Active Directory Organisationseinheiten – OUs richtig verwalten!

Active Directory, Microsofts Verzeichnisdienst für die Verwaltung von Windows Umgebungen, gliedert Netzwerke in eine hierarchische Struktur. Computer und Benutzer sind Teil einer Domäne, die über mehrere Domain Controller gesteuert wird. Domains wiederum können in einer Baumstruktur angeordnet oder mit mehreren Bäumen (Trees) zu einem Forest verbunden werden. Während Trees und Forests oberhalb der Domain-Ebene liegen, liegen Organisationseinheiten darunter.

Eine Organisationseinheit oder Organizational Unit (OE bzw. OU) ist ein Teilbereich innerhalb einer Active Directory Domäne, für den Administratoren abweichende Richtlinien und Adminrechte festlegen können. Organisationseinheiten können Benutzer, Computer, Gruppen und andere OUs enthalten. Im Wesentlichen erfüllen Organisationseinheiten in Active Directory zwei Aufgaben:

Um eine neue Organisationseinheit anzulegen, gibt es in Active Directory mehrere Möglichkeiten:

Generell empfiehlt sich für OUs allerdings die Verwaltung über eine grafische Benutzeroberfläche, da sich so die Einhaltung der richtigen Struktur leichter sicherstellen lässt.

Auf den ersten Blick haben Organisationseinheiten und Active Directory Gruppen viel gemeinsam: Beide dienen dazu, das AD zu strukturieren, indem sie unterschiedliche Objekte wie Benutzerkonten oder Geräte zu einer Einheit zusammenfassen.

Tatsächlich werden die beiden Active Directory Elemente jedoch für unterschiedliche Zwecke eingesetzt. Organisationseinheiten dienen der Steuerung von Gruppenrichtlinien sowie delegierten Adminrechten, während AD-Gruppen für die Verwaltung von Berechtigungen eingesetzt werden – beispielsweise NTFS Berechtigungen und Freigabeberechtigungen auf dem Fileserver oder Postfach Berechtigungen in Exchange. Auch der Zugang zu Drittsystemen kann an Active Directory Gruppen geknüpft werden

Unterschiede zwischen AD-Gruppen und Organisationseinheiten:

Beim Aufsetzen des Active Directory legt Windows automatisch Container wie Computer oder Benutzer an, in denen alle entsprechenden Objekte abgelegt werden. Damit erfüllen Container zwar eine ähnliche Rolle wie Organisationseinheiten, aber mit einem wichtigen Unterschied: Auf Container können keine Gruppenrichtlinienobjekte angewandt werden.

Daher ist es empfehlenswert, anstelle der Standardcontainer eigene Organisationseinheiten für alle Computer- bzw. Benutzerkonten anzulegen, um über diese globale Gruppenrichtlinien zu steuern. Damit neue Objekte statt der Default-Container in den jeweiligen OUs landen, können Admins die Erstellung mittels redirusr bzw. redircmp umleiten. Näheres zum Umleiten von Containern in Windows Server.

In Azure Active Directory, dem cloud-basierten Verzeichnisdienst von Microsoft, gibt es keine Organisationseinheiten. Stattdessen verwendet Azure AD Verwaltungseinheiten (Administrative Units bzw. AUs). Verwaltungseinheiten können Benutzer, Gruppen und Geräte enthalten und für die delegierte Verwaltung genutzt werden, also der Zuweisung von Administratorrechten (z.B. Benutzer-Admin oder Helpdesk-Admin), die nur innerhalb der Verwaltungseinheit gelten.

Organisationseinheiten erlauben es Admins, Computer und Benutzer innerhalb einer Domain logisch zu gruppieren. Welche und wie viele Organisationseinheiten es in einem Windows-Netzwerk braucht, das hängt von den spezifischen Anforderungen und Gegebenheiten innerhalb der Organisation ab. Wichtig ist aber, den Aufbau der OUs frühzeitig zu planen und ein passendes Konzept zu etablieren.

Viele Firmen orientieren sich bei der Struktur ihrer Organisationseinheiten, ähnlich der rollenbasierten Berechtigungsvergabe, am Aufbau der Organisation, gliedern diese also in unterschiedliche Standorte und Abteilungen. Die Struktur der OUs muss sich aber nicht zwangsläufig nach dem Organigramm des Unternehmens richten. Wichtiger ist die Frage, für welche Bereiche in der Praxis unterschiedliche Adminrechte und Gruppenrichtlinien verwendet werden. Sinnvoll ist z.B. häufig eine Trennung je nach Art des Geräts bei Computerkonten, also z.B. Laptop vs. PC.

Da die meisten Organisationen unterschiedliche Gruppenrichtlinien für Benutzerkonten und Computerkonten festlegen, ist es sinnvoll für diesen Zweck getrennte Organisationseinheiten zu erstellen und anstatt der Standard-Container in Active Directory zu verwenden. Diese OUs können für globale Einstellungen für Computer und User genutzt werden, während eigene Richtlinien über Organisationseinheiten innerhalb der Benutzer-OU bzw. Computer-OU gesteuert werden.

Um Unklarheiten bei der späteren Wartung zu verhindern, müssen alle Administratoren Organisationseinheiten mit klaren Bezeichnungen (und optionalen Beschreibungen) versehen, die den Zweck und Anwendungsbereich der OU eindeutig machen. Dabei ist es ebenso wichtig, dass das gesamte IT-Team das gleiche Schema verwendet: Benennt ein Admin OUs nach der Abteilung (Design) und ein anderer nach dem Job-Titel (Grafiker), kommt es schnell zu Verwirrung.

Mithilfe von Organisationseinheiten können Admins unterschiedliche Richtlinien für bestimmte Teile des AD (z.B. alle Benutzer in einer bestimmten Abteilung) festlegen. In den meisten Domains gibt es aber eine Vielzahl an Policies, die für alle User bzw. Geräte gelten sollen.

Der einfachste Weg diesen Anwendungsfall umzusetzen ist es, ein GPO mit allgemeinen Richtlinien in eine übergeordnete Organisationseinheit zu legen, so dass alle darin enthalten OUs diese Einstellungen über Vererbung erhalten. Die Gruppenrichtlinien innerhalb der einzelnen OUs steuern hingegen nur abweichende Richtlinien. Das erleichtert spätere Anpassungen.

Ineinander verschachtelte Organisationseinheiten können nicht nur verwendet werden, um vererbte Richtlinien zu erweitern, sondern auch um Ausnahmen zu definieren, die für bestimmte Konten und Geräte gelten sollen. Ein Beispiel: Mittels GPO ist für alle PCs einer Organisation eine Bildschirmsperre nach 10 Minuten Inaktivität festgelegt. Allerdings sorgt diese in Konferenzräumen immer wieder für Probleme bei Präsentationen und Video-Calls.

Die Lösung: die betreffenden Computer-Konten in eine eigene Organisationseinheit innerhalb der übergeordneten OU verschieben und dort über ein Gruppenrichtlinienobjekt eine neue Bildschirmsperre festlegen. Die Geräte erben weiterhin alle vorgesehenen Einstellungen, nur das gewünschte Setting wird durch die neue GPO überschrieben.

Sie möchten den Überblick über Ihr AD behalten und dabei Zeit sparen, indem Sie die Verwaltung von Konten, Gruppen und Rechten nach neuesten Standards automatisieren? Identity und Access Management mit tenfold machts möglich!

Das User Lifecycle Management von tenfold legt neue Benutzer an, weist diese den richtigen AD-Gruppen und Organisationseinheiten zu und passt die Mitgliedschaft automatisch an, wenn sich die Rolle oder Abteilung eines Mitarbeiters ändert. Über das zentrale Berechtigungsreporting haben Admins die effektiven Rechte im AD und allen verknüpften Systemen jederzeit im Blick. Das Self-Service-Interface entlastet die IT durch das Bereitstellen häufiger Services wie Passwort-Resets und Zugriffsanfragen. Und automatisierte Access Reviews erleichtern die regelmäßige Kontrolle des Zugriffs.

Das Beste? Neben der automatischen Verwaltung sorgt tenfold auch für die optimale Struktur Ihres AD unter Einhaltung aller gängigen Best Practices!

Active Directory Best Practices umsetzen mit tenfold:

Sie möchten sich selbst von den Vorteilen des zentralen und automatischen Benutzer- und Berechtigungsmanagements mit tenfold überzeugen? Bei einem kostenlosen Test können Sie unsere IAM-Lösung in Ihrer eigenen IT-Umgebung auf Herz und Nieren testen – einschließlich der Installation und Demonstration durch unsere Experten.