Active Directory.pdf - Gattner

Zugreifen auf Active Directory-Objekte 321
Weitere Informationen Weitere Informationen zu den Aufgaben im Hinblick auf die Daten- und Dienstverwaltung
finden Sie im Artikel „Best Practices for Delegating Active Directory Administration“ unter http://
www.microsoft.com/technet/prodtechnol/windowsserver2003/technologies/directory/activedirectory/
actdid1.mspx.
Das Delegieren von Daten- und Dienstverwaltungsaufgaben setzt ein Verständnis der administrativen
Anforderungen aller Geschäftseinheiten voraus. Auf diese Weise wird die Verwendung des effektivsten
Delegierungsmodells sichergestellt, um eine effektivere, effizientere und sicherere Netzwerkumgebung
bereitzustellen. Zur Bereitstellung des Delegierungsmodells ist ein Verständnis von Active
Directory-Objektberechtigungen, Delegierungmethoden und Überwachungsvorgängen erforderlich.
Diese Konzepte werden in den folgenden Abschnitten näher erläutert.
Zugreifen auf Active Directory-Objekte
Für eine effektive Delegierung von Verwaltungsaufgaben müssen Sie wissen, wie der Zugriff auf
Objekte im Verzeichnisdienst in Active Directory gesteuert wird. Die Zugriffssteuerung umfasst
Folgendes:
• Anmeldeinformationen des Sicherheitsprinzipals, der versucht, die Aufgabe auszuführen oder auf
die Ressource zuzugreifen
• Autorisierungsdaten zum Schützen der Ressource oder Autorisieren der Aufgabe
• Eine Zugriffsüberprüfung für den Vergleich der Anmeldeinformationen mit den Autorisierungsdaten,
um zu ermitteln, ob der Sicherheitsprinzipal zum Zugreifen auf die Ressource oder Ausführen
der Aufgabe berechtigt ist
Bei der Anmeldung eines Benutzers an einer AD DS-Domäne wird dieser authentifiziert und erhält
ein Zugriffstoken. Ein Zugriffstoken enthält die Sicherheitskennung (Security Identifier, SID) für das
Benutzerkonto, SIDs für die verschiedenen Sicherheitsgruppen, zu denen der Benutzer gehört, sowie
eine Liste der Berechtigungen, über die der Benutzer und die Sicherheitsgruppen des Benutzers verfügen.
Das Zugriffstoken dient zur Bereitstellung des Sicherheitskontexts und der Anmeldeinformationen,
die zum Verwalten von Netzwerkressourcen, Durchführen von Verwaltungsaufgaben oder
Zugreifen auf Objekte in Active Directory benötigt werden.
Mithilfe von Autorisierungsdaten, die in der Sicherheitsbeschreibung der einzelnen Objekte gespeichert
sind, wird die Sicherheit auf eine Netzwerkressource oder ein Active Directory-Objekt angewendet.
Die Sicherheitsbeschreibung umfasst die folgenden Komponenten:
• Objektbesitzer Die SID für den aktuellen Besitzer des Objekts. Der Besitzer ist üblicherweise der
Ersteller des Objekts oder ein Sicherheitsprinzipal, der den Besitz eines Objekts übernommen hat.
• Primäre Gruppe Die SID für die primäre Gruppe des aktuellen Besitzers. Diese Information wird
ausschließlich vom POSIX-Subsystem (Portable Operating System Interface for UNIX) verwendet.
• Freigegebene Zugriffssteuerungsliste (Discretionary Access Control List, DACL) Eine Liste mit
Zugriffssteuerungseinträgen (Access Control Entries, ACEs), welche die Berechtigungen der verschiedenen
Sicherheitsprinzipale für ein Objekt definieren. Jeder Sicherheitsprinzipal, der zur
Zugriffssteuerungsliste hinzugefügt wird, erhält eine Reihe von Berechtigungen zum Festlegen, in
welchem Umfang der Benutzer oder die Gruppe das Objekt bearbeiten darf. Benutzer, die nicht in
einer ACE aufgeführt werden (entweder separat oder als Mitglied einer Gruppe) haben keinen
Zugriff auf das Objekt.