Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

90 Kapitel 3: Objekte: Was Sie wollen
Konzept der Rolle in der realen Welt ab. Zum Beispiel kann ein Benutzer die Rolle »Spesenabrechungsprüfer«
haben, die ihm erlaubt, Spesenabrechnungen zu genehmigen.
Dieser Teil der rollenbasierten Zugriffssteuerung kann mithilfe der herkömmlichen Zugriffssteuerungsmechanismen
implementiert werden. RBAC erlaubt es aber auch, Einschränkungen
für die Rollen festzulegen, bei denen ein Benutzer Mitglied sein kann. Eine statische
Einschränkung verhindert, dass ein Benutzer gleichzeitig zwei Rollen einnehmen kann. Ein
Beispiel für eine statische Einschränkung ist, dass ein Schalteraufseher in der Bank niemals
selbst als Schaltermitarbeiter tätig sein darf. RBAC unterstützt auch dynamische Einschränkungen,
die dem Benutzer erlauben, zwei verschiedene Rollen wahrzunehmen, aber nicht
gleichzeitig. In unserem vorigen Beispiel kann ein Schaltermitarbeiter also ein Schalteraufseher
sein, aber er kann niemals beide Rollen gleichzeitig wahrnehmen.
Das war eine ganz kurze Einführung in RBAC, und Windows unterstützt es nicht für die
Verwaltung von Windows selbst. Falls Sie allerdings Branchensoftware für Windows verwalten
oder entwickeln, müssen Sie sich unter Umständen eingehender mit RBAC beschäftigen.
Weitere Informationen finden Sie im White Paper unter http://technet2.microsoft.com/
windowsserver/en/library/72b55950-86cc-4c7f-8fbf-3063276cd0b61033.mspx?mfr=true.
Zusammenfassung
Zugriffssteuerung ist ein Thema, bei dem sich viele Administratoren weniger gut auskennen,
als sie sollten. Zum Beispiel sind die Vererbungsmechanismen in Windows recht komplex
und sehr leistungsfähig. Mangelnder Respekt gegenüber der Komplexität sowie fehlendes
Verständnis dafür, wie die Zugriffssteuerung funktioniert, hat viele Administratoren veranlasst,
DACLs großflächig auszutauschen. Oft wurden sie dazu von Auditoren gedrängt, die
noch weit weniger davon verstehen, wie Windows arbeitet. Dabei werden immer wieder
Computer völlig unbrauchbar gemacht. Ich war einmal bei einem Kunden im Einsatz, der
ein Gruppenrichtlinienobjekt bereitgestellt hatte, das Jeder durch Authentifizierte Benutzer
ersetzte. Wie ich weiter oben erwähnt habe, sind die beiden von der Funktion her praktisch
identisch. Das Ergebnis war, dass das Profil des Administrators von allen gelesen werden
konnte, der Papierkorb nicht funktionierte und sich kein Benutzer mehr anmelden konnte.
Wenn der Kunde das nur auf einem einzigen Computer gemacht hätte, wäre es schon
schlimm genug gewesen, aber die Richtlinie wurde auf über 10.000 Computern bereitgestellt,
bevor sie deaktiviert wurde. Jeder einzelne dieser Computer musste von einem Abbild
wiederhergestellt werden, damit der normale Betrieb wieder möglich war. Hätte der Kunde
verstanden, wie DACLs wirklich funktionieren, wäre es unter Umständen möglich gewesen,
die beabsichtigte Änderung durchzuführen. Noch besser wäre es allerdings gewesen, er hätte
gleich erkannt, dass sie ohnehin unnötig war.
Weitere Informationen
Microsoft Knowledge Base-Artikel 885409, »Empfehlungen zur Sicherheitskonfiguration«
unter http://support.microsoft.com/?kbid=885409.