Active Directory.pdf - Gattner

Implementieren der Sicherheit für Domänencontroller 309
Konfigurieren von Richtlinieneinstellungen für Sicherheitsoptionen auf
Domänencontrollern
Die Standard-Domänencontrollerrichtlinie umfasst eine große Anzahl an Sicherheitseinstellungen,
die sich auf eine breite Vielfalt von Konfigurationseinstellungen für Domänencontroller, Netzwerk,
Dateisystem und Benutzeranmeldesicherheit auswirken. Auch wenn einige dieser Einstellungen nur
Domänencontroller betreffen, können andere Einstellungen auch die Netzwerkkonnektivität für
Clientcomputer beeinflussen.
Wichtig Wie die Benutzerrechteinstellungen sind die meisten Sicherheitseinstellungen in der Standard-
Domänencontrollerrichtlinie als Nicht definiert konfiguriert. Fast alle Einstellungen besitzen jedoch einen Standardwert.
In Tabelle 8.6 werden die in der Richtlinie verfügbaren Kategorien von Sicherheitseinstellungen aufgeführt.
Tabelle 8.6
Kategorien von Sicherheitseinstellungen
Kategorie
Konten
Überwachung
DCOM
Geräte
Domänencontroller
Domänenmitglied
Interaktive Anmeldung
Microsoft-Netzwerk (Client)
Beschreibung
Mit diesen Einstellungen können Sie die Konten Administrator und Gast aktivieren, deaktivieren
oder umbenennen bzw. den Zugriff auf die lokalen Konten mit leeren Kennwörtern einschränken.
Wird zum Konfigurieren der globalen Überwachungseinstellungen verwendet. Diese Kategorie
umfasst zwei Einstellungen, die nähere Betrachtung erfordern:
• Unterkategorieeinstellungen der Überwachungsrichtlinie erzwingen (Windows Vista oder
höher). Wenn Sie diese Option aktivieren, werden alle Überwachungseinstellungen auf
Ebene der Unterkategorie vorgenommen, statt dass die Unterkategorie die Kategorieeinstellungen
übernimmt.
• System sofort herunterfahren, wenn Sicherheitsüberprüfungen nicht protokolliert werden
können. Wenn Sie diese Option aktivieren, wird der Domänencontroller heruntergefahren,
wenn eine Sicherheitsüberwachung nicht protokolliert werden kann. In den meisten Fällen
sollten Sie diese Einstellung deaktivieren, um das Herunterfahren von Domänencontrollern
zu vermeiden.
Wird verwendet, um Benutzern das Starten von DCOM-Anwendungen von einem lokalen oder
einem Remotecomputer aus zu ermöglichen oder zu verweigern.
Wird zum Konfigurieren des Zugriffs auf Geräte wie CD-ROM- oder Diskettenlaufwerke verwendet
oder, um zu verhindern, dass Benutzer Drucktreiber auf Druckservern installieren.
Wird verwendet, um Server-Operatoren am Planen von Aufgaben über den AT-Befehl zu hindern,
die LDAP-Signatur zu konfigurieren und den Domänencontroller so zu konfigurieren,
dass Kennwortänderungen von Mitgliedscomputern aus abgelehnt werden.
Wird zum Konfigurieren von Netzwerksicherheitseinstellungen und zum Konfigurieren von Einstellungen
zum Festlegen von Computerkennwörtern verwendet.
Wird zum Festlegen von Einschränkungen für den interaktiven Anmeldevorgang auf den
Domänencontrollern verwendet. Zu den Optionen zählen:
• Löschen des letzten Benutzeranmeldenamens
• Konfigurieren von Anmeldenachrichten, wenn Benutzer sich an der Domäne anmelden
• Konfigurieren von Smartcardanforderungen
Wird verwendet, um Anforderungen für die digitale Signatur der Netzwerkkommunikation für
Clientcomputer zu konfigurieren.