Kann jeder DC die Benutzerpasswörter auf anderen DC ändern?

[ABerens 10]

Hallo,

 

kann jeder Win2000 bzw. Win2003 Domaincontroller (DC) einer Domäne, die Benutzerpasswörter auf anderen DC in anderen Domänen ändern?

Welche Einschränkungen gibt es?

Für einen Link zu weiteren Informationen wäre ich sehr dankbar.

Vielen Dank im voraus.

 

Schöne Grüße

ABerens

[aba 10]

Jeder DC in einer ActiveDirectory-Domäne (egal ob 2000 oder 2003) kann Passwortänderungen entgegen nehmen und repliziert diese dann auf seine Replikationspartner (innerhalb der gleichen Domäne!).

Passwortänderungen für Konten aus anderen Domänen (egal ob untergeordnet oder übergeordnet) kann ein DC nicht entgegennehmen! Die Replikation von Änderungen an der Domänenpartition (in der sich die ganzen Objekte der jeweiligen Domäne befinden) der AD-DB findet nur zwischen DCs derselben Domäne statt.

Domänen stellen Replikationsgrenzen dar.

 

Windows Server 2000 Resource Kit / Chapter 6 - Active Directory Replication

[ABerens 10]

Vielen Dank für die schnelle Antwort.

Was ist denn, wenn zwischen den DC eine Vertrauensstellung besteht?

Besitzt der DC dann die Berechtigung, Passwörter in anderen Domänen zu ändern?

 

Gruß

ABerens

[aba 10]

Nein, auch Vertrauensstellungen helfen dabei nicht weiter.

Ein DC kann nur Änderungen für Objekte engegen nehmen, die auch in seiner eigenen AD-DB drin sind. Und diese Änderungen gibt er dann an seine Replikationspartner weiter, wenn er sie in seiner eigenen DB geändert hat.

Und da in seiner AD-DB nun mal keine Objekte aus einer anderen Domäne drin sind, kann er dafür auch keine Änderungen entgegen nehmen.

[ABerens 10]

Ein Frage habe ich noch.

Replizieren sich alle DC einer Domäne automatisch?

 

Gruß

ABerens

[aba 10]

Bei Standortinterner Replikation (zwischen DCs im gleichen Standort):

Wenn ein Domänencontroller eine Änderung empfängt, wartet er 5 Minuten (nimmt evtl. in der Zeit weitere Änderungen entgegen) und benachrichtig dann seine Replikationspartner, dass er Änderungen für sie hat. Die Replikationspartner "fordern" dann die Übertragung der Änderungen an.

Werden 1 Stunde keine Änderungsbenachrichtigungen empfangen, initiieren die DCs eine Replikation, um sicherzustellen, dass sie "nichts verpasst haben".

 

Standortübergreifende Replikation (DCs stehen in verschiedenen definierten Standorten):

Die Replikation zwischen Standorten ist nicht Änderungsbenachrichtigungs-basiert, sondern erfolgen nach einem konfigurierbaren Zeitplan/Intervall.

[ABerens 10]

Danke für die Antworten.

 

Gruß

ABerens

[Konfus 10]

Original geschrieben von ABerens

Ein Frage habe ich noch.

Replizieren sich alle DC einer Domäne automatisch?

 

Gruß

ABerens

 

Der KCC initiiert pro DC drei Active Directory Verbindungen als Standard.

Der/die GC(s) halten noch eine Read only Partition der Domäne + Child Domains.

Wie von ABA beschrieben gehen Änderungen in den "Outbound Cache" und werden dann repliziert. Das ganze geht dann über NTFS (Time Stamps...).

 

gruß

 

konfus

[grizzly999 11]

Der KCC initiiert pro DC drei Active Directory Verbindungen als Standard.

Es sind zwei Replikationsverknüpfungen, sonst gäbe das auch keine Ring-Topologie.

 

 

grizzly999