Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Schreibgeschützte Domänencontroller 255
bedienen, bis sich die Anmeldeinformationen ändern. Das bedeutet, dass die Daten nicht
bei jeder Anmeldeanforderung über das WAN befördert werden müssen. Wenn ein TGT mit
dem krbtgt-Konto des RODCs signiert ist, erkennt der RODC, dass er eine zwischengespeicherte
Kopie der Anmeldeinformationen hat. Falls dagegen ein anderer DC das TGT signiert
hat, leitet der RODC Anforderungen an einen beschreibbaren DC weiter.
Abbildung 9.5 Die Standardrichtlinie für die Kennwortreplikation während einer RODC-Installation
Sie sollten die Zwischenspeicherung von Anmeldeinformationen auf Benutzer beschränken,
die tatsächlich auf dem RODC authentifiziert werden müssen. So dämmen Sie die Gefahr
ein, dass bei einer Kompromittierung des RODCs viele Anmeldeinformationen bekannt
werden. Ich empfehle Ihnen, nur für einen kleinen Teil der Domänenbenutzer die Zwischenspeicherung
ihrer Anmeldeinformationen auf einem bestimmten RODC zu erlauben. Sollte
der RODC gestohlen werden, können nur die Anmeldeinformationen geknackt werden, die
dort zwischengespeichert wurden. Und in den meisten Fällen sind dies nur Domänenbenutzer,
die keine privilegierten Rechte haben. Ein Administrator kann die Standardkennwortreplikationsrichtlinie
so ändern, dass die Anmeldeinformationen von Benutzern auf dem RODC
zwischengespeichert werden. Sie verwalten diese Einstellungen über die neue Registerkarte
Kennwortreplikation auf den Eigenschaftenseiten eines Domänencontrollers (Abbildung 9.6).
Wenn Sie auf dieser Registerkarte auf die Schaltfläche Erweitert klicken, bekommen Sie
angezeigt, welche Kennwörter an den RODC gesendet wurden, welche Kennwörter momentan
auf dem RODC gespeichert wurden und welche Konten vom RODC authentifiziert wurden.
Darunter fallen auch Konten, die momentan nicht in den Sicherheitsgruppen definiert
sind, denen Replikation erlaubt oder verboten ist. Das bedeutet, dass Sie schnell und einfach
feststellen können, wer den RODC benutzt, und jederzeit steuern können, ob die Kennwortreplikation
erlaubt oder verboten ist. Sie können diese Liste auch in eine CSV-Datei exportieren,
indem Sie auf die Schaltfläche Exportieren klicken. So können Sie aufzeichnen, welche
Benutzer den RODC tatsächlich nutzen, und im RODC die Kennwörter für die von
Ihnen ausgewählten Konten eintragen.