Was ist Active Directory? Konzepte und Architektur
Stell dir ein mittelständisches Unternehmen mit 200 Mitarbeitern vor. Jeder Mitarbeiter hat einen Laptop, jeder braucht Zugriff auf Dateiserver, Drucker und Fachanwendungen – aber mit unterschiedlichen Berechtigungen je nach Abteilung. Ohne ein zentrales Verzeichnis müsste jeder Admin auf jedem System jedes Benutzerkonto manuell pflegen. Bei 200 Mitarbeitern bedeutet das tausende von Konten auf dutzenden Systemen. Active Directory (AD) ist Microsofts Antwort auf dieses Problem: ein zentrales Verzeichnis, das alle Objekte des Netzwerks speichert und verwaltet.
Active Directory ist seit Windows 2000 der Standard in Windows-Unternehmensumgebungen. Es basiert auf zwei offenen Standards: LDAP (Lightweight Directory Access Protocol) als Abfragesprache für das Verzeichnis und Kerberos als Authentifizierungsprotokoll. Das bedeutet: AD ist kein proprietäres Microsoft-Geheimnis, sondern baut auf etablierten Internet-Standards auf – weshalb auch Linux- und macOS-Systeme in eine AD-Domäne integriert werden können.
1) Die vier Hierarchieebenen im Active Directory
AD ist hierarchisch aufgebaut – wie eine verschachtelte Ordnerstruktur. Ganz außen ist der Forest, dann kommen Domains, darin OUs (Organizational Units) und darin die eigentlichen Objekte wie Benutzer, Computer und Gruppen. Jede Ebene hat ihre eigene Bedeutung. Klicke eine Ebene für Details:
ad.firma.de und ad.tochter.de) teilen das Schema, haben aber eigene Administratoren und Policies.CN=Hans Mueller,OU=Verwaltung,DC=ad,DC=firma,DC=de. Objekte haben Attribute (Name, E-Mail, Passwort-Hash, Gruppenmitgliedschaft…). Das Schema definiert welche Attribute ein Objekttyp haben darf. Das Schema kann erweitert werden – z.B. installiert Exchange eigene AD-Schema-Erweiterungen für Mailbox-Attribute.CN=Hans Mueller,OU=Verwaltung,DC=ad,DC=firma,DC=de – von rechts nach links lesen: Domäne ad.firma.de, darin OU Verwaltung, darin Objekt Hans Mueller. CN = Common Name, OU = Organizational Unit, DC = Domain Component.2) Die wichtigsten AD-Protokolle
Active Directory ist kein einzelnes Protokoll, sondern ein Dienst der auf mehreren Netzwerkprotokollen aufbaut. Für den Alltag als Systemadministrator und für die IHK-Prüfung musst du wissen welche Protokolle für welche Funktion zuständig sind und welche Ports sie nutzen. Ohne diese Ports in der Firewall funktioniert AD nicht:
3) Was speichert das Active Directory?
Das AD ist eine Datenbank – die NTDS.dit (NT Directory Services Database). Sie liegt auf jedem Domänencontroller unter C:\Windows\NTDS\ntds.dit. Sie enthält alle Objekte: Benutzer mit Passwort-Hashes, Computer-Konten, Gruppen, GPO-Verknüpfungen, Schema-Definitionen und vieles mehr. Die NTDS.dit wird automatisch zwischen allen DCs der Domäne repliziert – Änderungen auf einem DC erscheinen nach kurzer Zeit auf allen anderen.
| Partition | Inhalt | Replikationsbereich |
|---|---|---|
| Domain Partition | Benutzer, Computer, Gruppen, OUs, GPOs der Domain | Nur innerhalb der Domain |
| Configuration Partition | Sites, Replikationstopologie, Dienste | Gesamter Forest |
| Schema Partition | Objektklassen und Attributdefinitionen | Gesamter Forest |
| Global Catalog | Teilkopie aller Domain-Partitionen des Forests | Forest – lesend auf Port 3268 |
Zusammenfassung
Active Directory = zentrales Verzeichnis für Benutzer, Computer, Gruppen und Richtlinien. Hierarchie: Forest → Domain → OU → Objekte. Basiert auf LDAP (Abfragen), Kerberos (Authentifizierung) und DNS (Pflichtabhängigkeit). Datenbank NTDS.dit wird zwischen allen DCs repliziert. NTP-Synchronisation ist Pflicht für Kerberos (max. 5 Min. Abweichung).