Active Directory.pdf - Gattner

Konfigurieren der Domänensicherheit mit Gruppenrichtlinien 517
Direkt von der Quelle: Auswirkung der Verwendung von Dcgpofix
Sichern Sie vor der Ausführung von Dcgpofix unbedingt die GPOs Default Domain Policy und
Default Domain Controllers Policy. Unter anderem in folgenden Fällen kann die Verwendung von
Dcgpofix unbeabsichtigte Auswirkungen haben:
• Der in der Standarddomänenrichtlinie gespeicherte EFS-Datenwiederherstellungs-Agent geht
verloren. Der Datenwiederherstellungs-Agent wird am folgenden Speicherort des Gruppenrichtlinienobjekts
angegeben: Computerkonfiguration\Richtlinien\Sicherheitseinstellungen\
Richtlinien für öffentliche Schlüssel\Verschlüsseltes Dateisystem.
Weitere Informationen finden Sie in „Sichern des privaten EFS-Schlüssels für den Wiederherstellungs-Agent
in Windows Server 2003, Windows 2000 und Windows XP“ unter http://support.microsoft.com/kb/241201.
Darüber hinaus können benutzerdefinierte Einstellungen in Einstellungen der automatischen
Zertifikatanforderung, Vertrauenswürdige Stammzertifizierungsstellen, Organisationsvertrauen
und Einstellung für die automatische Registrierung verloren gehen, die im GPO Default
Domain Controllers Policy und/oder im GPO Default Domain Policy konfiguriert wurden.
• Die Verwendung von Dcgpofix zum Neuerstellen des GPOs Default Domain Controllers Policy
kann Auswirkungen auf Exchange 2000 und 2003 haben. Das Exchange Server-Tool Domain-
Prep fügt der Benutzerrechtezuweisung Verwalten von Überwachungs- und Sicherheitsprotokollen
für das GPO Default Domain Controllers Policy die Sicherheitsgruppe Exchange
Enterprise Servers für die Domäne hinzu. Ist diese nicht vorhanden, werden Informationsspeicher
und MTA auf Exchange-Servern nicht gestartet Als Lösung können Sie setup /domainprep
erneut ausführen oder die Einträge nach Neuerstellung der Richtlinie manuell wieder
hinzufügen.
• Dienste auf Domänencontrollern, die als Domänenbenutzer ausgeführt werden, starten möglicherweise
nicht. Anwendungen wie IIS erstellen Konten auf Domänencontrollern und fügen
Benutzerrechtszuweisungen für diese Konten hinzu, sodass diese als Dienst ausgeführt werden,
über das Netzwerk zugreifen usw. Falls diese Einträge nicht vorhanden sind, starten die
Dienste möglicherweise nicht. Dies kann sowohl das GPO Default Domain Policy als auch das
GPO Default Domain Controllers Policy betreffen.
• Überwachungseinstellungen und Benutzerrechte werden geändert. Weitere Informationen über
diese Änderungen finden Sie (in englischer Sprache) im Knowledge Base-Artikel 833783 unter
http://support.microsoft.com/default.aspx?scid=kb;EN-US;833783.
Michael Hunter
Support Escalation Engineer
Directory Services Team
Fein abgestimmte Kennwortrichtlinien
In früheren Versionen von Active Directory müssen domänenbasierte Kontorichtlinien über das GPO
Default Domain Policy konfiguriert werden. Daraus resultiert, dass jeder Benutzer in der Domäne über
dieselbe Kennwortrichtlinie und dieselben Kontosperrrichtlinien verfügt. Es kann jedoch vorkommen,
dass Sie für eine bestimmte Benutzergruppe (z.B. die Domänenadministratoren) eine striktere Kennwortrichtlinie
anwenden möchten als für normale Domänenbenutzer. Frühere Implementierungen von
Active Directory boten nur sehr begrenzte Optionen, um dieser Anforderung gerecht zu werden.