Active Directory.pdf - Gattner

330 Kapitel 9: Delegieren der Active Directory-Domänendiensteverwaltung
Berechtigungsvererbung
In den AD DS wird ein statisches Berechtigungsvererbungsmodell verwendet. Das heißt, dass beim
Ändern von Berechtigungen für ein Containerobjekt in der Active Directory-Struktur die Änderungen
berechnet und auf die Sicherheitsbeschreibung für alle Objekte innerhalb des Containers angewendet
werden. Folglich kann die Berechnung der neuen ACL für jedes Objekt prozessorintensiv sein, wenn
Berechtigungen auf höherer Ebene in der Active Directory-Struktur geändert und diese Berechtigungen
auf sämtliche untergeordneten Objekte angewendet werden. Dieser anfängliche Aufwand
bedeutet jedoch, dass die Berechtigungen beim Versuch eines Benutzers oder Prozesses, auf das
Objekt zuzugreifen, nicht neu berechnet werden müssen.
Zum Steuern der Vererbung von Berechtigungen werden zwei Hauptmethoden verwendet:
• Konfigurieren von vererbbaren Berechtigungen für das Objekt Beim Erstellen eines Objekts in
Active Directory werden standardmäßig vererbbare Berechtigungen aus dem übergeordneten
Objekt eingeschlossen. Anhand des Kontrollkästchens auf der Seite Sicherheit oder der Spalte
Geerbt von im Fenster Erweiterte Sicherheitseinstellungen lässt sich ermitteln, ob ein Berechtigungseintrag
vererbt wird.
• Konfigurieren des Umfangs für die Anwendung von Berechtigungen Wie bereits erwähnt, besteht
eine weitere Möglichkeit zum Steuern der Vererbung darin anzugeben, wie Berechtigungen beim
Anwenden von Sicherheit auf ein Objekt auf die untergeordneten Objekte angewendet werden.
Beim manuellen Hinzufügen eines neuen Gruppen- oder Benutzernamens zum ACE verfügt der
Eintrag standardmäßig über Berechtigungen, die nur für dieses eine Objekt gelten. Um die Vererbung
auf ein untergeordnetes Objekt zu erzwingen, muss der Umfang so geändert werden, dass
die Berechtigungen zusätzlich zum aktuellen Objekt auch auf untergeordnete Objekte angewendet
werden.
Hinweis Bei Verwendung des Assistenten zum Zuweisen der Objektverwaltung wird die Vererbung automatisch
auf Dieses und alle untergeordneten Objekte gesetzt. Weitere Informationen zu diesem Assistenten
finden Sie im Abschnitt „Delegieren von Verwaltungsaufgaben“ weiter unten in diesem Kapitel.
Wenn Sie Ihre OU-Struktur für die delegierte Verwaltung entworfen haben, verfügen Sie über eine
OU-Struktur, in der den Administratoren auf höchster Ebene, die Berechtigungen für sämtliche Active
Directory-Objekte benötigen, auf einer hohen Hierarchieebene Rechte mit delegierten Berechtigungen
für alle untergeordneten Objekte zugewiesen werden. Auf niedrigeren Hierarchieebenen können
Berechtigungen an andere Administratoren delegiert werden, die lediglich zum Verwalten eines
kleineren Bereichs der Domäne berechtigt sein sollen. In Abbildung 9.9 ist beispielsweise die OU
Vertrieb gezeigt. Die OU Vertrieb verfügt über zwei untergeordnete OUs Vertrieb_Ost und Vertrieb_
West. An den für die gesamte Vertriebsabteilung verantwortlichen Abteilungsleiter können Berechtigungen
für die gesamte OU Vertrieb mit allen untergeordneten Objekten delegiert werden, während
an die Abteilungsleiter der Bereiche Vertrieb_Ost und Vertrieb_West lediglich Berechtigungen für ihre
jeweilige OU delegiert werden.