Mit Verzeichnisberechtigungen in einem Windows 2000-Netzwerk arbeiten - Dummies

Ein Administrator in einer Windows 2000-Domäne zu sein ist nicht länger das gleiche wie ein Administrator in einem Windows-System. NT-Domäne. Zuallererst gewährt der Administrator-Tag-Name Ihnen nicht mehr den Status einer Nebengottheit. Sie müssen nicht mehr allen Netzwerkmanagement-Assistenten die Möglichkeit geben, Ihre gesamte Organisation mit einem schlechten Tastendruck in die Knie zu zwingen. Stattdessen können Sie Organisationseinheiten (Organizational Units, OUs) erstellen und Verwaltungsfunktionen über diese OUs delegieren, um Benutzer auszuwählen, ohne ihnen zusätzliche Kontrolle oder Funktionen über einen anderen Teil der Domäne zu gewähren.

Microsoft hat dieses Konzept der delegierten Autorität entwickelt, um die von einer einzelnen Person benötigten Aufgaben zu reduzieren. So geht's: Erstellen Sie Organisationseinheiten über Abteilungen und erteilen Sie den Abteilungsleitern Administratorberechtigungen für ihre Organisationseinheiten. Platzieren Sie dann die Abteilungsleiter in einer Organisationseinheit, die auf Bereichsmanagern basiert, und erteilen Sie einem Abschnittsmanager Administratorberechtigungen für diese Organisationseinheit. dann gruppieren Sie die Bereichsleiter nach Geschäftsbereichen und stellen einen Abteilungsleiter und so weiter auf. Schließlich delegieren Sie die administrative Kontrolle über Benutzer, Gruppen, Computer, Drucker, freigegebene Ordner usw. an andere, was bedeutet, dass Sie als Domänenadministrator nur mit wirklich dringenden Problemen wie der Installation neuer Domänencontroller, vertraut oder baut das gesamte Netzwerk nach einem Brand neu auf.

Schönheit liegt in den Details

Zugriffskontrolllisten (ACLs) waren im Windows NT-Domänenkonzept enthalten. Jedes Objekt verfügt als Teil seiner Eigenschaften über eine Liste von Benutzern und Gruppen, denen bestimmte Zugriffsebenen gewährt oder verweigert werden. Windows 2000 hat diese Idee übernommen und ist damit ballistisch geworden. Jetzt hat jedes Objekt nicht nur eine Master-ACL für den Objektzugriff, sondern jedes Attribut und jede Eigenschaft eines Objekts hat eine eigene eindeutige ACL. Sie können jetzt auf einer sehr feinen Ebene steuern, wer genau was zu welchen Objekten tun kann. Sie könnten einem Benutzer die Möglichkeit zuweisen, Telefonnummern für alle Benutzer in der Verkaufs-OU zu ändern, ihm aber nicht die Möglichkeit zu geben, andere Aspekte dieser Objekte zu verwalten. Sie könnten sich selbst und Ihre Benutzer verrückt machen mit der detaillierten Kontrolle, die Ihnen Windows 2000 bietet.

Berechtigungen vergeben

Die Verwaltung von Berechtigungen für Active Directory-Objekte ähnelt der Verwaltung von Berechtigungen für Dateien, Freigaben und Drucker. Statt innerhalb des Windows-Explorers, des Arbeitsplatzes oder des Ordners Drucker findet dieser Vorgang im Tool Active Directory-Benutzer und -Computer statt.Bis jetzt haben Sie dieses Tool halb blind verwendet. Sie wussten wahrscheinlich noch nicht einmal, dass Sie einen Befehl hatten, die Fähigkeiten dieses Tools wesentlich zu erweitern. Wenn Sie den Befehl Ansicht -> Erweiterte Funktionen in der Menüleiste auswählen, werden viele andere Container, Befehle und Eigenschaften verfügbar.

Wählen Sie ein beliebiges Objekt aus einem Container aus und öffnen Sie das Dialogfeld Eigenschaften. Wählen Sie dann die Registerkarte "Sicherheit" aus. Sie sehen eine vertraute Benutzeroberfläche, in der Benutzer und Gruppen aufgeführt sind, die diesem Objekt Berechtigungen zugewiesen haben, eine Liste mit Berechtigungen für diesen Objekttyp, Spalten mit den Kontrollkästchen Zulassen und Verweigern, eine Schaltfläche Erweitert und ein Kontrollkästchen für die Vererbung. Diese Schnittstelle funktioniert genauso wie die, die Sie beim Verwalten von Dateien sehen. Die Detailtiefe, die hier und über die Schaltfläche "Erweitert" angeboten wird (wo Sie detailliertere Berechtigungen festlegen und das Auditing und die Verwaltung verwalten können) ist umwerfend. Wenn Sie ein Kontrollfreak sind, ist dieses OS das Richtige für Sie!

Delegieren des Steuerelements über Organisationseinheiten

Die Delegierung der Verwaltungssteuerung über Organisationseinheiten ist trügerisch einfach. Befolgen Sie einfach diese Schritte:

1. Klicken Sie auf einem Windows 2000 Server-Domänencontroller auf die Schaltfläche Start, und wählen Sie Programme -> Verwaltung und dann eines der Active Directory-Tools aus.

2. Erweitern Sie die Container, um die Site, die Domäne oder Organisationseinheit zu suchen, die Sie delegieren möchten, und wählen Sie das Objekt aus.

3. Wählen Sie Aktion -> Steuerung delegieren.

4. Klicken Sie im angezeigten Delegierungsassistenten auf Weiter.

5. Klicken Sie auf Hinzufügen.

6. Suchen Sie einen Benutzer oder eine Gruppe, um diesem Objekt die Administratorsteuerung zu erteilen, und klicken Sie dann auf Hinzufügen.

7. Wiederholen Sie die Schritte 5 und 6, um weitere Benutzer oder Gruppen hinzuzufügen.

8. Klicken Sie auf OK und dann auf Weiter.

9. Wählen Sie den Bereich der Delegierung für diesen Container und alle Objekte in diesem Container aus, die jetzt vorhanden sind und zukünftig erstellt werden, oder beschränken Sie ihn auf bestimmte Objekttypen mit Kontrollkästchen. Weiter klicken.

Die Elemente in dieser Liste sind spezifisch für den OU-Typ, der in Schritt 2 ausgewählt wurde.

10. Wählen Sie aus, welche Berechtigungen Sie delegieren möchten. Weiter klicken.

Sie müssen die Berechtigungsgruppen und die einzelnen spezifischen Berechtigungen auswählen.

Eine Zusammenfassung der Delegation wird angezeigt.

11. Klicken Sie auf Fertig stellen.

Das ist es. Jetzt hat die angegebene OU einen neuen Master. Als lokaler oder Domänenadministrator können Sie diese Organisationseinheit immer noch direkt verwalten. Die neu definierte delegierte Verwaltung kann jedoch zur Ausführung redundanter und alltäglicher Aufgaben herangezogen werden, die Sie so lange gehasst haben. Mit ein wenig Planung und Einfallsreichtum können Sie Ihre Benutzer die meiste Arbeit erledigen lassen!