Active Directory.pdf - Gattner

Kerberos-Sicherheit 287
Das KDC erteilt das Sitzungsticket und stellt im Ticket das Flag Übertragbar ein. Der Client legt
anschließend dem Front-End-Server das Sitzungsticket vor, der wiederum das Ticket für den Zugriff
auf Informationen auf dem Back-End-Server verwendet. Das Hauptproblem mit Proxytickets besteht
darin, dass der Client die Identität des Back-End-Server kennen muss. Die zweite Option ist die Verwendung
weitergeleiteter Tickets. Wenn diese Tickets aktiviert sind, sendet der Client eine AS
Exchange-Anforderung an das KDC und fordert ein TGT an, das der Front-End-Server für den
Zugriff auf Back-End-Server verwenden kann. Das KDC erstellt ein TGT und sendet es an den Client.
Der Client sendet das TGT an den Front-End-Server, der das TGT anschließend zum Abrufen eines
Sitzungstickets verwendet, um im Namen des Clients auf den Back-End-Server zuzugreifen.
Bei der Weise, in der die Delegierung der Authentifizierung unter Windows 2000 implementiert ist,
gibt es zwei erhebliche Bedenken. Der erste Grund ist, dass die Delegierung der Authentifizierung nur
dann verwendet werden kann, wenn der Client über Kerberos authentifiziert ist. Das bedeutet, dass
kein Client unter Windows NT, Microsoft Windows 95 oder Windows 98 die Delegierung der
Authentifizierung nutzen kann. Der zweite Grund im Hinblick auf Windows 2000 hängt mit der
Sicherheit der Delegierung zusammen. Nachdem der Front-End-Server das weitergeleitete Ticket vom
KDC erhalten hat, kann er unter Windows 2000 dieses Ticket verwenden, um im Namen des Clients
auf beliebige Netzwerkdienste zuzugreifen. Windows Server 2003 und Windows Server 2008 bieten
die Option der eingeschränkten Delegierung. Das bedeutet, Sie können das Konto so konfigurieren,
dass es nur für bestimmte Dienste im Netzwerk delegiert wird (basierend auf den Dienstprinzipalnamen).
Die eingeschränkte Delegierung ist nur dann verfügbar, wenn die Domäne auf die Funktionsebene
Windows Server 2003 oder Windows Server 2008 eingestellt ist.
Damit die Delegierung der Authentifizierung erfolgreich ist, müssen Sie sicherstellen, dass sowohl
das Benutzerkonto als auch das Dienst- oder Computerkonto so konfiguriert sind, dass sie die Delegierung
der Authentifizierung unterstützen. Um dies an einem Benutzerkonto durchzuführen, öffnen
Sie im Verwaltungsprogramm Active Directory-Benutzer und -Computer die Eigenschaften des
Benutzers, wählen Sie die Registerkarte Konto, führen Sie einen Bildlauf in der Liste Kontooptionen
durch, und stellen Sie sicher, dass die Option Konto ist vertraulich und kann nicht delegiert werden
deaktiviert ist. (Diese Option ist standardmäßig nicht aktiviert.) Um das Dienstkonto für die Delegierung
zu konfigurieren, müssen Sie zunächst ermitteln, ob es sich bei dem vom Dienst verwendeten
Anmeldekonto um ein normales Benutzerkonto oder um das Konto LocalSystem handelt. Wenn der
Dienst unter einem normalen Benutzerkonto ausgeführt wird, stellen Sie zuerst sicher, dass Sie dem
Benutzerkonto einen SPN hinzugefügt haben. Öffnen Sie anschließend die Registerkarte Konto in den
Benutzereigenschaften, und stellen Sie sicher, dass die Option Konto ist vertraulich und kann nicht
delegiert werden deaktiviert ist. (Diese Option ist standardmäßig nicht aktiviert.) Prüfen Sie außerdem
den entsprechenden Delegierungsgrad auf der Registerkarte Delegierung des Benutzerkontos.
(Dieses Fenster ist in Abbildung 8.6 dargestellt.) Wenn der Dienst unter einem LocalSystem-Konto
ausgeführt wird, muss die Delegierung im Eigenschaftenfenster des Computerkontos konfiguriert
werden. Um die Authentifizierungsstufe von Windows 2000 zu implementieren, wählen Sie die
Option Computer bei Delegierungen aller Dienste vertrauen (nur Kerberos) aus. Um die Erweiterungen
von Windows Server 2003 oder Windows Server 2008 zu implementieren, wählen Sie die
Option Computer bei Delegierungen angegebener Dienste vertrauen aus. Anschließend können Sie
auswählen, ob der Client sich über Kerberos authentifizieren muss oder ein beliebiges Protokoll verwenden
und die Dienste auswählen kann (basierend auf den in AD DS registrierten Dienstprinzipalnamen),
denen der Computer delegierte Anmeldeinformationen vorlegen kann.