Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

Verwalten von Kennwörtern 51
Abgestimmte Kennwortrichtlinien haben vor allem die Aufgabe, für privilegierte Konten
strengere Einstellungen festzulegen, aber weniger strenge Einstellungen für Konten von
normalen Benutzern. In anderen Fällen kann es sinnvoll sein, eine spezielle Kennwortrichtlinie
für Konten festzulegen, deren Kennwörter mit anderen Datenquellen synchronisiert
werden.
Abgestimmte Kennwortrichtlinien gelten nur für Benutzerobjekte oder inetOrgPerson-
Objekte, falls Sie solche Objekte statt Benutzerobjekten und globalen Sicherheitsgruppen
einsetzen. Abgestimmte Kennwortrichtlinien sind mithilfe eines Kennworteinstellungscontainers
(Password Settings Container, PSC) unter dem Container System der Domäne implementiert.
(In Kapitel 9, »Optimieren der Active Directory-Domänendienste für Sicherheit«,
finden Sie weitere Informationen über Active Directory.) Der PSC speichert ein oder mehrere
Kennworteinstellungsobjekte (Password Settings Object, PSO), die die eigentlichen
Richtlinien enthalten. Abbildung 2.15 zeigt einen PSC mit zwei PSOs.
Leider hat Microsoft in Windows Server 2008 keine besonders gute Benutzeroberfläche zum
Verwalten der abgestimmten Kennwortrichtlinien zur Verfügung gestellt. Gehen Sie folgendermaßen
vor, um eine unterschiedliche Kennwortrichtlinie für Administratoren zu konfigurieren:
1. Starten Sie den ADSI-Editor, indem Sie adsiedit.msc eingeben.
2. Stellen Sie die Verbindung zu Ihrer Domäne her, indem Sie im linken Fensterabschnitt
mit der rechten Maustaste auf den Knoten ADSI-Editor klicken und den Befehl Verbindung
herstellen wählen. Geben Sie den Namen der Domäne ein.
3. Erweitern Sie die Domäne, dann den DC-Knoten und den Knoten CN=System. Wählen
Sie CN=Password Settings Container aus.
4. Klicken Sie mit der rechten Maustaste auf CN=Password Settings Container, wählen Sie
den Befehl Neu und dann Objekt.
5. Wählen Sie den Eintrag msDS-PasswordSettings aus (Abbildung 2.16) und klicken Sie
auf Weiter.
Abbildung 2.16 Um eine abgestimmte Kennwortrichtlinie zu erstellen,
müssen Sie ein neues msDS-PasswordSettings-Objekt erstellen