AD-Organisationseinheiten verwalten

Unter „OU“ in der AD-Domänenverwaltung können Organisationseinheiten im aktuellen Verzeichnis angezeigt und verwaltet werden. OUs strukturieren beispielsweise Benutzer, Gruppen und Computer. Änderungen, Verschiebungen und Löschungen wirken auf das tatsächliche Verzeichnis und können Pfade untergeordneter Objekte und Geschäftsabläufe beeinflussen. Gewöhnliche Container können als übergeordneter Ort für eine neue OU oder als Ziel gewählt werden; sie bieten aber nicht dieselben Detail-, Verwaltungs- und Löschaktionen wie eine OU.

Einreichung, Genehmigung und tatsächliche AD-Ausführung sind getrennte Zustände. Wenn das Verzeichnis nicht gelesen werden kann, folgt daraus nicht, dass das Ziel fehlt.

Vorbereitung

• Schließen Sie die Konfiguration der AD-Domänenverbindung und des Synchronisationsbereichs ab. Prüfen Sie Erreichbarkeit, Rechte des Verzeichnisdienstkontos und die erforderlichen Anzeige-, Schreib- und Ausführungsrechte der Administration.
• Prüfen Sie Domäne, übergeordneten Ort, Änderungsfreigabe, direkte untergeordnete Objekte und geschäftliche Abhängigkeiten. Bereiten Sie vor Verschiebung oder Löschung eine geprüfte Sicherung und Wiederherstellung vor und bewerten Sie Auswirkungen auf Gruppenrichtlinien und untergeordnete Pfade.
• Testen Sie Genehmigung und Ausführung in einer Testdomäne mit einer kontrollierten OU, nicht durch Änderungen am Produktionsverzeichnis. Löschschutz ersetzt weder Sicherung noch Wiederherstellung.

Genehmigung für OU-Aktionen einrichten

Die vollständige Konfiguration finden Sie unter Genehmigungsregeln für AD-Domänenoperationen.

1. Wenn Erstellen, Ändern, Verschieben und Löschen von Organisationseinheiten genehmigungspflichtig sind, öffnen Sie in AD Domain Management Audit Events > Platform Operations > Operation Audit > Approval rule und prüfen Sie vorhandene aktivierte Regeln und geeignete Genehmigungsvorlagen für AD-Domänenvorgänge. Prüfen Sie jede benötigte Aktion, Domäne, Objektzahl, Antragstellerrolle, Priorität und genehmigende Person. Verwenden Sie passende Regeln weiter; nur Berechtigte erstellen oder ändern sie bei Bedarf gemäß dem Regelkapitel.
2. Alle angegebenen Bedingungen müssen erfüllt sein; eine nicht angegebene Domäne oder Antragstellerrolle schränkt nicht ein. Bei mehreren ausgewählten Rollen genügt eine aktive Rolle; ungültige Rollen sind vor dem Speichern zu entfernen oder zu ersetzen. Bei mehreren Treffern hat die höhere Zahl Vorrang. Speichern Sie Änderungen und testen Sie genehmigungspflichtige und nicht genehmigungspflichtige Fälle an kontrollierten Objekten; prüfen Sie Genehmigung und Verzeichnisausführung. Ein Vorgang ohne passende aktivierte Regel wird direkt ausgeführt und wartet nicht automatisch auf Genehmigung. Bewerten Sie vor Tests Auswirkungen und Wiederherstellung.

OUs anzeigen und erstellen

1. Öffnen Sie „OU“, wählen Sie die Domäne und erweitern Sie den Verzeichnisbaum oder suchen Sie per Stichwort. Prüfen Sie Name, Typ und Verzeichnispfad. Die OU-Details zeigen die Anzahl direkter untergeordneter Objekte, den Schutz vor versehentlicher Löschung und Gründe, die eine Löschung verhindern.
2. Wählen Sie am übergeordneten Ort „Create child OU“. Ohne Suchbegriff können Sie auch „Create OU“ auf der Seite verwenden. Prüfen Sie Domäne und genau eine übergeordnete OU oder einen Container und geben Sie den OU-Namen ein. Ergänzen Sie bei Bedarf Beschreibung, Adresse und verantwortliche Person.
3. Prüfen Sie „Prevent accidental deletion“. Der Schutz ist bei der Erstellung zunächst aktiviert; entscheiden Sie nach den Vorgaben Ihrer Organisation. Er ersetzt keine Sicherung. Prüfen und senden Sie den Antrag; verfolgen Sie Genehmigung oder Verzeichnisausführung.
4. Aktualisieren Sie nach Abschluss das Verzeichnis und prüfen Sie Name, übergeordneten Ort und Schutzstatus. Bei unklarem oder teilweisem Erfolg kann die OU bereits bestehen, während die Schutzkonfiguration fehlt. Prüfen Sie zunächst Ergebnis und aktuelle Details, bevor Sie erneut erstellen.

Ändern, verschieben und löschen

1. Wählen Sie in der Zeile der OU die Verwaltung und lesen Sie die aktuellen Angaben erneut. Ändern und speichern Sie zulässige OU-, Adress- oder Verwaltungs- und Schutzangaben; verfolgen Sie Genehmigung beziehungsweise Ausführung.
2. Bewerten Sie vor einer Verschiebung untergeordnete Pfade, Gruppenrichtlinien und Abhängigkeiten. Wählen Sie am Verzeichnisort eine neue übergeordnete OU oder einen Container und reichen Sie „Move object“ nach Prüfung ein. Eine OU kann nicht in sich selbst oder unter sich selbst verschoben werden.
3. Schutz vor versehentlicher Löschung kann Verschiebung und Löschung verhindern. Ist eine Änderung nötig, behandeln Sie den Schutz nach dem autorisierten Verfahren und prüfen Sie den tatsächlichen Status. Prüfen Sie nach der Verschiebung, ob der Schutz wiederherzustellen ist.
4. Prüfen Sie vor dem Löschen direkte untergeordnete Objekte und angezeigte Hindernisse sowie Aufbewahrung, Abhängigkeiten und Wiederherstellung. Eine OU mit direkten untergeordneten Objekten kann nicht gelöscht werden. Behandeln Sie diese zuerst nach Organisationsverfahren; setzen Sie keine kaskadierende Löschung voraus und umgehen Sie keinen Schutz.
5. Bestätigen Sie Verschiebung oder Löschung und verfolgen Sie Genehmigung und Ausführung getrennt. Lesen Sie das Verzeichnis erneut und prüfen Sie Namen, Ort oder Löschresultat sowie den Schutz verbleibender Objekte. Genehmigt bedeutet nicht erfolgreich ausgeführt.

Häufige Probleme

• Ort oder Details fehlen: Prüfen Sie Domäne, Suchbegriff, Baumansicht, Verbindung und Leserechte. Ein Lesefehler beweist keine Nichtexistenz.
• Erstellung fehlgeschlagen oder unklar: Prüfen Sie Elternobjekt, Namen, Rechte und Verzeichnisbeschränkungen. Stellen Sie vor einem erneuten Versuch fest, ob OU und Schutz bereits bestehen.
• Verschiebung oder Löschung blockiert: Prüfen Sie Schutz, direkte untergeordnete Objekte, Ziel und Verzeichnisrechte; behandeln Sie Probleme nach dem autorisierten Verfahren.
• In Bearbeitung oder teilweise erfolgreich: Prüfen Sie Fortschritt und Aktionsprotokoll in Genehmigungen und Plattformaktionen der Audit-Ereignisse. Reichen Sie nicht erneut ein, bevor der tatsächliche Zustand feststeht.
• Erwartete Genehmigung fehlt: Prüfen Sie Aktionen, Domäne, Zielanzahl, Rolle, Priorität und Vorlage aktiver Regeln. Ohne Treffer ist eine direkte Ausführung möglich.
• Objekt inzwischen geändert: Lesen Sie aktuelle Details erneut und prüfen Sie Änderungen anderer Administratoren und das Ziel, bevor Sie erneut einreichen. Ignorieren Sie keine Hinweise auf konkurrierende Änderungen.