Active Directory.pdf - Gattner

286 Kapitel 8: Active Directory-Domänendienstsicherheit
Der bereichsübergreifende Sitzungsschlüssel wurde erstellt, als die NA-Domäne der Gesamtstruktur
Adatum.com hinzugefügt und die anfängliche Vertrauensstellung zwischen den beiden Domänen
erstellt wurde. Der bereichsübergreifende Sitzungsschlüssel gewährleistet, dass die Anmeldeanforderung
von einer vertrauten Domäne stammt. Der Clientcomputer sendet anschließend eine
Authentifizierungsanforderung an die Domäne ADatum.com. Der Client wird dann an einen Domänencontroller
in der Domäne TreyResearch.com verwiesen. Auch dieser Verweis umfasst ein TGT
für TreyResearch.com, das über einen bereichsübergreifenden Sitzungsschlüssel für den Zugriff auf
die KDC-Dienste auf dem Domänencontroller in TreyResearch.com verfügt. Der Clientcomputer
sendet anschließend eine TGT-Anforderung an den Basisdomänencontroller in TreyResearch.com.
Adatum.com
NA.Adatum.com
TreyResearch.com
Abbildung 8.5
Domänenübergreifende Authentifizierung
Ein ähnlicher Vorgang wird durchgeführt, wenn ein Client auf eine Ressource zugreifen möchte,
die nicht der Basisdomäne des Benutzers entspricht. In diesem Fall muss der Client ein Dienstticket
von einem Domänencontroller in der Domäne anfordern, in der sich die Ressource befindet.
Er wird demnach über denselben Vorgang weitergeleitet, bis er sich mit dem richtigen Domänencontroller
verbinden kann.
Dieser Authentifizierungsprozess hat besonders dann Auswirkungen auf den Gesamtstrukturentwurf,
wenn Benutzer sich häufig an anderen Domänen als ihrer Basisdomäne anmelden oder auf
Ressourcen in anderen Domänen zugreifen. Wenn Sie eine Gesamtstruktur mit mehreren Domänen
entwerfen, muss der Client möglicherweise den gesamten Vertrauenspfad zwischen den Domänen
durchlaufen. Wenn dies oft geschieht, empfiehlt es sich möglicherweise, Domänencontroller für die
Stammdomänen in Standorten in der Nähe der Benutzer zu platzieren. Sie können auch Shortcutvertrauensstellungen
verwenden, damit die Verweise der Domänencontroller direkt an die entsprechenden
Domänen gesendet werden können.
Delegieren der Authentifizierung
Einer der Aspekte, die den Zugriff auf Netzwerkdienste kompliziert machen können, ist, dass der
Netzwerkdienst über mehrere Server verteilt sein kann. Beispielsweise kann der Client sich mit einem
Front-End-Server verbinden, der sich mit einem Back-End-Datenbankserver verbinden muss, um
Informationen zu sammeln. In dieser Umgebung sollten die Anmeldeinformationen des Benutzers
(und nicht die des Front-End-Servers) für den Zugriff auf den Back-End-Server verwendet werden,
damit der Benutzer nur auf für ihn autorisierte Informationen zugreifen kann. Unter Windows 2000
bietet Kerberos diese Funktionalität in zweierlei Hinsicht: Verwenden von Proxytickets und Verwenden
weitergeleiteter Tickets. Wenn Proxytickets aktiviert sind, sendet der Client eine Sitzungsticketanforderung
an das KDC und fordert Zugriff auf den Back-End-Server an.