Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

266 Kapitel 9: Optimieren der Active Directory-Domänendienste für Sicherheit
Grundlagen von AD LDS
AD LDS (Active Directory Lightweight Directory Services) war früher unter dem Namen
Active Directory-Anwendungsmodus (Active Directory Application Mode, ADAM) bekannt.
Ich nutze es, um einen Verzeichnisdienst bereitzustellen, den verzeichnisfähige Anwendungen
einsetzen können, ohne sich mit dem Verwaltungsaufwand von Gesamtstrukturen
und Domänen zu belasten. AD LDS ist ein LDAP-Verzeichnisdienst ohne die Abhängigkeiten,
die für AD DS nötig sind. So erhalten Sie flexible Unterstützung für verzeichnisfähige
Anwendungen, ohne eine Domäne mit DCs einrichten zu müssen. Trotzdem erhalten Sie
fast dieselbe Funktionalität wie mit AD DS. Eines der Dinge, die ich an AD LDS am meisten
schätze, ist die Fähigkeit, auf einem einzigen Computer gleichzeitig mehrere Instanzen
mit unabhängigen Schemas auszuführen. Auf diese Weise kann ich pro Anwendung ein
eigenes AD LDS einsetzen. Im Bezug auf Sicherheit heißt das, dass ich mehrere Instanzen
auf einem einzigen physischen Server habe, obwohl sie nicht miteinander verbunden sind
und sich daher keinerlei Daten teilen.
Wie Sie wissen, stellt AD DS Verzeichnisdienste sowohl für verzeichnisfähige Anwendungen
als auch Microsoft Windows Server-Betriebssysteme zur Verfügung. AD DS speichert
wichtige Informationen über die Netzwerkinfrastruktur, Benutzer, Gruppen, Netzwerkdienste
und so weiter. Zu diesem Zweck braucht AD DS ein einziges Schema, das überall in der
gesamten Gesamtstruktur gilt. Dadurch verlieren Sie etwas Flexibilität. Aber wenn Sie die
Serverrolle Active Directory Lightweight Directory Services verwenden, können Sie verzeichnisfähige
Anwendungen Verzeichnisdienste zur Verfügung stellen, ohne dass dafür eine
Active Directory-Gesamtstruktur erforderlich ist. Es gibt noch ein weiteres nettes Feature:
Falls Sie bereits AD DS haben, können Sie es für die Authentifizierung von Windows-Sicherheitsprinzipalen
einsetzen. Das ist zum Beispiel nützlich, wenn Sie eine Anwendung haben,
die das Schema erweitern muss, aber Sie diese Operation aus irgendwelchen Gründen nicht
durchführen dürfen oder wollen. Sie können dann das AD LDS-Schema erweitern und die
Informationen dort speichern. Anschließend lassen Sie die Benutzer über AD DS authentifizieren,
stellen die Verbindung zur Anwendung her und lassen die anwendungsspezifischen
Werte von AD LDS speichern.
Verzeichnisspeicher
Alle verzeichnisfähigen Anwendungen können AD LDS als Verzeichnisspeicher nutzen,
weil AD LDS eine LDAP-Verzeichnislösung ist, die für den Unternehmenseinsatz entworfen
wurde. AD LDS wird oft eingesetzt, um private Verzeichnisdaten in einem lokalen Verzeichnisdienst
zu speichern. Das hat den Vorteil, dass Sie keine Daten zu replizieren brauchen, die
nur für die tatsächliche Anwendung relevant sind, und in manchen Szenarien können Sie die
Daten auch auf demselben Server ablegen wie die Anwendung. Indem Sie AD LDS verwenden,
können Sie den Replikationsverkehr zwischen DCs im Netzwerk verringern (der meiner
Meinung nach ausschließlich genutzt werden sollte, um die Domäneninfrastruktur zu
verwalten). Aber in manchen Fällen müssen Sie auch Daten zwischen mehreren AD LDS-
Instanzen replizieren.
Unternehmensanwendungen müssen oft persönliche Daten speichern, die mit authentifizierten
Benutzern in AD DS verknüpft sind. Falls Sie diese Daten in AD DS speichern, sind Sie
häufig gezwungen, das AD DS-Schema zu verändern. Denken Sie daran, dass Änderungen
am AD DS-Schema für die komplette Gesamtstruktur gelten, selbst wenn Sie nur eine
Anwendung mit einem bestimmten DC verbinden. Ich verwende in so einem Fall normaler-