13
Active Directory Subdomain vs neue Domain
Wir bauen gerade ein neue Produktionswerk auf und sind am überlegen ob eine neue Domain oder subdomain Sinn machen würde.
Hallo zusammen,
wir sind gerade dabei ein neue Produktionswerk aufzubauen. Im Moment läuft dort noch alles in einer Workgroup ab und demnächst soll dort eine AD aufgebaut werden.
Die Frage ist nun, soll dort eine eigene Domain erstellt werden oder erstellen wir eine Subdomain. Da ich in Sachen AD und Domain nicht ganz so gut informiert bin, wäre ich für ein paar Vor- und Nachteile sehr dankbar.
Das Produktionswerk soll erstmal von uns aus administriert weren. Auch werden wohl User auf unsere Server und Freigaben zugreifen müssen.
Was spielt den noch mit rein, was die Entscheidung ob eigene Domain oder Subdomani beeinflusst?
Vielen Dank schon mal für eure Hilfe.
Gruß
wir sind gerade dabei ein neue Produktionswerk aufzubauen. Im Moment läuft dort noch alles in einer Workgroup ab und demnächst soll dort eine AD aufgebaut werden.
Die Frage ist nun, soll dort eine eigene Domain erstellt werden oder erstellen wir eine Subdomain. Da ich in Sachen AD und Domain nicht ganz so gut informiert bin, wäre ich für ein paar Vor- und Nachteile sehr dankbar.
Das Produktionswerk soll erstmal von uns aus administriert weren. Auch werden wohl User auf unsere Server und Freigaben zugreifen müssen.
Was spielt den noch mit rein, was die Entscheidung ob eigene Domain oder Subdomani beeinflusst?
Vielen Dank schon mal für eure Hilfe.
Gruß
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 172597
Url: https://administrator.de/contentid/172597
Printed on: April 24, 2024 at 05:04 o'clock
13 Comments
Latest comment
moin,
Gruß
- Vorteile macht eine Domain mit zwei Standorten und je Standort mind. ein DC.
- alles andere geht auch - ist aber nicht so Vorteilhaft.
Gruß
Am sichersten wäre eine Subdomäne (also sub.domaene.group) zur Root-Domäne (domaene.group, über dcpromo), dabei wird automatisch eine Vertrauensstellung (Voraussetzung für den gemeinsamen Zugriff auf Freigaben etc.) erstellt und alles notwendige repliziert. Wenn vor Ort niemand im Active Directory etwas ändern soll, reicht ein (bzw. mehrere) Read-Only-DC (ab 2008) und ein "beschreibbarer" am Hauptstandort. Subdomänen-Admins haben in dem obigen Fall keinen Schreib-Zugriff auf die Root-Domäne, umgekehrt jedoch schon.
Fachleute vor Ort. Gibt es keine, gibt es keinen administrativen Rechte. Vorher wäre aber eine Standleitung zum neuen Werk von Vorteil... z.B Ethernet Connect von T-Systems.
Was spielt den noch mit rein, was die Entscheidung ob eigene Domain oder Subdomani beeinflusst?
Fachleute vor Ort. Gibt es keine, gibt es keinen administrativen Rechte. Vorher wäre aber eine Standleitung zum neuen Werk von Vorteil... z.B Ethernet Connect von T-Systems.
Danke schon mal Euch beiden.
Wenn ich TimoBeil richtig verstehe, meint er das man den 2. Standort einfach in die schon vorhandene Domain mit rein nimmt, oder?
Das wäre ja eigentlich das einfachste, den 2. Standort mit in die vorhandene Domain zu übernehmen.
Fachleute vor Ort gibt es im Moment noch nicht.
Wenn ich TimoBeil richtig verstehe, meint er das man den 2. Standort einfach in die schon vorhandene Domain mit rein nimmt, oder?
Das wäre ja eigentlich das einfachste, den 2. Standort mit in die vorhandene Domain zu übernehmen.
Fachleute vor Ort gibt es im Moment noch nicht.
Schon, die Frage ist, ob der Admin am Standort 2. dann die gleichen Rechte haben soll/darf... bei einer Subdomäne könnte er auch nur die Subdomäne administrieren. Stichpunkt "über/untergeordneter Vertrauenstyp".
Ok, also die Hauptfrage lautet dann in diesem Fall. Wird es am Standort 2 einen eigenen Admin geben "ja/nein"
Ja - man kann die Subdomäne in betracht ziehen
Nein - man kann Standort 2 in die vorhandene Domäne aufnehmen
Falls Ja, soll er die gleichen Rechte haben wie die Admins am Standort 1.
Ja - man kann Standort 2 in in die vorhandene Domäne aufnehmen
Nein - man muss eine Subdomäne erstellen
Ist das soweit richtig? Gbit es sonst noch Vorteile warum man eine Subdomäne erstellen sollte?
Ja - man kann die Subdomäne in betracht ziehen
Nein - man kann Standort 2 in die vorhandene Domäne aufnehmen
Falls Ja, soll er die gleichen Rechte haben wie die Admins am Standort 1.
Ja - man kann Standort 2 in in die vorhandene Domäne aufnehmen
Nein - man muss eine Subdomäne erstellen
Ist das soweit richtig? Gbit es sonst noch Vorteile warum man eine Subdomäne erstellen sollte?
Jeweils zu Nein: und/oder Read-Only-DCs der Root-Domäne dort aufstellen
Aus eigener Erfahrung kann ich dir nur empfehlen, eine Subdomäne zu erstellen. Denn spätestens, wenn ein Schlaumeier vom Standort 2. anfängt zu meckern, weil kein Admin vom Hauptstandort erreichbar ist, wird das Geschrei nach eigenen Rechten groß. Und da ist es besser, wenn derjenige doch nur in seinem eigenen kleinen Reich herumwerkelt. Zudem kann bei einem Leitungsausfall die Subdomäne völlig autark laufen, bei einer Domäne weiß ich es nicht so genau...
Nachteile sehe ich keine - GPOs etc. pro Standort müssen eh individuell sein (allein wegen der wahrscheinlich schmalen Leitung).
Aus eigener Erfahrung kann ich dir nur empfehlen, eine Subdomäne zu erstellen. Denn spätestens, wenn ein Schlaumeier vom Standort 2. anfängt zu meckern, weil kein Admin vom Hauptstandort erreichbar ist, wird das Geschrei nach eigenen Rechten groß. Und da ist es besser, wenn derjenige doch nur in seinem eigenen kleinen Reich herumwerkelt. Zudem kann bei einem Leitungsausfall die Subdomäne völlig autark laufen, bei einer Domäne weiß ich es nicht so genau...
Nachteile sehe ich keine - GPOs etc. pro Standort müssen eh individuell sein (allein wegen der wahrscheinlich schmalen Leitung).
Hi,
man kann auch unter einer Domain Administrative-berechtigungen an einen User delegieren ohne ihm Domänen-Admin-Rechte geben zu müssen.
Ich kenn eine große Weltweite Firma, da lauffen alle Produktionsstandorte weltweit unter einer Domäne. Da gibt es für jeden Standort eine OU, auf diese werden dann die Rechte entsprechend delegiert. Die Clients bekommen dann über ein script bzw. über GPO eine Standort-Admin-Gruppe mit in die Gruppe Administratoren mit rein. Somit hat der Standort-Admin nur Admin-Rechte auf seine Clients (das Spieleiche läst sich z.B. auf auch Abteilungsebene runterbrechen, fals erfroderlich).
Domänen-Admin-Reche haben da nur eine hand voll leute.
mfg
n4426
man kann auch unter einer Domain Administrative-berechtigungen an einen User delegieren ohne ihm Domänen-Admin-Rechte geben zu müssen.
Ich kenn eine große Weltweite Firma, da lauffen alle Produktionsstandorte weltweit unter einer Domäne. Da gibt es für jeden Standort eine OU, auf diese werden dann die Rechte entsprechend delegiert. Die Clients bekommen dann über ein script bzw. über GPO eine Standort-Admin-Gruppe mit in die Gruppe Administratoren mit rein. Somit hat der Standort-Admin nur Admin-Rechte auf seine Clients (das Spieleiche läst sich z.B. auf auch Abteilungsebene runterbrechen, fals erfroderlich).
Domänen-Admin-Reche haben da nur eine hand voll leute.
mfg
n4426
Danke Euch beiden. Das mit der Domäne und den Standort OUs ist natürlich auch eine Idee. Wir werden das bei uns intern mal durchsprechen.
Vorteil der einzelnen Domäne wäre natürlich die Übersichtlichkeit und mit den OUs kann man das dann wohl auch gut managen (wie n4426 das schreibt). Hat sonst noch jemand Erfahrung mit den "Standort OUs" ?
Vorteil der einzelnen Domäne wäre natürlich die Übersichtlichkeit und mit den OUs kann man das dann wohl auch gut managen (wie n4426 das schreibt). Hat sonst noch jemand Erfahrung mit den "Standort OUs" ?
moin,
was war denn hier los?
Da sind ja soviele Halbwahrheiten versteckt, dass ich mit dem großen Kärcher kommen müsste...
Der Adminquatsch - wtf schreibt solchen suboptimalen .......grmblfx.... hier rein - sind wir hier bei [Tankstellencomputermagazin deiner Wahl] ?
Eigentlich hätte ich ja geschrieben, der TE soll sich ein bisschen Literatur beschaffen, aber uneigentlich sollte Kollege Spytnik auch mal welche lesen.....
Und wegen "Schlaumeier" - wenn ich einen Admin hätte, dem ich nicht vertrauen würde - wäre der die längste Zeit Admin gewesen - egal in welchem Standort.....
was war denn hier los?
Da sind ja soviele Halbwahrheiten versteckt, dass ich mit dem großen Kärcher kommen müsste...
Der Adminquatsch - wtf schreibt solchen suboptimalen .......grmblfx.... hier rein - sind wir hier bei [Tankstellencomputermagazin deiner Wahl] ?
Eigentlich hätte ich ja geschrieben, der TE soll sich ein bisschen Literatur beschaffen, aber uneigentlich sollte Kollege Spytnik auch mal welche lesen.....
Und wegen "Schlaumeier" - wenn ich einen Admin hätte, dem ich nicht vertrauen würde - wäre der die längste Zeit Admin gewesen - egal in welchem Standort.....
Wenn du einen Admin hättest, dem du nicht vertrauen würdest (Theorie)... die Realität sieht aber oft anders aus (Praxis).
@timobeil
und die Halbwahrheiten wären?
Einlesen werde ich mich so oder so noch. Ich wollte ja nur ein paar Vor und Nachteile sammeln.
Kann ich aus deiner Aussage lesen, dass es am besten ist eine Domäne zu verwenden und dann wahrscheinlich, falls benötigt, die Standorte per OU zu regeln?
und die Halbwahrheiten wären?
Einlesen werde ich mich so oder so noch. Ich wollte ja nur ein paar Vor und Nachteile sammeln.
Kann ich aus deiner Aussage lesen, dass es am besten ist eine Domäne zu verwenden und dann wahrscheinlich, falls benötigt, die Standorte per OU zu regeln?
So ein quatsch mit ner Unterdom. Eine Domain fertig ab, und an dem Standort entweder einen seperaten DC oder einen RoDC
Hallo,
Ich nutze für meine Datenarchive eine Unterdomäne, Exchange und Co läuft in Haupt Domäne mit mehreren Standorten. Und es klappt Supper, Admin rechte sind klar Delegiert und es giebt Notfall Prozedere wen ein Admin nicht Vertraunswürdig ist und mist baut. Die Mischung aus allen dingen klappt bissher immer sehr gut und jetzt kann ich nur noch mal sagen dass es jeder selber so regeln muss wie es bei sich am besten Passt. So gesehen hat hier jeder recht.
LG, Herbrich
Ich nutze für meine Datenarchive eine Unterdomäne, Exchange und Co läuft in Haupt Domäne mit mehreren Standorten. Und es klappt Supper, Admin rechte sind klar Delegiert und es giebt Notfall Prozedere wen ein Admin nicht Vertraunswürdig ist und mist baut. Die Mischung aus allen dingen klappt bissher immer sehr gut und jetzt kann ich nur noch mal sagen dass es jeder selber so regeln muss wie es bei sich am besten Passt. So gesehen hat hier jeder recht.
LG, Herbrich
