Active Directory.pdf - Gattner

Physische Struktur der AD DS 25
Um ein geeignetes Sicherheitstoken für den Benutzer zu generieren, der die Authentifizierungsanforderung
gesendet hat, muss zum Ermitteln der universellen Gruppenmitgliedschaft des Benutzers der
globale Katalog kontaktiert werden.
Hinweis Windows Server 2008 unterstützt das als Zwischenspeichern der universellen Gruppenmitgliedschaft
bezeichnete Feature, über das die Anmeldung an einem Windows Server 2008-Netzwerk ohne Kontaktierung
eines globalen Katalogs möglich ist. Nach der Benutzeranmeldung am Domänencontroller kann
die universelle Gruppenmitgliedschaft auf nicht globalen Katalogdomänencontrollern zwischengespeichert
werden. Nach dem Erhalt der Informationen von einem globalen Katalog werden diese auf unbestimmte Zeit
auf dem Domänencontroller für den Standort zwischengespeichert und regelmäßig aktualisiert (standardmäßig
alle 8 Stunden). Da die authentifizierenden Domänencontroller nicht auf einen globalen Katalog
zugreifen müssen, führt das Aktivieren dieses Features zu kürzeren Anmeldezeiten für Benutzer an Remotestandorten.
Die Planung und Konfiguration der Zwischenspeicherung von universellen Gruppenmitgliedschaften
wird in Kapitel 5 näher erläutert.
Globale Katalogserver sind ferner zum Verarbeiten von Benutzeranmeldungen erforderlich, wenn
Benutzer für die Anmeldung einen Benutzerprinzipalnamen (User Principal Name, UPN) verwenden.
Über UPNs können sich Benutzer unter Verwendung eines konsistenten Benutzernamens an Computern
in einer beliebigen Domäne innerhalb einer Gesamtstruktur anmelden. Das UPN-Format lautet
benutzername@domaenenname, der Domänenname muss jedoch nicht mit der Domäne übereinstimmen,
in der sich das Benutzerkonto befindet. Um die Domäne des Benutzers zu ermitteln, muss der
UPN im globalen Katalog aufgelöst werden.
Schreibgeschützte Domänencontroller
Schreibgeschützte Domänencontroller (Read-Only Domain Controllers, RODC) sind ein weiterer spezieller
Typ von Domänencontroller, der in Windows Server 2008 AD DS verfügbar ist. RODCs werden
zum Hosten von schreibgeschützten Versionen der AD DS-Datenbank eingesetzt und bieten sämtliche
Authentifizierungs- und Autorisierungsdienste, die über andere Domänencontroller bereitgestellt
werden.
RODCs sind in erster Linie für die Bereitstellung in Zweigstellenszenarien konzipiert, in denen die
physische Sicherheit des Domänencontrollers nicht sichergestellt werden kann, oder in Szenarien, in
denen das lokale Speichern von Domänenkennwörtern als Sicherheitsrisiko eingestuft wird. Ferner
können RODCs schreibgeschützte Versionen der in den AD DS integrierten DNS-Zonen enthalten
und als globale Katalogserver konfiguriert werden.
Hinweis Ziehen Sie für zusätzliche Sicherheit die Bereitstellung von RODCs mit der Server Core-Installationsoption
von Windows Server 2008 in Betracht. Diese Installationsoption bietet keine grafischen Verwaltungstools.
Da RODCs an Standorten bereitgestellt werden können, die nicht als sicher betrachtet werden,
sollten zudem keine normalen Domänencontroller an diesen Standorten bereitgestellt werden.
Zwischenspeichern von Anmeldeinformationen auf RODCs
Eine der verfügbaren Konfigurationsoptionen auf einem RODC ist das Zwischenspeichern von
Anmeldeinformationen. Beim Zwischenspeichern von Anmeldeinformationen wird das mit Sicherheitsprinzipalen
verknüpfte Kennwort gespeichert. Alle beschreibbaren Domänencontroller haben
Zugriff auf die Anmeldeinformationen sämtlicher Sicherheitsprinzipale. Um die Sicherheit eines
RODC zu erhöhen, kann eingeschränkt werden, welche Anmeldeinformationen auf einem RODC
zwischengespeichert werden.