Active Directory Connector Grundlagen

Inhaltsverzeichnis

Wann brauche ich den ADC
Welchen ADC nehmen ?
Installation
ADC und NTDSNOMATCH
Hinweise zum Betrieb
Diagnose
Microsofts Hinweise
Links:

Der Active Directory Connector (ADC) ist ein Stück Software, welche den Abgleich zwischen zwei Verzeichnisdiensten per LDAP erlaubt. Meist wird der ADC dazu eingesetzt, ausgewählte Informationen zwischen dem Exchange 5.5 Verzeichnis und dem Windows 2000 Active Directory zu synchronisieren. Dass das alles nicht so einfach ist, kann ihnen der Ausflug Active Directory Connector Probleme und der Blick in die Tiefen aufzeigen.

Wann brauche ich den ADC

Es gibt mehrere Szenarien, wofür sie den ADC benutzen können. Die häufigsten sind folgende:

Exchange 5.5 Administration mit Active Directory verbinden
Sie können im AD Benutzer pflegen und die Änderungen werden auch in Exchange 5.5 aktualisiert und umgekehrt. Verteiler in Exchange können zugleich Sicherheitsgruppen unter Windows sein etc.
Migration und Koexistenz mit Exchange 2000
Der ADC ist immer dann zu installieren, wenn man von Exchange 5.5. auf Exchange 2000 gehen will oder Exchange 5.5 parallel mit dem AD betreiben will und eine gemeinsame Administration braucht.
Replikation mit anderen Verzeichnisdiensten
Der ADC kann per LDAP auch anderer Verzeichnisse synchronisieren. Dies ist aber ein seltener genutzter Einsatzfall.

Sie brauchen den ADC nicht, wenn sie eine reine Exchange 2000 Umgebung neu aufbauen.

Welchen ADC nehmen ?

Es gibt zwei Ausgaben des Active Directory Connector. Es ist wichtig, den "richtigen" zu installieren:

ADC der Windows 2000 Server CD
Wenn Sie den ADC nur nutzten wollen, um ihre bestehende Exchange 5.5. Umgebung mit dem AD von Windows 2000 zu koppeln, dann reicht dieser AD aus. In der Regel haben sie auch gar keine andere Version
ADC der Exchange 2000 Server CD
Dieser ADC enthält die Funktion der einfachen ADC, aber ergänzt um Funktionen, um Benutzer von Exchange 5.5 nach Exchange 2000 zu umzustellen.
ADC aus dem Service Pack
Im Exchange 2000 SP1 ist ebenfalls ein ADC enthalten.

Wenn Sie auf Exchange 2000 umstellen möchten, dann sollten Sie die aktuellste Version des ADC nutzen. Diesen finden Sie im Service Pack Installation. Aber auch wenn Sie "nur" Windows 2000 mit Exchange 5.5 nutzen, sollten Sie die Fehler älterer Versionen durch den Einsatz der aktuellsten Version vermeiden

Installation

Sie installieren den ADC einfach auf einem Windows 2000 in ihrem Netzwerk. Es ist dabei eigentlich völlig egal, ob dieser Server in Domain Controller ist oder nicht, wenn die gesamte Kommunikation erfolgt per LDAP. Allerdings wird das Setup das Schema ihres AD um einige Exchange Felder erweitern und daher müssen Sie bei der Installation das Recht haben, das Schema zu ändern (Schema Administrator). Nutzen Sie am besten den ADC aus dem Exchange 2000 SP1, auch wenn Sie noch gar nicht Exchange 2000 einsetzen wollen, weil es die aktuellste Version mit weniger Fehlern ist.

Nach der Installation haben Sie einen Dienst und die notwendigen MMC-Konsole, aber noch nichts konfiguriert. Sie müssen dann die gewünschten Verbindungsvereinbarungen einrichten.

Sie können den ADC auch auf mehreren Servern installieren und sogar redundante Verbindungsvereinbarungen installieren, so dass der Ausfall eines Servers nicht so tragisch ist. Aber diese Konfiguration ist nicht in wenigen Worten hier beschrieben. Ebenso wenig, wenn Sie mehrere OUs und Empfängercontainer betreiben.

Wann sollte ich nun den ADC installieren ?. Am Beispiel einer normalen Migration sehen Sie sehr schnell, wann der ADC ins Spiel kommt. Lesen Sie hierzu auch die Informationen auch der Exchange 2000 - Update Seite.

NT4 Domäne
Die ist in der Regel schon da, bzw. wer keine Domäne hat, kann auch kein Exchange 5.5. installieren. Dieser Schritt liegt meist schon einige Jahre zurück.
Exchange 5.5
kann erst installiert werden, wenn die NT4 Domäne oder eine Windows 2000 Domäne (siehe Exchange 5.5 auf Windows 2000 Installation und Betrieb) vorhanden ist. Meist ist aber auch Exchange 5.5 schon einige Monate im Betrieb.
Windows 2000 AD
Ehe Sie nun Exchange 2000 starten können, ist ein Active Directory notwendig. Dies kann über ein Update des bestehenden NT4 PDCs oder über eine zweite neue Domäne mit Trusts erreicht werden.
ADC
Wenn Sie Exchange 5.5. betreiben, ist eine Kopplung des Exchange 5.5 Verzeichnis mit dem Active Directory Sinnvoll. Außer der Installation des ADC sind zumindest die Verbindungsvereinbarungen (CA = Connection Agreements) für Benutzer und Verteiler mit W2K Zieldomäne im Native Mode zu konfigurieren und die Funktion zu prüfen.
Exchange 2000
installiert ADC Config CA. Achtung bei E2K Cluster, da ADC nicht Clusteraware ist, also einen normalen E2K Server zuerst installieren stellen.

Später können Sie dann Exchange 5.5 nach und nach deinstallieren und am Ende den ADC wieder entfernen. bei einer reinen Windows 2000 und Exchange 2000 Umgebung benötigen Sie keinen ADC.

ADC und NTDSNOMATCH

In Exchange 5.5 war es üblich, für Ressourcen Mailboxen (Support, Vertrieb, Beamer, Besprechungsräume etc.) eigene Postfächer anzulegen und einen Benutzer als "primären" Account zu nehmen. Das macht bei der Replikation mit dem ADC Probleme, da nun je nach Reihenfolge vielleicht das "falsche" Postfach dem Windows 200 Benutzer zugewiesen wird. Dann müssen sie von hand die Zuordnung korrigieren. Siehe "Q256862 XADM: How to Correct Mismatched Accounts After Active Directory Connector Replication".

Besser ist es hier, von vorneherein die Probleme zu vermeiden. Dazu kennt der ADC das Hilfsmittel "NTDSNOMATCH". Diesen Text tragen Sie im Exchange 5.5 Administrator in das Custom Attribute 10 des Ressourcen Postfachs ein. Dadurch wird der ADC angewiesen, für dieses Postfach IMMER einen neuen deaktivieren Benutzer anzulegen und nicht nach bestehenden Benutzern zu suchen. So wird nebenbei sichergestellt, dass das eigentliche Postfach des Anwenders auch dem Windows 2000 Benutzer zugewiesen wird.

Siehe auch Q274173 XADM: Documentation für the NTDSNoMatch utility und Exchange Tools und Hilfsprogramme.

Hinweise zum Betrieb

Der ADC ist nicht einfach installiert und "vergessen" sondern ein permanenter Prozess, der zuverlässig und dauerhaft laufen muss, um während der Migration von Exchange 5.5 nach Exchange 2000 problemlos die Verzeichnisdienste zu replizieren.

Als Grundregeln können gelten:

Überlegen Sie sich vorher was wie repliziert werden soll.
Zu viele Elemente und erhöhen die Replikationslast
Zu wenig bewirken eine teilweise unzustellbarkeit von Nachrichten, weil nicht alle Empfänger für beiden Welten bekannt sind
Vermeiden Sie umfangreiche umstrukturierungen im Migrationsprozess
Es kann sonst passieren, dass bestimmte CA's fehlen und Änderungen an diesen Benutzer nicht mehr vom ADC "erkannt" werden und damit ihr Verzeichnis aus dem Ruder löäuft.
Kontrollieren Sie die Funktion des ADC
Anhand Eventlog und Errordateien ist eine gute Kontrolle möglich. Eventuell lohnen sich zusätzliche Skripte zur Funktionskontrolle. Siehe auch Exchange 2000 Active Directoy Connector Profi.
Löschen Sie niemals Benutzer oder Exchange Eigenschaften
ohne alle Auswirkungen zu können. Sie können nicht einfach mal einen Benutzer löschen und "erneut" replizieren.
ändern Sie nie die ADC Einstellungen
ohne die Auswirkungen zu können. Der ADC ist kein Spielzeug und es gibt keinen Assistenten oder allzu ausgefeilte Logik um menschliche Fehler zu "korrigieren". Der ADC tut genau, was man ihm sagt.

Viele kleine Firmen mit einem Exchange 5.5 Standort und einer Active Directory Domäne haben diese Probleme meist nicht. Aber sobald mehrere Exchange 5.5. Standorte und Empfängerkontainer und Domänen und Organisationseinheiten zusammen kommen, ist KnowHow überlebenswichtig.

Diagnose

Die Funktion des ADC kann mit dem Diagnoseprotokoll und im Eventlog überwacht werden. Siehe auch

Microsofts Hinweise

Microsoft hat natürlich auch intern die Umstellung durchgeführt und dabei jede Menge Erfahrungen gesammelt. In Kürze fand ich folgende Zusammenfassung:

Lessions learned:
Synchronize the entire Exchange 5.5 site instead of synchronizing individual recipient containers. Choosing the entire Exchange 5.5 site as the source and target of the CA on the Exchange Server, and also choosing the Active Directory domain as the source and target on the Active Directory side of a two-way CA effectively synchronizes the Exchange 5.5 recipient container hierarchy with the ou hierarchy in Windows 2000. The ou hierarchy or the location of individual recipients created in Active Directory by the ADC can be changed at a later time.

http://www.Microsoft.com/technet/prodtechnol/exchange/deploy/rollout/wininteg.asp?frame=true
http://www.Microsoft.com/technet/treeview/default.asp?URL=/TechNet/prodtechnol/windows2000serv/reskit/deploy/part5/chapt-20.asp
Chapter 3 - Deploying the Active Directory Connector http://www.Microsoft.com/technet/prodtechnol/exchange/2000/deploy/upgrademigrate/series/deploymentguide/d_03_tt1.mspx
Understanding and Deploying Exchange 2000 Active Directory Connector
http://www.Microsoft.com/technet/prodtechnol/exchange/2000/library/udadc.mspx