Active Directory.pdf - Gattner

Fein abgestimmte Kennwortrichtlinien
Neuerungen in den Active Directory-Domänendiensten 7
Unter Windows Server 2000 und Windows Server 2003 werden sowohl Kennwortrichtlinien- als auch
Kontosperreinstellungen für alle Benutzer in der Domäne von der Standarddomänenrichtlinie gesteuert.
Um eine getrennte Kennwortrichtlinien- oder Kontosperreinstellung für bestimmte Benutzer in
der Domäne einzurichten, mussten bislang zusätzliche Domänen oder Kennwortfilter erstellt werden.
In den Windows Server 2008-AD DS stehen nun fein abgestimmte Kennwortrichtlinien zur Verfügung,
um in einer einzelnen Domäne mehrere Kennwortrichtlinien anzugeben. Dadurch können Mitglieder
der Gruppe Domänen-Admins getrennte Kennwortrichtlinien- und Kontosperreinstellungen für
verschiedene Benutzertypen in der Domäne einrichten. Ein Domänenadministrator kann eine strengere
Kennwortrichtlinie für eine Hauptbenutzergruppe mit höheren Berechtigungen und eine weniger
strenge Kennwortrichtlinie für normale Benutzer wählen.
Die fein abgestimmten Kennwortrichtlinien unter Windows Server 2008 können entweder Benutzerobjekten
oder globalen Sicherheitsgruppen zugewiesen werden. Sie können eine fein abgestimmte
Kennwortrichtlinie nicht direkt einer Organisationseinheit zuweisen. Um eine andere Kennwortrichtlinie
für Mitglieder der Organisationseinheit zu erstellen, weisen Sie die Kennwortrichtlinie einer
globalen Sicherheitsgruppe zu, die der Organisationseinheit logisch zugeordnet ist (einer sogenannten
Schattengruppe). Wenn Sie einen Benutzer aus einer Organisationseinheit in eine andere verschieben,
müssen Sie die Mitgliedschaft der Schattengruppe aktualisieren, wenn der Benutzer der Kennwortrichtlinie
der neuen Organisationseinheit (d.h. nicht mehr der Richtlinie der alten Organisationseinheit)
unterliegen soll.
Speichern fein abgestimmter Kennwortrichtlinien
Im AD DS-Schema werden zum Speichern fein abgestimmter Kennwortrichtlinien die beiden neuen
Objektklassen Password Settings Container (PSC) und Password Settings erstellt. Password Settings-
Objekte (PSOs) werden im PSC gespeichert. Der PSC wird standardmäßig im Container System der
Domäne erstellt, der nicht verschoben, umbenannt oder gelöscht werden kann. Ein PSO hat Attribute
für alle Einstellungen, die in der Standarddomänenrichtlinie festgelegt werden können (außer für Kerberos-Einstellungen).
Dazu zählen Attribute für die folgenden Kennworteinstellungen:
• Kennwortchronik erzwingen
• Maximales Kennwortalter
• Minimales Kennwortalter
• Minimale Kennwortlänge
• Kennwörter müssen den Komplexitätsanforderungen entsprechen
• Kennwort mit umkehrbarer Verschlüsselung speichern
Dazu zählen auch Attribute für die folgenden Kontosperreinstellungen:
• Kontosperrdauer
• Kontensperrungsschwelle
• Kontosperrungszähler zurücksetzen nach
Außerdem hat ein PSO die folgenden beiden neuen Attribute:
• PSO-Link Ein mehrwertiges Attribut, das mit Benutzern und/oder Gruppenobjekten verknüpft ist.
• Vorrang Ein Ganzzahlwert, der zum Lösen von Konflikten dient, wenn für ein Benutzer- oder
Gruppenobjekt mehrere PSOs gelten.