Active Directory.pdf - Gattner

Active Directory-Objektberechtigungen 325
Hinweis Das Active Directory-Schema definiert über den Wert rightsGuid für die Eigenschaftenkategorie
(in der Konfigurationsverzeichnispartition) und den Wert attributeSecurityGUID für das schema-Objekt,
welche Attribute Teil der verschiedenen Eigenschaftensätze sind. Der rightsGuid-Wert für cn=Personal-Information,
cn=Extended-Rights, cn=configuration, dc=forestname entspricht beispielsweise dem attributeSecurityGUID-Wert
für cn=Telephone-Number, cn=Schema, cn=Configuration, dc=forestname. Dies bedeutet,
dass die Telefonnummer im Eigenschaftensatz Persönliche Informationen enthalten ist.
Zusätzlich zu den Standardberechtigungen werden auf der Seite Sicherheit möglicherweise auch
erweiterte Berechtigungen im Zusammenhang mit dem Objekt angezeigt, das geschützt wird. Abhängig
vom Objekt können diese Berechtigungen Optionen wie z.B. Authentifizierung zulassen, Richtlinienergebnissatz
erstellen, Empfangen als, Senden als, Senden an, Kennwort ändern und Kennwort
zurücksetzen umfassen.
Spezielle Berechtigungen
Die Berechtigungsliste auf der Seite Sicherheit umfasst u.a. den Eintrag Spezielle Berechtigungen.
Neben den Standardberechtigungen können für Active Directory-Objekte auch spezielle Berechtigungen
zugewiesen werden.
Hinweis Anhand der Kontrollkästchen Zulassen und Verweigern neben dem Eintrag Spezielle Berechtigungen
lässt sich ermitteln, ob für ein Objekt spezielle Berechtigungen festgelegt wurden. Bei aktiviertem
Kontrollkästchen wurden spezielle Berechtigungen zugewiesen.
Wie bereits erwähnt, sind spezielle Berechtigungen deutlich genauer abgestimmt und spezifischer als
Standardberechtigungen. Für eine vereinfachte Verwaltung verwenden Sie für ein Objekt typischerweise
die Standardberechtigungen; möglicherweise müssen jedoch bestimmte Anforderungen erfüllt
werden, aufgrund derer die Einträge der speziellen Berechtigungen geändert werden müssen.
Für den Zugriff auf spezielle Berechtigungen klicken Sie auf der Seite Sicherheit auf Erweitert und
stellen dann sicher, dass die Registerkarte Berechtigungen ausgewählt ist. Diese Seite ist in
Abbildung 9.4 gezeigt. In Tabelle 9.2 sind die verfügbaren Optionen auf der Seite Berechtigungen
erläutert.
Tabelle 9.2
Option
Typ
Name
Berechtigung
Geerbt von
Konfigurieren von speziellen Berechtigungen
Erläuterung
Dieser Wert ist entweder auf Zulassen oder auf Verweigern gesetzt. Normalerweise sind die
Berechtigungen so sortiert, dass zunächst sämtliche Berechtigungen mit dem Wert Verweigern
aufgeführt sind. Diese Sortierreihenfolge lässt sich jedoch ändern, indem Sie auf eine
Spaltenüberschrift klicken. Unabhängig von der Anzeigereihenfolge in dieser Spalte werden
die Berechtigungen mit dem Wert Verweigern immer zuerst ausgewertet.
Dies ist der Name des Sicherheitsprinzipals, für den die einzelnen ACEs gelten.
In dieser Spalte wird der Berechtigungsumfang für den Sicherheitsprinzipal
aufgeführt. Dabei kann es sich um Standardberechtigungen wie Vollzugriff, um spezielle Berechtigungen
zum Erstellen/Löschen von Benutzerobjekten oder einfach um den Berechtigungseintrag
Speziell handeln. Die verfügbaren Berechtigungstypen hängen vom Objekttyp
und davon ab, wie detailliert der Berechtigungseintrag ist.
In dieser Spalte wird der Speicherort angezeigt, an dem diese Berechtigung festgelegt ist,
sowie die Information, ob die Berechtigung von einem übergeordneten Container geerbt
wurde oder nicht.