Active Directory.pdf - Gattner

Active Directory-Objektberechtigungen 335
Unglücklicherweise wird dadurch sämtlichen Benutzern die Leseberechtigung für die Verzeichnisobjekte
verweigert, einschließlich aller Administratoren. Aufgrund der Probleme, die bei Verwendung
der Option Verweigern auftreten können, sollten Sie diese nur mit Bedacht verwenden.
In den meisten Fällen kann einfach sichergestellt werden, dass ein Benutzer oder eine Gruppe nicht
über bestimmte Berechtigungen verfügt, anstatt diese Berechtigungen zu verweigern. Wenn einem
Benutzer keine Berechtigungen erteilt werden, und er kein Mitglied einer Gruppe mit Berechtigungen
ist, verfügt der Benutzer nicht über Zugriffsrechte, da diese implizit verweigert werden. Es
ist nicht erforderlich, die Berechtigung Verweigern ausdrücklich anzuwenden, um den Benutzerzugriff
auf Objekte in Active Directory zu verhindern.
Eine Situation, in der die Verwendung der Option Verweigern sinnvoll sein kann, ist, wenn einer
Gruppe Berechtigungen zugewiesen werden sollen, jedoch mindestens ein Benutzer innerhalb dieser
Gruppe über einen geringeren Berechtigungsumfang verfügen soll. Möglicherweise verfügen
Sie z.B. über eine Gruppe Konten-Admins, die für die Verwaltung aller Benutzerkonten innerhalb
der Domäne verantwortlich ist. Einige Mitglieder dieser Gruppe könnten temporäre Mitarbeiter
sein, die zwar zur Verwaltung sämtlicher Benutzerkonten in der Domäne berechtigt sein müssen,
jedoch keine Eigenschaften von Konten leitender Angestellter ändern dürfen. In diesem Fall
könnten Sie der Gruppe Konten-Admins zunächst die Berechtigung zum Verwalten aller Benutzerkonten
in der Domäne zuweisen. Anschließend erstellen Sie eine OU für die Konten der leitenden
Angestellten sowie eine Gruppe für die temporären Mitglieder der Gruppe Konten-Admins. Dann
verweigern Sie den temporären Benutzern die Berechtigung zum Ändern von Benutzerkonten in
der OU der leitenden Angestellten.
Wie Sie sehen, kann die Konfiguration der Sicherheit für Active Directory-Objekte die Verwaltung
einer großen Anzahl von zusammenhängenden Variablen umfassen. Die meisten Unternehmen beginnen
mit einem recht einfachen Sicherheitsentwurf, in dem eine kleine Gruppe von Administratoren
über sämtliche Berechtigungen in Active Directory verfügt. In den meisten Fällen ist die ursprüngliche
Active Directory-Sicherheitskonfiguration sorgfältig dokumentiert. Im Lauf der Zeit wird diese
einfache Erstkonfiguration jedoch immer komplexer. Manchmal wird einer weiteren Gruppe von
Administratoren einen Satz an Berechtigungen für eine bestimmte Aufgabe und für einen bestimmten
Zeitraum zugewiesen. Berechtigungen lassen sich problemlos erteilen, werden häufig jedoch nie entfernt.
Zudem werden diese nach der ursprünglichen Bereitstellung durchgeführten Änderungen an der
Sicherheit zudem nicht sorgfältig dokumentiert.
Bei einer Active Directory-Struktur, die bereits seit längerer Zeit bereitgestellt wird, ist die aktuelle
Sicherheitskonfiguration wahrscheinlich komplexer als der ursprüngliche Entwurf. Manchmal führt
dies dazu, dass Benutzer über mehr Berechtigungen verfügen als notwendig oder gewünscht. Doch
glücklicherweise bietet Windows Server 2008 ein Tool, mit dessen Hilfe die effektiven Berechtigungen
eines Sicherheitsprinzipals für sämtliche Objekte in Active Directory problemlos ermittelt
werden können.
Zum Ermitteln der effektiven Berechtigungen, über die ein Sicherheitsprinzipal für ein Active Directory-Objekt
verfügt, greifen Sie über das entsprechende Active Directory-Verwaltungstool auf die
Eigenschaften des Objekts zu. Klicken Sie auf der Seite Sicherheit auf Erweitert und anschließend auf
die Seite Effektive Berechtigungen. Zum Ermitteln der effektiven Berechtigungen für ein bestimmtes
Benutzer- oder Gruppenkonto klicken Sie auf Auswählen, und suchen Sie nach dem Benutzer- oder
Gruppennamen.