Was ist Active Directory?
Active Directory Domain Services (AD DS) ist der Verzeichnisdienst von Microsoft Windows Server. Er speichert Informationen über alle Objekte im Netzwerk – Benutzer, Computer, Gruppen, Drucker, Freigaben – in einer zentralen, hierarchischen Datenbank und stellt Authentifizierung sowie Autorisierung für die gesamte Domäne bereit. Statt sich an jedem Gerät einzeln anzumelden, gibt es ein Single Sign-On gegen die Domäne.
AD DS ist eng mit DNS verzahnt: Clients finden Domänencontroller über DNS-SRV-Records. Ohne funktionierendes DNS funktioniert kein Active Directory.
Logische Struktur: Domäne, Baum, Gesamtstruktur
Active Directory ist hierarchisch aufgebaut. Die logische Struktur trennt sich von der physischen (Standorte, Server):
| Begriff | Beschreibung |
|---|---|
| Domäne (Domain) | Administrative und Sicherheitsgrenze. Bündelt Objekte unter einem gemeinsamen DNS-Namen, z. B. firma.local. Eigene Sicherheitsrichtlinien und Replikation. |
| Baum (Tree) | Eine oder mehrere Domänen mit zusammenhängendem Namensraum, z. B. firma.local und vertrieb.firma.local. Untergeordnete Domänen erben den Namen der übergeordneten. |
| Gesamtstruktur (Forest) | Oberste Container-Ebene und echte Sicherheitsgrenze. Umfasst einen oder mehrere Bäume, die ein gemeinsames Schema, einen gemeinsamen Global Catalog und automatische Vertrauensstellungen teilen. |
| Organisationseinheit (OU) | Container innerhalb einer Domäne zur Strukturierung von Objekten, Delegierung und GPO-Verknüpfung (eigener Abschnitt). |
Domänencontroller (DC)
Ein Domänencontroller ist ein Windows-Server, auf dem die AD-DS-Rolle installiert ist. Er hält eine beschreibbare Kopie der AD-Datenbank (NTDS.dit), beantwortet Anmelde- und Suchanfragen und repliziert Änderungen mit den anderen DCs (Multi-Master-Replikation). Best Practice: pro Domäne mindestens zwei DCs für Ausfallsicherheit.
Ein Read-Only Domain Controller (RODC) hält nur eine schreibgeschützte Kopie und eignet sich für unsichere Standorte (z. B. Zweigstellen).
# Server zum Domänencontroller heraufstufen (PowerShell)
Install-WindowsFeature AD-Domain-Services -IncludeManagementTools
# Neue Gesamtstruktur (erster DC einer neuen Domäne) erstellen
Install-ADDSForest -DomainName "firma.local" -DomainNetbiosName "FIRMA" `
-InstallDns -ForestMode WinThreshold -DomainMode WinThreshold
# Zusätzlichen DC zu bestehender Domäne hinzufügen
Install-ADDSDomainController -DomainName "firma.local" -InstallDns -Credential (Get-Credential)Schema
Das Schema ist der Bauplan von Active Directory. Es definiert alle möglichen Objektklassen (z. B. user, group, computer) und deren Attribute (z. B. givenName, mail). Das Schema gilt gesamtstrukturweit und wird selten geändert – Schema-Erweiterungen (etwa durch Exchange) sind dauerhaft und sollten nur geplant erfolgen.
FSMO-Rollen
Manche Aufgaben dürfen nicht parallel von mehreren DCs ausgeführt werden, da das zu Konflikten führen würde. Diese Flexible Single Master Operations (FSMO) liegen auf jeweils genau einem DC. Es gibt fünf Rollen: zwei pro Gesamtstruktur, drei pro Domäne.
| Rolle | Ebene | Aufgabe |
|---|---|---|
| Schema Master | Gesamtstruktur | Einziger DC, der Schema-Änderungen schreiben darf |
| Domain Naming Master | Gesamtstruktur | Hinzufügen/Entfernen von Domänen in der Gesamtstruktur |
| PDC Emulator | Domäne | Zeitquelle der Domäne, Passwort-Änderungen, Sperrungen, GPO-Bearbeitung |
| RID Master | Domäne | Vergibt RID-Pools an DCs für eindeutige SIDs neuer Objekte |
| Infrastructure Master | Domäne | Aktualisiert domänenübergreifende Objektverweise (z. B. Gruppenmitgliedschaften) |
# FSMO-Rolleninhaber anzeigen
netdom query fsmo
# Per PowerShell – Domänen- und Gesamtstruktur-Rollen
Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster
Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
# Rolle übertragen (sauberer Wechsel, Quelle online)
Move-ADDirectoryServerOperationMasterRole -Identity "DC02" -OperationMasterRole PDCEmulatorMove-ADDirectoryServerOperationMasterRole -Force beschlagnahmt (seized). Der alte Rolleninhaber darf danach nie wieder ans Netz – sonst droht ein Split-Brain.
Global Catalog (GC)
Der Global Catalog ist eine gesamtstrukturweite, teilweise Replikation: Er enthält alle Objekte der Gesamtstruktur, aber nur mit den wichtigsten Attributen. Er ermöglicht schnelle, domänenübergreifende Suchen, löst universelle Gruppenmitgliedschaften bei der Anmeldung auf und unterstützt UPN-Anmeldungen (benutzer@firma.local). In jeder Domäne sollte mindestens ein DC ein GC sein.
# Global-Catalog-Server in der Gesamtstruktur finden
Get-ADDomainController -Filter {IsGlobalCatalog -eq $true} | Select-Object Name, Site
# LDAP-Port: 389 (LDAP) / 636 (LDAPS) – GC: 3268 (GC) / 3269 (GC über SSL)LDAP & Kerberos
Anwendungen lesen und schreiben AD-Objekte über LDAP (Lightweight Directory Access Protocol, Port 389 / verschlüsselt 636). Die Authentifizierung erfolgt standardmäßig über Kerberos (NTLM nur noch als Fallback).
Kerberos arbeitet ticketbasiert über das Key Distribution Center (KDC), das auf jedem DC läuft:
- Anmeldung: Der Client fordert beim KDC ein Ticket Granting Ticket (TGT) an.
- Ressourcenzugriff: Mit dem TGT holt der Client ein Service Ticket für den Zielserver.
- Der Zielserver prüft das Ticket – kein erneutes Passwort nötig (Single Sign-On).
Wichtige AD-Ports (Firewall)
Zwischen Clients und DCs sowie zwischen DCs untereinander müssen bestimmte Ports offen sein. Eine zu restriktive Firewall ist eine häufige Ursache für Anmelde- und Replikationsfehler:
| Port | Protokoll/Dienst | Zweck |
|---|---|---|
| 53 | DNS (TCP/UDP) | Namensauflösung, SRV-Records zum DC-Finden |
| 88 | Kerberos (TCP/UDP) | Authentifizierung (TGT/Service-Tickets) |
| 389 | LDAP (TCP/UDP) | Verzeichnisabfragen |
| 636 | LDAPS (TCP) | LDAP über TLS |
| 445 | SMB (TCP) | SYSVOL/NETLOGON, GPO-Verteilung |
| 3268 / 3269 | Global Catalog (TCP) | GC-Suche / GC über SSL |
| 135 + dyn. | RPC-Endpoint-Mapper | Replikation, FSMO-Zugriff (dyn. Ports 49152–65535) |
| 123 | NTP (UDP) | Zeitsynchronisation (Kerberos-Voraussetzung) |
Get-WinEvent auf Event-ID 2889 (unsignierte LDAP-Binds).
