18.24 Das KISS-Prinzip zur Vermeidung unnötiger Komplexität 

Microsoft liefert mit seinen Serverprodukten eine Technologie, mit der äußerst komplexe IT-Strukturen aufgebaut werden können. Die Anzahl der verwaltbaren Objekte im Active Directory ist inzwischen so groß, dass kaum eine Organisation an Grenzen stößt, wenn sie beabsichtigt, alle Organisationseinheiten in einer gemeinsamen Active-Directory-Gesamtstruktur zu vereinigen. Doch auch das notwendige Know-how zur Beherrschung dieser Technologie ist immens gewachsen. Viele Wege sind möglich, wenn man sich in der konzeptionellen Planung der Gesamtstruktur befindet.

Man kann eine Organisation, die aus vielen Unterorganisationen besteht und räumlich dezentralisiert ist, auf mehrere Arten abbilden: durch mehrere Gesamtstrukturen, durch einen DNS-Namensraum, der unabhängig vom Active Directory ist, durch eine Stammdomäne mit vielen Subdomänen oder durch eine einzige Domäne, indem die ehemaligen selbstständigen NT-4.0-Domänen oder NetWare-Netze als Organisationseinheiten in einer großen Domäne zusammengeführt werden.

Sie können ein Meta-Directory einführen, um unterschiedliche Welten zusammenzuführen. Wenn Ihr Unternehmen international tätig ist, können Sie den Mitarbeitern nicht nur ein multilinguales Frontend-Betriebssystem und Office in der Landessprache zur Verfügung stellen, sondern auch auf den Servern die sprachlich lokalisierten Versionen einsetzen. Sie können sich aber auch zwecks Standardisierung und Reduzierung der Fehlerquellen und des Administrationsaufwandes zumindest bei den Serverprodukten auf eine Sprachversion einigen.

Sie können Wildwuchs von lokalen, globalen und universellen Sicherheits- oder Verteilergruppen erzeugen und dieses Gruppengebilde durch Verschachtelung undurchsichtig gestalten. Ebenso können Sie mit Organisationseinheiten verfahren. Und dasselbe gilt für die Softwareverteilung, die Struktur des Mustercomputers sowie für die Auswahl der Softwareprodukte, der Gruppenrichtlinien, der beschafften Hardware oder der eingesetzten Managementsoftware.

Wenn das vorrangige Ziel jedoch lautet, maximalen Nutzen bei minimierten Kosten zu erreichen, müssen Sie die Informationstechnologie standardisieren, standardisieren und noch einmal standardisieren! Das geht jedoch nur durch die Vermeidung von unnötiger Komplexität, und zwar nach dem KISS-Prinzip: Keep It Simple and Smart – das Gesamtsystem so einfach, durchsichtig, pfiffig und gleichzeitig kostenminimiert wie möglich gestalten.

Vermeiden Sie komplexe Active-Directory-Gesamtstrukturen. Bilden Sie ehemals eigenständige Domänen nach Möglichkeit als Organisationseinheiten in wenigen Subdomänen ab. Im Optimalfall erstellen Sie eine Single-Domain-Gesamtstruktur. Das muss nicht zur völligen Entmachtung der dezentralen IT-Abteilungen führen. Durch die Zuweisung von Berechtigungen an Organisationseinheiten können die ehemals autonomen Domänenadministratoren ihre nunmehr als Organisationseinheit abgebildete Unterorganisation weiterhin weitgehend eigenständig administrieren, solange die im Vorfeld abgesteckten Vereinbarungen wie z.B. organisationsübergreifende Namenskonventionen und Service Level Agreements von allen Beteiligten eingehalten werden.

Verwenden Sie ein einfaches Namensschema für AD-Objekte und nutzen Sie statt komplizierter Objektnamen die Möglichkeit, die Objekte über die Felder Beschreibung und Standort näher zu definieren.

Erstellen Sie möglichst wenig Organisationseinheiten, Sicherheitsgruppen und Gruppenrichtlinien.

Nutzen Sie die Möglichkeiten der Gruppenverschachtelung.

Vermeiden Sie, jeden Sonderfall über eine neue Gruppenrichtlinie abbilden zu wollen.

Gehen Sie das Risiko ein, dass ein Anwender tatsächlich einmal aufgrund zu vieler Rechte einen Computer oder sein Benutzerprofil »ruiniert«.

Wenn Sie eine Methode gefunden haben, mit der ein fehlerhafter Computer in kurzer Zeit wieder neu eingerichtet werden kann, und wenn Sie sicherstellen, dass dabei keine Anwenderdaten verloren gehen, da diese Daten alle auf dem Server liegen, ist das nicht tragisch. Ein defektes Benutzerprofil reparieren Sie, indem Sie sowohl das lokale Profil als auch das servergespeicherte Profil im schlimmsten Fall einfach löschen. Bei der nächsten Anmeldung erhält dann der Benutzer ein neues Profil. Wenn Sie aber die Einstellungen des Default Users bereits in der Planung optimiert haben und alle anderen wichtigen Benutzer-Einstellungen durch ein abgestimmtes Zusammenspiel von Anmeldeskripten und Gruppenrichtlinien bereits sinnvoll vorgegeben werden, werden dem Benutzer durch das Löschen seines Profils keine wesentlichen Dinge verloren gehen.

Reduzieren Sie die eingesetzten Softwareprodukte, Virenscanner, Managementtools zur Komponentenüberwachung, zur Hardware- und Softwareinventarisierung und zur Softwareverteilung und schulen Sie die zentralen und dezentralen Administratoren gezielt in den verbleibenden Produkten, besonders auch in den Themen Backup, Restore und Disaster Recovery.

Stellen Sie durch eine strikte Standardisierung der Serverhardware und Netzwerkkomponenten sicher, dass der Administrator eines Standortes im Notfall auch den Administrator eines anderen Standortes vertreten kann und dass neue Mitarbeiter, die ausgewählt wurden, weil sie eine qualifizierte Ausbildung in gängigen Netzwerkprodukten nachweisen konnten, innerhalb einer angemessenen Einarbeitungszeit produktiv werden können. Diese Standardisierung stellt zugleich sicher, dass externe Mitarbeiter von Beraterfirmen sich schnell zurechtfinden und neu zusammengestellte IT-Projektgruppen keinen großen Aufwand betreiben müssen, um den Ist-Zustand aufzunehmen, bevor sie mit der eigentlichen Projektarbeit beginnen können.