb kurzer Zeit auf das aktuelle Betriebssystem und die aktuelle Office-Version umstellen und dabei überalterte Client-Hardware aussondern.

Versuchen Sie darüber hinaus auch noch, Netware-Netze zu integrieren, so werden Sie mit großer Wahrscheinlichkeit irgendwo im Umstellungsprozess stecken bleiben und nie zu sauberen und überschaubaren Strukturen gelangen. Vor allem wird es Ihnen nicht gelingen, eine Dokumentation zu erstellen, die alle Zwischenschritte mit allen Besonderheiten darstellt und auf dem Weg zum einheitlichen Modus ständig mitgepflegt wird. Und denken Sie daran, dass auch die für die Verwaltung von Active Directory bestimmenden Elemente wie Gruppenrichtlinien, OUs, Zuweisung von Verwaltungsaufgaben über OUs für Server und Clients unter Windows NT 4.0 nicht wirken.