Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

252 Kapitel 9: Optimieren der Active Directory-Domänendienste für Sicherheit
zers, der momentan angemeldet ist, um die Installation abzuschließen (sofern der Benutzer
mit einem Domänenkonto angemeldet ist). Natürlich haben Sie die Möglichkeit, bei Bedarf
andere Anmeldeinformationen zu verwenden. Ein weiteres nettes Feature ist, dass am Ende
des Assistenten eine Zusammenfassungsseite angezeigt wird, die Sie direkt in eine Antwortdatei
exportieren können. Sie können diese Datei dann als Vorlage für andere Installationen
und Deinstallationen hernehmen. Aus Sicherheitsgründen stehen nicht alle Informationen in
der Antwortdatei zur Verfügung. Zum Beispiel wird das Kennwort für die Verzeichnisdienstwiederherstellung
(Directory Services Restore Mode, DSRM) nicht mit in die Datei exportiert.
Sie können die Antwortdatei so ändern, dass sie spezifische Werte enthält. Passen Sie
dabei aber genau auf, weil die Datei in falsche Hände gelangen könnte. Bezüglich der Kennwörter
empfehle ich, password=* in die Antwortdatei einzutragen, dann werden Sie beim
Ausführen aufgefordert, das Kennwort einzugeben.
Schreibgeschützte Domänencontroller
Am Anfang des Kapitels habe ich bereits erwähnt, dass Microsoft seit Windows Server 2008
einen neuen Typ Domänencontroller zur Verfügung stellt: den schreibgeschützten Domänencontroller
(Read-Only Domain Controller, RODC). Mit dem RODC können Organisationen
einen DC an Orten bereitstellen, wo die physische Sicherheit nicht garantiert werden kann.
Ein RODC hostet schreibgeschützte Partitionen der AD DS-Datenbank. Das hat den großen
Vorteil, dass Sie Ihre Umgebung besser schützen können. Bevor die Rolle des RODC zur
Verfügung stand, hielt ich den DC in der Zweigstelle immer für den schwächsten Punkt. (In
Kapitel 15, »Schützen von Zweigstellen«, wird genauer erklärt, was eine Zweigstelle ist und
welche Auswirkungen die Verwendung eines RODC auf die Sicherheit hat.) Mit dieser neuen
Rolle können wir nun die beschreibbaren DCs in den zentralen Standort mit einem richtigen
Datencenter verlegen und die beschreibbaren DCs in der Zweigstelle durch RODCs ersetzen.
Das verringert die Sicherheitsgefahren.
Vor der Einführung des RODC mussten sich Benutzer in einer Zweigstelle bei einem DC im
zentralen Standort über ein WAN (Wide Area Network) authentifizieren. Oder Sie stellten
einen lokalen DC in der Zweigstelle bereit. Das war keine effiziente Lösung, weil kleine
Standorte oft nicht die physische Sicherheit bieten, die ein beschreibbarer DC erfordert. Die
Netzwerkbandbreite zwischen einer Zweigstelle und einem zentralen Standort ist jedoch oft
schlecht. Das kann bei Zweigstellenbenutzern die Anmeldezeiten verlängern und den Zugriff
auf Netzwerkressourcen behindern. Jetzt können Sie diese Probleme aber umgehen, indem
Sie einen RODC in Ihren Zweigstellen bereitstellen. Damit bieten Sie Ihren Zweigstellenbenutzern
folgende Vorteile:
Verbesserte Sicherheit
Schnellere Anmeldung
Effizienterer Zugriff auf Ressourcen im Netzwerk
Einer der wichtigsten Gründe für den Einsatz eines RODC ist meiner Meinung nach die
ungenügende physische Sicherheit. Schließlich wissen wir alle, dass Computersicherheit bei
der physischen Sicherheit beginnt. Wie kann ein RODC Ihnen hier helfen? Er bietet eine
Möglichkeit, einen DC sicherer an Orten bereitzustellen, wo Sie schnelle und zuverlässige
Authentifizierungsdienste brauchen, aber die physische Sicherheit nicht gewährleisten können.
Das ist meiner Ansicht nach eine Grundvoraussetzung für den Einsatz eines beschreibbaren
DCs. Ein anderes gutes Beispiel für den Einsatz eines RODCs ist ein Szenario, in dem