Domänencontroller, DNS und Replikation

Ein Domain Controller (DC) führt AD DS aus und stellt für seine Domänen- und Forest-Umgebung Verzeichnis- und Authentifizierungsfunktionen bereit. Dazu gehören Anmeldungen, Verzeichnisabfragen und -änderungen, Unterstützung für Gruppenrichtliniendienste sowie Replikation mit anderen DCs. Er speichert weit mehr als Benutzernamen und Passwörter.

Organisationen betreiben häufig mehrere beschreibbare DCs für Redundanz, Verfügbarkeit, Netzwerknähe und Replikation. DC02 ist kein ausgeschalteter passiver Backup-Server: Normalerweise können mehrere DCs Clients authentifizieren und viele Änderungen annehmen.

AD DS und DNS sind getrennte Technologien. AD ersetzt DNS nicht. Domänenclients fragen DNS nach geeigneten Domänendiensten. SRV-Records können Dienst, Protokoll, Zielhost und Port bekannt machen. _ldap._tcp.dc._msdcs.firma.test ist ein Beispiel für LDAP-DC-Dienstsuche, kein auswendig zu lernender Universalrecord.

Ein Domänenclient sollte Resolver verwenden, die den privaten AD-DNS-Namensraum und dessen Dienstrecords korrekt auflösen. Ein beliebiger öffentlicher Resolver kennt diese internen Records normalerweise nicht und ist deshalb als einzige Client-DNS-Konfiguration ungeeignet.

DCs replizieren Änderungen an Objekten und Attributen über Replikationspartner. Für die meisten gewöhnlichen Verzeichnisänderungen gilt ein Multi-Master-Modell: Eine Änderung kann auf einem geeigneten beschreibbaren DC erfolgen und wird weitergegeben. AD besitzt Mechanismen, replizierte Änderungen abzugleichen; DC-Datenbanken werden nicht manuell als Dateien kopiert.

Die Systeme erreichen eine spätere Konvergenz, aber nicht jede Änderung ist im exakt selben Augenblick auf jedem DC sichtbar. Bestimmte spezialisierte Operationen besitzen mit FSMO bezeichnete Rolleninhaber. Das ist eine begrenzte Ausnahme und macht den ersten DC nicht dauerhaft zum Master aller Änderungen.

Der Global Catalog (GC) bietet forestweit durchsuchbare Informationen und unterstützt bestimmte Anmelde- und Verzeichnisszenarien. Er ist keine vollständige Kopie jedes Attributs jedes Forest-Objekts, sondern enthält eine partielle forestweite Repräsentation sowie passende vollständige Informationen für die eigene Domänenpartition.

AD Sites bilden physische beziehungsweise Netzwerktopologie für Dienstwahl und Replikationsoptimierung ab. Subnetze können Sites zugeordnet werden. firma.test kann Site-A mit 192.168.10.0/24 und Site-B mit 192.168.20.0/24 überspannen. Site, Domain, Subnetz und OU bleiben verschieden; ein Sitename muss keine Stadt bezeichnen.

Domänenauthentifizierung nutzt häufig Kerberos. Kerberos reagiert empfindlich auf übermäßige Uhrabweichungen, daher ist verlässliche Zeitsynchronisation wichtig. Eine feste Toleranz ist hier kein universeller Lernwert.

DC01 (192.168.10.10) steht in Site-A, DC02 (192.168.20.10) in Site-B. Zwei DCs verbessern Verfügbarkeit und Netzwerknähe. DNS führt Clients über Dienstrecords zu passenden DC-Kandidaten. Die Subnetzzuteilung unterstützt Dienstwahl und Replikationsplanung. Ändert sich ein Objekt auf DC01, wird die Änderung konzeptionell über Replikationspartner weitergegeben und später auch auf DC02 sichtbar.