Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Windows Server 2008 in der Zweigstelle 417
Wir haben es viel einfacher gemacht, fehlende Domänencontroller, auch RODCs, zu entfernen.
Dafür steht eine einfache Schnittstelle zur Verfügung, in der Sie den früheren RODC
aus der Domäne entfernen (es müssen keine Metadaten mehr aufgeräumt werden!) und auch
automatisch die potenziell kompromittierten Kennwörter zurücksetzen können. Wenn Sie
das Computerobjekt eines RODCs löschen wollen, öffnet sich der Dialog aus Abbildung 15.6.
Abbildung 15.6 Entfernen eines RODCs, der in AD DS nicht online gebracht werden kann
Sie sollten auch den Abschnitt zur BitLocker-Laufwerkverschlüsselung weiter unten in diesem
Kapitel lesen. Wenn Sie BitLocker auf dem Windows-Volume des RODCs benutzen,
können Sie verhindern, dass der Dieb überhaupt auf die lokale Kopie der AD DS-Datenbank
zugreifen kann. Das verschafft Ihnen zumindest die Zeit, die Sie brauchen, um die Kennwörter
ordentlich zurückzusetzen.
Administrative Rollentrennung
Mithilfe der Rollentrennung können Sie die Rolle des lokalen Administrators auf einem
RODC-Computer an einen beliebigen Domänenbenutzer delegieren, ohne diesem Benutzer
irgendwelche Rechte für die Domäne selbst oder andere Domänencontroller zu gewähren. In
Windows Server 2003 hatten DCs keinen lokalen Administrator; wenn Sie einen DC administrieren
konnten, war es auch möglich, die gesamte Domäne zu administrieren.
Administrative Rollentrennung erlaubt es einem Benutzer in einer lokalen Zweigstelle, sich
an einem RODC anzumelden und Wartungsaufgaben auf dem Server durchzuführen, zum
Beispiel einen Treiber zu aktualisieren, ohne dass dieser Benutzer sich an irgendeinem anderen
Domänencontroller anmelden oder die Domäne verwalten kann.
Vorteile von RODCs
RODCs bieten eine Möglichkeit, Domänencontroller in einer Zweigstelle sicherer bereitzustellen,
weil sie für den Einsatz an Orten entworfen wurden, die schnelle, zuverlässige und
robuste Authentifizierungsdienste benötigen, aber auch Einschränkungen bezüglich der
Sicherheit aufweisen, die eine Bereitstellung von beschreibbaren Domänencontrollern einschränkt
oder verhindert. Mit einem RODC kann eine Organisation die Risiken bei der
Bereitstellung eines Domänencontrollers an Orten eindämmen, wo die physische Sicherheit
nicht garantiert werden kann.