Active Directory.pdf - Gattner

Verwalten von Gruppen 367
Tabelle 10.6
Active Directory-Standardgruppen im Container Users (Fortsetzung)
Gruppen
Schema-Admins
Zertifikatherausgeber
Zulässige RODC-Kennwortreplikationsgruppe
Beschreibung
Mitglieder können Änderungen am Schema für die Gesamtstruktur vornehmen.
Mitglieder können Zertifikate in Active Directory veröffentlichen.
Mitglieder können ihre Kennwörter auf schreibgeschützte Domänencontroller replizieren.
Es gibt nur wenige Gruppen, die beim Erstellen einer neuen Domäne bereits Benutzer umfassen. Das
Domänenadministratorkonto ist Mitglied der domänenlokalen Administratorengruppe und der globalen
Gruppe Domänen-Admins. Wenn es sich bei der Domäne um die erste Domäne in der Gesamtstruktur
handelt, wird das Administratorkonto ebenfalls den globalen Gruppen Organisations-Admins und
Schema-Admins hinzugefügt. Das Gastkonto ist deaktiviert, es ist jedoch Mitglied der globalen
Gruppe Domänen-Gäste. Alle neuen Benutzer werden automatisch der Gruppe Domänen-Benutzer
hinzugefügt.
Weitere Informationen Eine umfangreiche Liste mit den Benutzerberechtigungen, die jeder
Standardgruppe erteilt werden, finden Sie im Artikel „Default Groups“ (in englischer Sprache) unter
http://technet2.microsoft.com/windowsserver/en/library/1631acad-ef34-4f77-9c2e-
94a62f8846cf1033.mspx?mfr=true.
Spezialidentitäten
Bei Spezialidentitäten handelt es sich um Gruppen mit dynamischen Mitgliedschaften, die von dem
jeweiligen Benutzer abhängig sind. Die Mitgliedschaft in diesen Gruppen wird automatisch durch das
System verwaltet, und Sie können daran keine Änderungen vornehmen. Sie können diesen Gruppen
jedoch Rechte und Berechtigungen zuweisen. Auf diese Spezialidentitäten findet das Konzept des
Gruppenbereichs keine Anwendung. Einige Spezialidentitäten werden in Tabelle 10.7 aufgeführt.
Tabelle 10.7
Spezialidentitäten
Spezialidentität
ANONYMOUS-ANMELDUNG
Authentifizierte Benutzer
INTERAKTIV
Jeder
NETZWERK
TERMINALSERVERBENUTZER
Definition
Benutzer oder Dienste, die nicht mit einem Kontonamen angemeldet sind
Alle Benutzer der lokalen Domäne und von Remotedomänen, mit Ausnahme des
Gastkontos
Alle Benutzer, die logisch am Computer angemeldet sind
Alle Benutzer der lokalen Domäne, anderer Domänen sowie Gäste. Diese Spezialidentität
umfasst nicht die Mitglieder der Spezialidentität ANONYMOUS-
ANMELDUNG.
Alle Benutzer, die über das Netzwerk auf den Computer zugreifen
Alle Benutzer, die mithilfe von Remotedesktop über das Netzwerk angemeldet sind
Erstellen eines Sicherheitsgruppenentwurfs
Eine der umfangreichen Entwurfskomponenten einer Active Directory-Implementierung ist der
Sicherheitsgruppenentwurf. Mit dem Erstellen eines Sicherheitsgruppenentwurfs ist vor allem in
großen Organisationen ein großer Aufwand verbunden. In diesem Abschnitt werden die grundlegenden
Prinzipien für die Erstellung eines Sicherheitsgruppenentwurfs für Ihre Organisation erläutert.