Der Unterschied zwischen einer beschreibbaren und nur lesbaren Verzeichnispartition

Jörg Rabe Active Directory 08. Mai 2011 Zugriffe: 4

Der Unterschied zwischen einer beschreibbaren und einer nur lesbaren Verzeichnispartition (Naming Context, NC) liegt im Attribut instanceType. Das Attribut ist eine Bitmaske und existiert in den Eigenschaften jeder Verzeichnispartition.

Ist das dritte Bit gesetzt (Hex 0x4, Dezimal 4), ist die Partition auf diesem DC beschreibbar. Fehlt das Bit, ist sie nur lesbar. Auf einem Read-Only-Domänencontroller (RODC) ist das dritte Bit in allen Partitionen ungesetzt – der RODC hat nur lesenden Zugriff auf die NTDS.DIT. Dasselbe gilt für fremde Domänenpartitionen im globalen Katalog.

Prüfen mit Repadmin

Mit dem Replikations-Werkzeug sieht man es direkt:

Repadmin /showrepl /verbose

Die Ausgabe listet alle Partitionen, die der DC repliziert. Partitionen mit Schreibrecht sind mit WRITEABLE gekennzeichnet; ohne dieses Wort ist nur Leserecht vorhanden.

Prüfen mit der AD-PowerShell

Ob eine bestimmte Partition auf einem DC beschreibbar ist:

$searchbase = "DC=contoso,DC=de" Get-ADObject -Server DC01 -LDAPFilter "(instanceType=*)" -SearchBase $searchbase -SearchScope Base -Properties instanceType | ForEach-Object { if ($_.instanceType -band 4) { Write-Host "Beschreibbare Verzeichnispartition: $searchbase" } else { Write-Host "Lesbare Verzeichnispartition: $searchbase" } }

Soll ein Naming Context vom globalen Katalog kommen, den FQDN plus GC-Port angeben, zum Beispiel DC01.contoso.de:3268 bei -Server.

Quelle: Yusuf Dikmenoglu, Der Unterschied zwischen einer beschreibbaren und nur lesbaren Verzeichnispartition (8. Mai 2011).