Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Implementieren von AD RMS 299
Vorbereiten der Infrastruktur
AD RMS erfordert eine Active Directory-Domäne mit der Domänenfunktionsebene Windows
Server 2003 oder höher, damit Sie universelle Active Directory-Gruppen verwenden
können. Ich setze im Folgenden voraus, dass Sie bereits einen Windows Server 2008-Server
haben, der Mitglied einer solchen Domäne ist, und konzentriere mich auf die AD RMSspezifischen
Tätigkeiten. Die Benutzerkonten und Gruppen für die Tests sollten jeweils eine
E-Mail-Adresse in ihr Active Directory-Objekt eingetragen haben. Sie müssen ein Domänenbenutzerkonto
anlegen, um den RMS-Dienst auszuführen. Der Assistent "Rollen hinzufügen"
weist darauf hin, dass das Domänenkonto ein Standarddomänenbenutzerkonto ohne
zusätzliche Privilegien sein soll. Sobald Sie dieses Konto angelegt haben, können Sie den
Assistenten "Rollen hinzufügen" starten und die Rolle Active Directory-Rechteverwaltungsdienste
zu Ihrem Mitgliedserver hinzufügen. Weil dieses Dienstkonto Privilegien auf vielen
Computern in Ihrer Active Directory-Domäne hat, sollten Sie ihm unbedingt ein sehr langes
und komplexes Kennwort geben, um die Gefahr zu verringern, dass ein böswilliger Benutzer
es kompromittiert.
Vorsicht Der Assistent "Rollen hinzufügen" weist darauf hin, dass Ihr AD RMS-Dienstkonto ein Domänenbenutzerkonto
ohne zusätzliche Privilegien sein soll. Unter Release Candidate 1 von Windows Server
2008 habe ich allerdings festgestellt, dass ich das Dienstkonto zur Gruppe Domänen-Admins hinzufügen
musste, um die Installation der Rolle Active Directory-Rechteverwaltungsdienste erfolgreich abschließen zu
können. Dieses Verhalten kann sich in der endgültigen Version von Windows Server 2008 geändert haben,
daher sollten Sie diesen Punkt prüfen. (Anmerkung des Übersetzers: Ist immer noch wie unter RC1.)
Abbildung 11.5 Die Seite Serverrollen auswählen im Assistenten "Rollen hinzufügen"