Anbindung mehrerer AD Domänencontroller in UCServer

Ab Version 8.8.3 wurden die Möglichkeiten erweitert, UCServer an einen Microsoft Active Directory (AD) Domänencontroller anzubinden.

Der Microsoft Domänencontroller (DC) – respektive das Active Directory (AD) Repository –  ist der zentrale Verzeichnisdienst für die Verwaltung von Konten der Benutzer, Gruppen und Computer, die der UCServer benötigt.

Mehrere Domänencontroller zur Sicherstellung der Verfügbarkeit/Ausfallsicherheit

Ein Ausfall des AD-Domänencontroller (ADDC) führt dazu, dass o.g. Ressourcen nicht erreichbar sind.

Des Weiteren kommen Authentifizierungs- und Autorisierungsprobleme hinzu.

Daher ist Anbindung mehrerer AD-Domänencontroller ratsam zur Sicherstellung der Verfügbarkeit und um den ununterbrochenen Betrieb der Systeme und Dienste des UCServers zu gewährleisten.

Erweiterte Benutzerverwaltung mit Active Directory Server 

In der ProCall Infinity UCServer Verwaltung ist es nun möglich, unter „Globale Einstellungen/Allgemein/Benutzerdatenbank“ für die Option „Benutzerverwaltung mit Active Directory Server“ eine der drei nachfolgenden Möglichkeiten auszuwählen:

• Angabe eines dedizierten Active Directory Servers 
• Angabe (nur) der Active Directory Domäne 
• Das Feld zur Angabe des AD-Servers gänzlich leer zu lassen

Jede der zuvor genannten Möglichkeiten ist mit Einschränkungen, Vor- und Nachteilen verbunden. In allen 3 Fällen wird ein DNS-Server (Domain Name System) angefragt, um den Active Directory Verzeichnisdienst zu ermitteln; respektive die IP-Adresse der Server, die zuständig sind für die Domäne, die wiederum UCServer seitig von Interesse ist.

Welcher DNS-Server angefragt wird, steht entweder in den Einstellungen zur Netzwerk-Karte (NIC) oder die Information wird der entsprechenden Maschine/OS per DHCP (Dynamic Host Configuration Protocol) mitgeteilt. 

Beispiel Screenshot: UCServer Verwaltung - Globale Einstellungen - Allgemein - IP Eigenschaften - IP Adresse - Bevorzugter DNS Server: Für Namensauflösung (A-Records, SRV-Records) eingestellter DNS Server

Der DNS-Server muss Anfragen zur Namensauflösung beantworten können oder zumindest einen weiteren DNS-Server kennen, an den weitergeleitet werden kann, um die Anfrage beantworten zu können.
Kann keiner der beteiligten DNS-Server die Anfrage beantworten, funktioniert keine der o.g. Möglichkeiten.

Möglichkeit 1: Angabe eines dedizierten Active Directory Servers

• Es wird (nur) genau ein dedizierter Active Directory Server angegeben.
• Es wird eine Anfrage an den für Namensauflösung zuständigen DNS-Server gestellt, um die IP-Adresse bestimmen zu können. (A-, AAA-Record).
• Der Rechner, auf dem der UCServer installiert ist, muss sich nicht (zwangsläufig) in der entsprechenden Domäne aufhalten.
• Fällt der AD Server aus, sind sämtliche Informationen zu Benutzer, Gruppen und Computer Ressourcen nicht erreichbar.
• Kein Failover, keine Ausfallsicherheit in diesem Szenario.

Beispiel Screenshot: ProCall Infinity UCServer Verwaltung - Globale Einstellungen - Allgemein - Benutzerdatenbank - Benutzerverwaltung mit Active Directory Server - AD Server mit Benutzername und Kennwort eintragen

Möglichkeit 2: Angabe (nur) der Active Directory Domäne

• Anstatt eines Hostnamens wird nur die gewünschte Domäne angegeben.
• Es wird eine Anfrage an den für Namensauflösung zuständigen DNS-Server gestellt, um einen für diese Domäne zuständigen Server bestimmen zu können.
• Der DNS-Server muss hierzu eine entsprechende gleichnamige Zone kennen, unter der die markierten SRV-Records hinterlegt sind. Des Weiteren müssen auch die für die SRV-Records eingetragenen Server in IP-Adressen auflösbar sein. Die Zone kann eine Primary Zone, eine Secondary Zone oder eine Stub Zone sein.
• Der DNS-Server ist ein „externer“ DNS-Server (außerhalb der Domäne, die beispielhaft hier von Interesse ist).
  In diesem Fall wird die Secondary Zone via Zone Transfer gefüllt – von dem Server, der als „Best Source of Information“ gilt. Das kann wiederum der DNS-Server sein, der side-by-side auf dem für diese Domäne zuständigen Domänencontroller läuft.

Beispiel Screenshot: Externer DNS mit Secondary Zone und entsprechende SRV-Records

100

• Kennt der „externe“ DNS-Server (via Primary Zone, Secondary Zone) keine entsprechenden Records, mittels der er die Anfragen zur Namensauflösung beantworten kann, so muss zumindest. ein „Conditional Forwarder“ oder eine Stub Zone bekannt sein, über den die Anfrage weitergeleitet werden kann. 
  Der Prompt zeigt die Response zu einem DNS-SRV-Record-Request mittels Auflösung über eine Secondary Zone (Authoritative Answer):

Beispiel Screenshot: nslookup - SRV-Record Lookup w/ Authoritative Answer (Primary or Secondary Zone)

Der Prompt zeigt eine „Non-Authoritative“ Antwort (Non-autoritative answer) in Response auf einem DNS-SRV-Record-Request mittels Weiterleitung an einen anderen DNS-Server, der die Anfrage beantworten kann:

Beispiel Screenshot: nslookup - Non-Authoritative Answer to SRV-Record Lookup (hier via Conditional Forwarder)

• Der Rechner, auf dem der UCServer installiert ist, muss sich nicht (zwangsläufig) in der entsprechenden Domäne aufhalten.
• Sind weitere AD-Server für die Domäne zuständig, kann Failover und Ausfallsicherheit gewährleistet werden, sollte der momentan gewählte AD-Server zeitweilig unerreicht sein.

Beispiel Screenshot: ProCall Infinity UCServer Verwaltung - Globale Einstellungen - Allgemein - Benutzerdatenbank - Benutzerverwaltung mit Active Directory Server - AD Domäne mit Benutzername und Kennwort eintragen

Möglichkeit 3: Feld zur Angabe des AD-Servers leer lassen

• Es wird weder ein Hostname noch eine Domäne angegeben.

• Welche Domäne von Interesse ist, muss anderweitig bestimmt werden. Hier wird die Information zu der Domäne in der sich der Rechner befindet – auf dem UCServer installiert ist – herangezogen: 

  Beispiel Screenshot: Computer Name/Domain Changes - Microsoft Windows Server (auf dem der UCServer installiert ist) kennt seine Domänenzugehörigkeit

  
• Befindet sich der Rechner in keiner Domäne, funktioniert diese Möglichkeit 3 nicht; ansonsten gelten alle weiteren Aussagen nach Möglichkeit 2.

Beispiel Screenshot: ProCall Infinity UCServer Verwaltung - Globale Einstellungen - Allgemein - Benutzerdatenbank - Benutzerverwaltung mit Active Directory Server - AD Server Angabe bleibt leer

Es gilt die estos Richtlinie für die Unterstützung von Drittanbieterprodukten - Interoperabilitätsangaben.

Active Directory (AD) is a directory service for Microsoft Windows Server und is a trademark of the Microsoft group of companies.

Weiterführende Informationen

Wissenswertes zur Benutzerverwaltung in Microsoft Active Directory

Hochverfügbarkeit/Ausfallsicherheit und Skalierbarkeit

ProCall DataCenter

ProCall Enterprise