Active Directory Struktur

KAPITEL 10 · ENTERPRISE IT

Active Directory Struktur

Die logische und physische Struktur von Active Directory Domain Services (AD DS) – von Forests und Trees über Domains und OUs bis zu FSMO-Rollen, Trusts und Replikation.

Forest & Tree Domain OU FSMO-Rollen Replikation

Inhaltsverzeichnis

Schnellübersicht

Auf dieser Seite lernst du alles über die Active Directory Struktur:

  • Definition: Was ist Active Directory?
  • Logische Struktur: Forest, Tree, Domain, OU
  • Physische Struktur: Sites und Subnets
  • Domain Controller: Aufgaben und Redundanz
  • FSMO-Rollen: Die 5 speziellen Rollen
  • Trusts: Vertrauensstellungen zwischen Domains
  • Replikation: Intra-Site und Inter-Site
  • Best Practices: Sicherheit und Wartung
  • FAQ: Häufige Fragen zu AD

1. Was ist Active Directory?

Definition

Active Directory Domain Services (AD DS) ist der zentrale Verzeichnisdienst von Microsoft für Windows-basierte Netzwerke. Er speichert Informationen über Netzwerkobjekte (Benutzer, Computer, Gruppen, Drucker, etc.) und macht diese Ressourcen für autorisierte Benutzer und Administratoren verfügbar.

AD DS bietet drei Hauptfunktionen:

  • Authentifizierung: Verifiziert die Identität von Benutzern und Computern (Login)
  • Autorisierung: Legt fest, auf welche Ressourcen ein Benutzer zugreifen darf
  • Verzeichnisdienst: Speichert und organisiert alle Netzwerkobjekte in einer hierarchischen Struktur

Einsatzgebiete: Von kleinen Unternehmen mit einem Domain Controller bis zu globalen Konzernen mit tausenden Domains und Millionen von Objekten. AD DS ist der De-facto-Standard für Enterprise-Identitätsmanagement.

Warum Active Directory?

  • Zentrale Verwaltung: Ein Login für alle Ressourcen
  • Single Sign-On (SSO): Einmal anmelden, überall zugreifen
  • Gruppenrichtlinien (GPO): Zentrale Konfiguration von Computern und Benutzern
  • Skalierbarkeit: Von 10 bis 10.000.000+ Objekten
  • Sicherheit: Kerberos-Authentifizierung, Verschlüsselung, Auditing
  • Integration: Nahtlose Integration mit Windows, Office 365, Azure AD

2. Logische Struktur – Forest, Tree, Domain, OU

Active Directory organisiert Objekte in einer hierarchischen Struktur. Jede Ebene hat eine spezifische Funktion:

AD-Hierarchie von oben nach unten

Höchste Ebene
Forest (Gesamtstruktur)

Enthält alle Trees, Domains und Objekte. Sicherheitsgrenze, Schema und Konfiguration werden geteilt.

Namespace
Tree (Struktur)

Gruppe von Domains mit gemeinsamem DNS-Namespace (z.B. firma.local, eu.firma.local)

Administrative Grenze
Domain (z.B. firma.local)

Administrative Einheit mit eigener AD-Datenbank, Richtlinien und Sicherheitsgrenze

Container
Organizational Unit (OU)

Container für Objekte innerhalb einer Domain. GPOs können verknüpft werden.

Objekt
Objekte (Benutzer, Computer, Gruppen)

Eigentliche AD-Objekte mit Attributen (Name, Passwort, E-Mail, etc.)

Forest

Höchste logische Ebene in Active Directory. Ein Forest kann mehrere Trees enthalten.

  • Schema: Wird im gesamten Forest geteilt
  • Konfiguration: Forest-weite Einstellungen
  • Global Catalog: Enthält Teilreplikat aller Objekte
  • Sicherheitsgrenze: Automatische Trusts zwischen allen Domains
Tree

Gruppe von Domains mit gemeinsamem DNS-Namespace (kontinuierlicher Name).

  • Beispiel: firma.local, eu.firma.local, us.firma.local
  • Parent-Child-Trust: Automatisch zwischen Parent und Child
  • Namespace: Kontinuierlich (keine Lücken)
  • Schema: Wird im Forest geteilt
Domain

Administrative Grenze in AD. Jede Domain hat eine eigene AD-Datenbank.

  • NTDS.DIT: AD-Datenbank auf jedem Domain Controller
  • Domain Policies: GPOs auf Domain-Ebene
  • Security Principal: Benutzer, Gruppen, Computer
  • FQDN: Fully Qualified Domain Name (z.B. firma.local)
Organizational Unit (OU)

Container innerhalb einer Domain zur Organisation von Objekten.

  • GPO-Verknüpfung: OUs können GPOs verknüpft werden
  • Delegation: Administrative Rechte delegierbar
  • Hierarchie: OUs können verschachtelt werden
  • Beispiele: Abteilungen, Standorte, Gerätetypen

Typische OU-Struktur

BEISPIEL firma.local ├── _Admins (Administrative Accounts) ├── _Servers (Server-Objekte) ├── _Workstations (Client-Objekte) ├── Benutzer │ ├── IT-Abteilung │ ├── Vertrieb │ ├── Marketing │ └── Externe └── Computer ├── Laptops ├── Desktops └── Server

Tipp: Verwende Unterstriche (_) am Anfang, um administrative OUs an den Anfang zu sortieren und von Benutzer-OUs zu trennen.

3. Physische Struktur – Sites und Subnets

Neben der logischen Struktur gibt es die physische Struktur, die die Netzwerktopologie abbildet:

Site

Physischer Standort mit guter Netzwerkanbindung (typisch: LAN).

  • Definition: Gruppe von Subnets mit hoher Bandbreite
  • Replikation: Intra-Site Replikation (schnell, unkomprimiert)
  • Authentifizierung: Clients bevorzugen DCs in ihrer Site
  • Beispiele: Berlin, München, Hamburg
Subnet

Netzwerksegment, das einer Site zugeordnet wird.

  • Zuordnung: Jedes Subnet gehört zu genau einer Site
  • Beispiel: 192.168.1.0/24 → Site Berlin
  • Client-Lokalisierung: Clients finden DC in ihrer Site
  • Link Speed: Wird für Replikationsplanung genutzt
Site Link

Verbindung zwischen Sites für Inter-Site Replikation.

  • Kosten: Metrik für bevorzugte Route
  • Intervall: Replikationshäufigkeit (Standard: 15 Min.)
  • Zeitplan: Replikation nur zu bestimmten Zeiten
  • Bridge: Site Links können gruppiert werden

Intra-Site vs. Inter-Site Replikation

Aspekt Intra-Site Inter-Site
Netzwerk LAN (schnell) WAN (langsam)
Komprimierung Nein Ja
Intervall Sofort (bei Änderung) 15 Minuten (Standard)
Topologie Automatisch (Ring) Manuell konfiguriert
Protokoll RPC over IP RPC oder SMTP

4. Domain Controller (DC)

Ein Domain Controller ist ein Server, der AD DS betreibt und Authentifizierungsanfragen beantwortet.

Aufgaben eines DC
  • Authentifizierung: Benutzer-Logins verifizieren (Kerberos)
  • Autorisierung: Zugriffsrechte prüfen
  • AD-Datenbank: NTDS.DIT speichern und replizieren
  • Global Catalog: Forest-weite Suchanfragen beantworten
  • DNS: AD-integrierte DNS-Zonen hosten
  • GPO-Verarbeitung: Richtlinien an Clients verteilen
DC-Best Practices
  • Mindestens 2 DCs pro Domain für Redundanz
  • DCs nicht für andere Rollen nutzen (File Server, etc.)
  • Regelmäßige Backups des System State
  • DCs aktuell halten (Windows Updates)
  • Monitoring: Replikation, Events, Performance
  • Physische Sicherheit: DCs in abgeschlossenen Räumen
Read-Only DC (RODC)

Spezieller DC für Standorte mit geringer physischer Sicherheit (z.B. Filialen).

  • Schreibgeschützt: Keine Änderungen möglich
  • Partial Replikation: Nur ausgewählte Passwörter
  • Pre-Warming: Passwörter vorab replizieren
  • Sicher: Bei Kompromittierung kein großer Schaden

DC-Größenempfehlung

  • Bis 500 Objekte: 1 DC (kleine Umgebungen)
  • 500-5.000 Objekte: 2 DCs (Standard)
  • 5.000-50.000 Objekte: 2-4 DCs (mittelgroß)
  • 50.000+ Objekte: 4+ DCs (Enterprise)

Wichtig: Immer mindestens 2 DCs für Redundanz! Bei Ausfall eines DCs muss der andere die Authentifizierung übernehmen können.

5. FSMO-Rollen – Die 5 speziellen Rollen

FSMO (Flexible Single Master Operation)-Rollen sind spezielle Aufgaben, die nur von einem DC pro Forest/Domain ausgeführt werden:

FOREST-WEIT

Schema Master

AD-Schema verwalten

Einzigartiger DC, der Änderungen am AD-Schema vornehmen darf.

  • Schema-Änderungen (neue Attribute, Klassen)
  • Exchange-Installation
  • AD-Forest-Preparation
  • Nur 1× pro Forest
FOREST-WEIT

Domain Naming Master

Domains verwalten

Verwaltet das Hinzufügen und Entfernen von Domains im Forest.

  • Neue Domains hinzufügen
  • Domains entfernen
  • DNS-Namespace-Verwaltung
  • Nur 1× pro Forest
DOMAIN-WEIT

PDC Emulator

Zeit & Passwort-Management

Wichtigste FSMO-Rolle im täglichen Betrieb. Simuliert den alten PDC.

  • Zeit-Synchronisation (NTP)
  • Passwort-Änderungen (sofort replizieren)
  • GPO-Editing (Standard-DC)
  • 1× pro Domain
DOMAIN-WEIT

RID Master

Security-IDs verwalten

Vergibt RID-Pools an DCs für die Erstellung neuer Security Principals.

  • RID-Pools an DCs verteilen
  • Eindeutige SIDs sicherstellen
  • Neue Benutzer/Gruppen/Computer
  • 1× pro Domain
DOMAIN-WEIT

Infrastructure Master

Cross-Domain References

Aktualisiert Gruppenmitgliedschaften über Domain-Grenzen hinweg.

  • Phantom-Objekte aktualisieren
  • Gruppenmitgliedschaften synchronisieren
  • Cross-Domain-Referenzen
  • 1× pro Domain

FSMO-Rollen Übersicht

Rolle Scope Hauptaufgabe
Schema Master Forest Schema-Änderungen
Domain Naming Forest Domains hinzufügen/entfernen
PDC Emulator Domain Zeit, Passwörter, GPOs
RID Master Domain SID-Vergabe
Infrastructure Domain Cross-Domain-Referenzen

FSMO-Rollen abfragen (PowerShell)

# Alle FSMO-Rollen im Forest und der Domain anzeigen
PS C:\> Get-ADForest | Select-Object SchemaMaster, DomainNamingMaster
Zeigt Forest-weite FSMO-Rollen
# Domain-weite FSMO-Rollen anzeigen
PS C:\> Get-ADDomain | Select-Object PDCEmulator, RIDMaster, InfrastructureMaster
Zeigt Domain-weite FSMO-Rollen
# FSMO-Rolle transferieren (z.B. PDC Emulator)
PS C:\> Move-ADDirectoryServiceOperationMasterRole -Identity "DC02" -OperationMasterRole PDCEmulator
Transferiert PDC-Emulator-Rolle auf DC02

6. Trusts – Vertrauensstellungen

Trusts ermöglichen Benutzern einer Domain, auf Ressourcen einer anderen Domain zuzugreifen. Es gibt verschiedene Trust-Typen:

Parent-Child Trust

Automatisch zwischen Parent- und Child-Domain in einem Tree. Bidirektional und transitiv.

Eigenschaften: Automatisch, bidirektional, transitiv

Tree-Root Trust

Automatisch zwischen Tree-Root und Forest-Root. Bidirektional und transitiv.

Eigenschaften: Automatisch, bidirektional, transitiv

Forest Trust

Manuell zwischen zwei Forests. Ermöglicht forest-weiten Zugriff.

Eigenschaften: Manuell, bidirektional, forest-weit

External Trust

Manuell zu einer Domain außerhalb des Forests (z.B. NT4-Domain).

Eigenschaften: Manuell, nicht-transitiv

Shortcut Trust

Manuell innerhalb eines Forests, um Authentifizierung zu optimieren.

Eigenschaften: Manuell, bidirektional, optimiert Authentifizierung

Realm Trust

Manuell zu einem Kerberos-Realm (z.B. Unix/Linux-Umgebung).

Eigenschaften: Manuell, Kerberos-basiert

Trust-Richtungen

  • Einseitig (One-Way): Domain A vertraut Domain B, aber nicht umgekehrt
  • Zweiseitig (Two-Way): Beide Domains vertrauen sich gegenseitig
  • Transitiv: Trust wird automatisch weitergegeben (A→B→C = A→C)
  • Nicht-transitiv: Trust wird nicht weitergegeben

7. Replikation – Daten synchron halten

AD-Daten werden zwischen Domain Controllern repliziert, um Konsistenz und Verfügbarkeit sicherzustellen.

Intra-Site vs. Inter-Site Replikation

Intra-Site (innerhalb einer Site)
  • LAN-Verbindung (schnell)
  • Unkomprimiert
  • Automatische Topologie
  • Sofort bei Änderung
  • RPC over IP
Replikation
Inter-Site (zwischen Sites)
  • WAN-Verbindung (langsam)
  • Komprimiert
  • Manuelle Konfiguration
  • 15 Min. Intervall
  • RPC oder SMTP
Replikations-Partitionen
  • Schema: Forest-weit, selten geändert
  • Configuration: Forest-weit, AD-Struktur
  • Domain: Domain-weit, häufig geändert
  • Application: Custom, z.B. DNS
Replikations-Monitoring
  • repadmin /replsummary: Übersicht
  • repadmin /showrepl: Details pro DC
  • repadmin /showconn: Verbindungen
  • Event Viewer: DFS Replication Logs
Troubleshooting
  • Replikationsfehler: repadmin /showrepl
  • Zeit-Synchronisation: w32tm /query /status
  • DNS-Probleme: dcdiag /test:dns
  • USN Rollback: VM-Snapshots vermeiden!

Replikation prüfen (PowerShell)

# Replikations-Status aller DCs anzeigen
PS C:\> repadmin /replsummary
Zeigt Übersicht der Replikation zwischen allen DCs
# Detaillierte Replikation für einen DC
PS C:\> repadmin /showrepl DC01
Zeigt Replikationspartner und Status für DC01
# Replikation erzwingen
PS C:\> repadmin /syncall /AdeP
Erzwingt sofortige Replikation über alle DCs

8. Best Practices für Active Directory

Die wichtigsten Empfehlungen für einen sicheren und stabilen AD-Betrieb:

Sicherheit

  • PAW: Privileged Access Workstations für Admins
  • LAPS: Lokale Admin-Passwörter verwalten
  • gMSA: Group Managed Service Accounts
  • AdminSDHolder: Schutz kritischer Objekte
  • Red Forest: Getrennte Admin-Domain (ESAE)
  • Auditing: Änderungen überwachen

Redundanz

  • Mindestens 2 DCs pro Domain
  • DCs in verschiedenen Sites platzieren
  • RODCs für unsichere Standorte
  • Global Catalog auf mehreren DCs
  • DNS-Redundanz: DCs als DNS-Server
  • FSMO-Rollen auf verschiedene DCs verteilen

Monitoring

  • repadmin: Replikation überwachen
  • dcdiag: DC-Gesundheit prüfen
  • Event Viewer: Kritische Events
  • SCOM: Zentrales Monitoring
  • Alerts: Bei Replikationsfehlern
  • Performance: CPU, RAM, Disk I/O

Backup & Recovery

  • System State Backup: AD-Datenbank sichern
  • Authoritative Restore: Einzelne Objekte
  • Non-Authoritative: Komplette Domain
  • AD Recycle Bin: Gelöschte Objekte
  • Regelmäßige Tests: Recovery testen
  • Off-Site Backups: 3-2-1-Regel

Cleanup & Wartung

  • DC Metadata Cleanup: Entfernte DCs
  • Alte Computer-Konten: Regelmäßig prüfen
  • Stale Objects: Inaktive Benutzer
  • DNS-Cleanup: Alte Einträge
  • FSMO-Health: Rollen prüfen
  • Schema-Updates: Nur wenn nötig

Dokumentation

  • AD-Struktur: Forest, Domains, OUs
  • FSMO-Rollen: Welcher DC hat welche Rolle
  • Sites & Subnets: Physische Struktur
  • Trusts: Vertrauensstellungen
  • GPOs: Richtlinien dokumentieren
  • Notfallkontakte: Admin-Kontakte

Wichtige Admin-Tools

  • ADUC: Active Directory Users and Computers (Benutzer/Computer verwalten)
  • GPMC: Group Policy Management Console (GPOs verwalten)
  • ADAC: Active Directory Administrative Center (Modernes GUI)
  • ADSI Edit: Low-Level AD-Objekte bearbeiten
  • PowerShell: AD-Modul für Automatisierung
  • Windows Admin Center: Browser-basierte Verwaltung

9. FAQ – Häufige Fragen

Häufige Fragen zu Active Directory

Was ist der Unterschied zwischen Forest und Domain?

Forest: Die höchste logische Ebene in AD. Enthält alle Trees, Domains und Objekte. Ein Forest teilt sich ein Schema, eine Konfiguration und einen Global Catalog.

Domain: Eine administrative Einheit innerhalb eines Forests. Jede Domain hat eine eigene AD-Datenbank, eigene Richtlinien und eine eigene Sicherheitsgrenze. Ein Forest kann mehrere Domains enthalten.

Was sind FSMO-Rollen und warum sind sie wichtig?

FSMO (Flexible Single Master Operation)-Rollen sind 5 spezielle Aufgaben, die nur von einem DC pro Forest/Domain ausgeführt werden:

  • Schema Master (Forest): Schema-Änderungen
  • Domain Naming Master (Forest): Domains hinzufügen/entfernen
  • PDC Emulator (Domain): Zeit, Passwörter, GPOs
  • RID Master (Domain): SID-Vergabe
  • Infrastructure Master (Domain): Cross-Domain-Referenzen

Wenn ein FSMO-DC ausfällt, müssen die Rollen auf einen anderen DC transferiert werden (Seize oder Transfer).

Wie viele Domain Controller brauche ich?

Minimum: 2 DCs pro Domain für Redundanz. Bei Ausfall eines DCs muss der andere die Authentifizierung übernehmen können.

Empfehlung nach Größe:

  • Bis 500 Objekte: 2 DCs
  • 500-5.000 Objekte: 2-3 DCs
  • 5.000-50.000 Objekte: 3-5 DCs
  • 50.000+ Objekte: 5+ DCs

Zusätzlich: DCs in jeder Site für lokale Authentifizierung, RODCs für unsichere Standorte.

Was ist der Unterschied zwischen OU und Container?

OU (Organizational Unit): Kann GPOs verknüpft werden, administrative Delegation möglich, hierarchisch verschachtelbar.

Container: Standard-Container (z.B. "Users", "Computers"). Können keine GPOs verknüpfen, keine Delegation möglich.

Tipp: Erstelle eigene OUs für Benutzer und Computer, statt die Standard-Container zu nutzen. So kannst du GPOs gezielt anwenden.

Was ist ein Global Catalog und wofür wird er benötigt?

Global Catalog (GC): Enthält ein Teilreplikat aller Objekte im Forest (alle Objekte, aber nur ausgewählte Attribute).

Verwendung:

  • Forest-weite Suche: Benutzer in anderen Domains finden
  • Universal Group Membership: Bei Login prüfen
  • Exchange: Adressbuch auflösen

Empfehlung: Mindestens 1 GC pro Site, besser 2 für Redundanz.

Wie sichere ich Active Directory?

Die wichtigsten Sicherheitsmaßnahmen:

  1. PAW (Privileged Access Workstation): Separate Admin-Workstations
  2. LAPS: Lokale Admin-Passwörter verwalten
  3. gMSA: Group Managed Service Accounts für Dienste
  4. AdminSDHolder: Schutz kritischer AD-Objekte
  5. Red Forest / ESAE: Getrennte Admin-Domain (Tier 0)
  6. Auditing: Änderungen an AD überwachen
  7. Least Privilege: Minimale Rechte für Admins
  8. MFA: Multi-Faktor-Authentifizierung für Admins
Was ist der Unterschied zwischen AD DS und Azure AD?

AD DS (Active Directory Domain Services):

  • On-Premise Verzeichnisdienst
  • Kerberos, NTLM Authentifizierung
  • OU-Struktur, GPOs
  • Für Windows-Domänen

Azure AD (jetzt Microsoft Entra ID):

  • Cloud-basierter Verzeichnisdienst
  • OAuth, SAML, OpenID Connect
  • Flat-Struktur (keine OUs)
  • Für Cloud-Dienste (Office 365, Azure)

Hybrid: Azure AD Connect synchronisiert AD DS mit Azure AD für Single Sign-On.

Wie behebe ich Replikationsprobleme?

Schritt-für-Schritt Troubleshooting:

  1. repadmin /replsummary: Übersicht der Replikation prüfen
  2. repadmin /showrepl: Details pro DC anzeigen
  3. dcdiag /test:replications: DC-Diagnose
  4. Event Viewer: DFS Replication Logs prüfen
  5. DNS prüfen: dcdiag /test:dns
  6. Zeit-Synchronisation: w32tm /query /status
  7. Firewall: Ports 135, 389, 445, 636, 3268 prüfen
  8. Replikation erzwingen: repadmin /syncall /AdeP

Zusammenfassung

Die wichtigsten Punkte

  • Definition: AD DS ist der zentrale Verzeichnisdienst für Windows-Netzwerke
  • Logische Struktur: Forest → Tree → Domain → OU → Objekte
  • Physische Struktur: Sites, Subnets, Site Links für Replikation
  • Domain Controller: Mindestens 2 pro Domain für Redundanz
  • FSMO-Rollen: 5 spezielle Rollen (2 Forest-weit, 3 Domain-weit)
  • Trusts: Vertrauensstellungen zwischen Domains (automatisch/manuell)
  • Replikation: Intra-Site (schnell) vs. Inter-Site (komprimiert)
  • Best Practices: Sicherheit, Redundanz, Monitoring, Backup, Dokumentation
  • Tools: ADUC, GPMC, ADAC, PowerShell, Windows Admin Center
  • Hybrid: Azure AD Connect für Cloud-Integration

Nächste Schritte

Bereit, Active Directory in der Praxis zu nutzen? Hier ein empfohlener Weg:

  1. Lernumgebung aufsetzen: Windows Server VM + 2 DCs
  2. AD DS installieren: Ersten DC als Forest-Root erstellen
  3. Zweiten DC hinzufügen: Für Redundanz
  4. OU-Struktur erstellen: Abteilungen, Standorte, Gerätetypen
  5. Benutzer anlegen: Test-Benutzer erstellen
  6. GPOs konfigurieren: Erste Richtlinien anwenden
  7. PowerShell lernen: AD-Modul für Automatisierung

Weiterführende Themen

Windows Server

Windows Server Grundlagen – Installation, Editionen, Rollen und Dienste.

Zu Windows Server
Benutzerverwaltung

Benutzer, Gruppen und Berechtigungen in AD verwalten.

Zur Benutzerverwaltung
IT-Sicherheit

Sicherheitsgrundlagen, Kryptographie und Netzwerksicherheit.

Zur IT-Sicherheit
Netzwerke

Netzwerkgrundlagen, IP-Adressierung, Routing und Switching.

Zu Netzwerken