Active Directory.pdf - Gattner

338 Kapitel 9: Delegieren der Active Directory-Domänendiensteverwaltung
Ein Benutzer verfügt aufgrund seiner Identität über Benutzerberechtigungen, nicht weil er zum
Ändern eines bestimmten Active Directory-Objekts berechtigt ist. Beispielsweise gibt es zwei
Methoden, um einem Benutzer oder einer Gruppe die Berechtigung zum Hinzufügen von Arbeitsstationen
zur Domäne zu erteilen. Dem Benutzer oder der Gruppe kann die Berechtigung zum
Erstellen von Computerobjekten auf einer OU-Ebene oder auf Ebene des Containers Computers
erteilt werden. Dies ermöglicht es dem Benutzer, eine beliebige Anzahl an Arbeitsstationen zur
Domäne im angegebenen Container hinzuzufügen.
Eine weitere Möglichkeit, um einem Benutzer das Hinzufügen von Arbeitsstationen zur Domäne
zu ermöglichen, besteht darin sicherzustellen, dass der Benutzer über das Recht Hinzufügen von
Arbeitsstationen zur Domäne verfügt. Dieses Benutzerrecht ist Teil der Standard-Domänencontrollerrichtlinie.
Benutzer mit diesem Recht können bis zu zehn Arbeitsstationen zur Domäne hinzufügen.
Standardmäßig wird der Gruppe Authentifizierte Benutzer dieses Recht zugewiesen.
Delegieren von Verwaltungsaufgaben
Bisher haben Sie in diesem Kapitel erfahren, wie die Sicherheit von Active Directory-Objekten
gewährleistet werden kann. Diese Informationen dienen als Vorbereitung für diesen Abschnitt, in
dem beschrieben wird, wie die Sicherheitsoptionen angewendet und Verwaltungsaufgaben delegiert
werden. Da sämtliche Objekte in Active Directory über eine ACL verfügen, kann der Administratorzugriff
für jede Eigenschaft eines Objekts gesteuert werden. So können Sie anderen Active Directory-Administratoren
äußerst präzise Berechtigungen zuweisen, sodass diese lediglich die für ihren
Verantwortungsbereich erforderlichen Aufgaben ausführen dürfen.
Wenngleich sich Administratorrechte äußerst spezifisch delegieren lassen, sollten Sie darauf achten,
dass die Komplexität dieser Einstellungen so gering wie möglich bleibt, während Sie gleichzeitig die
Sicherheitsanforderungen der Organisation erfüllen. In den meisten Fällen werden Administratorrechte
in Active Directory in einem der folgenden Szenarien delegiert:
• Zuweisen von Vollzugriff für eine OU Dies ist ein recht gängiges Szenario, in dem eine Organisation
über mehrere Zweigstellen mit lokalen Administratoren an jedem Standort verfügt, für welche
die Verwaltung sämtlicher Objekte in der jeweiligen Zweigstelle erforderlich ist. Diese Option
kann auch für Organisationen gewählt werden, in denen mehrere Ressourcendomänen in OUs in
einer einzigen Active Directory-Domäne zusammengefasst wurden. Den Administratoren der vorherigen
Ressourcendomäne kann Vollzugriff auf alle Objekte in ihrer spezifischen OU zugewiesen
werden. Bei Verwendung dieser Option kann die Verwaltung einer Organisation praktisch
vollständig dezentralisiert werden, während trotzdem eine einzige Domäne vorhanden ist.
• Zuweisen von Vollzugriff für bestimmte Objekte in einer OU Dieses Szenario weicht leicht von dem
vorherigen ab. In einigen Fällen kann eine Organisation über mehrere Zweigstellen verfügen, die
lokalen Administratoren sollten jedoch lediglich zur Verwaltung bestimmter Objekte in der
Zweigstellen-OU berechtigt sein. Möglicherweise soll einem lokalen Administrator z.B. die
Berechtigung zum Verwalten aller Benutzer- und Gruppenobjekte, nicht jedoch von Computerobjekten
zugewiesen werden. In einem Szenario, in dem Ressourcendomänen in OUs umgewandelt
wurden, sollen OU-Administratoren möglicherweise alle Computerkonten und domänenlokalen
Gruppen in ihrer OU, jedoch keine Benutzerobjekte verwalten können.