Active Directory.pdf - Gattner

Migrationsoptionen 247
Betrachten Sie das folgende Beispiel. Während einer Domänenumstrukturierung migrieren Sie
mehrere Benutzerkonten von einer Windows Server 2003-Domäne auf eine Windows Server 2008-
Domäne. Nach Abschluss der Kontomigration weisen Sie die Benutzer an, sich an der neuen
Domäne anzumelden und ihre Kennwörter zurückzusetzen. Benutzerin X meldet sich erfolgreich
an der Zieldomäne an und versucht, auf einen zuvor vorhandenen, freigegebenen Ordner auf einem
Dateiserver zuzugreifen, auf dem Windows Server 2003 ausgeführt wird. Sie konnte mehrere
Monate auf diesen Ordner zugreifen. Kann Benutzerin X auf diesen Ordner zugreifen?
Die Antwort auf diese Frage lautet Ja, und zwar aufgrund des Attributs sIDHistory.
Das Attribut sIDHistory von AD DS-Sicherheitsprinzipalen (wie beispielsweise Benutzer- und
Gruppenkonten) wird zum Speichern der vorherigen Sicherheitskennungen (Security Identifiers,
SIDs) von Objekten verwendet. Wenn also in der Windows Server 2003-Domäne die SID von
Benutzerin X im vorangegangenen Beispiel S-1-5-21-2127521184-1604012920-1887927527-
324294 lautete, würde nun im Attributfeld sIDHistory der gleiche Wert für das neu erstellte Windows
Server 2008-Kontoobjekt angezeigt. Wenn Gruppen von einer Windows Server 2003-Domäne
auf eine AD DS-Domäne migriert werden, wird die SID der Windows Server 2003-Domäne
ebenfalls für den Wert des Attributs sIDHistory der Gruppe beibehalten. Beim Migrieren von
Benutzern und Gruppen werden die migrierten Benutzerkonten automatisch den migrierten Gruppen
in der Windows Server 2008-Domäne zugewiesen. Dies bedeutet, dass die den Gruppen in der
Windows Server 2003-Domäne zugewiesenen Zugriffsberechtigungen während des Migrationsverfahrens
erhalten bleiben. Die SID der Quelldomäne wird während der Migration in das Attribut
sIDHistory verschoben. Die durch den Zieldomänencontroller erstellte SID wird im Attribut
objectSID des migrierten Kontos platziert.
Wie bleiben dadurch Zugriffsberechtigungen nach einer Migration bestehen? Versucht Benutzerin
X auf den freigegebenen Ordner auf dem Windows Server 2003-Dateiserver zuzugreifen, überprüft
das Sicherheitssubsystem ihr Zugriffstoken, um sicherzustellen, dass sie über die erforderlichen
Berechtigungen für den Ordner verfügt. Das Zugriffstoken enthält neben der SID von Benutzerin
X und den SIDs aller Gruppen, denen Benutzerin X angehört, alle SID-Verlaufseinträge
sowohl für die Benutzer- als auch für die Gruppenkonten. Wird eine Übereinstimmung zwischen
der freigegebenen Zugriffssteuerungsliste (Discretionary Access Control List, DACL) in der
Sicherheitsbeschreibung (Security Descriptor, SD) des Ordners und der vorherigen SID (die nun
über das Attribut sIDHistory in das Sicherheitstoken integriert ist) ermittelt, wird die Berechtigung
erteilt und Zugriff auf den Ordner gewährt.
Bei einer Benutzerkontomigration entstehen die meisten Probleme dabei, den Zugriff auf sichere
Ressourcen sicherzustellen. Wenn Sie wissen, auf welche Weise Berechtigungen nach einer Migration
beibehalten werden, können Sie als Administrator Probleme beim Ressourcenzugriff effektiv
beheben. Während des Migrationsverfahrens müssen Sie unter Umständen zusätzliche Maßnahmen
ergreifen, um sicherzustellen, dass das Attribut sIDHistory ordnungsgemäß aufgefüllt wird.
Eine ausführlichere Beschreibung dieser Maßnahmen wird im Rahmen der Erläuterungen zum
Kontomigrationsdienstprogramm bereitgestellt: dem Active Directory-Migrationsprogramm.
Bei der Domänenaktualisierung spielt der SID-Verlauf keine Rolle. Während einer Domänenaktualisierung
wird die SID mit den Benutzer- und Gruppenkonten beibehalten. Benutzerin X kann wie
gewohnt auf Ressourcen zugreifen.