OUs planen, benennen, verschachteln
Wozu überhaupt OUs?
Eine OU ist kein Ordner für Ordnung, sondern ein Verwaltungsinstrument. Sie existiert aus drei Gründen:
- Gruppenrichtlinien verknüpfen – GPOs wirken auf OUs (und die Domäne), nicht auf Container.
- Rechte delegieren – „Helpdesk darf in OU=Berlin Passwörter zurücksetzen“ – ohne Domänen-Admin.
- Administrative Grenzen ziehen – wer darf was sehen und ändern.
Daraus folgt: Die Struktur richtet sich nach Verwaltung, nicht nach dem Organigramm.
Zwei übliche Modelle
| Modell | Aufbau | Passt zu |
|---|---|---|
| Nach Standort | OU=Berlin, OU=Hamburg → darunter Benutzer, Computer | Filialen mit eigener IT |
| Nach Funktion | OU=Benutzer, OU=Computer → darunter Sales, IT | zentrale IT, ein Standort |
Beide sind richtig. Falsch ist eine Mischung ohne Regel – dann weiß niemand, wo ein Konto liegt. Im Labor bauen wir das Standortmodell:
DC=corp,DC=lab
└── OU=Berlin
├── OU=Benutzer
└── OU=Computer
Hinweis
Gruppen (z. B. GG_Sales) gehören üblicherweise in eine eigene Struktur oder unter die
Benutzer-OU – wichtig ist, dass sie nicht zwischen Standorten hin- und herwandern.
Benennung: kurz, eindeutig, ohne Sonderzeichen
- Keine Leerzeichen in OU-Namen, wenn Skripte sie verwenden sollen.
- Eindeutig auf der jeweiligen Ebene: zwei OUs „Berlin“ unter derselben Domäne sind nicht möglich.
- Sonderzeichen wie
,+"\<>;sind in DNs reserviert und müssen escaped werden. - Englische oder deutsche Namen – aber konsequent.
BenutzerundUsersparallel ist ein Klassiker, der später zu Verwirrung führt.
Verschieben ist nicht umbenennen
Beim Verschieben in eine andere OU ändert sich der DN des Objekts, nicht der SamAccountName.
Anmeldung, Gruppenmitgliedschaften und SID bleiben unverändert – deshalb ist ein Umzug
unkritisch, solange keine Skripte mit festen DNs arbeiten.
Achtung
Ein Container kann nicht in sich selbst oder in einen seiner Untercontainer verschoben werden. Der Simulator (und AD) lehnt das ab – sonst entstünde ein Zyklus im Baum.
Delegation – der eigentliche Gewinn
Statt „jeder ist Domänen-Admin“ delegiert man gezielt:
| Aufgabe | Delegiert an | Scope |
|---|---|---|
| Passwort zurücksetzen | Helpdesk | OU=Berlin\Benutzer |
| Konten anlegen | HR-Support | OU=Berlin\Benutzer |
| Computer in Domäne aufnehmen | IT-Support | OU=Berlin\Computer |
Im Simulator ist die Rechtevergabe noch nicht aktiv – die Struktur, auf der sie aufsetzt, baust du aber genau jetzt.