Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

440 Kapitel 16: Aspekte für kleine Unternehmen
die in der Normalkonfiguration liefen. Zwar erfordert jeder laufende Dienst Zeit und Aufwand,
um die Berechtigungen und Rechte richtig zu konfigurieren (in Kapitel 6, »Dienste«,
finden Sie weitere Informationen über einzelne Dienste), aber Sie müssen eine fundamentale
Tatsache akzeptieren, wenn Sie einen Multi-Rollen-Server einrichten: Sie brauchen Wartungsfenster
für diese Art Server. Falls die Organisation null Ausfallzeit vorschreibt, ist ein
Multi-Rollen-Server nicht geeignet.
Akzeptable Rollen
Wenn Sie eine Lösung mit akzeptabler Sicherheit implementieren sollen, müssen Sie festlegen,
welche Rollen und Aufgaben auf diesem Server akzeptabel sind und welche nicht.
Prüfen Sie, welche Anwendungen Sie für das Netzwerk bereitstellen wollen. In vielen Organisationen
wird für wichtige LOB-Anwendungen, die auf einer Datenbankplattform aufbauen,
nicht empfohlen, sie auf dem Domänencontroller in Windows Small Business Server
2008 oder dem Dateiserver in der Windows Essential Business Server-Plattform zu betreiben,
sondern stattdessen einen dedizierten Server für diese Anwendung einzusetzen. Normalerweise
ist es einfacher, ein solches System zu schützen und geeignete NTFS-Dateisystemberechtigungen
dafür festzulegen. Es ist dann auch einfacher, die Speichernutzung
der Anwendung im Zaum zu halten. Wenn Sie Virtualisierung einsetzen, sollten Sie sich
vom Konzept echter Hardware für solche Multi-Serverbereitstellungen lösen. Es gibt nichts
daran auszusetzen, viele dieser LOB-Anwendungen auf virtuelle Server zu verlegen. Außerdem
wurde schon so manches Netzwerk destabilisiert, weil ein Hersteller eine SQL Server-
Datenbank auf einem laufenden Server installierte und unbewusst alle Anwendungen plattmachte,
die bereits die Standard-SQL-Instanz benutzten.
Serverkomponenten
Viele Parameter bei der Serverbereitstellung werden durch die Rolle des Messaging entschieden.
In der Windows Server 2008-Produktfamilie hat sich gegenüber der Windows
Server 2003-Familie vor allem geändert, dass das Modell der Serverrollen übernommen
wurde, das in Microsoft Exchange Server 2007 eingeführt wurde. Die Rollen umfassen
Mailboxserver, Clientzugriffsserver, Hubtransportserver, Unified-Messaging-Server und
Edge-Transportserver. Die Rolle des Edge-Transportservers verarbeitet den Fluss der gesamten
Internetmail für eine Organisation. Sie muss auf einem separaten, eigenständigen Server
liegen, um die Angriffsfläche des Exchange-Servers zu verkleinern. Sie können alle fünf
Rollen auf fünf unterschiedliche Server verteilen, wenn Sie möchten, oder vier davon zusammenfassen.
Aber die Edge-Transportserverrolle sollte auf einem separaten Server betrieben
werden (Abbildung 16.6). Die Ausnahme von dieser Regel ist die Windows Small Business
Server 2008-Plattform. Augrund einer speziellen Konfiguration ist sie in der Lage, die
entsprechende Funktionalität auf einem einzigen Server bereitzustellen.
Wenn Sie die vielen Artikel lesen, die über die Bereitstellung dieser Edge-Rolle geschrieben
wurden, stellen Sie fest, dass viele davon darauf bestehen, dass die Edge-Rolle nicht in
einer Domäne liegen sollte, um die sicherste Konfiguration zu erreichen. Microsofts eigene
Dokumente zur Bereitstellung der Serverrolle weisen klugerweise darauf hin, dass nicht alle
Unternehmen diese »sicherste« Konfiguration benötigen, um ein akzeptabel geschütztes
Netzwerk zu betreiben.