AD Neuorganisation, Tipps

[surfdude 10]

Wir betreiben ein kleies Hosting Netzwerk bei einem Provider mit 6 Windows Server. Diese sind gemeinsam in einer Domäne verbunden. Das ganze System ist nun etwas in die Jahre gekommen und wir wollen einiges ändern.

 

Die Server sind im moment direkt mit einer öffentlichen IP hinter der Firewall. Neu wollen wir NAT einsetzen, da uns die öffentlichen Adresse ausgehen. Die Server sollen also intern mit 192.168.x.x IPs kommunzieren. Ich denke, das könntet ihr auch empfehlen?

 

Die AD Domain heisst momentan firma.com. Die Server demenstprechen xy.firma.com etc. Neu wollen wir aber, dass die Server in einer neuen Subdomain sind: site.firma.com.

 

Nun, dazu müssen wir die bestehene AD umbenennen, was aber offenbar schwierig ist. Oder, wir könnten eine komplett neue AD erstellen, oder auch eine neue "Sub" AD der Gesamtzstrukur unterstellen, um später die alte abzuschalten.

 

Was würdet ihr empfehlen?

[Daim 12]

Salut,

 

Die Server sollen also intern mit 192.168.x.x IPs kommunzieren. Ich denke, das könntet ihr auch empfehlen?

 

ja, dass kann man machen.

 

 

Die AD Domain heisst momentan firma.com. Die Server demenstprechen xy.firma.com etc. Neu wollen wir aber, dass die Server in einer neuen Subdomain sind: site.firma.com.

 

Ahaa... du willst quasi die Server "vom Rest" abschotten in dem du die Server alleien in eine eigene Domäöne stellst. Solch eine Frage/Anforderung liest man eher selten, finde ich aber als eine tolle Aufgabe ;) . Da könnte man fast philosophieren.

 

Früher wurde seitens Microsoft verkündet, dass die Domänen-Grenze die Sicherheitsgrenze darstellen würde.

Später hat man erkannt, dass nicht die Domäne, sondern die Gesamtstruktur die Sicherheitsgrenze darstellt.

Ich sehe es sowohl als auch und im übrigen, es wird zu heiß gegessen wie es gekocht wird.

 

1. Die Domäne stellt die Grenze für administrative Fehler bzw. die Aufgabengrenze der Administratoren dar.

2. Die Gesamtstruktur ist die Grenze der Sicherheit, gegen Angriffe von aussen.

 

Daher sollte man sich überlegen, ob man die Server in eine Sub-Domäne oder wie in deinem Fall nach meiner Meinung besseren Variante, einen eigenen Single-Domänen Forest erstellt.

 

 

Nun, dazu müssen wir die bestehene AD umbenennen, was aber offenbar schwierig ist.

 

Das ist es in der Tat. Bevor ICH eine Domäne umbenenn - was ohnehin nur in der Gesamtstrukturfunktionsebene Windows Server 2003 funktioniert - setze ich sie neu auf.

Das kann man machen, ist aber ein steiniger Weg.

 

 

Oder, wir könnten eine komplett neue AD erstellen, oder auch eine neue "Sub" AD der Gesamtzstrukur unterstellen, um später die alte abzuschalten.

 

Wenn dich der Name der Domäne stört, würde ich eine Neuinstallation (bei nicht so einer großen Umgebung) empfehlen. Was die Sicherheit der Server betrifft, sollte man den Gedanken einer eigenen Gesamtstruktur für die Server nicht ausser Acht lassen.

[surfdude 10]

Besten Dank für deine Antwort!

 

Scheint also, dass eine komplett neue AD der beste weg ist. Ich sehe das ähnlich. Nur ein Punkt macht mir etwas Kopfzerbrechen.

 

Die "normalen" Server in die neue AD zu migrieren dürfte kein Problem sein. Aber ein grossen Fehler haben wir gemacht, der momentane "PDC" ist zugleich der Fileserver. Wenn ich dem jetzt seine AD weg nehme, mit dcpromo, gehen dann die Dateizugriffsrechte Eintellungen verlohren? Gibt das nicht ein furchtbares durcheinander?

[Daim 12]

Aber ein grossen Fehler haben wir gemacht, der momentane "PDC" ist zugleich der Fileserver. Wenn ich dem jetzt seine AD weg nehme, mit dcpromo, gehen dann die Dateizugriffsrechte Eintellungen verlohren? Gibt das nicht ein furchtbares durcheinander?

 

Du solltest zuerst die neue Domäne erstellen und anschließend mit ADMT die User sowie Clients in die neue Domäne migrieren.

 

Yusuf`s Directory - Blog - Benutzermigration mit ADMT v3: How-To

 

Nach der Migration der Dateien, sollten ohnehin die ACLs der neuen Domäne angepasst werden. Was soviel bedeutet, neu vergeben werden.