Windows Domänen
Die Universitäts-IT betreibt eine zentrale Windows Domäne für die Universität (ad.uni-mannheim.de). Diese wird über die Seite MyUni-ID der Universitäts-IT synchronisiert.
Mit der Windows-Domäne werden alle Aufgaben, die mit der Verwaltung von Uni-IDs verbunden sind, an die Domäne delegiert und von dieser automatisch erledigt. Je größer die Anzahl der Arbeitsplätze ist, an denen sich unterschiedliche Personen anmelden, umso vorteilhafter ist die Nutzung der Windows-Domäne, da nicht für jeden einzelnen Rechner die Uni-IDs eingetragen werden müssen. Alle Personen, die in der Domäne eingetragen sind, können sich anmelden.
Dies ist zum einen für Einrichtungen interessant, die eine größere Anzahl von Rechnern betreiben und die Benutzerverwaltung vereinheitlichen und automatisieren wollen. Zum anderen lohnt sich die Nutzung für Rechner, an denen zentrale Ressourcen, wie zum Beispiel der zentrale File-Service, genutzt werden.
Darüber hinaus erleichtert die Mitgliedschaft in der Domäne die Organisation eines Rechnerverbundes an einem Lehrstuhl, im Hinblick auf die Nutzungsberechtigungen für private oder zentrale DV-Ressourcen, weil sich diese mit Hilfe von Gruppenberechtigungen im Active-Directory (dem Verzeichnis-Dienst von Windows) mit verhältnismäßig geringem Aufwand verwalten lassen.
Wenn eine größere Anzahl von Arbeitsplätzen in die Domäne integriert werden soll oder der zentrale File-Service für Lehrstuhl-/ Instituts-Shares genutzt werden soll, ist die Einrichtung einer Organisations-Einheit (OU) zweckmäßig, was eine umfassende Planung erforderlich macht.
Hinweise zur Mitgliedschaft in der Domäne
Abhängigkeit
Durch die Mitgliedschaft in der Domäne erfolgt eine zwangsläufige Abhängigkeit von funktionierenden Domaincontrollern. Da die Authentifizierung der Accounts nicht mehr lokal, sondern an der Domäne vorgenommen wird, sind reibungslos funktionierende und rund um die Uhr verfügbare Domaincontroller die vitale Voraussetzung für den Betrieb einer Windows-Domäne.
Um negative Auswirkungen dieser Abhängigkeit zu vermeiden, wurde die technische Infrastruktur für den Betrieb der Domaincontroller so redundant wie möglich ausgebaut. Da es an jedem Arbeitsplatz nach wie vor möglich ist, sich lokal anzumelden, sind negativen Konsequenzen dieser Abhängigkeit selbst im Fall eines Totalausfalls der Domäne begrenzt. Ein solcher Totalausfall ist jedoch seit dem Bestehen der Domäne – also seit 2002 – noch nie aufgetreten.
Domänen-Administration
Eine Domäne ist ein technisches Mittel zur Organisation eines ausgedehnten Rechnerverbundes. Wesentliches Merkmal eines solchen Verbundes ist seine zentrale Verwaltbarkeit, die unter anderem in der einheitlichen Benutzerverwaltung zum Ausdruck kommt. Die zentrale Verwaltung setzt jedoch einen Agenten voraus, der auf allen beteiligten Systemen entsprechende administrative Rechte besitzt. Domänen-Admins besitzen deshalb standardmäßig (Windows-Voreinstellung) auf allen Rechnern, die Mitglied der Domäne sind, administrative Rechte.
Der lokale Admin kann den Domänen-Admins dieses Recht jedoch entziehen und den Rechner damit gegen Einflüsse von außen sperren. Grundsätzlich verfügt der Domänen-Admin jedoch über die Mittel, auch solche Sperren wieder rückgängig zu machen.
In der Praxis wird von den weitreichenden Rechten des Domänen-Admins an der Universität Mannheim kein Gebrauch gemacht, weil die Administration der Arbeitsplätze innerhalb der Universität nicht Aufgabe der Universitäts-IT ist. Es liegt im Interesse der Universitäts-IT, die Zugriffsmöglichkeiten des Domänen-Admins auf das technisch notwendige Minimum zu beschränken, weil dadurch die Sicherheit der Arbeitsplätze erhöht und der Schutz vor unbeabsichtigten Auswirkungen zentraler Aktionen verbessert wird. Wenn die von der Universitäts-IT zur Verfügung gestellten Skripte zur Aufnahme von Rechnern in die Domäne genutzt werden, dann werden den Domänen-Admins die administrativen Rechte für die Arbeitsplätze automatisch wieder entzogen.
Active Directory
Das Active-Directory ist der Verzeichnisdienst von Windows. In diesem Verzeichnis sind Informationen über die Organisationsstruktur einer Domäne und über die Mitglieder der Domäne (Organisationseinheiten, Computer, Kennungen etc.) ablegelgt.
Weitere Informationen zu Active Directory
Auf der linken Seite sieht man die „Grobstruktur“ der Domäne mit der ersten Ebene der Organisationseinheiten (den Fakultäten und universitären Einrichtungen) sowie den Containern, in denen Computer und Personen abgelegt sind.
Auf der nächsten Ebene (in diesem Beispiel der Fakultät BWL) erkennt man die darunter liegenden Organisationseinheiten (hier wurde der Lehrstuhl xyz ausgewählt) mit ihren untergeordneten Elementen wie Benutzergruppen und schliesslich einzelne Benutzer über die alle Informationen im Active-Directory gespeichert sind, die für die Verwendung einer Benutzerkennung benötigt werden.
Neben allgemeinen Informationen wie Name und E-Mail Adresse sind dies zum Beispiel Informationen über grundlegende Eigenschaften der Benutzerkennung und Informationen über den Ablageort von Benutzerdaten etc.
Die nachstehende Abbildung zeigt die Mitglieder einer Benutzergruppe, die speziell für die Nutzung des zentralen Fileservice eingerichtet wurde. Wie man erkennt, können auf einfache Weise Mitglieder zur Gruppe hinzugefügt oder entfernt werden.
Sobald eine Gruppe definiert wurde, kann sie in gleicher Weise wie Benutzerkennungen zur Kontrolle von Zugriffsrechten eingesetzt werden. Der wesentliche Vorteil von Gruppen gegenüber einzelnen Benutzerkennungen liegt darin, dass bei der Vergabe von Zugriffsrechten auf der Basis einzelner Benutzerkennungen beim Personalwechsel der Zugriff auf ganze Verzeichnishierachien geändert werden muss. Wurden die Zugriffsrechte stattdessen an Gruppen gebunden, so ist beim Personalwechsel nichts weiter zu tun, als den betreffenden Mitarbeiter aus einer Gruppe zu entfernen oder ihn als Mitglied in eine Gruppe einzufügen. Das ist wie schon dargestellt eine Sache von wenigen Mausklicks.
Die folgende Abbildung verdeutlicht, wie man eine neue Gruppe innerhalb einen OU anlegen kann. Dazu klickt man innerhalb der OU (im rechten Fenster) auf die rechte Maustaste und wählt „Neu->Gruppe“ aus.
Darauf erscheint die nachfolgend dargestellte Dialogbox, in die man den Namen der gewünschten neuen Gruppe eintragen kann.
Einrichtung einer Organisations-Einheit
Informationen für Lehrstuhladministrator*innen
Wenn eine größere Anzahl von Arbeitsplätzen in die Domäne integriert werden soll, ist eine umfassende Planung dieses Schrittes erforderlich. Die nachfolgende Übersicht und die dazu gehörigen Anleitungen sollen Ihnen bei dieser Aufgabe behilflich sein. Grundsätzlich sind folgende Aufgaben zu erledigen:
Wie beantrage ich eine Organizational Unit (OU)?
Wenn eine größere Anzahl von Rechnern in die Domäne integriert werden soll, geschieht dies in der Regel, um die DV-Organisation eines Lehrstuhls oder einer zentralen Einrichtung (neu) zu organisieren oder um zentrale Ressourcen an einer größeren Anzahl von Rechnern möglichst effizient nutzen zu können. Dabei steht meist nicht der technische Aspekt (zum Beispiel die grundsätzliche Nutzung zentraler Ressourcen) im Vordergrund, sondern die effiziente Organisation der betreffenden DV-Infrastruktur. Windows bietet im Rahmen seines Domänen-Konzeptes den Mechanismus der Organizational-Units (OUs), um diese Zielsetzung zu unterstützen.
OUs sind nicht schon dadurch vorhanden, dass eine Funktionskennung beantragt wurde, außer es handelt sich um eine Funktionskennung für File-Service. Ansonsten gibt keinen Automatismus, der OUs erzeugt. OUs müssen von einem Domänen-Admin (Universiäts-IT angehörigen Person) angelegt und mit den zur Verwaltung von Berechtigungen und Ressourcen erforderlichen Eigenschaften ausgestattet werden.
Wenn Sie beabsichtigen, eine OU zur Organisation Ihrer DV-Infrastruktur zu nutzen, wenden Sie sich bitte an den IT-Support.Wie richte ich einen Admin-Arbeitsplatz ein?
Der Admin Arbeitsplatz zeichnet sich dadurch aus, daß er mmc-Plugins für den Zugriff auf das Active-Directory bereitstellt. Mmc ist die Bezeichnung für die „Microsoft-Management-Console“. Diese Grafikoberfläche für administrative Aufgaben kann mit sog. Snap-Ins ausgestattet werden, die jeweils eine spezifische Funktionalität zur Verfügung stellen. Für eine OU-Administration wird ein Snap-In benötigt, mit dessen Hilfe diese im Active-Directory seine eigene OU verwalten kann.
Wie kann ich in der OU Benutzergruppen definieren und bevölkern?
Wenn die OU existiert und Sie als OU-Admin eingetragen sind, besteht eine Ihrer ersten Aufgaben darin, Benutzergrupen zu definieren, die für die Festlegung der Nutzungsberechtigung von Ressourcen benötigt werden und die Mitarbeitenden des Lehrstuhls in diese Gruppen aufzunehmen.
Bei der Benennung von Gruppen sind bestimmte Namenskonventionen zu beachten, um Namenskonflikte zu vermeiden. Gruppennamen beginnen grundsätzlich mit dem Namen der OU gefolgt von einem Unterstrich und daran anschließend dem eigentlichen Gruppennamen. Bei Gruppen, die für die Nutzung zentraler Ressourcen vorgesehen sind, folgen nach dem OU-Namen zwei Unterstriche, dann eine Abkürzung des Namens des betreffenden Dienstes, danach erneut zwei Unterstriche und schließlich der eigentliche Gruppennamen.
Auf der linken Seite sind die OUs verschiedener Lehrstühle unterhalb der OU „BWL“ zu erkennen. Auf der rechten Seite erkennt man die Gruppen der OU lsxyz. Die Gruppen mit dem präfix „lsxyz__FS__“ sind für die Regelung der Nutzungsberechtigung des zentralen Fileservice reserviert, die Gruppe „lsxyz_admins“ beinhaltet die Administatoren dieser OU.
Wie nehme ich Arbeitsplätze in die Domäne auf?
Schritt 1
Legen Sie den Computer in der AD an, indem Sie ein neues Computerobjekt erstellen. Tragen Sie unter Computername den Gerätenamen des Geräts ein.
Schritt 2
Öffnen Sie auf dem Computer die Einstellungen als „Administrator“ und navigieren Sie zu Konten > Auf Arbeits-, Schul- oder Unikonto zugreifen.
Schritt 3
Klicken Sie auf den blauen Button Verbinden. Es öffnet sich ein Pop-up-Fenster. Klicken Sie hier auf Dieses Gerät in eine lokale Active Directory-Domäne einbinden.
Schritt 4
Tragen Sie unter Domänenname „ad.uni-mannheim.de“ ein und melden Sie sich mit einem Account der Admin-Gruppe aus Schritt 1 an.
Schritt 5
Klicken Sie im nächsten Fenster auf Überspringen und starten Sie den Computer neu.
Schritt 6
Als nächstes muss die Administratorgruppen eingerichtet werden, damit nur die relevanten Personen Administratorrechte erhalten. Öffnen Sie die Windows-Suchleiste und suchen Sie nach „Lokale Benutzer und Gruppen bearbeiten“ und öffnen Sie das Programm
Schritt 7
Klicken Sie auf Gruppen und dann auf Administratoren. Entfernen Sie dann AD/
Domänen-Admins aus der Liste. 
Schritt 8
Anschließend muss die fakultätseigene Administratorengruppe angegeben werden. Klicken Sie hierfür auf Hinzufügen, wählen Sie die Gruppe aus und klicken Sie auf Namen überprüfen.
Klicken Sie anschließend in beiden Fenstern auf OK.
Schritt 9
Wiederholen Sie Schritt 8 mit der Gruppe „Benutzer“. Hier muss ebenfalls die Gruppe AD/
Domänen-Benutzer entfernt werden.
Fügen Sie dann die Lehrstuhlgruppe hinzu.
Wie kopiere ich Profile?
Der letzte Schritt besteht darin, Personen, die bislang mit einer lokalen Benutzerkennung gearbeitet haben, ihre gewohnte Umgebung auch für die Domänen-Kennung herzustellen. Hierfür wird das zur lokalen Benutzerkennung gehörige Profil auf das Profil übertragen, das zur Domänen-Kennung der gleichen Person gehört.
Aus der Perspektive von Windows sind ein*e lokale*r Benutzer*in und ein*e Domänen-Benutzer*in unterschiedliche Benutzerkennungen. Um ein lokales Benutzerprofil auf das dazu passende Domänen-Benutzerprofil zu übertragen, muss sich der*die Domänen-Benutzer*in zunächst an und wieder abmelden, damit ein neues Domänen-Profil erzeugt und abgespeichert wird.
Melden Sie sich anschließend als lokaler Admin (jedoch weder mit der lokalen Benutzerkennung noch mit der zugehörigen Domänenkennung) an und klicken Sie mit der rechten Maustaste auf „Arbeitsplatz“ und wählen den Menüpunkt „Eigenschaften“ aus. Danach wählen Sie die Registerkarte „Erweitert“ aus. Dort Klicken Sie im Abschnitt „Benutzerprofile“ auf „Einstellungen“.
Nun wählen Sie (in der rechten Dialogbox) die lokale Benutzerkennung aus. Dieser lokalen Kennung ist der Computername des Rechners vorangestellt. Dann Klicken Sie auf „Kopieren nach“. Es erscheint eine Auswahlbox mit der Sie das Ziel des Kopiervorgangs festlegen können.
Drücken Sie auf „Durchsuchen“. Es erscheint die oben abgebildete Dialogbox „Ordner Suchen“. Dort wählen Sie zunächst Laufwerk „C:" aus, also die lokale Festplatte. Dort das Verzeichnis „Dokumente und Einstellungen“.
Unterhalb dieses Verzeichnisses sollten Sie nun zwei Ordner sehen, die der betreffenden Benutzerkennung entsprechen. Der eine trägt nur den Namen der Benutzerkennung, beim anderen ist der Benutzerkennung das Suffix ".AD“ angefügt.
Wählen Sie den Ordner mit dem Zusatz ".AD“ aus und klicken Sie auf „OK“. Danach klicken Sie im Abschnitt „Benutzer*in“ auf „Ändern“. Dieser Schritt ist wichtig, weil sonst die lokale Benutzerkennung die Zugriffsrechte zum Domänen-Profil erhält. Auf das Domänen-Profil muss aber die Domänen-Benutzerkennung die Zugriffsrechte haben und nicht die lokale Kennung. Nachdem Sie auf „Ändern“ geklickt haben erscheint die Dialogbox „Benutzer*in oder Gruppe wählen“.Geben Sie im Eingabefeld die Benutzerkennung ein und drücken Sie danach auf „Namen überprüfen“. Sofern die Benutzerkennung gefunden wurde, wird die vollständige Kennung (mit Domänen-Suffix) angezeigt. Drücken Sie nun auf „OK“ und in der Dialogbox „Kopieren nach“ ebenfalls auf „OK“.
Danach wird das lokale Profil auf das Domänen-Profil kopiert. Die Nachfrage, ob das vorhandene Profil („Benutzerkennung.AD“) wirklich überschrieben werden soll, können Sie getrost mit „Ja“ beantworten, da dieses Profil ohnehin ein nahezu leeres Standard-Profil ist.
Wenn Sie sich nun abmelden und danach erneut mit Ihrer Benutzerkennung an der Domäne „AD“ anmelden, sollten sie Ihre gewohnte lokale Benutzerumgebung vorfinden. Aber bedenken Sie, dass es sich um eine einmalige Kopie handelt!
Änderungen, die Sie an diesem Domänen-Profil vornehmen, werden nicht an das lokale Profil weitergereicht. Änderungen, die Sie nach diesem Kopiervorgang an Ihrem lokalen Profil vornehmen werden ebenfalls nicht an Ihr Domänen-Profil weitergereicht. Von nun ab sollten Sie sich jedoch nur noch in seltenen Ausnahmefällen mit Ihrer lokalen Benutzerkennung anmelden. Im Regelfall melden Sie sich ab jetzt an der Domäne „AD“ an.