Verwaltungsdomäne

[mcse_killer76 10]

Hi @all,

 

hätte da mal eine Frage zu folgendem Szenario. Ich habe 2 Domänen, in denen exakt dieselben Benutzer existieren. Ein "Zusammenfahren" in eine Domäne ist aus mehreren "nichttechnischen" Gründen nicht möglich.

 

Diese Doppeladministration der Benutzerkonten ist natürlich alles andere als optimal. Mein Gedanke: man erstellt eine "Rootdomäne", in der alle Benutzer und Gruppen enthalten sind und konfiguriert die beiden Domänen als Child-Domänen.

 

Meine Frage nun: wie bekomme ich es dann aber hin, dass GPOs auf die Benutzerobjekte greifen (in den Unterdomänen)? Gibt es da keine Möglichkeit, dass man z.B. in einer OU (in der Unterdomäne) eine Verknüpfung auf das Benutzerobjekt in der Root-Domäne anlegt? Dass man dann bei der Anmeldung quasi sagt "Anmelden an: Child1", dann bekommt der Benutzer die Regeln von Unterdomäne1 und "Anmelden an: Child2", dann die Regeln aus Unterdomäne2?

 

Ist das auf irgendeine Art realisierbar?

[grizzly999 11]

Du kannst bestehenden Domänen nicht nachträglich eine Rootdomäne überstülpen. Du musst ja auch mind. schon einen Forest mit einer Forest-Root-Domain haben, zumindest hat dich beim ersten mal der dcpromo danach gefragt, ob du das einrichten möchstest und du hast "Ja" gesagt".

 

Oder meinetst du alles komplett neu aufsetzen?

 

grizzly999

[mcse_killer76 10]

Jepp, mein Gedanke ging dahin, dass ich das nocheinmal sauber neu aufsetzen würde. Zunächst einmal parallel zum Bestehenden und dann quasi "rübermigrieren". Hätte mich nur interessiert, ob das grundsätzlich möglich ist. Denn: je nachdem an welcher Domäne bzw. in welcher "Welt" sich dann der Benutzer anmeldet soll er bestimmte Dinge bekommen oder auch nicht (über GPOs).

 

In Novell gibt es meines Wissens die Möglichkeit Verknüpfungen auf Benutzerobjekte anzulegen und diese in anderen Containern abzulegen...

[woiza 10]

Soweit das Einstellungen in den GPOs sind, kommst du evtl. mit Loopback weiter.

[grizzly999 11]

Meine Frage nun: wie bekomme ich es dann aber hin, dass GPOs auf die Benutzerobjekte greifen (in den Unterdomänen)?

Ja, das geht doch ganz normal, wenn man die GPOs für die jeweiligen Domänen einrichtet.

 

Dass man dann bei der Anmeldung quasi sagt "Anmelden an: Child1", dann bekommt der Benutzer die Regeln von Unterdomäne1 und "Anmelden an: Child2", dann die Regeln aus Unterdomäne2?

Siehe oben, das ist Standard, wenn man ene Richtlinie für eine Domäne (oder für eine OU in einer Domäne) anlegt. Oder habe ich da immer noch was nicht verstanden

 

 

grizzly999

[mcse_killer76 10]

Ich meinte das eigentlich anders.

Es gibt die "oberste Domäne" mit dem Namen Root und die beiden untergeordneten Domänen mit den Namen Child1 und Child2.

 

Root

/ \

Child1 Child2

 

In Root sind nun alle Benutzerobjekte enthalten.

U.a. gibt es das Benutzerobjekt "Mustermann".

 

Nun gibt es eine OU1 in Child1 mit einer verknüpften GPO1 und eine OU2 in Child2 mit einer verknüpften GPO2.

 

Nun soll Mustermann die GPO1 bekommen, wenn er sich an Child1 anmeldet und die GPO2, wenn er sich in Child2 anmeldet. Das Benutzerkonto selbst befindet sich jedoch in Root.

 

Gibt es nun irgendeine Möglichkeit in OU1 bzw. OU2 eine Verknüpfung auf das Benutzerobjekt Mustermann anzulegen, damit er die entsprechenden GPOs bei der Anmeldung erhält?

[woiza 10]

Nö,

 

so geht das nicht. Das ginge nur, wenn GPOs auch auf Gruppen angewendet werden können. Können sie aber nicht. Du kannst aber, falls die Anmeldung in den Childdomains auch auf jeweils anderen Maschinen erfolgt, mit der domänenspezifischen Maschinen-GPO die User-GPO überschreiben. Dies geht via Loopback.

 

Gruß

 

woiza

[mcse_killer76 10]

Nö,

 

so geht das nicht. Das ginge nur, wenn GPOs auch auf Gruppen angewendet werden können. Können sie aber nicht. Du kannst aber, falls die Anmeldung in den Childdomains auch auf jeweils anderen Maschinen erfolgt, mit der domänenspezifischen Maschinen-GPO die User-GPO überschreiben. Dies geht via Loopback.

 

Gruß

 

woiza

 

Loopback ist in meinem Szenario leider keine Alternative

Ich habe das noch von Novell ganz dunkel in Erinnerung. Dort konnte man (wenn ich das noch richtig weiß) eine Verknüpfung auf ein Benutzerobjekt anlegen und diese z.B. in einen anderen Container wie das Benutzerobjekt selbst ablegen. So etwas in der Art habe ich eigentlich gesucht...