💡 1. Theorie & Praxiskonzept
Organisationseinheiten (OUs) sind Container innerhalb einer Domäne zur logischen Strukturierung von Benutzern, Gruppen und Computern. Sie dienen zwei Hauptzwecken: der Verknüpfung von Gruppenrichtlinien (GPOs) und der Delegierung administrativer Berechtigungen (z.B. Helpdesk darf Passwörter in der OU 'Mitarbeiter' zurücksetzen).
Eine Domäne ist das Firmengebäude. OUs sind die Hängemappen im Archiv: In der Schublade 'Hamburg' gibt es Mappen für 'PCs' und 'Mitarbeiter'. Du kannst der Auszubildenden (Helpdesk) den Schlüssel für genau eine Mappe geben (Delegation), ohne dass sie an die Tresore der Geschäftsführung (Domain Admins) herankommt.
⚡ 2. Active Directory Cheat-Sheet
| Befehl / Konzept | Bedeutung & Funktion |
|---|---|
New-ADOrganizationalUnit -Name 'IT-Ops' -Path 'DC=corp,DC=de' -ProtectedFromAccidentalDeletion $true | Erstellt eine geschützte OU. |
Set-ADOrganizationalUnit -Identity <DN> -ProtectedFromAccidentalDeletion $false | Entfernt den Löschschutz vor einer geplanten Deinstallation. |
Get-ADOrganizationalUnit -Filter * -SearchBase 'OU=Standorte,DC=corp,DC=de' | Listet alle OUs unterhalb eines Suchpfades auf. |
dsacls <OU-DN> /G ... | Verwaltet Zugriffssteuerungslisten (ACLs) und Delegation auf OU-Ebene. |
⚠️ 3. Häufige Stolperfallen & Best Practices
Die Standardordner CN=Users und CN=Computers sind primitive Container! Sie unterstützen weder direkte GPO-Verknüpfungen noch granulare Vererbung. Verschiebe neue Objekte immer in echte OUs!
Wird beim Löschen einer OU der Fehler 'Zugriff verweigert' gemeldet, ist fast immer das Flag ProtectedFromAccidentalDeletion aktiv. Es muss erst explizit deaktiviert werden.
🧠 Diagnostischer Selbst-Check
Überprüfe dein Verständnis zu Active Directory Architektur, FSMO, GPO und Sicherheit mit gezieltem Feedback: