Active Directory.pdf - Gattner

Voraussetzungen für die AD DS-Installation 217
Der Assistent zum Installieren von Active Directory-Domänendiensten liefert Informationen dazu,
wie sich diese Sicherheit auf die Clientanmeldung auswirkt. Die Standardsicherheitsrichtlinie für
Domänencontroller unter Windows Server 2008 erfordert zwei Sicherheitsebenen für die Kommunikation
des Domänencontrollers: SMB-Signatur und -Verschlüsselung (Server Message Block) sowie
die Signatur von Netzwerkdatenverkehr über einen sicheren Kanal.
Diese Features zur Domänencontrollersicherheit können für kompatible Clientcomputer und einige
Drittanbieteranwendungen bei der Anmeldung ein Problem darstellen. Dies hat auch Auswirkungen
auf die kompatiblen Clientbetriebssysteme in einer gemischten Domänencontrollerumgebung mit
Windows Server 2008-Betriebssystemen und Vorgängerversionen. Hier können zeitweilige Fehler
auftreten, wenn Windows Server 2008-Domänencontroller Authentifizierungsanforderungen und
Anforderungen zum Hinzufügen zur Domäne bearbeiten.
Domänencontroller unter Windows Server 2008 werden mit einer „Richtlinie“ konfiguriert, die es
nicht zulässt, dass Windows- und Drittanbieterclients mit unsicheren Kryptografiemethoden sichere
Kanäle zu diesen DCs aufbauen.
Um dieses Problem zu lösen, sollten Sie inkompatible Clients aktualisieren, damit diese Kryptografiemethoden
verwenden, die mit den standardmäßigen Sicherheitseinstellungen von Windows Server
2008 kompatibel sind. Hierzu müssen Sie ggf. aktualisierte Software vom jeweiligen Anbieter anfordern.
Können inkompatible Clients nicht aktualisiert werden, ohne dass es zu einem Dienstausfall kommt,
müssen Sie die folgenden Schritte ausführen:
1. Melden Sie sich an der Konsole eines Windows Server 2008-Domänencontrollers an.
2. Starten Sie die Konsole Gruppenrichtlinienverwaltung.
3. Bearbeiten Sie die Standardrichtlinie für die Domänencontroller.
4. Wählen Sie den folgenden Pfad im Gruppenrichtlinien-Editor: Computerkonfiguration|Richtlinien|Administrative
Vorlagen|System|Netzwerkanmeldung
5. Legen Sie die Option Mit Windows NT 4.0 kompatible Kryptografiealgorithmen zulassen auf Aktiviert
fest.
Hinweis Die Standardeinstellung der Standarddomänenrichtlinie, der Standard-Domänencontrollerrichtlinie
und der lokalen Richtlinie für die Option Mit Windows NT 4.0 kompatible Kryptografiealgorithmen
zulassen lautet Nicht konfiguriert. Das Standardverhalten von Windows Server 2008-Domänencontrollern
sieht jedoch programmatisch vor, dass Verbindungen mit Verwendung NT 4.0-basierter
Kryptografiealgorithmen nicht zulässig sind. Dadurch können Tools, welche die effektiven Richtlinieneinstellungen
auf einem Mitgliedscomputer oder Domänencontroller auflisten, die Option Mit Windows
NT 4.0 kompatible Kryptografiealgorithmen zulassen nicht ermitteln – es sei denn, diese ist ausdrücklich
in einer Richtlinie aktiviert oder deaktiviert.
Die Option Mit Windows NT 4.0 kompatible Kryptografiealgorithmen zulassen findet bei Domänencontrollern
unter Windows 2000 und Windows Server 2003 in der effektiven Richtlinie keine Anwendung. Daher
bearbeiten Domänencontroller mit Vorgängerversionen von Windows Server 2008 weiterhin Anforderungen
für sichere Kanäle von Computern, die NT 4.0-basierte Kryptografiemethoden verwenden. Dies
kann zu inkonsistenten Ergebnissen führen, wenn Anforderungen für sichere Kanäle zeitweilig von Windows
Server 2008-Domänencontrollern verarbeitet werden.