Verschieben von Objekten in Active Directory - Dummies

Das Verschieben von Objekten in Active Directory kann das Verschieben von Objekten von einem Ort an einen anderen innerhalb einer Domäne oder das Verschieben von Objekten von einer Domäne in eine andere erfordern. Sie müssen die Details kennen, die mit der Operation für die MCSE Directory Services-Prüfung verknüpft sind. Glücklicherweise müssen Sie sich nur an einige einfache Regeln erinnern.

Objekte in einer Domäne verschieben

Objekte in einer Domäne bewegen ist ein einfacher Vorgang: Klicken Sie einfach mit der rechten Maustaste auf das Objekt und wählen Sie Verschieben. Windows 2000 zeigt ein Dialogfeld an, in dem Sie einfach das Zielcontainerobjekt für die Verschiebung auswählen. (In neueren Versionen von Windows 2000 können Sie Active Directory-Objekte per Drag & Drop von einer Organisationseinheit in eine andere verschieben.)

Ein Beispiel aus der Praxis zum Verschieben eines Objekts innerhalb einer Domäne besteht darin, ein Benutzerkonto von einer Organisationseinheit in eine andere zu verschieben, wenn der Benutzer von einer Abteilung in eine andere Abteilung in Ihrer Organisation wechselt. Durch das Verschieben des Benutzerkontos können Benutzer die Vorteile und Einschränkungen erhalten, die Sie für die neue Organisationseinheit definiert haben.

Was nicht so einfach ist (und was Sie für die Prüfung wissen müssen) ist der Effekt, den bewegende Objekte auf Berechtigungen haben. Hier sind die Regeln, die Sie kennen müssen:

• Berechtigungen, die Sie direkt einem Active Directory-Objekt zuweisen, bleiben mit dem Objekt erhalten, nachdem Sie das Objekt verschoben haben.
• Das Objekt erbt die Berechtigungen, die der neuen Organisationseinheit zugewiesen sind, und verliert alle zuvor geerbten Berechtigungen.

Das haben Sie vielleicht schon herausgefunden: Eine ausgezeichnete Strategie für die Verwaltung von Active Directory-Objekten besteht darin, Objekte, die ähnliche Berechtigungseinstellungen benötigen, in dieselbe Organisationseinheit zu verschieben. Auf diese Weise können Sie Ihr Netzwerk einfach verwalten, Berechtigungen vergeben und Berechtigungen mit nur wenigen Mausklicks delegieren.

Objekte zwischen Domänen verschieben

In einer Windows 2000-Gesamtstruktur mit mehreren Domänen müssen Sie möglicherweise Objekte (Benutzer, Organisationseinheiten, Gruppen) zwischen diesen mehreren Domänen verschieben. Mit dem MOVETREE-Befehlszeilendienstprogramm können Sie viele dieser Vorgänge ausführen.

Wenn Sie Benutzer und Gruppen in eine neue Domäne verschieben, erhalten sie neue Sicherheits-IDs (SIDs). Glücklicherweise unterstützt Windows 2000 im einheitlichen Modus ein Attribut namens SIDHistory. Wenn Sie einen Benutzer von Domäne zu Domäne verschieben, füllt Windows 2000 SIDHistory, sodass Sie nicht jedes Mal Berechtigungen für Objekte zurücksetzen müssen, wenn Sie den Verschiebevorgang ausführen.

MOVETREE unterstützt Sie bei den meisten Verschiebungsvorgängen zwischen Domänen. Und in den Fällen, in denen MOVETREE diese Aufgabe nicht erfüllen kann, können Sie sich an ein anderes Dienstprogramm namens NETDOM wenden.MOVETREE kann

• die meisten Active Directory-Objekte (einschließlich nicht leerer Container) von einer Domäne in eine andere in derselben Gesamtstruktur verschieben.
• Verschiebt lokale und globale Domänengruppen zwischen Domänen. Diese Gruppen können jedoch keine Mitglieder enthalten. Die Domänen müssen innerhalb derselben Gesamtstruktur vorhanden sein.
• Verschiebt universelle Gruppen und ihre Mitglieder zwischen Domänen derselben Gesamtstruktur.

MOVETREE kann die meisten Active Directory-Objekte verschieben. Diejenigen, die sich nicht verschieben können, wenn Sie versuchen, Gruppen von Objekten zu verschieben, werden verwaist . Windows 2000 platziert diese verwaisten Objekte in einem speziellen Container namens LostAndFound. Sie können diesen Container mithilfe der erweiterten Ansicht von Active Directory-Benutzer und -Computer anzeigen.

Sie müssen über die entsprechenden Administratorberechtigungen verfügen, um MOVETREE über die Eingabeaufforderung verwenden zu können. Dieser Befehl verwendet die folgende Syntax:

MOVETREE {/ start | / startnocheck | / weiter | / check} / s SrcDSA / d DstDSA / sdn SrcDN / ddn DstDN [/ u [ Domäne ] Benutzername / p Passwort ] [/ verbose] [{/? | / help}]

Die kursiven Einträge in dieser Syntax stellen Informationen dar, die Sie angeben müssen. Tabelle 1 beschreibt die Switches, die Sie mit dem MOVETREE-Befehl verwenden können.

Tabelle 1 MOVETREE-Befehlsschalter

Schalter	Bedeutung
/ start	Startet den Verschiebevorgang.
/ startnocheck	Startet eine MOVETREE-Operation ohne / check.
/ continue	Führt die Ausführung einer zuvor angehaltenen oder fehlgeschlagenen MOVETREE-Operation fort.
/ check	Führt einen Testlauf der MOVETREE-Operation durch.
/ s SrcDSA	Gibt den vollqualifizierten Domänennamen (FQDN) des Quellservers an.
/ d DSTDSA	Gibt den FQDN des Zielservers an.
/ sdn SrcDN	Gibt den definierten Namen des Objekts an, das Sie von der Quelle verschieben.
/ ddn DstDN	Gibt den definierten Namen des Objekts an, das Sie an das Ziel verschieben.
/ u	Führt MOVETREE unter den Anmeldeinformationen des angegebenen Benutzernamens und Kennworts aus.
/ verbose	Bewirkt, dass MOVETREE während der Ausführung mehr Details anzeigt.
/?	Zeigt Hilfe zu MOVETREE an.

MOVETREE erstellt Protokolldateien, wenn Operationen ausgeführt werden. Sie können diese Protokolldateien auf Informationen zum Erfolg oder Misserfolg von MOVETREE-Ereignissen überprüfen:

• MOVETREE. ERR: Listet alle aufgetretenen Fehler auf.
• MOVETREE. LOG: Listet statistische Ergebnisse der Operation auf.
• MOVETREE. CHK: Listet alle Fehler auf, die von MOVETREE im Prüfmodus erkannt wurden.

MOVETREE verschiebt Computerobjekte von einer Domäne in eine andere, aber es kann den Computer nicht von der Quelldomäne trennen und mit der Zieldomäne verbinden. Diese Einschränkung macht NETDOM ein viel besseres Dienstprogramm zum Verschieben von Computern zwischen Domänen in einer Windows 2000 Active Directory-Einstellung.

NETDOM verwendet die folgende Syntax, um Computerkonten zu verschieben:

MOVETREE {/ NETDOM move / D: Domäne [/ OU: ou_path ] [/ Ud: Benutzer / Pd: { Passwort | *}] [/ Uo: Benutzer / Po: { Passwort | *}] [/ Reboot: [ time_in_seconds ]]

Tabelle 2 beschreibt die Schalter, die Sie mit dem Befehl NETDOM verwenden.

Tabelle 2 NETDOM-Befehlsschalter

Switch	Was es tut
/ domain	Identifiziert die Zieldomäne.
/ OU: ou_path	Gibt die Zielorganisationseinheit an.
/ Ud: Benutzer	Gibt das Benutzerkonto an, das zum Herstellen der Verbindung mit der Zieldomäne verwendet wird.
Pd: {Kennwort | *}	Gibt das Kennwort für das Benutzerkonto ein, das zum Herstellen einer Verbindung mit der Zieldomäne verwendet wird. Wenn Sie * verwenden, fordert NETDOM zur Eingabe des Kennworts auf.
/ Uo: Benutzer	Gibt das Benutzerkonto an, mit dem die Verbindung zur Quelldomäne hergestellt wird.
/ Po: {Kennwort | *}	Gibt das Kennwort für das Benutzerkonto ein, mit dem die Verbindung zur ursprünglichen Domäne hergestellt wurde. Wenn Sie * verwenden, fordert NETDOM zur Eingabe des Kennworts auf.
/ Reboot: [time_in_seconds]	Gibt an, dass der Computer, der verschoben wird, automatisch heruntergefahren und in der angegebenen Anzahl von Sekunden nach dem Verschiebevorgang automatisch neu gestartet wird.