Active Directory.pdf - Gattner

294 Kapitel 8: Active Directory-Domänendienstsicherheit
Interoperabilität mit anderen Kerberos-Systemen
Da Kerberos auf einem offenen Standard basiert, bietet es herausragende Möglichkeiten zur Interoperabilität
mit anderen auf Kerberos basierenden Systemen. Alle Komponenten, die Bestandteil der
Windows Server 2008-Kerberos-Implementierung sind, können durch eine Nicht-Windows-Entsprechung
ersetzt werden. Bei diesen drei Komponenten handelt es sich um Folgende:
• Der Kerberos-Client
• Das Kerberos-Schlüsselverteilungscenter
• Die Netzwerkressource, die Kerberos zur Autorisierung nutzt
Für die Interoperabilität gibt es vier mögliche Szenarios:
• Ein Windows 2000- oder Windows XP Professional-Client meldet sich an einem Domänencontroller
unter Windows Server 2008 an und greift auf Ressourcen auf einem Server unter Windows
Server 2008 oder auf einem anderen Kerberos-basierten Dienst zu.
• Ein Windows-Client meldet sich an einem Nicht-Windows-KDC an und greift auf Ressourcen auf
einem Server unter Windows Server 2008 oder einem anderen Kerberos-basierten Dienst zu.
Hinweis Windows Server 2008 stellt das Befehlszeilenprogramm Ksetup.exe zur Verfügung, das zum
Konfigurieren von Windows-Clients für die Kommunikation mit Nicht-Windows-KDCs eingesetzt werden
kann.
• Ein Nicht-Windows-Kerberos-Client kann sich an ein Windows Server 2008-KDC anmelden und
auf Ressourcen auf einem Server unter Windows Server 2008 oder auf einem anderen Kerberosbasierten
Dienst zugreifen.
• Ein Nicht-Windows-Kerberos-Client kann sich an ein Windows Server 2008-KDC anmelden und
auf Ressourcen auf einem Server unter Windows Server 2008 oder auf einem anderen Kerberosbasierten
Dienst zugreifen.
Windows Server 2008 kann für die Beteiligung an einer beliebigen dieser Konfigurationen konfiguriert
werden. Die einfachste Option ist eine homogene Lösung, in der die gesamte Umgebung entweder
auf Windows Server 2008-Kerberos oder auf einer nicht auf Windows basierenden Kerberos-
Implementierung beruht.
Die Windows Server 2008-Implementierung von Kerberos macht eine Zusammenarbeit mit anderen
Kerberos-Implementierungen jedoch relativ leicht. Die einfachste Möglichkeit zum Implementieren
dieser Konstellation besteht darin, bereichsübergreifende Vertrauensstellungen zwischen der Windows
Server 2008-Domäne und dem Nicht-Windows-Kerberos-Bereich zu erstellen. Diese Bereichsvertrauensstellungen
können als transitiv oder nicht transitiv und als unidirektional oder bidirektional
konfiguriert werden. Um eine Vertrauensstellung mit einem anderen Bereich zu konfigurieren, öffnen
Sie das Verwaltungsprogramm Active Directory-Domänen und -Vertrauensstellungen und greifen auf
das Eigenschaftenfenster für die Domäne zu, in der Sie eine Vertrauensstellung erstellen möchten.
Klicken Sie auf der Registerkarte Vertrauensstellungen auf Neue Vertrauensstellung, und der Assistent
für neue Vertrauensstellungen wird gestartet. Mit diesem Assistenten können Sie die Windows
Server 2008-Seite der Vertrauensstellung mit einem anderen Kerberos-Bereich erstellen.
Weitere Informationen Microsoft bietet einen Leitfaden mit Schrittanleitungen zur Konfiguration bereichsübergreifender
Kerberos-Vertrauensstellungen an. Dieser englischsprachige Leitfaden mit dem Titel „Stepby-Step
Guide to Kerberos 5 (krb5 1.0) Interoperability“ steht auf der Microsoft-Website unter http://technet.microsoft.com/en-us/library/Bb742433.aspx
zur Verfügung.