ADS erweitern How To

[3kom 10]

Hallo Leute,

 

ich möchte beim Anlegen von Usern in der ADS Felder wie Anrede und Titel vergeben. Da diese Felder meines Wissens nicht in der ADS angelegt sind will ich diese anlegen, weiß einer wo und wie (ADSIedit). Gibt es vielleicht eine KB darüber?

 

3kom

[odogg 10]

Hallo 3kom,

wenn ich dich richtig verstehe möchtest du eine manuelle Schemaerweiterung durchführen.

Du kannst dir folgenden Link ansehen, dort sind viele Skripte wo man sich die benötigte Syntax ansehen kann.

hxxp://www.kouti.com/scripts.htm

Viele Grüsse

odogg

[Velius 10]

Der Titel ist im Reiter "Organisation" zu finden. Ein Attribut "Anrede" gibt es AFAIK nicht.

 

 

Gruss

Velius

[lefg 276]

http://www.microsoft.com/technet/prodtechnol/windowsserver2003/library/TechRef/ebca3324-5427-471a-bc19-9aa1decd3d40.mspx

[magman 10]

hi

 

Ich habe das selbe problem ich brauche eine zusatzfeld in den AD eigenschaften das ich die Personalnr eintragen kann.

[Zearom 10]

braucht ihr die felder eigene Anwendungen?

 

nutz doch ein (erweitertes) ADAM für diese Daten. replizieren könnt ihr diese Daten zwischen AD und ADAM mit dem Identity Feature Pack.

[magman 10]

Was ist ADAM und das Identity Feature Pack ???

[Velius 10]

replizieren könnt ihr diese Daten zwischen AD und ADAM mit dem Identity Feature Pack.

 

 

AFAIK können nur ADAM (Active Directory Application Mode) Instanzen mit einem "echten" Ad Synchronisieren wenn sie dieselben Schemaerweiterungen haben. Also von dem her nicht gerade eine Alternative.... :wink2:

 

 

P.S.: @magman

 

 

Identity Feature Pack gehört zum MIIS (Microsoft Identity Integration Server). Eine recht komplexe und kostenspielige Sache das.... ;)

[Christoph35 10]

Ich glaube, das IIFP kann man sich kostenfrei runterladen. Komplex scheint es allerdings zu sein. Vielleicht muss ich mich damit auch noch mal auseinandersetzen.

 

http://www.microsoft.com/downloads/details.aspx?FamilyID=d9143610-c04d-41c4-b7ea-6f56819769d5&DisplayLang=en

 

Setzt aber SQL Server voraus.

 

Christoph

[Velius 10]

Ich glaube, das IIFP kann man sich kostenfrei runterladen.

 

 

Da ist was dran! ;) Dachte dass man dafür den MIIS braucht....aber man darf mal deneben liegen :suspect: :D

[Zearom 10]

AFAIK können nur ADAM (Active Directory Application Mode) Instanzen mit einem "echten" Ad Synchronisieren wenn sie dieselben Schemaerweiterungen haben. Also von dem her nicht gerade eine Alternative.... :wink2:

 

 

P.S.: @magman

 

 

Identity Feature Pack gehört zum MIIS (Microsoft Identity Integration Server). Eine recht komplexe und kostenspielige Sache das.... ;)

 

nein, das stimmt so nicht. Mit dem MIIS und dem IFP lassen sich konkrete Datenströme festlegen, so brauchst du im adam nur das neue Feld füllen, der rest wird vom IFP/MIIS gefüllt. Das IFP ist für besitzer einer Win2k3-Lizenz umsonst. Ich wäre durchaus mal bereit so eine art webcast zu fabrizieren, mit der einmal demonstriert werden kann was man mit dem IFP/MIIS alles anstellen lässt. allerdings fehlt mir irgendwie die kreativität ein vernünftiges Szenario zu erstellen, zudem würde mich auch mal die integration in ein Exchangesystem interessieren. wenn da interesse besteht, sagt bescheid. der MIIS wird übrigens mein Abschlussprojekt für meine ausbildung zum anwendungsentwickler sein.

[Velius 10]

@Morpheus_

 

Ok, klingt cool, aber wie sieht's mit Passwort Sync aus? Geht sowas mit dem IIFP?

[Zearom 10]

im Miis gibt es einen Passwort Synchronization Service, an dem ein DC melden kann das user x sein pw geändert hat und dann an die eigenen Zielsysteme weitergeben kann. Obs das auch im IIFP gibt, müsste ich mal schauen. Das könnte bei Migrationen interessant sein, bei denen man nicht mit einem Trust arbeiten kann und die Zielinstanz längere Zeit parallel laufen muss.

 

ich würde die Kennwörter aber nicht ins ADAM replizieren. Authentifizierung sollte weiterhin im AD ablaufen, das adam wirklich nur als Info-Ldap und/oder als Authorisierungsinstanz nutzen.

[Velius 10]

Obs das auch im IIFP gibt, müsste ich mal schauen.

 

Wäre cool :thumb1:

 

ich würde die Kennwörter aber nicht ins ADAM replizieren. Authentifizierung sollte weiterhin im AD ablaufen, das adam wirklich nur als Info-Ldap und/oder als Authorisierungsinstanz nutzen.

 

**** nur wenn man das nicht trennen kann. Allerdings schätze ich das Risko gering ein; das Format ist ja wenn ich mich nicht täsuche auch *.dit. Das man den Store nicht hacken kann gehört für mich zur physischen Sicherheit des Servers, sonst kommt man ja auch an eine "live" NTDS.dit ran.