Active Directory.pdf - Gattner

166 Kapitel 5: Entwerfen der Active Directory-Domänendienstestruktur
Ist die gesamtstrukturweite Authentifizierung aktiviert, erhalten Benutzer, die über eine gesamtstrukturübergreifende
Vertrauensstellung authentifiziert sind, automatisch die SID authentifizierter Benutzer
der vertrauenden Gesamtstruktur. Die SID authentifizierter Benutzer gewährt Benutzern in einer
Gesamtstruktur viele Standardrechte. Nachdem Sie eine gesamtstrukturübergreifende Vertrauensstellung
eingerichtet haben, erhalten daher Benutzer aus der vertrauten Gesamtstruktur einige Standardrechte
für alle Ressourcen in der vertrauenden Gesamtstruktur, die für die Gruppe Authentifizierte
Benutzer zugänglich sind.
So funktioniert es: Ausgewählte Authentifizierung in Windows-Vertrauensstellungen
Die ausgewählte Authentifizierung begrenzt die Möglichkeit von Benutzern in vertrauten Gesamtstrukturen,
auf Ressourcen in der vertrauenden Gesamtstruktur zuzugreifen. Im Wesentlichen müssen
die Benutzer eine zusätzliche, detailliertere Sicherheitsprüfung bestehen. Diese Funktion steht
nur in Gesamtstrukturen zur Verfügung, die für die Funktionsebene Windows 2003 oder höher konfiguriert
sind.
Ohne die ausgewählte Authentifizierung sind Benutzer in einer vertrauten Gesamtstruktur praktisch
wie Mitglieder der vertrauenden Gesamtstruktur, weil sie der Gruppe Authentifizierte Benutzer
in dieser Gesamtstruktur hinzugefügt werden. Hierdurch erhalten sie Zugriff auf alle Ressourcen
in der vertrauenden Gesamtstruktur, sofern die Zugriffssteuerungsliste (Access Control List,
ACL) so konfiguriert ist, dass der Gruppe Authentifizierte Benutzer der Zugriff gewährt wird.
Die ausgewählte Authentifizierung wird für den ausgehenden Teil einer gesamtstrukturübergreifenden
Vertrauensstellung konfiguriert. Wenn Benutzer in der vertrauten Gesamtstruktur anschließend
auf eine Ressource in der vertrauenden Gesamtstruktur zuzugreifen versuchen, erhalten Sie die
Meldung „Anmeldefehler: Der Computer, an dem Sie sich anmelden, ist durch eine Authentifizierungsfirewall
geschützt. Das angegebene Konto darf sich nicht an diesem Computer anmelden.“
Um Benutzern oder Gruppen in der vertrauten Gesamtstruktur den Zugriff auf die entsprechenden
Ressourcen zu gewähren, müssen Sie dem Benutzer die Berechtigung Authentifizierung zulassen
auf dem Computer erteilen, auf den er zugreifen muss. Wenn der Benutzer anschließend auf die
Ressource zugreift, enthält das Zugriffstoken ein Sicherheitsprinzipal namens Andere Organisation,
und der Zugriff wird ihm gewährt.
Darol Timberlake
Senior Premier Field Engineer, Microsoft
Sicherheitswarnung Wenn Sie die gesamtstrukturweite Authentifizierung für eine Gesamtstrukturvertrauensstellung
aktivieren, sollten Sie unbedingt sicherstellen, dass die Gruppe Authentifizierte Benutzer aus allen
vertraulichen Ressourcen in der vertrauten Domäne entfernt wird.
Wenn Sie die ausgewählte Authentifizierung aktivieren, können Sie einschränken, welche Benutzergruppen
über die Vertrauensstellung auf Ressourcen zugreifen können. Ferner können Sie einschränken,
welche Computer in der vertrauenden Domäne über diese Vertrauensstellung zugänglich sind.
Zum Implementieren der ausgewählten Authentifizierung müssen Sie die Gesamtstrukturvertrauensstellung
so konfigurieren, dass die ausgewählte Authentifizierung anstelle der gesamtstrukturweiten
Authentifizierung verwendet wird. Diese Option kann beim Erstellen der Vertrauensstellung oder
danach aktiviert werden. Nach der Konfiguration der Vertrauensstellung müssen Sie auf die Computerkontoeigenschaften
in AD DS zugreifen und den Gruppen oder Benutzern aus der vertrauten
Domäne die Berechtigung Authentifizierung zulassen für das Computerobjekt erteilen.