Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Typen von Sicherheitsprinzipalen 5
Hinweis Wenn in diesem Buch künftig von »Windows-Computern« oder allgemein »Windows« die Rede
ist, beziehen wir uns dabei auf alle Computer, die unter einem Betriebssystem der Windows NT-Linie laufen.
Dazu gehören:
Windows NT 3.1
Windows NT 3.5
Windows NT 3.51
Windows NT 4.0
Windows 2000
Windows XP
Windows Server 2003
Windows Vista
Windows Server 2008
Oft wird angenommen, dass Domänencontroller (Domain Controller, DC) keine lokale SAM
und somit keine lokalen Benutzer haben. Das ist falsch. Sogar ein DC hat eine lokale SAM,
aber die Konten in seiner SAM können nur für die Verzeichnisdienstwiederherstellung verwendet
werden. In der Standardeinstellung befinden sich immer zwei Benutzerkonten in der
lokalen SAM: Administrator und Gast. Das Konto Gast ist in der Standardeinstellung immer
deaktiviert.
Hinweis Wenn wir »Administrator« oder »Administratoren« kursiv schreiben, meinen wir damit den Benutzer
beziehungsweise die Gruppe. Wenn wir »Administrator« normal schreiben, meinen wir irgendein
Benutzerkonto oder eine Person, die administrative Privilegien besitzen. Dasselbe gilt für andere Entitäten,
zum Beispiel »Gast« oder »Gast«.
In Windows Server 2008 ist das Konto Administrator standardmäßig aktiviert. (Mit Ausnahme
von Windows Small Business Server 2008.) Mit diesem Konto müssen Sie sich beim
ersten Mal am Computer anmelden. In Windows Vista ist das Konto Administrator standardmäßig
deaktiviert. Es kann nur unter ganz bestimmten Bedingungen benutzt werden. In
beiden Fällen wird dringend empfohlen, dass Sie weitere Konten für jede Person anlegen,
die einen Computer verwaltet. Dies ist eine obligatorische Forderung bei praktisch allen
Regularien (Libenson, 2006). Ein Konto für eine Person sollte deren persönliches administratives
Konto sein. Falls die Administratoren den Computer auch für nichtadministrative
Aufgaben einsetzen, sollten sie zusätzlich persönliche nichtadministrative Konten haben.
Die andere Art von Konto ist ein Domänenkonto. Diese Konten werden auf den Domänencontrollern
der Domäne definiert, und sie können auf allen Computern in der Domäne verwendet
werden. Domänenkonten haben eine viel größere Zahl von Eigenschaften als lokale
Konten, wie in den Abbildungen 1.2 und 1.3 deutlich zu sehen.
Domänenkonten haben eine umfangreichere Semantik, die eine Vielzahl von Attributen für
eine Unternehmensumgebung abdeckt, zum Beispiel Telefonnummern, Organisationsstrukturen,
E-Mail-Konten und so weiter. Domänenkonten sind auch in einem Netzwerk viel
nützlicher, weil sie auf anderen Computern über das Netzwerk benutzt werden können. Und
ihnen können Berechtigungen für beliebige Computer überall im Netzwerk zugewiesen werden.
Indem Konten in der Domäne definiert werden, wird auch die Verwaltung einfacher.
In Kapitel 9, »Optimieren der Active Directory-Domänendienste für Sicherheit«, finden Sie
weitere Informationen über Active Directory.