Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Typen von Sicherheitsprinzipalen 7
Computer
Ein Computer ist im Grunde nur eine andere Art von Benutzer. Das gilt besonders in Active
Directory, wo es sich aus dem verwendeten Vererbungsmodell ergibt. Die Vererbungsstruktur
für einen Computer sehen Sie in Abbildung 1.4.
Abbildung 1.4 Die Vererbungshierarchie in Active Directory zeigt
die Verwandtschaft zwischen Benutzern und Computern
In Abbildung 1.4 dürften Ihnen mehrere interessante Punkte auffallen. Erstens sind alle
Klassen in Active Directory von einer Basisklasse namens Top abgeleitet. Sogar Top selbst ist
als von Top abgeleitete Klasse aufgeführt. Zweitens ist die Klasse User (Benutzer) von der
Klasse organizationalPerson (Person im Unternehmen) abgeleitet. Die Klasse organizationalPerson
wiederum ist indirekt von Top abgeleitet. Drittens – und das ist der interessanteste
Teil – ist die Klasse Computer von der Klasse User abgeleitet. Anders ausgedrückt: Objektorientiert
gesprochen ist ein Computer eine Art Benutzer. Diese Vermenschlichung von
Computern ist sogar recht sinnvoll, weil Computer ebenfalls als Subjekte behandelt werden
müssen und daher fast dieselben Attribute haben wie Benutzer.
Gruppen
Wie Sie wissen, ist ein Subjekt etwas, das versucht, auf ein Objekt zuzugreifen. Das Betriebssystem
behandelt diesen Zugriffsversuch, indem es die Berechtigungen des Objekts
überprüft. Schon in den Anfängen der Betriebssystemsentwicklung war den Entwicklern
klar, dass es furchtbar umständlich wäre, jedem einzelnen Benutzer, der ein Objekt benötigt,
Berechtigungen für dieses Objekt zuweisen zu müssen. Um dieses Problem zu lösen, erlaubten
sie es, dass Benutzer Mitglieder von Gruppen werden. Auf diese Weise können wir Berechtigungen
nicht nur einzelnen Benutzern, sondern auch Gruppen zuweisen. Eine Gruppe
(engl. group) ist zwar kein Benutzer, aber eine Art von Sicherheitsprinzipal, weil sie eine
Kennung haben kann, genau wie Benutzer und Computer. In Windows kann ein Benutzer
Mitglied vieler Gruppen sein, und einem Objekt können Berechtigungen für viele Gruppen
zugewiesen werden. Auch verschachtelte Gruppen sind erlaubt, allerdings gelten hier bestimmte
Einschränkungen.