Active Directory.pdf - Gattner

Verwalten von Gruppen 361
Wenn Sie Microsoft Exchange Server installiert haben, können Sie die Verteilergruppe für E-Mails
aktivieren und anschließend können Sie der Gruppe Benutzer und Kontakte hinzufügen, die E-Mails
empfangen können. So können Sie E-Mails an die vollständige Benutzergruppe senden.
Wenn für die Domänenfunktionsebene mindestens Windows 2000 einheitlich festgelegt ist, können
Sie Verteilergruppen in Sicherheitsgruppen und Sicherheitsgruppen in Verteilergruppen konvertieren.
Die Gruppenmitgliedschaften werden nach einer Konvertierung beibehalten.
Autorisierungs-Manager-Anwendungsgruppen
Der Autorisierungs-Manager wurde in Windows Server 2003 eingeführt, um rollenbasierte Autorisierungen
innerhalb von Anwendungen gewähren zu können. Dieses System wird von Anwendungsentwicklern
für die Steuerung des Zugriffs auf Anwendungsdaten und -funktionen verwendet. Es wird
nicht von Netzwerkadministratoren für die Steuerung des Zugriffs auf Netzwerkressourcen verwendet.
Der Autorisierungs-Manager unterstützt die Verwendung von Active Directory, Active Directory
Lightweight Directory Server oder .xml-Dateien als Datenspeicher. Um Active Directory als Speicherort
für den Autorisierungs-Manager zu verwenden, muss für die Domänenfunktionsebene Windows
Server 2003 festgelegt sein. Bei den beiden Gruppentypen im Autorisierungs-Manager handelt
es sich um Anwendungsbasisgruppen und LDAP-Abfragegruppen.
Bei Anwendungsbasisgruppen handelt es sich um eine Sammlung von Sicherheitsprinzipalen, die
über eine Liste mit Mitgliedern und eine Liste mit Nicht-Mitgliedern verfügen. Die Liste mit Nicht-
Mitgliedern wird als Alternative zum Verweigern von Berechtigungen verwendet. Die Überprüfung
der Mitgliedschaft erfolgt für Anwendungsbasisgruppen beim Zugriff auf eine Ressource, nicht bei
Anmeldung des Benutzers. Dadurch entsteht zwar eine höhere Serverlast, Änderungen an der Gruppenmitgliedschaft
werden jedoch übernommen, ohne dass dafür ein Abmeldevorgang erforderlich ist.
LDAP-Abfragegruppen verfügen über eine dynamische Mitgliedsliste, die auf einer LDAP-Abfrage
basiert. Die Abfrage kann für jedes beliebige, in Active Directory verfügbare Benutzerattribut durchgeführt
werden. Dadurch ergibt sich der Vorteil, dass die Gruppenmitgliedschaft bei einer Änderung
der Benutzereigenschaften automatisch aktualisiert wird. Die Überprüfung der Mitgliedschaft in
LDAP-Abfragegruppen wird beim Zugriff auf eine Ressource durchgeführt.
Weitere Informationen Weitere Informationen zum Autorisierungs-Manager werden im Artikel „Role-
Based Access Control for Multi-tier Applications Using Authorization Manager“ (in englischer Sprache) unter
http://technet2.microsoft.com/windowsserver/en/library/72b55950-86cc-4c7f-8fbf-3063276cd0b61033.mspx
bereitgestellt.
Hinweis Da Verteilergruppen in Active Directory nur einen eingeschränkten Nutzen bieten, beziehen sich
die folgenden Erläuterungen in diesem Kapitel auf Sicherheitsgruppen.
Gruppenbereich
In Windows Server 2008 Active Directory können Sie Gruppen mit drei unterschiedlichen Gruppenbereichen
erstellen: Global, Lokal (in Domäne) und Universal. In Tabelle 10.4 werden die Merkmale
der einzelnen Gruppenbereiche aufgeführt.