Active Directory.pdf - Gattner

AD LDS – Architektur und Komponenten 629
Sicherheitswarnung Sie können die SSL-Anforderung bei der Standardauthentifizierung über die Option
ds-behavior des Befehlszeilenprogramms Dsmgmt.exe deaktivieren. Dies wird für Produktionsumgebungen
jedoch nicht empfohlen, da dadurch alle Kennwörter unverschlüsselt gesendet werden.
Bei Verwenden der Standardauthentifizierung unterstützen und erzwingen die AD LDS die Kennwortrichtlinien-
und Kontosperreinstellungen von Windows Server 2008. Wenn für den Computer beispielsweise
in der lokalen Sicherheitsrichtlinie eine Kennwortrichtlinie konfiguriert ist, oder über eine
Domänensicherheitsrichtlinie werden Kennworteinstellungen wie minimales und maximales Kennwortalter,
Komplexität und Kennwortchronik erzwungen, wenn Benutzer ihre Kennwörter ändern.
Hinweis Sie können die Erzwingung von Kennwortrichtlinieneinstellungen in den AD LDS deaktivieren,
indem Sie ADAMDisablePasswordPolicies, einen Wert des Attributs msDS-Other-Settings on CN=Directory
Service,CN=Windows NT,CN=Services,CN=Configuration,CN=GUID auf 1 festlegen.
SASL-Bindung für Windows-Sicherheitsprinzipale Die integrierte Authentifizierung erfolgt, wenn ein
Windows-Sicherheitsprinzipal versucht, eine Bindung zu einer AD LDS-Instanz herzustellen. Die AD
LDS authentifizieren Windows-Benutzer nicht selbst. Stattdessen wird der Windows-Sicherheitsprozess
zum Authentifizieren des Benutzers verwendet. Die integrierte Authentifizierung arbeitet mit
SASL-Bindungen und unterstützt die Kerberos-, NTLM- und ausgehandelte Authentifizierung (Standardeinstellung)
sowie die Verwendung des Domänen-\Benutzernamens, des Benutzerprinzipalnamens
oder definierten Namens als Anmeldeinformationen für die Authentifizierung.
Wenn die AD LDS eine SASL-Bindungsanforderung empfangen, wird die Anforderung an Active
Directory oder die LSA weitergeleitet. Wird die Bindungsanforderung erfolgreich authentifiziert,
wird dem Benutzerkonto ein Sicherheitstoken zugewiesen. Die AD LDS verwenden dieses Token im
internen Kontext, fügen die SIDs der AD LDS-Gruppen hinzu, zu denen der Benutzer gehört, und
führen anschließend eine transitive Gruppenerweiterung in allen Anwendungspartitionen aus. Dies
bedeutet, dass die AD LDS die Gruppenmitgliedschaften für den Windows-Benutzer bestimmen, die
sich daraus ergeben, dass der Benutzer Mitglied einer Gruppe ist, die selbst zu einer anderen Gruppe
gehört. Der Zugriff auf AD LDS-Objekte wird basierend auf dem Sicherheitstoken gewährt oder verweigert.
Bindungsumleitung für AD LDS-Proxyobjekte Eine AD LDS-Bindungsumleitung erfolgt, wenn über ein
besonderes, Proxyobjekt genanntes Objekt versucht wird, eine Bindung zu den AD LDS herzustellen.
Ein Proxyobjekt ist ein Objekt in den AD LDS, das einen Sicherheitsprinzipal in Active Directory
abbildet. Jedes Proxyobjekt in den AD LDS enthält die SID eines Benutzers in Active Directory.
Wenn ein Benutzer versucht, eine Bindung zu einem Proxyobjekt herzustellen, rufen die AD LDS die
im Proxyobjekt gespeicherte SID sowie das zum Bindungszeitpunkt angegebene Kennwort ab und
legen Active Directory die SID und das Kennwort zur Authentifizierung vor.
Da die einleitende Bindungsanforderung eine einfache LDAP-Bindungsanforderung ist, wird das
Kennwort den AD LDS unverschlüsselt vorgelegt. Um diese Authentifizierung abzusichern, fordern
die AD LDS die Verwendung von SSL an. Da das Kennwort, das den AD LDS während der AD
LDS-Bindungsumleitung vorgelegt wird, unverschlüsselt ist, darf die SSL-Anforderung bei Verwenden
der Bindungsumleitung nicht aufgehoben werden.
Die AD LDS-Bindungsumleitung wird verwendet, wenn eine Anwendung eine einfache LDAP-Bindung
zu den AD LDS herstellen kann, die Anwendung jedoch weiterhin den Benutzer mit einem
Sicherheitsprinzipal in Active Directory verknüpfen muss.