Domänen, Gesamtstrukturen und Organisationseinheiten

Eine AD-Domäne ist ein logischer Verzeichnis-, Verwaltungs- und Sicherheitsbereich innerhalb eines Forests. Sie enthält Objekte und besitzt einen gemeinsamen Namensraum sowie eine Domänen-Verzeichnispartition. Im Beispiel verwendet die AD-Domäne den DNS-Namen firma.test und enthält Anna, PC01, die Gruppe Support und SERVER01.

Ein DNS-Domainname und eine AD-Domäne sind verwandte, aber nicht austauschbare Dienstdefinitionen: DNS löst Namen auf und hilft bei der Dienstsuche; AD DS speichert Verzeichnis- und Sicherheitsinformationen.

Ein Forest (Gesamtstruktur) ist die oberste AD-DS-Struktur und enthält eine oder mehrere Domänen. Ein Forest mit nur firma.test ist häufig, vollständig und gültig. Domänen desselben Forests teilen wichtige Forest-weite Infrastruktur und Vertrauensbeziehungen; mehrere Domänen erhöhen die Komplexität und sind keine Standardpflicht.

Eine Organizational Unit (OU) organisiert Objekte innerhalb einer Domäne. OUs unterstützen administrative Gliederung, Delegation und das gezielte Anwenden von Gruppenrichtlinien (GPOs). Sie dürfen verschachtelt sein, etwa Computer → Clients → Schulungsraum; zu tiefe Strukturen erschweren jedoch die Verwaltung.

Eine OU ist ein Verzeichniscontainer. Eine Gruppe sammelt Mitgliedschaften und dient je nach Typ vor allem Berechtigungs-/Autorisierungs- oder Verteilungszwecken. Benutzer in eine OU zu legen erteilt ihnen keine Dateiberechtigung.

Die eingebauten Ordner Users und Computers können Container sein, ohne OUs zu sein. Nicht jedes ordnerartige Symbol in „Active Directory Users and Computers“ ist daher eine Organisationseinheit.

Domänen und OUs strukturieren AD logisch. IP-Subnetze, VLANs und Standorte beschreiben Netzwerk- beziehungsweise physische Topologie. Ein Forest ist kein physischer Standort und eine Domäne ist kein Subnetz. AD Sites und Subnetze werden später nur als Bindeglied zur physischen Topologie relevant.

„Alle Support-Mitarbeiter sollen Schreibrechte auf \\fileserver\support erhalten.“ Das wird primär mit einer Security Group gelöst, nicht mit einer OU.

„Support-Clientcomputer sollen eine bestimmte GPO erhalten.“ Dafür kann eine sachgerechte OU-Struktur das GPO-Targeting unterstützen. Die Gruppenrichtlinie selbst folgt in Lektion 5.

Skizziere für firma.test eine einfache Struktur für Verwaltung, Support, Clients und Server. Begründe jede OU durch Organisation, Delegation oder späteres GPO-Targeting. Verwirf eine OU je Benutzer, eine Domäne je Abteilung und eine Domäne je IP-Subnetz. Es werden keine echten AD-Objekte angelegt.