Active Directory.pdf - Gattner

Zusammenfassung 349
Um den erforderlichen Umfang der Administratorrechte jeder Gruppe zu dokumentieren, müssen
häufig sämtliche Administratoraufgaben aufgezeichnet werden, die diese Benutzer täglich ausführen.
So lässt sich präzise festlegen, welche Berechtigungen benötigt werden.
• Testen Sie alle Änderungen an Sicherheitseinstellungen in einer Testumgebung, bevor Sie die Produktionsumgebung
selbst ändern. Eine falsche Sicherheitskonfiguration kann schwerwiegende
Auswirkungen für das Netzwerk haben. Verwenden Sie die Testumgebung um sicherzustellen,
dass mithilfe der Änderungen die erforderlichen Berechtigungen erteilt, jedoch keine zusätzlichen
Berechtigungen zugewiesen werden, die nicht erforderlich sind.
• Überwachen und testen Sie die Benutzerberechtigungen im Dialogfeld Erweiterte Sicherheitseinstellungen
auf der Seite Effektive Berechtigungen Über diese Seite lassen sich die exakten Berechtigungen
ermitteln, über die ein Benutzer oder eine Gruppe in den AD DS verfügt. Verwenden Sie
das Tool in der Testumgebung, um sicherzustellen, dass die Konfiguration ordnungsgemäß ist,
und verwenden Sie es erneut in der Produktionsumgebung, um sicherzustellen, dass die Implementierung
plangemäß erfolgt ist.
• Dokumentieren Sie alle Berechtigungen, die Sie zuweisen. Da das Dokumentieren von Änderungen
am Netzwerk eine äußerst aufwendige und scheinbar unwichtige Aufgabe sein kann,
scheint dies die unbeliebteste Aufgabe eines Netzwerkadministrators zu sein. Folglich ist die
Dokumentation häufig unvollständig oder überholt. Die einzige Möglichkeit für eine effektive
Verwaltung der Sicherheitskonfiguration eines Netzwerks ist jedoch, die Erstkonfiguration zu
dokumentieren und diese Informationen anschließend konsequent mit allen zukünftigen Änderungen
zu aktualisieren.
Zusammenfassung
Die Option zum Delegieren von Administratorrechten in Windows Server 2008 AD DS bietet eine
hohe Flexibilität im Hinblick darauf, wie eine Domäne verwaltet werden kann. Die Delegierung
von Administratorrechten basiert auf dem Active Directory-Sicherheitsmodell, in dem sämtliche
Objekte und sogar sämtliche Attribute für jedes Objekt über eine ACL zum Steuern der Berechtigungen
verfügen, die Sicherheitsprinzipalen für ein bestimmtes Objekt zugewiesen sind. Gemäß diesem
Sicherheitsmodell werden sämtliche Berechtigungen standardmäßig von Containerobjekten an
die Objekte innerhalb des Containers vererbt. Diese zwei grundlegenden Features des Sicherheitsmodells
ermöglichen es Ihnen, einen praktisch beliebigen Berechtigungsumfang für ein Active Directory-Objekt
zuzuweisen. Diese Flexibilität kann jedoch auch eine hohe Komplexität bedeuten, wenn
die Sicherheit für Active Directory nicht so einfach wie möglich gestaltet wird. In diesem Kapitel
wurde ein Überblick über Sicherheitsberechtigungen, den Active Directory-Objektzugriff, die Delegierung
der Verwaltung sowie die Überwachung von Änderungen in Active Directory vermittelt.
Zusätzliche Ressourcen
Die folgenden Ressourcen enthalten zusätzliche Informationen und Tools im Zusammenhang mit diesem
Kapitel.
Verwandte Informationen
• In Kapitel 5, „Entwerfen der Active Directory-Domänendienstestruktur“ finden Sie Einzelheiten
zur Planung der Active Directory-Struktur (z.B. Standorte, Domänen, Organisationseinheiten und
Gesamtstrukturen).