Ein unordentliches Active Directory ist einfach zu erstellen und mühsam zu reinigen. Dieser Leitfaden baut die Struktur in der richtigen Reihenfolge auf – zuerst die Organisationseinheiten, dann die Benutzer, dann die Gruppen –, damit Richtlinien und Delegation über Jahre hinweg einfach bleiben.
Die meisten kleinen Netzwerke wachsen so: ein Standardcontainer, fünfzig Benutzerkonten werden zusammengelegt und Berechtigungen werden von Person zu Person vergeben, bis niemand mehr weiß, wer was öffnen kann. Bei dem Fix handelt es sich nicht um ein neues Tool – es handelt sich um eine Struktur, die vor der Erstellung eines einzelnen Kontos festgelegt wird. Nachfolgend finden Sie die gleiche Reihenfolge wie im Video: Planen Sie den OU-Baum, erstellen Sie die OUs, erstellen Sie darin Benutzer, erstellen Sie dann Sicherheitsgruppen und verteilen Sie Rechte über die Gruppen. Machen Sie es in dieser Reihenfolge und jede spätere Aufgabe – Gruppenrichtlinie, Delegation, Audits – wird zehnmal einfacher.
Ein OU-Baum, der das echte Büro widerspiegelt. Die oben genannten Namen sind Beispiele – kopieren Sie das Muster, nicht die Namen.
Eine Organisationseinheit ist nicht nur ein Ordner. Es ist die Einheit, mit der Sie später Gruppenrichtlinien anwenden und kleine Aufgaben wie das Zurücksetzen von Passwörtern delegieren. Entwerfen Sie Organisationseinheiten also so, wie das Büro tatsächlich geführt wird:
Ehrliche Regel: Wenn eine Organisationseinheit eine Richtlinie oder eine Delegationsentscheidung nicht ändert, ist das Dekoration. Halten Sie den Baum flach – drei Ebenen reichen für die meisten Büros aus.
Öffnen Sie dsa.msc auf dem Domänencontroller, klicken Sie mit der rechten Maustaste auf die Domäne, wählen Sie Neu → Organisationseinheit und erstellen Sie den Baum anhand Ihres Plans. PowerShell erledigt die gleiche Aufgabe und lässt sich einfacher wiederholen:
New-ADOrganizationalUnit -Name "Delhi Office" -Path "DC=office,DC=local"New-ADOrganizationalUnit -Name "Accounts" -Path "OU=Delhi Office,DC=office,DC=local"Ersetzen Sie office.local überall in diesem Handbuch durch Ihren eigenen Domänennamen. Die Struktur ist wichtig, die Beispielnamen nicht.
Klicken Sie mit der rechten Maustaste auf die Organisationseinheit der Abteilung → Neu → Benutzer. Zwei Entscheidungen entscheiden hier darüber, wie sauber Ihr Verzeichnis bleibt:
firstname.lastname – wird einmal festgelegt und nie gebrochen, auch nicht für ähnliche NamenDas gleiche Konto von PowerShell: New-ADUser -Name "Rahul Sharma" -SamAccountName "rahul.sharma" -UserPrincipalName "[email protected]" -Path "OU=Accounts,OU=Delhi Office,DC=office,DC=local" -Enabled $true -ChangePasswordAtLogon $true
Durch Gruppen bleiben Berechtigungen überschaubar. Erstellen Sie eine Sicherheitsgruppe pro Ressource – zum Beispiel GRP-Accounts-Share für die Kontodateifreigabe – fügen Sie dann Benutzer zur Gruppe hinzu und erteilen Sie die Freigabeberechtigung nur der Gruppe.
New-ADGroup -Name "GRP-Accounts-Share" -GroupScope Global -GroupCategory Security -Path "OU=Groups,OU=Delhi Office,DC=office,DC=local"Add-ADGroupMember -Identity "GRP-Accounts-Share" -Members "rahul.sharma"Ehrliche Warnung: An dem Tag, an dem Sie einer Person direkt die Berechtigung für einen Ordner erteilen, haben Sie den Schlamassel begonnen, den dieser Leitfaden verhindern soll.
Schließen Sie mit zwei Gewohnheiten ab, die ein gepflegtes Verzeichnis von einem glücklichen unterscheiden:
Get-ADUser -Filter * -SearchBase "OU=Delhi Office,DC=office,DC=local" – die Liste sollte Benutzer nur in ihren geplanten Organisationseinheiten anzeigenDas ist die gesamte Grundlage: ein flacher Organisationsstrukturbaum, der das Büro, die unter einer Namensregel erstellten Benutzer und alle durch eine Gruppe fließenden Berechtigungen widerspiegelt.
Der vollständige OU-, Benutzer- und Gruppenerstellungsprozess – live auf einem echten Domänencontroller, Schritt für Schritt.
▶️ Watch Full VideoContainer wie „Benutzer“ und „Computer“ sind integriert und können keine Gruppenrichtlinien oder Delegation übernehmen. Organisationseinheiten sind die Objekte, die Sie selbst erstellen und mit denen Richtlinien verknüpft sind und an die Rechte delegiert werden. Deshalb werden neue Objekte immer aus den Standardcontainern in Ihre eigenen OUs verschoben.
Durch die Änderung der Richtlinien oder der Supportverantwortung. Die meisten kleinen Unternehmen benötigen zuerst den Standort (jede Niederlassung hat ihren eigenen Supportmitarbeiter) und dann die Abteilung innerhalb jeder Niederlassung. Wenn ein Administrator alles verwaltet und die Richtlinien von Team zu Team unterschiedlich sind, ist „Abteilung zuerst“ gleichermaßen gültig – wählen Sie eine Logik und bleiben Sie konsistent.
Flach. Zwei bis drei Ebenen decken fast jedes Büro ab: Standort, dann Abteilung, dann die Aufteilung Benutzer und Computer. Tiefe Bäume erschweren die Vorhersage der Richtlinienvererbung und verlangsamen jeden zukünftigen Administrator, der Ihr Layout verstehen muss.