Modul 03 · Active Directory DS: Wald, Domäne, OU

Was ist Active Directory?

8 Minuten·Modul 3 von 12

Ein Verzeichnisdienst, kein Programm

Active Directory Domain Services (AD DS) ist ein Verzeichnisdienst: eine Datenbank, die Objekte speichert – Benutzer, Gruppen, Computer, Drucker – und Anfragen dazu beantwortet. Wer sich an einem Windows-Rechner anmeldet, fragt nicht den lokalen Rechner, sondern einen Domain Controller (DC): „Kennt ihr diesen Benutzer, und darf er sich anmelden?“

Das erklärt, warum AD ohne DNS nicht funktioniert: Clients finden den DC über DNS-Einträge (SRV-Records). Fällt DNS aus, fällt die Anmeldung aus – auch wenn der DC läuft.

Die Hierarchie

Wald (Forest)              ← Sicherheitsgrenze, teilt Schema und Konfiguration
└── Domäne corp.lab        ← administrative Grenze, eigene Kontendatenbank
    ├── OU=Berlin          ← Organisationseinheit: Struktur für Verwaltung
    │   ├── OU=Benutzer
    │   └── OU=Computer
    └── CN=Users           ← eingebauter Container (kein OU!)

Ebene	Zweck
Wald	Klammer um alle Domänen; Schema und Konfigurationspartition sind waldweit
Domäne	Eigene Datenbank, eigene Konten, eigene GPO-Grundregeln
OU	Sortierung, Delegation von Rechten und Verknüpfung von Gruppenrichtlinien
Container	Technische Ablage (z. B. `CN=Users`) – keine GPO-Verknüpfung, keine Delegation

Achtung

CN=Users und OU=Benutzer sind nicht dasselbe. Der eingebaute Container CN=Users lässt sich nicht mit Gruppenrichtlinien verknüpfen und nicht sinnvoll delegieren. Genau deshalb legt man eigene OUs an.

Distinguished Names (DN)

Jedes Objekt hat einen eindeutigen Namen, den Distinguished Name. Er wird von innen nach außen gelesen – das spezifischste Element steht vorn:

CN=Anna Schmidt,OU=Benutzer,OU=Berlin,DC=corp,DC=lab
│               │           │         └──────────────┘
│               │           │           Domäne (2x DC)
│               │           └── OU=Berlin
│               └── OU=Benutzer
└── Common Name des Objekts

DC = Domain Component
OU = Organizational Unit
CN = Common Name

Verschiebt man ein Konto in eine andere OU, ändert sich der DN. Deshalb sind DNs in Skripten eine schlechte Idee als feste Referenz – der SamAccountName bleibt stabil.

Merke

Ein DN ist der „vollständige Pfad“ eines Objekts. Zwei Objekte können denselben CN haben, solange sie in unterschiedlichen OUs liegen.

Was im Labor simuliert wird – und was nicht

Im Simulator gibt es echte OUs, echte DNs, echte Vererbung von Gruppenrichtlinien und Mitgliedschaften. Nicht simuliert werden Replikation zwischen mehreren DCs, Kerberos-Tickets und das AD-Schema. Das sind Konzepte, die man einmal versteht – üben kann man sie nur mit echten Servern.