Active Directory.pdf - Gattner

342 Kapitel 9: Delegieren der Active Directory-Domänendiensteverwaltung
Ferner bietet die Überwachung eine zusätzliche Prüfung der Administratorrechte, die innerhalb einer
Domäne ausgeübt werden. Durch eine regelmäßige Überprüfung der Überwachungsprotokolle lässt
sich ermitteln, ob ein Benutzer Administratoraufgaben ausführt, der nicht über die erforderlichen
Rechte verfügen sollte.
Beim Überwachen von AD DS-Ereignissen werden Einträge in das Sicherheitsprotokoll auf dem
Domänencontroller geschrieben. Über die Ereignisanzeige können die Ereignisse angezeigt werden,
die Windows Server 2008 im Sicherheitsprotokoll speichert. Die Ereignisse lassen sich ferner in einer
Ereignisdatei speichern, um Trends für einen bestimmten Zeitraum zu archivieren und nachzuverfolgen.
Um die Überwachung von Änderungen an Active Directory-Objekten zu aktivieren, müssen zwei
Schritte ausgeführt werden: Konfigurieren der Überwachungsrichtlinie für Domänencontroller sowie
Konfigurieren der SACL für bestimmte Active Directory-Objekte, die überwacht werden solllen. In
den folgenden Abschnitten werden diese zwei Schritte erläutert.
Konfigurieren der Überwachungsrichtlinie für Domänencontroller
Der erste Schritt zum Aktivieren der Überwachung ist die Konfiguration der Überwachungsrichtlinie
für die Domänencontroller. Diese Aufgabe kann über die Standard-Domänencontrollerrichtlinie innerhalb
der Konsole Gruppenrichtlinienverwaltung ausgeführt werden. Wechseln Sie in der Konsole
Gruppenrichtlinienverwaltung zum Container Gruppenrichtlinienobjekte. Klicken Sie in der Detailansicht
mit der rechten Maustaste auf Default Domain Controllers Policy und anschließend auf Bearbeiten,
um den Gruppenrichtlinienverwaltungs-Editor zu öffnen. Im Gruppenrichtlinienverwaltungs-
Editor wechseln Sie zu Computerkonfiguration\Richtlinien\Windows-Einstellungen\Sicherheitseinstellungen\Lokale
Richtlinien und klicken auf Überwachungsrichtlinie. Abbildung 9.16 zeigt die
standardmäßige Überwachungskonfiguration in Windows Server 2008 AD DS.
Zum Überwachen von Änderungen an Active Directory-Objekten muss die Richtlinie Verzeichnisdienstzugriff
überwachen aktiviert und konfiguriert werden. Wenn diese Richtlinie aktiviert und konfiguriert
ist, werden sämtliche Änderungen an Active Directory-Objekten im Sicherheitsprotokoll
aufgezeichnet. Es können sowohl erfolgreiche Änderungen an Active Directory-Objekten als auch
fehlgeschlagene Änderungsversuche überwacht werden.
In Windows 2000 Server und Windows Server 2003 war die Richtlinie Verzeichnisdienstzugriff überwachen
die primäre Option zum Überwachen von Verzeichnisdienstereignissen. In Windows Server
2008 ist diese Richtlinie in vier Unterkategorien unterteilt:
• Verzeichnisdienstzugriff
• Verzeichnisdienständerungen
• Verzeichnisdienstreplikation
• Detaillierte Verzeichnisdienstreplikation
Die Unterteilung der Richtlinie Verzeichnisdienstzugriff überwachen in vier Unterkategorien ermöglicht
eine detailliertere Steuerung der Aktionen, die im Hinblick auf die Verzeichnisdienstereignisse
überwacht werden. Bei Aktivierung der Richtlinie Verzeichnisdienstzugriff überwachen werden sämtliche
Unterkategorien dieser Richtlinie aktiviert. Zum Ändern der Unterkategorien kann der Gruppenrichtlinienobjekt-Editor
nicht verwendet werden. Die Unterkategorien können ausschließlich über das
Befehlszeilentool Auditpol.exe angezeigt oder bearbeitet werden. Wenn Sie z.B. alle möglichen Kategorien
und Unterkategorien anzeigen möchten, geben Sie an der Eingabeaufforderung den folgenden
Befehl ein, und drücken Sie die EINGABETASTE: