Bilder im Active Directory?

Über diese Frage kann man vortrefflich streiten. Die eine Seite argumentiert mit der anfallenden Datenmenge und dem Datenschutz, die andere Seite mit dem „personifizierten“ Emailkontakt und sowieso gestiegener Hardwareleistung. Fakt ist, dass seit Windows 2000 die entsprechenden Attribute im AD-Schema vorhanden sind. Fakt ist aber auch, dass erst jetzt mit Outlook 2010 ein Produkt im „Massenmarkt“ ist, welches wirklichen Nutzen daraus ziehen kann.

Deswegen werden in diesem Artikel ein paar Punkte für und wider, sowie die Anwendungs- und Administrationsmöglichkeiten dargestellt.

Pro:

Applikationen wie Outlook 2010 können die gespeicherten Daten anzeigen und ermöglichen dem Nutzer eine auch bildliche Identifizierung des Emailempfängers.

Die anfallende Datenmenge ist „vernachlässigbar“, da das von Outlook genutzte Active-Directory-Attribut (thumbnailPhoto http://msdn.microsoft.com/en-us/library/ms680034%28v=VS.85%29.aspx) auf 102400Byte (100 KB) limitiert ist.

Contra:

Die anfallende Datenmenge mit maximal 100 Kilobyte pro User ist bei 20.000 Usern dann doch etwas größer. Entspräche ca. 2GB an Bilddaten, die repliziert würden.

Der Datenschutz bzw. das Recht am eigenen Bild ist zu berücksichtigen.

Der wirkliche Nutzen ist derzeit wohl kaum zu bewerten. Der administrative Aufwand hingegen lässt sich durchaus berechnen.

Diese paar Punkte sollen bei der Überlegung, ob Fotos ins AD gehören oder nicht, dem Umsetzenden ein paar Argumente an die Hand geben. Sie erheben natürlich keinen Anspruch auf Vollständigkeit oder aber Fehlerfreiheit.

Praxis:

Microsoft Outlook 2010 ist in der Lage, die Bilder der Nutzer aus der Globalen Adressliste anzuzeigen. Beispielsweise direkt nach einem Doppelklick auf einen Kontakt innerhalb der GAL, aber auch an diversen anderen Stellen des Programms.

Leider liefert erst Exchange 2010 ein cmd-let (http://technet.microsoft.com/en-us/library/dd351252.aspx) mit dessen Hilfe ein Import der Bilder ins Active Directory überhaupt erst möglich wird.

Benötigt man deswegen also Exchange 2010? Die Antwort ist ein klares Jain. Exchange 2010 liefert das cmd-let zum Import. Für die Anzeige des Bildes benötigt Outlook 2010 aber keinen Exchange 2010, sondern das ginge auch mit Exchange 2003 oder 2007, denn das Bild wird im Active Directory gespeichert und nicht im Exchange-Server. Allerdings bietet Exchange 2010 natürlich trotzdem Funktionen, die vorherige Versionen in dieser Form nicht besitzen. So werden diese Bilder bei Exchange 2010 auch in das Offline Adressbuch verlinkt bzw. kopiert und stehen dann auch Usern zur Verfügung, die Outlook Anywhere mit aktiviertem Cache Mode nutzen.

Auf dem Exchange Team Blog sind noch einige weiterführende Infos hinsichtlich der Offline Adressbuch-Funktionen beschrieben:

http://msexchangeteam.com/archive/2010/03/10/454223.aspx

Da also Exchange 2010 nicht direkt benötigt wird, gibt es inzwischen auch diverse Tools (Freeware, Skripte oder auch kommerziell) anderer Hersteller, die sich genau dieses Themas annehmen. Diese werden nachfolgend kurz vorgestellt.

http://www.mikepfeiffer.net/2010/05/manage-exchange-2010-thumbnail-photos-with-a-powershell-based-gui/

Hier bietet der Autor Mike Pfeiffer ein Powershell-Skript mit GUI an, welches den Import und die Anzeige der Bilder ermöglicht. Benötigt wird hierfür aber mindestens ein Exchange 2010, der das entsprechende cmd-let liefert.

http://www.dewdney.co.uk/adext/adext.zip

wird von Oli Dewdney angeboten und ermöglicht die Anzeige und Pflege der Bilder innerhalb der “Active Directory-Benutzer und -Computer”-Konsole.

Wer etwas mehr Features wie bspw. Bearbeitungsmöglichkeiten oder Massenimport benötigt, wird bei http://www.thumbnailphoto.net/de oder http://www.dovestones.com/products/Active_Directory_jpegPhoto_thumbnailPhoto.asp fündig.

Und schließlich gibt es auch ein Tool professioneller Qualität kostenlos:

[Outlook Photos – Update your Outlook photo for free]
http://www.exclaimer.com/products/outlook-photos/Default.aspx

Hinweise:

• Auf 32-Bit-Domänencontrollern ist das Anwachsen der Active-Directory-Datenbank zu überwachen, da sich hier die Datenbankgröße stärker auf die Performance auswirkt als bei x64-Systemen.
• · Das AD-Attribut thumbnailPhoto ist nur für Administratoren beschreibbar. Nutzer können also (zum Glück) nicht einfach beliebige Fotos abspeichern. Über entsprechende AD Delegation kann das Attribut für weitere Nutzer als beschreibbar definiert werden.

Wer, trotz in der GAL vorhandener Fotos, von den „Gesichtern“ seiner Kollegen verschont bleiben will, kann folgende Anleitung befolgen, die die Kontaktfotos in Outlook komplett deaktiviert. Dies gilt dann allerdings auch für die Fotos innerhalb der eigenen Kontakte.

Unter folgendem Link ist die entsprechende ADM-Vorlage des Outlook Social Connectors herunterzuladen.

OutlookSocialConnector.zip

Nun nur noch die entsprechende Policy definieren und schon hat man seine Ruhe.

Im Übrigen ermöglicht es der Outlook Social Connector, die Daten auch in Outlook 2007 anzuzeigen. Allerdings nicht in der GAL, sondern dann in jeder Email im unteren Bereich.

http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=b638cc14-11e5-448a-b5a6-4f553ce81b94

Fazit:

Wer sich für die Speicherung von Nutzer-Bildern im Active Directory entscheidet, sollte entsprechende Werkzeuge nutzen, die eine Administration sinnvoll ermöglichen. Microsoft liefert hier wie so oft derzeit nur rudimentäre Funktionen, die mit den oben gezeigten Tools aber deutlich geschlagen werden. Die Anzeige in Outlook erfolgt problemlos, und in der Praxis ist es ein Feature, welches man nach einer Eingewöhnungsphase wahrscheinlich nicht mehr abgeben will.