Active Directory.pdf - Gattner

300 Kapitel 8: Active Directory-Domänendienstsicherheit
Tabelle 8.2
LAN Manager-Authentifizierungseinstellungen
Ebene Einstellung Ergebnis
0 LM- und NTLM-Antworten
senden
1 LM- und NTLM-Antworten
senden (NTLMv2-Sitzungssicherheit
verwenden, wenn
ausgehandelt)
Clients verwenden die LM- und NTLM-Authentifizierung und niemals die
NTLMv2-Sitzungssicherheit; Domänencontroller akzeptieren die LM-, NTLMund
NTLMv2-Authentifizierung.
Clients verwenden die LM- und NTLM-Authentifizierung und nutzen die
NTLMv2-Sitzungssicherheit, sofern sie vom Server unterstützt wird; Domänencontroller
akzeptieren die LM-, NTLM- und NTLMv2-Authentifizierung.
2 Nur NTLM-Antworten senden Clients verwenden nur die NTLM-Authentifizierung und nutzen die NTLMv2-
Sitzungssicherheit, sofern sie vom Server unterstützt wird; Domänencontroller
akzeptieren die LM-, NTLM- und NTLMv2-Authentifizierung.
3 Nur NTLMv2-Antwort senden Clients verwenden nur die NTLMv2-Authentifizierung und nutzen die
NTLMv2-Sitzungssicherheit, sofern sie vom Server unterstützt wird; Domänencontroller
akzeptieren die LM-, NTLM- und NTLMv2-Authentifizierung.
4 Nur NTLMv2-Antwort senden\
LM ablehnen
5 Nur NTLMv2-Antwort senden\
LM & NTLM ablehnen
Clients verwenden nur die NTLMv2-Authentifizierung und nutzen die
NTLMv2-Sitzungssicherheit, sofern sie vom Server unterstützt wird. Domänencontroller
lehnen LM ab und akzeptieren nur die NTLM- und die NTLMv2-
Authentifizierung.
Clients verwenden nur die NTLMv2-Authentifizierung und nutzen die
NTLMv2-Sitzungssicherheit, sofern sie vom Server unterstützt wird; Domänencontroller
lehnen LM und NTLM ab und akzeptieren nur die NTLMv2-
Authentifizierung.
Standardmäßig wird diese Einstellung auf Ebene 3, Nur NTLMv2-Antwort senden, für die Standard-
Domänencontrollerrichtlinie unter Windows Server 2008 konfiguriert. Es empfiehlt sich, die Authentifizierungsebene
auf Ebene 4 oder höher zu ändern, um sicherzustellen, dass der Domänencontroller
keine LM-Authentifizierung akzeptiert. Dies kann in einigen Anwendungen, die auf früheren Authentifizierungsmethoden
beruhen, zu einem Fehler führen.
Weitere Informationen Eine detaillierte Erläuterung der Probleme, die beim Erhöhen der Sicherheitseinstellungen
für die LM-Authentifizierung entstehen können, sowie weitere Sicherheitseinstellungen finden Sie
unter „Nach dem Ändern von Sicherheitseinstellungen und Benutzerrechten können Inkompatibilitäten mit
Clients, Diensten und Programmen auftreten“ unter http://support.microsoft.com/kb/823659/de-de.
Implementieren der Sicherheit für Domänencontroller
Zusätzlich zur Konfiguration der AD DS-Sicherheit durch Konfigurieren der Authentifizierungseinstellungen
sollten Sie auch weitere Schritte zum Sichern der Domänencontroller ergreifen. Da auf den
Domänencontrollern alle AD DS-Daten gespeichert sind, ist das Absichern der Domänencontroller
ein wichtiger Schritt zur Erhöhung der Sicherheit Ihrer AD DS-Bereitstellung.
Hinweis Zwei Hauptkomponenten bei der Planung der Domänensicherheit sind die Konfiguration sicherer
Domänengrenzen und die Planung der physischen Sicherheit Ihrer Domänencontroller. In Kapitel 5, „Entwerfen
der Active Directory-Domänendienstestruktur“, finden Sie Einzelheiten zum Entwerfen der administrativen Isolation
und Autonomie sowie zu Planungsüberlegungen hinsichtlich der Bereitstellung schreibgeschützter Domänencontroller
an Standorten, in denen die physische Sicherheit von Domänencontrollern nicht gewährleistet
werden kann.