Active Directory.pdf - Gattner

298 Kapitel 8: Active Directory-Domänendienstsicherheit
Der Computer, auf dem der Dienst ausgeführt wird, einschließlich Aliasnamen, die auf den
Computer verweisen
Der Port, auf dem der Dienst ausgeführt wird
Diese vier Informationen dienen der eindeutigen Identifikation jedes Dienstes, der in einem Netzwerk
ausgeführt wird, und können zur wechselseitigen Authentifizierung an jedem Dienst verwendet
werden. Wenn der SPN für einen Dienst in AD DS nicht registriert ist, konfigurieren Sie den SPN
mithilfe des Dienstprogramms Setspn.exe. Einzelheiten finden Sie im englischsprachigen Artikel
„Service Logons Fail Due to Incorrectly Set SPNs“ unter http://technet2.microsoft.com/windowsserver/en/library/579246c8-2e32-4282-bce7-3209d1ea8bf11033.mspx?mfr=true.
Dienstprinzipalnamen müssen eindeutig sein. Ein weiteres häufig auftretendes Problem im Zusammenhang
mit Dienstprinzipalnamen ist, dass derselbe SPN für mehrere Konten (Benutzer oder Computer)
definiert wurde. Die beste Möglichkeit, dies zu überprüfen, ist eine LDAP-Abfrage, über die
nach Konten mit doppelten SPNs gesucht wird. Einzelheiten hierzu finden Sie im Artikel „Ereigniskennung
11 im Systemprotokoll von Domänencontrollern“ unter http://support.microsoft.com/kb/
321044.
NTLM-Authentifizierung
Die zweite Option zur Authentifizierung an einem Windows Server 2008-Domänencontroller ist die
Verwendung der NTLM-Authentifizierung. Die NTLM-Authentifizierung wird hauptsächlich zur
Abwärtskompatibilität mit Clientcomputern unter Windows NT 4.0, Windows 95 und Windows 98
unterstützt. Dieses Protokoll wird in folgenden Situationen eingesetzt:
• Wenn ein Computer unter Windows 95, Windows 98 oder Windows NT sich an einem Windows
Server 2008-Domänencontroller authentifiziert. Die Active Directory-Clienterweiterung muss auf
Computern unter Windows 95 und Windows 98 installiert sein, da diese Betriebssysteme sich nur
über das LAN Manager-Protokoll authentifizieren können.
• Wenn ein Computer unter Windows XP Professional oder Windows Server 2008 sich an einem
Server unter Windows NT 4 authentifiziert.
• Wenn ein beliebiger Client auf einen eigenständigen Server unter Windows Server 2008 zugreift.
• Wenn ein Client unter Windows XP Professional oder Windows 2000 versucht, sich an einem
Windows Server 2008-Domänencontroller anzumelden, sich jedoch über das Kerberos-Protokoll
nicht authentifizieren kann. In diesem Fall kann die NTLM-Authentifizierung als Alternative verwendet
werden.
Weitere Informationen Die Active Directory-Clienterweiterung steht zum Download unter „SO WIRD'S
GEMACHT: Installieren von Active Directory Client Extension“ unter der Adresse http://support.microsoft.com/kb/288358
zur Verfügung.
Das NTLM-Protokoll ist wesentlich weniger sicher als Kerberos. Mit Windows NT 4 Service Pack 4
hat Microsoft eine neue Version des NTLM-Protokolls namens NTLMv2 eingeführt. Diese neue Version
enthält zusätzliche Sicherheitsfunktionen, wie die Erstellung eines eindeutigen Sitzungsschlüssels
bei jeder neuen Verbindungsherstellung sowie einen erweiterten Schlüsselaustauschprozess zum
Schutz der Sitzungsschlüssel.
NTLM verwendet einen Anfrage/Antwort-Mechanismus zum Authentifizieren von Benutzern und
Computern. Bei diesem Format wird der Benutzer aufgefordert (Anfrage), einige persönliche Informationen
bereitzustellen (Antwort).