8.7 Das Active Directory aus der Client-Perspektive

Das Active Directory ist nicht nur auf dem Server sichtbar, sondern hat diverse Auswirkungen auf den Client. Zunächst muss der Client Mitglied der Domäne werden. Dann authentifiziert er sich am Active Directory, bekommt Einstellungen per Gruppenrichtlinien und vieles andere mehr.

Diese Themen sind zum Teil behandelt worden, zum Teil handelt es sich aber auch eher um Themen für ein Client-Buch (z. B. für Fragen wie »Mit welchen Gruppenrichtlinien kann ich den Client optimal konfigurieren?«). In diesem Abschnitt möchte ich zwei Aspekte ansprechen, die mir für das »Zusammenleben« von Clients und dem Active Directory wichtig erscheinen.

Zunächst wird es um den Zugriff auf das Active Directory bzw. um Störfaktoren gehen. Danach zeige ich Ihnen, was Sie Ihren Benutzern zeigen sollten, nämlich wie man aus dem Active Directory als Mensch Informationen gewinnen kann.

8.7.1 DNS-Einträge oder »Wie findet der Client das Active Directory?«

In diesem Abschnitt geht es nicht darum, ob der Client das Active Directory hübsch bunt oder eher trist findet, sondern darum, wie er beispielsweise einen Domänencontroller und einen globalen Katalogserver identifiziert.

Der wichtigste Hilfsdienst für das Active Directory ist DNS, das Domain Name System. Es dient aber nicht nur zur Auflösung der Servernamen in IP-Adressen, sondern wird auch verwendet, um Dienste zu finden. Auf diese Weise können Clients (oder auch Server) Domänencontroller, globale Katalogserver und anderes finden. Um diese Dienste zu finden, sind im DNS Einträge zur Dienstidentifizierung (Service Locator Records) vorhanden. Diese sehen Sie in Abbildung 8.183.

Es ist demnach extrem wichtig, dass die DNS-Einträge bei den Clients sorgfältig konfiguriert sind. Grundsätzlich ist es egal, ob das manuell oder per DHCP geschieht – wichtig ist nur, dass es geschieht.

Es ist möglich, zwei DNS-Server einzutragen, was Sie auch tun sollten. Selbst wenn an einem Standort nur ein DNS-Server vorhanden ist, ist es besser, dass der Client einen über WAN-Verbindungen erreichbaren DNS-Server kennt, als dass er völlig ohne Namensauflösung dasteht.

Abbildung 8.183 Die Clients finden das Active Directory über DNS-Abfragen. Hierzu verfügt der DNS-Server über Einträge zur Dienstidentifizierung.

Wenn die Auflösung von Netzwerknamen auf dem »normalen Wege« nicht gelingt, versuchen die Windows-Clients den Namen auf andere Weise aufzulösen, beispielsweise durch Broadcasting. Die verzweifelten Versuche eines Windows-Clients, vielleicht doch noch den Namen aufzulösen, kosten Netzwerkkapazität (was heutzutage nicht mehr so dramatisch ist), machen den PC langsam (was sehr lästig ist) und führen zu nicht reproduzierbaren und folglich schwer zu diagnostizierenden Effekten (GAU). Besser ist, wenn direkt alles richtig und mit Redundanzen konfiguriert wird.

Ich kann Sie an dieser Stelle nur sehr eindringlich auffordern, das Thema Namensauflösung sehr, sehr ernst zu nehmen!

8.7.2 Das Active Directory durchsuchen

Die Informationen, die im Active Directory gespeichert sind, sind nicht nur für Administratoren, die das Netz verwalten, oder für Computer interessant, die ihre Gruppenrichtlinien abrufen, sondern auch für den »normalen Benutzer«.

In einem gut gepflegten Active Directory sind sicherlich die Benutzerkonten mit Kontaktdaten versehen. Das Active Directory kann also die gute alte gedruckte Telefonliste ersetzen. Abbildung 8.184 zeigt, wie man mit dem ab Windows Vista enthaltenen Werkzeug das Active Directory durchsuchen kann. (Die Vorgängerversionen von Vista hatten dieses Utility übrigens auch an Bord.)

Abbildung 8.184 Die Anwender können das Active Directory durchsuchen und Details zu den gefundenen Objekten anzeigen lassen.

Nach der Eingabe des Nachnamens wird das Verzeichnis durchsucht, und die Ergebnisse werden angezeigt – einfacher geht es kaum. Jenseits dieses fertigen Werkzeugs können Entwickler mit sehr geringem Aufwand auf das Active Directory zugreifen und beispielsweise ein webbasiertes Firmenadressbuch programmieren, das seine Daten aus dem AD zieht. Für .NET-Entwickler sei in diesem Zusammenhang auf den Namespace System.DirectoryServices verwiesen.

Auch das Suchen nach Ressourcen ist möglich, wobei in diesem Zusammenhang unter Ressourcen primär Drucker und Fileshares zu verstehen sind. Abbildung 8.185 zeigt das Suchen von Druckern im Active Directory: Der Benutzer kann gesuchte Funktionen definieren, beispielsweise Farbig drucken und Beidseitig drucken. Das Active Directory wird entsprechende Drucker heraussuchen, und der Anwender kann sich – vorausgesetzt, er hat die notwendigen Rechte – mit dem Drucker verbinden.

Abbildung 8.185 Auch Ressourcen, wie beispielsweise Drucker, können im Active Directory gesucht und gefunden werden.

Neben diesen einfachen Beispielen sind noch viele andere Möglichkeiten der Active Directory-Integration denkbar. Active Directory kann und soll als Verzeichnisdienst eine zentrale »Informationssammelstelle« sein – je mehr Applikationen diese Möglichkeit nutzen, desto besser für alle:

• Ein Administrator muss nicht mehrere Benutzerdatenbanken pflegen.
• Die Benutzer freuen sich über aktuelle Benutzerdaten, Single Sign-on und dergleichen mehr.
• Für Applikationsentwickler entfällt die lästige Notwendigkeit, eine eigene Benutzerverwaltung programmieren zu müssen.

8.7.3 Individuelle Erweiterungen

Das Active Directory kann in viele Richtungen erweitert werden, beispielsweise auch durch individuelle Verwaltungswerkzeuge. Ich habe unter anderem für einen großen Kunden, bei dem die Leiter der Fachabteilungen selbst die Gruppenzuweisungen vornehmen sollen, eine kleine Applikation entwickelt, die einem solchen Benutzer das Bearbeiten der Gruppenmitgliedschaften ermöglicht (Abbildung 8.186).

Solche Werkzeuge können mit .NET-Technologie recht zügig entwickelt werden und haben in den Unternehmen einen hohen Nutzwert.

Abbildung 8.186 Ein Beispiel für die Active Directory-Integration ist dieses ASP.NET-Werkzeug für die Bearbeitung von Gruppenrichtlinien, das ich für einen Kunden erstellt habe.

---

Ihre Meinung

Wie hat Ihnen das Openbook gefallen? Wir freuen uns immer über Ihre Rückmeldung. Schreiben Sie uns gerne Ihr Feedback als E-Mail an kommunikation@rheinwerk-verlag.de.