Active Directory.pdf - Gattner

272 Kapitel 8: Active Directory-Domänendienstsicherheit
Der ACE kann einen Eintrag für alle Arten von Sicherheitsprinzipalen enthalten. Beispielsweise kann
ein Benutzerkonto Leseberechtigungen für eine Datei besitzen, und eine Sicherheitsgruppe hat möglicherweise
Vollzugriff. Die DACL für die Datei umfasst (mindestens) zwei ACEs. Mit dem ersten
Zugriffssteuerungseintrag werden Leseberechtigungen gewährt, mit dem zweiten Vollzugriff.
Die SACL listet die Sicherheitsprinzipale auf, deren Zugriff auf die Ressource überwacht werden
muss. Die Liste der ACEs in der SACL gibt an, wessen Zugriff überwacht werden muss und in welchem
Umfang diese Überwachung zu erfolgen hat.
Hinweis Die DACL kann gleichermaßen ACEs zur Gewährung des Zugriffs auf eine Ressource sowie
ACEs für die Zugriffsverweigerung enthalten. Die ACEs für die Zugriffsverweigerung sollten als erste in der
ACL aufgeführt werden, damit sie vom Sicherheitssubsystem als erste ausgewertet werden. Wenn ein ACE
den Zugriff auf eine Ressource verweigert, wertet das Sicherheitssubsystem keine weiteren ACEs aus. Dies
bedeutet, dass eine ACE zur Verweigerung des Ressourcenzugriffs eine ACE zur Gewährung von Zugriff für
eine bestimmte Sicherheitskennung immer außer Kraft setzt. Weitere Informationen zur Verwendung von
Sicherheitsbeschreibungen zum Gewähren von Zugriff auf AD DS-Objekte finden Sie in Kapitel 9.
Praxistipp: Sicherheitsbeschreibungen
Windows verwendet Sicherheitsbeschreibungen zum Schutz und für die Überwachung von Ressourcen.
Eine Sicherheitsbeschreibung umfasst einen Besitzer, eine primäre Gruppe eine DACL
(Discretionary Access Control List) und eine Systemzugriffsliste (System Access Control List,
SACL).
Besitzer und primäre Gruppe
Die Felder für Besitzer und primäre Gruppe sind Sicherheitskennungen. Der Besitzer ist der Sicherheitsprinzipal,
der das Objekt besitzt. Der Ressourcenbesitzer hat Vollzugriff auf das Objekt, einschließlich
der Fähigkeit zum Hinzufügen oder Entfernen von Berechtigungen innerhalb der
Sicherheitsbeschreibung.
Die primäre Gruppe verbleibt zur Erhaltung der Kompatibilität mit dem POSIX-Subsystem in der
Sicherheitsbeschreibung. Windows greift auf diesen Teil der Sicherheitsbeschreibung nur bei Verwendung
von Dienstprogrammen zurück, die POSIX-Interoperabilität erfordern. Standardmäßig schreibt
der Sicherheitsprinzipal, der das Objekt erstellt, die standardmäßige primäre Gruppe in die Sicherheitsbeschreibung.
Die standardmäßige primäre Gruppe von Windows lautet Domänen-Benutzer.
Die primäre Gruppe ist eine implizierte Gruppenmitgliedschaft. Wenn sich ein Benutzer anmeldet,
fügt das Betriebssystem die Sicherheitskennung für diese Gruppe in das Benutzertoken ein. Im
Attribut memberOf wird die primäre Gruppe nicht aufgeführt. Das Attribut memberOf schließt nur
Gruppenmitgliedschaften ein, die explizit zugewiesen wurden.
DACL und SACL
Eine Zugriffssteuerungsliste (Access Control Lists, ACL) umfasst zwei Teile. Der erste Teil der
Zugriffssteuerungsliste umfasst die sogenannten Steuerungsflags. Diese Einstellungen steuern, wie
Windows Berechtigungen innerhalb der ACL und die Regeln zur Vererbung anwendet. Der zweite
Teil der Zugriffssteuerungsliste ist die Liste selbst. Die Zugriffssteuerungsliste enthält mindestens
einen Zugriffssteuerungseintrag (Access Control Entry, ACE).