Active Directory.pdf - Gattner

Active Directory-Objektberechtigungen 337
In den meisten Fällen ist der Besitzer eines Objekts eher ein bestimmtes Benutzerkonto als ein Gruppenkonto.
Eine Ausnahme ist die Erstellung eines Objekts durch ein Mitglied der Gruppe Domänen-
Admins; in diesem Fall wird der Objektbesitz der Gruppe Domänen-Admins zugewiesen. Wenn der
Besitzer des Objekts ein Mitglied der lokalen Administratorengruppe, jedoch kein Mitglied der
Gruppe Domänen-Admins ist, wird der Besitz des Objekts der Gruppe Administratoren zugewiesen.
Zum Ermitteln des Besitzers eines Active Directory-Objekts greifen Sie über das geeignete Active
Directory-Verwaltungstool auf die Eigenschaften des Objekts zu. Klicken Sie auf der Seite Sicherheit
auf Erweitert, und wählen Sie die Seite Besitzer. Abbildung 9.12 zeigt die Oberfläche des Verwaltungstools
Active Directory-Benutzer und -Computer.
Wenn Sie über die Berechtigung Besitzer ändern für das Objekt verfügen, können Sie auf dieser Seite
den Objektbesitz ändern. Sie können den Besitz für Ihr eigenes Konto übernehmen oder einem anderen
Benutzer bzw. einer anderen Gruppe zuweisen. Diese letzte Option ist nur in Windows Server
2003 und Windows Server 2008 Active Directory verfügbar. In Microsoft Windows 2000 Active
Directory konnte der Objektbesitz nur übernommen werden; es war nicht möglich, den Besitz einem
anderen Sicherheitsprinzipal zuzuweisen.
Abbildung 9.12
Anzeigen des Besitzes für ein Active Directory-Objekt
Administratorrechte
Die bisher erläuterten Administratorrechte hängen mit spezifischen Berechtigungen für Active
Directory-Objekte zusammen und legen fest, welche Aktionen der Administrator für diese Objekte
ausführen kann. Zusätzlich dazu können auch Benutzer zum Ausführen von einigen Aufgaben in
Active Directory berechtigt sein. Die bisher besprochenen Berechtigungen basieren auf den ACLs,
die mit jedem Active Directory-Objekt verknüpft sind. Benutzerberechtigungen unterscheiden sich
von diesen Berechtigungen, da sie auf Benutzerkonten angewendet werden.