Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

412 Kapitel 15: Schützen von Zweigstellen
RODC
RODC ist ein neues Feature in den Active Directory-Domänendiensten (Active Directory
Domain Services, AD DS) von Windows Server 2008. In Kapitel 9, »Optimieren der Active
Directory-Domänendienste für Sicherheit«, finden Sie einen Überblick über AD DS-Features
und Informationen über die Nutzung und Installation von RODCs. In diesem Kapitel
will ich mich darauf konzentrieren, die Sicherheitsaspekte eines RODCs in einer Zweigstelle
zu beschreiben.
Schreibgeschützte Datenbank, Replikation und Gruppenzugehörigkeiten
Wie der Name andeutet, sind RODCs schreibgeschützte Kopien der AD DS-Datenbank.
Das bedeutet, dass sie nur eine unidirektionale Replikation in Active Directory benötigen.
Dasselbe gilt für den Dateireplikationsdienst und DFS-Replikation (Distributed File System
Replication).
Unidirektionale Replikation bedeutet einen Sicherheitsvorteil. Wenn aufgrund einer Kompromittierung
oder anderer Probleme manipulierte Daten in die lokale Kopie der AD DS-
Datenbank auf dem RODC eingeschleust werden, können diese Daten nicht vom betroffenen
RODC zurück in die übrige Organisation repliziert werden. Das ist sicherlich eine Eindämmung,
die verhindern kann, dass ein lokales Problem zu einem globalen wird! Trotzdem
müssen Sie aufpassen: Falls Malware, Angriffe oder andere Probleme dazu führen können,
dass ihr lokaler Domänencontroller manipuliert oder von einem Angreifer übernommenen
wurde (auch wenn er schreibgeschützt ist), haben Sie trotzdem ein gewaltiges Problem zu
lösen!
Es wurden zusätzliche Anstrengungen unternommen, um die Probleme zu minimieren, die
durch einen manipulierten RODC verursacht werden könnten. Jeder RODC hat sein eigenes,
einmaliges KrbTGT-Konto für das Schlüsselverteilungscenter (Key Distribution Center,
KDC), sodass das System unterscheiden kann, ob ein Ticket von einem RODC ausgestellt
wurde (und von welchem) oder von einem normalen, beschreibbaren Domänencontroller.
Dies ist eine Form der kryptografischen Isolierung; diesen Begriff werden Sie gelegentlich
im Zusammenhang mit RODCs hören.
Unidirektionale Replikation bringt auch Vorteile für den Entwurf Ihrer Replikationstopologie
und die Steuerung des Replikationsverkehrs. Bridgeheads und Hubs brauchen den RODC
nicht nach Änderungen abzufragen. Der RODC führt die normale eingehende Replikation
für AD DS und FRS sowie alle DFSR-Änderungen aus.
Weil der RODC Mitglied der Domäne ist, hat er manchmal gute Gründe, um in Active Directory
zu schreiben. Er schreibt aber nicht in die lokale Datenbankkopie, sondern stellt eine
Verbindung zu einem beschreibbaren DC her, genau wie eine Arbeitsstation. Das RODC-
Computerkonto ist ein Arbeitsstationskonto, daher hat es nur sehr eingeschränkte Rechte
beim Schreibzugriff auf AD DS. Auch das soll wieder die Schäden im Unternehmens-AD
DS minimieren für den Fall, dass der RODC kompromittiert wird. Weil RODC-Computerkonten
in diesem Sinne »Arbeitsstationen« sind, sind sie keine Mitglieder der Gruppen
Domänencontroller der Organisation oder Domänencontroller.
Zwischenspeicherung von Datenbankinhalt und Anmeldeinformationen
Mit Ausnahme der Kontokennwörter und der Attribute, die speziell zum gefilterten Attributsatz
hinzugefügt wurden, speichert ein RODC alle AD DS-Objekte und -Attribute, die auch
ein beschreibbarer Domänencontroller speichert.