Active Directory-Domänendienste

Letztes Änderungsdatum des Themas: 2009-12-17

Die Active Directory-Domänendienste (in Windows Server 2003 unter dem Namen Active Directory bekannt) übernehmen die Rolle eines Verzeichnisdiensts für Windows Server 2003- und Windows Server 2008-Netzwerke. Sie stellen außerdem die Grundlage dar, auf der die Sicherheitsinfrastruktur von Office Communications Server 2007 R2 beruht. In diesem Abschnitt wird beschrieben, wie Office Communications Server mit den Active Directory-Domänendiensten eine vertrauenswürdige Umgebung für Sofortnachrichten, Webkonferenzen, Medien und VoIP aufbaut. Ausführliche Informationen zu Office Communications Server-Erweiterungen für die Active Directory-Domänendienste und zum Vorbereiten der Umgebung auf die Active Directory-Domänendienste finden Sie unter Vorbereiten der Active Directory-Domänendienste für Office Communications Server 2007 R2. Ausführliche Informationen zur Rolle der Active Directory-Domänendienste in Windows Server 2003- und Windows Server 2008-Netzwerken finden Sie in der Dokumentation zu Windows Server 2003 oder Windows Server 2008.

Die Active Directory-Domänendienste werden von Office Communications Server 2007 R2 zum Speichern folgender Daten verwendet:

• Globale Einstellungen, die für alle Office Communications Server 2007 R2-Server in einer Gesamtstruktur erforderlich sind
• Dienstinformationen, mit denen die Rollen aller Office Communications Server 2007 R2-Server in einer Gesamtstruktur identifiziert werden können
• Benutzereinstellungen

Vorbereiten der Active Directory-Domänendienste

Hinweis:

Es wird empfohlen, globale Einstellungen über den Systemcontainer für den Konfigurationscontainer bereitzustellen. Wenn Sie von einer früheren Version migrieren und bisher den Systemcontainer verwendet haben, jetzt aber den Konfigurationscontainer verwenden möchten, MÜSSEN Sie die Einstellungen in den Systemcontainer verschieben, BEVOR Sie mit den Vorbereitungen für das Upgrade beginnen. Informationen zum Migrieren der Einstellungen des Systemcontainers zum Konfigurationscontainer finden Sie unter "Migrationstool für globale Einstellungen von Microsoft Office Communications Server 2007" auf der Webseite https://go.microsoft.com/fwlink/?LinkId=145236 (möglicherweise in englischer Sprache).

Der erste Schritt der Bereitstellung von Office Communications Server besteht in der Vorbereitung der Active Directory-Domänendienste. Sie umfasst die drei folgenden Schritte:

• Schema vorbereiten: Bei dieser Aufgabe wird das Schema der Active Directory-Domänendienste so erweitert, dass Klassen und Attribute aufgenommen werden können, die spezifisch für Office Communications Server 2007 R2 sind. Die Aufgabe Schema vorbereiten kann nur von Schemaadministratoren oder lokalen Administratoren im Schemamaster durchgeführt werden.
• Gesamtstruktur vorbereiten: Bei dieser Aufgabe werden globale Einstellungen und Objekte in der Stammdomäne der Gesamtstruktur sowie die universellen Dienst- und Verwaltungsgruppen erstellt, die den Zugriff auf diese Einstellungen und Objekte regeln.
• Domäne vorbereiten: Bei dieser Aufgabe werden universellen Gruppen die erforderlichen ACEs (Access Control Entries, Zugriffssteuerungseinträge) hinzugefügt, über die Berechtigungen zum Hosten und Verwalten von Benutzern in der Domäne gewährt werden. Die Aufgabe Domäne vorbereiten muss für jede Domäne ausgeführt werden, in der Office Communications Server bereitgestellt wird oder in der Benutzer von Office Communications Server vorhanden sind.

Ausführliche Informationen zu den einzelnen Schritten für die Vorbereitung der Active Directory-Domänendienste finden Sie unter Vorbereiten der Active Directory-Domänendienste für Office Communications Server 2007 R2.

Universelle Gruppen

Während der Vorbereitung der Gesamtstruktur werden in Office Communications Server mehrere universelle Gruppen innerhalb der Active Directory-Domänendienste erstellt, die über die Berechtigung für den Zugriff auf globale Einstellungen und Dienste verfügen und diese verwalten können. Dazu gehören folgende universelle Gruppen:

• Verwaltungsgruppen: Diese Gruppen definieren die grundlegenden Administratorrollen für ein Office Communications Server-Netzwerk. Während der Vorbereitung der Gesamtstruktur werden die Verwaltungsgruppen den Infrastrukturgruppen von Office Communications Server hinzugefügt.
• Infrastrukturgruppen: Diese Gruppen bieten die Berechtigungen für den Zugriff auf bestimmte Bereiche der Office Communications Server-Infrastruktur. Sie fungieren als Komponenten der Verwaltungsgruppen. Es sollten keine Infrastrukturgruppen geändert oder Benutzer direkt zu ihnen hinzugefügt werden.
• Dienstgruppen: Diese Gruppen sind Dienstkonten, die für den Zugriff auf verschiedene Dienste von Office Communications Server erforderlich sind.

In der folgenden Tabelle werden die universellen Gruppen von Office Communications Server mit ihren entsprechenden Berechtigungen beschrieben.

Tabelle 1: Von Office Communications Server 2007 R2 erstellte universelle Gruppen

Verwaltungsgruppe	Berechtigungen
RTCUniversalUserAdmins	Verwaltet alle Office Communications Server-Objekte und -Einstellungen in einer Gesamtstruktur, einschließlich aller Serverrollen, globalen Einstellungen und Benutzer.
RTCUniversalUserAdmins	Verwaltet alle Benutzer in einer Gesamtstruktur, die für Office Communications Server aktiviert wurden.
RTCUniversalReadOnlyAdmins	Nur Lesezugriff für alle Server und Benutzer.
Infrastrukturgruppe	Berechtigungen
RTCUniversalGlobalReadOnlyGroup	Nur Lesezugriff für globale Einstellungen.
RTCUniversalGlobalWriteGroup	Schreibzugriff für globale Einstellungen.
RTCUniversalUserReadOnlyGroup	Nur Lesezugriff für Benutzereinstellungen.
RTCUniversalServerReadOnlyGroup	Nur Lesezugriff für Servereinstellungen.
Dienstgruppe	Berechtigungen
RTCHSUniversalServices	Mit diesem Dienstkonto werden die Standard Edition-Server und die Enterprise Edition-Front-End-Server von Office Communications Server 2007 R2 ausgeführt. Die Gruppe autorisiert diese Server zum Lesen und Schreiben von globalen Einstellungen und Benutzerobjekten.
RTCArchivingUniversalServices	Mit diesem Dienstkonto werden die Archivierungsserver von Office Communications Server 2007 R2 ausgeführt. Diese Gruppe ermöglicht außerdem den Zugriff auf die Dienstdatenbank.
RTCProxyUniversalServices	Mit diesem Dienstkonto werden die Proxyserver von Office Communications Server 2007 R2 ausgeführt.
RTCComponentsUniversalServices	Mit diesem Dienstkonto werden die Konferenzserver, Webkomponentenserver und Vermittlungsserver von Office Communications Server 2007 R2 ausgeführt.
RTCUniversalGuestAccessGroup	Nur Lesezugriff auf Besprechungsinhalte für Konferenzen. Diese Gruppe wird von internen Benutzern mit Active Directory-Anmeldeinformationen verwendet, die eine Remoteverbindung herstellen. Auch externe Benutzer ohne Active Directory-Anmeldeinformationen gehören dazu.

Serverinformationen

Während der Aktivierung veröffentlicht Office Communications Server 2007 R2 Serverinformationen an den drei folgenden Orten in den Active Directory-Domänendiensten:

• Ein Dienstverbindungspunkt auf jedem Active Directory-Computerobjekt, das einem physischen Computer mit Office Communications Server entspricht
• Serverobjekte, die im Container der msRTCSIP-Pools-Klasse erstellt wurden
• Listen mit vertrauenswürdigen Servern

Dienstverbindungspunkte

Jedes Office Communications Server-Objekt in den Active Directory-Domänendiensten verfügt über den Dienstverbindungspunkt RTC-Dienste. Dieser enthält wiederum eine Anzahl von Attributen, die die einzelnen Computer identifizieren und die Dienste angeben, die von ihnen bereitgestellt werden. Die wichtigsten Attribute der Dienstverbindungspunkte sind serviceDNSName, serviceDNSNameType, serviceClassname und serviceBindingInformation. Über Asset Management-Anwendungen von Drittanbietern können Serverinformationen über eine Bereitstellung abgerufen werden, indem diese und andere Attribute von Dienstverbindungspunkten abgerufen werden.

Active Directory-Serverobjekte

Jeder Office Communications Server-Rolle ist ein entsprechendes Active Directory-Objekt mit Attributen zugeordnet, die die von dieser Rolle bereitgestellten Dienste definieren. Wenn ein Standard Edition-Server aktiviert oder ein Enterprise Edition-Pool erstellt wird, erstellt Office Communications Server ein neues msRTCSIP-Pool-Objekt im msRTCSIP-Pools-Container. In der msRTCSIP-Pool-Klasse werden der FQDN (vollqualifizierte Domänenname) des Pools und die Zuordnung zwischen Front-End- und Back-End-Komponenten des Pools festgelegt. (Ein Standard Edition-Server wird als logischer Pool betrachtet, dessen Front- und Back-Ends gemeinsam auf einem einzigen Computer ausgeführt werden.

Listen mit vertrauenswürdigen Servern

Während der Vorbereitung der Gesamtstruktur erstellt Office Communications Server Container, in die Listen der vertrauenswürdigen Server aufgenommen werden können. Während der Aktivierung veröffentlicht Office Communications Server den FQDN jedes Servers im entsprechenden Container. Ein vertrauenswürdiger Server erfüllt folgende Kriterien:

• Der FQDN des Servers befindet sich auf einer der Listen mit den vertrauenswürdigen Servern, die wie im vorherigen Abschnitt beschrieben in den Active Directory-Domänendiensten gespeichert werden.
• Der Server verfügt über ein gültiges Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle. Der FQDN auf dem Zertifikat stimmt mit dem FQDN für diesen Server auf einer der Listen mit vertrauenswürdigen Servern überein. Ausführliche Informationen zur Verwendung von Zertifikaten durch Office Communications Server finden Sie unter Public Key-Infrastruktur für Office Communications Server 2007 R2.

Wenn eines dieser Kriterien nicht zutrifft, gilt der Server nicht als vertrauenswürdig und es wird keine Verbindung damit hergestellt. Diese doppelte Anforderung soll einen möglichen, wenn auch unwahrscheinlichen Angriff ausschließen, bei dem ein nicht autorisierter Server versucht, den FQDN eines gültigen Servers zu übernehmen.

Die Verwendung mehrerer Listen mit vertrauenswürdigen Servern ist eine Neuerung im Vergleich zu früheren Versionen von Live Communications Server. Dort gab es nur jeweils eine einzige Liste mit vertrauenswürdigen Servern. Jeder Server auf der Liste wird als GUID (Globally Unique Identifier) im Container mit den globalen Einstellungen dargestellt. Aufgrund der neuen Serverrollen in Office Communications Server 007 R2 werden neue Container definiert, um die GUIDs der unterschiedlichen Serverrollen aufzunehmen. Diese neuen Container und ihre entsprechenden Listen mit vertrauenswürdigen Servern werden in der folgenden Tabelle dargestellt.

Tabelle 2: Listen mit vertrauenswürdigen Servern und ihre entsprechenden Active Directory-Container

Listen mit vertrauenswürdigen Servern	Active Directory-Container
Standard Edition-Server und Front End-Server von Enterprise-Pools	RTC-Dienst/Globale Einstellungen
Konferenzserver	RTC-Dienst/Vertrauenswürdige MCUs
Webkomponentenserver	RTC-Dienst/TrustedWebComponentsServers
Vermittlungsserver und Communicator Web Access-Server (auch SIP-Server von Drittanbietern)	RTC-Dienst/Vertrauenswürdige Dienste
Proxyserver	RTC-Dienst/Vertrauenswürdige Proxys

Listen mit vertrauenswürdigen Servern duplizieren FQDN-Einträge, die auch bei einzelnen Office Communications Server-Objekten gefunden werden. Mittels dieser Redundanz soll mögliches Spoofing von vertrauenswürdigen Servern verhindert werden. Ein solches Szenario ist vorstellbar, weil die Active Directory-Domänendienste zulassen, dass einzelne Benutzer die Attribute auf den Computerobjekten ändern, die ihren eigenen Computern entsprechen. In den meisten Organisationen ist eine solche Änderung der Arbeitscomputer seitens der Benutzer nicht zulässig. Mit den Listen für vertrauenswürdige Server wird eine zusätzliche Sicherheitsebene zwischengeschaltet, indem nur Mitglieder der Gruppe RTCUniversalServerAdmins Änderungen dieser Art vornehmen können.