Active Directory.pdf - Gattner

4 Kapitel 1: Neuerungen in Active Directory für Windows Server 2008
Schreibgeschützte AD DS-Datenbank
Mit Ausnahme von Kontokennwörtern enthält ein schreibgeschützter Domänencontroller die meisten
der Active Directory-Objekte und -Attribute, die sich auf einem beschreibbaren Domänencontroller
befinden. Die Datenbank, die auf dem schreibgeschützten Domänencontroller gespeichert ist, kann
allerdings nicht geändert werden. Änderungen müssen auf einem beschreibbaren Domänencontroller
erfolgen und anschließend auf den schreibgeschützten Domänencontroller repliziert werden.
Lokalen Anwendungen, die einen Lesezugriff auf das Verzeichnis benötigen, kann Zugriff gewährt
werden. LDAP-Anwendungen (Lightweight Directory Application Protocol), die einen Schreibzugriff
anfordern, erhalten eine LDAP-Weiterleitungsantwort, die sie zu einem beschreibbaren Domänencontroller
leitet (in der Regel zu einem Hubstandort).
Attributsatz mit RODC-Filter
Nur bestimmte Attribute werden auf den schreibgeschützten Domänencontroller repliziert. Sie können
einen Attributsatz, der Attributsatz mit RODC-Filter genannt wird, dynamisch so konfigurieren,
dass dessen Attribute nicht auf einen schreibgeschützten Domänencontroller repliziert werden. Im
Attributsatz mit RODC-Filter definierte Attribute werden nicht auf schreibgeschützte Domänencontroller
in der Gesamtstruktur repliziert.
Ein böswilliger Benutzer, der die Sicherheit eines schreibgeschützten Domänencontrollers gefährdet,
kann versuchen, diesen so zu konfigurieren, das versucht wird, im Attributsatz mit RODC-Filter definierte
Attribute zu replizieren. Wenn der schreibgeschützte Domänencontroller versucht, diese Attribute
von einem Domänencontroller zu replizieren, auf dem Windows Server 2008 ausgeführt wird,
wird die Replikationsanforderung verweigert. Deshalb sollten Sie als Sicherheitsmaßnahme die
Funktionsebene der Gesamtstruktur auf Windows Server 2008 festlegen, wenn Sie den Attributsatz
mit RODC-Filter konfigurieren möchten. Wenn die Funktionsebene der Gesamtstruktur Windows
Server 2008 ist, kann ein schreibgeschützter Domänencontroller, dessen Sicherheit gefährdet ist, nicht
auf diese Weise ausgenutzt werden, da Domänencontroller mit Windows Server 2003 in der Gesamtstruktur
nicht zulässig sind.
Unidirektionale Replikation
Ebenso wie keine Änderungen direkt auf den schreibgeschützten Domänencontroller geschrieben
werden, sorgt dieser auch für keine Änderungen. Dem entsprechend beziehen beschreibbare Domänencontroller,
die Replikationspartner sind, keine Änderungen vom schreibgeschützten Domänencontroller.
Dies bedeutet, dass Änderungen oder Manipulationen, die böswillige Benutzer an Zweigstellenstandorten
vornehmen, nicht vom schreibgeschützten Domänencontroller in den Rest der
Gesamtstruktur repliziert werden. Außerdem wird die Verarbeitungslast von Bridgeheadservern am
Hub und der Aufwand zur Überwachung der Replikation reduziert.
Die unidirektionale RODC-Replikation gilt sowohl für die AD DS- als auch die DFS-Replikation
(Distributed File System, verteiltes Dateisystem). Der schreibgeschützte Domänencontroller führt für
AD DS- und DFS-Replikationsänderungen eine normale eingehende Replikation durch.
Zwischenspeichern von Anmeldeinformationen
Das Zwischenspeichern von Anmeldeinformationen ist die Speicherung von Benutzer- und Computeranmeldeinformationen
einschließlich des Benutzerkennworts in Form verschiedener Hashwerte.
Auf einem schreibgeschützten Domänencontroller werden standardmäßig keine Benutzer- und Computeranmeldeinformationen
gespeichert.