AD-Grundlagen: Directory, Forest und die drei Säulen
Einführung · 7 Abschnitte · ~6 Min Lesezeit · Stand
Was ein Verzeichnisdienst leistet
Active Directory Domain Services (AD DS) ist ein Verzeichnisdienst: eine zentrale, replizierte Datenbank aller Identitäten und Ressourcen einer Organisation — Benutzer, Computer, Gruppen. Statt auf jedem Windows-Rechner eigene lokale Accounts zu pflegen, gibt es eine Identität, die überall gilt.
Der Gewinn ist nicht „ein Server mehr“, sondern vier Dinge, die lokale Accounts strukturell nicht liefern können:
- Zentrale Identität: ein Konto, an jedem Domänenrechner gültig — deaktivieren an einer Stelle sperrt überall.
- Single Sign-On (SSO) über Kerberos: einmal anmelden, dann ohne erneute Passworteingabe auf Dienste zugreifen. Kerberos ist das Authentifizierungsprotokoll der Domäne.
- Zentrale Richtlinien (Group Policy / GPO): Konfiguration und Sicherheitsvorgaben werden zentral gesetzt und automatisch durchgesetzt.
- Zentrale Autorisierung: Rechte hängen an Gruppen, nicht an einzelnen Maschinen.
Forest, Domain, OU — und wo die Sicherheitsgrenze liegt
AD ist hierarchisch aufgebaut. Drei Ebenen musst du auseinanderhalten, weil man sie ständig verwechselt:
| **Forest** | die oberste Grenze. Enthält eine oder mehrere Domänen. Die Sicherheitsgrenze. |
|---|---|
| **Domain** | eine administrative und Replikations-Einheit im Forest. Keine Sicherheitsgrenze. |
| **OU (Organizational Unit)** | Container innerhalb einer Domäne zum Verwalten und für GPO-Verknüpfung. Reine Verwaltungsstruktur. |
Replikation: Multi-Master, kein „primärer“ DC
Eine Domäne läuft auf mehreren Domain Controllern (DCs). AD repliziert Multi-Master: jeder DC ist beschreibbar, Änderungen dürfen an jedem DC entstehen und werden zu den anderen repliziert. Es gibt keinen „primären DC“, dem alle anderen untergeordnet wären.
Folge: Änderungen sind nicht sofort überall sichtbar. Konvergenz braucht Zeit — zwischen Standorten typischerweise nach einem Replikationsintervall. Das ist normales Verhalten, kein Fehler.
DNS: das Fundament, an dem alles hängt
AD ist ohne funktionierendes DNS nicht betriebsfähig. Clients und DCs finden Domain Controller nicht über eine feste Adresse, sondern über DNS-`SRV`-Records (z. B. _ldap._tcp.dc._msdcs...), die sagen: „Welcher DC ist für diese Domäne/diesen Standort zuständig?“
Deshalb müssen Domänen-Mitglieder und DCs auf die AD-integrierte DNS zeigen (üblicherweise die DCs selbst) — nicht auf einen ISP- oder Public-Resolver. Zeigt ein Client auf Public-DNS, fehlen ihm die SRV-Records: Anmeldung, GPO-Verarbeitung und DC-Lokalisierung brechen oder werden quälend langsam.
Objekte: User, Computer, Gruppen — und der Gruppentyp-Fallstrick
AD verwaltet Objekte: User (Personen/Dienstkonten), Computer (domänengejointe Maschinen) und Gruppen, mit denen du Rechte und Zugehörigkeiten bündelst statt sie einzeln zu vergeben.
Bei Gruppen gibt es zwei Typen, und der Unterschied ist betrieblich entscheidend:
| **Security-Gruppe** | kann Rechte tragen: nur sie kann in einer ACL (Berechtigung auf Dateien, Freigaben, Ressourcen) verwendet werden. Kann zusätzlich mail-enabled sein. |
|---|---|
| **Distribution-Gruppe** | reine Verteilerliste (E-Mail). Kann keine Rechte in ACLs tragen — sie ist kein security principal. |
Trusts: Richtung und Transitivität
Ein Trust verbindet zwei Domänen/Forests, sodass Identitäten der einen in der anderen genutzt werden können. Zwei Eigenschaften zählen:
- Transitivität: Trusts innerhalb eines Forests sind automatisch und transitiv (vertraut A B und B C, dann faktisch auch A C). Manuell zwischen Forests angelegte Trusts sind es nicht zwangsläufig.
- Richtung: Ein Trust ist ein- oder beidseitig gerichtet — und die Richtung ist kontraintuitiv.
Zusammenfassung — gleich im Check
Du kennst jetzt die Achsen: Verzeichnisdienst vs. lokale Accounts, Forest als Sicherheitsgrenze, Multi-Master-Replikation + PDC-Emulator, DNS-Abhängigkeit, Objekt-/Gruppentypen und Trust-Richtung.