AD-Grundlagen: Directory, Forest und die drei Säulen
Ein Kollege legt für die zugekaufte Firma eine eigene Domäne an — „damit deren Admins nicht an unsere Systeme kommen“. Der Satz klingt vernünftig und ist falsch: Eine Domäne isoliert niemanden, ihr Domain Admin kann sich dokumentiert Forest-weite Rechte verschaffen. Dieses Modul baut das mentale Modell, an dem sich solche Vorschläge in einer Minute prüfen lassen — Forest, Domain und OU als das, was sie wirklich abgrenzen, die drei Partitionen und ihre Reichweite, Multi-Master-Replikation samt der Lücke, durch die entsperrte Konten gesperrt bleiben, und warum ein erreichbarer Domain Controller trotzdem unauffindbar sein kann. Vorkenntnisse brauchst du keine.
Einstieg · ~30 Min · 11 Abschnitte Einführung · 9 Übungen (davon 2 Missionen)
Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.
Das kannst du danach
- ✓Vor einer Änderung benennen, ob sie an der Domänengrenze endet oder forest-weit wirkt — und welche Partition sie trägt.
- ✓Anmeldestörungen entlang der richtigen Achse eingrenzen: Replikationslatenz, DC-Locator über DNS oder Trust-Richtung.
- ✓Isolationsanforderungen von Verwaltungsautonomie unterscheiden und begründen, wann nur ein eigener Forest sie erfüllt.
Übungen
- 1. EntscheidungWomit lösen sie das Identitäts- und Rechte-Chaos grundlegend?
- 2. EntscheidungWelchen Gruppentyp legst du an?
- 3. EntscheidungErfüllt der Vorschlag die geforderte Isolation — und wenn nein, was ist richtig?
- 4. EntscheidungWie ordnest du die Lage ein und was ist die richtige Reaktion?
- 5. EntscheidungWas ist die richtige Korrektur?
- 6. MissionWie weit reicht diese Änderung?
- 7. EntscheidungWelchen Trust richtest du ein?
- 8. EntscheidungWie ordnest du die Lage ein und was tust du?
- 9. DiagnoseCold Case: Der erreichbare DC, den niemand findet
Quellen & Aktualität14 Primärquellen · zuletzt geprüft:
- 01learn.microsoft.com/en-us/windows-server/ident…in-services-overview
- 02learn.microsoft.com/en-us/previous-versions/wi…003/cc759073(v=ws.10
- 03learn.microsoft.com/en-us/previous-versions/wi…003/cc772829(v=ws.10
- 04learn.microsoft.com/en-us/previous-versions/wi…003/cc772726(v=ws.10
- 05learn.microsoft.com/en-us/windows-server/ident…aster-role-placement
- 06learn.microsoft.com/en-us/troubleshoot/windows…directory/fsmo-roles
- 07learn.microsoft.com/en-us/windows-server/ident…ds/manage/dc-locator
- 08learn.microsoft.com/en-us/windows-server/ident…tand-security-groups
- 09learn.microsoft.com/en-us/previous-versions/wi…003/cc773178(v=ws.10
- 10learn.microsoft.com/en-us/windows-server/secur…hentication-overview
- 11learn.microsoft.com/en-us/windows-server/ident…security-identifiers
- 12learn.microsoft.com/en-us/windows-server/ident…ing-active-directory
- 13learn.microsoft.com/en-us/troubleshoot/windows…-dns-client-settings
- 14learn.microsoft.com/en-us/troubleshoot/windows…ller-location-issues
Verfasst von Julian Zentgraf