Active Directory.pdf - Gattner

270 Kapitel 8: Active Directory-Domänendienstsicherheit
AD DS-Sicherheitsgrundlagen
Um die Funktionsweise der AD DS-Sicherheit in einem Windows Server 2008-Netzwerk verstehen
zu können, müssen zunächst einige grundlegende Konzepte erläutert werden. Im Wesentlichen besteht
die AD DS-Sicherheit aus zwei Arten von Objekten und der Interaktion zwischen diesen zwei
Objekten. Das erste Objekt ist ein Sicherheitsprinzipal, d.h. ein Objekt, das einen Benutzer, eine
Gruppe oder einen Computer repräsentiert, der bzw. die Zugriff auf eine Ressource im Netzwerk
benötigt. Das zweite Objekt ist die Ressource selbst – das Objekt, für das der Sicherheitsprinzipal
Zugriff benötigt. Zur Gewährleistung der erforderlichen Sicherheit müssen die AD DS die Identität des
Sicherheitsprinzipals bestimmen können und anschließend die erforderliche Zugriffsebene für die Ressourcen
gewähren.
Sicherheitsprinzipale
Sicherheitsprinzipale sind die einzigen Objekte in den AD DS, denen Berechtigungen für den Zugriff
auf Ressourcen im Netzwerk erteilt werden kann. Jedem Sicherheitsprinzipal wird bei Erstellung des
Objekts eine Sicherheitskennung (Security Identifier, SID) erzeugt. Die Sicherheitskennung besteht
aus zwei Teilen. Der erste Teil ist eine Domänenkennung, die für alle Sicherheitsprinzipale in einer
Domäne identisch ist. Der zweite Teil der Sicherheitskennung ist ein relativer Bezeichner (Relative
Identifier, RID), der für jeden Sicherheitsprinzipal in einer AD DS-Domäne eindeutig ist.
Die Sicherheitskennung ist eine wesentliche Komponente bei der Konfiguration der Ressourcensicherheit
in einem Windows Server 2008-Netzwerk. Wenn Sie Berechtigungen für eine Ressource
erteilen, verwenden Sie den Anzeigenamen des Sicherheitsprinzipals, Windows Server 2008 verwendet
tatsächlich jedoch die Sicherheitskennung zur Verwaltung des Ressourcenzugriffs. Wenn ein
Benutzer versucht, auf die Ressourcen eines Servers in der Domäne zuzugreifen, erteilt das Betriebssystem
nicht dem Namen der Person, sondern der Benutzer-SID Berechtigungen für die Ressource.
Wenn demzufolge der Anzeigename eines Benutzers geändert wird, hat dies keine Auswirkung auf
die gewährten Berechtigungen. Wenn jedoch ein Benutzerobjekt gelöscht und anschließend mit demselben
Namen neu erstellt wird, kann der Benutzer nicht auf dieselben Ressourcen zugreifen, da dem
neuen Objekt eine andere Sicherheitskennung zugewiesen wird.
Praxistipp: Sicherheitskennungen
Eine Sicherheitskennung (Security Identifier, SID) ist eine numerische Darstellung, die einen
Sicherheitsprinzipal eindeutig identifiziert. Sicherheitskennungen setzen sich aus drei Komponenten
zusammen: Revisionsstufe, Bezeichnerautorität und Teilautorität oder relativer Bezeichner
(Relative Identifier, RID).
Sicherheitskennungen verwenden die folgende Syntax:
S-R-I-S-S
Der Buchstabe S zeigt an, dass es sich bei der folgenden Informationen um eine Sicherheitskennung
handelt. Der Buchstabe R kennzeichnet die Revisionsstufe der Sicherheitskennung. Der
Buchstabe I repräsentiert die Bezeichnerautorität (Identifier Authority), und das S steht für die Teilautorität
(Subauthority) oder den relativen Bezeichner (Relative Identifier, RID). Es können mehrere
Werte für die Teilautorität oder den relativen Bezeichner vorliegen:
• Revisionsstufe Die Revisionsstufe repräsentiert die Änderungsstufe der SID-Struktur. Die derzeitige
Revisionsstufe lautet 1.