Active Directory.pdf - Gattner

26 Kapitel 2: Active Directory-Domänendienstkomponenten
Standardmäßig werden lediglich die Anmeldeinformationen des RODC-Computerkontos und eines
speziellen KRBTGT-Kontos auf dem RODC gespeichert. Dies bedeutet, dass der RODC bei der
Authentifizierung eines Benutzers oder Computers gegenüber dem RODC über eine Verbindung zu
einem beschreibbaren Domänencontroller verfügen muss. Bei Empfang der Authentifizierungsanforderung
leitet der RODC diese an einen beschreibbaren Domänencontroller weiter.
Die standardmäßige Konfiguration der Zwischenspeicherung von Anmeldeinformationen kann über
die Kennwortreplikationsrichtlinie für RODCs geändert werden. Die Kennwortreplikationsrichtlinie
sollte möglicherweise z.B. so konfiguriert werden, dass die Anmeldeinformationen aller Benutzer-,
Computer- und Dienstkonten in der Zweigstelle auf dem RODC zwischengespeichert werden. Wenn
die Kennwortreplikationsrichtlinie geändert wird, werden Kennwörter nach der nächsten erfolgreichen
Anmeldung eines in der Richtlinie angegebenen Sicherheitsprinzipals auf dem RODC zwischengespeichert.
Nach der erfolgreichen Authentifizierung eines Kontos versucht der RODC, einen
beschreibbaren Domänencontroller am Nebenstandort zu kontaktieren, und fordert eine Kopie der
geeigneten Anmeldeinformationen an. Der beschreibbare Domänencontroller erkennt, dass die Anforderung
von einem RODC stammt, und überprüft die geltende Kennwortreplikationsrichtlinie für diesen
RODC. Wenn die Kennwortreplikationsrichtlinie dies zulässt, repliziert der beschreibbare Domänencontroller
die Anmeldeinformationen auf dem RODC, und diese Informationen werden auf dem
RODC zwischengespeichert. Nach der Zwischenspeicherung der Anmeldeinformationen auf dem
RODC kann der RODC die Anmeldeanforderungen des Benutzers direkt verarbeiten, bis die Anmeldeinformationen
oder die Kennwortreplikationsrichtlinie geändert werden.
Durch die Einschränkung der Zwischenspeicherung von Anmeldeinformationen auf dem RODC kann
die potenzielle Offenlegung von Anmeldeinformationen bei Diebstahl des RODC beschränkt werden.
Typischerweise sind lediglich die Anmeldeinformationen einer kleinen Untermenge an Domänenbenutzern
auf einem RODC zwischengespeichert. Bei Diebstahl des RODC können folglich nur diese
zwischengespeicherten Anmeldeinformationen zu missbräuchlichen Zwecken verwendet werden. In
diesem Fall kann über Active Directory-Benutzer und -Computer problemlos ermittelt werden, welche
Anmeldeinformationen auf dem Server zwischengespeichert werden. Anschließend können die
Kennwörter für all diese Konten zurückgesetzt werden.
Zur Unterstützung der RODC-Kennwortreplikationsrichtlinie umfasst Windows Server 2008 AD DS
neue Attribute, die einem RODC zugewiesen werden. Dazu zählen die folgenden Attribute:
• msDS-Reveal-OnDemandGroup Dieses Attribut kennzeichnet eine Gruppe, deren Mitglieder
berechtigt sind, ihre Anmeldeinformationen auf dem RODC zwischenzuspeichern.
• msDS-NeverRevealGroup Dieses Attribut kennzeichnet eine Gruppe, für die das Zwischenspeichern
von Anmeldeinformationen auf dem RODC für sämtliche Gruppenmitglieder gesperrt ist.
Dieses Attribut enthält per Voreinstellung sämtliche Administratorkonten. Es wirkt sich nicht auf
die Möglichkeit dieser Sicherheitsprinzipale aus, über den RODC eine Authentifizierung durchzuführen.
• msDS-RevealedList Dieses Attribut enthält eine Liste von Sicherheitsprinzipalen, deren Anmeldeinformationen
auf dem RODC zwischengespeichert sind.
• msDS-AuthenticatedToAccountList Dieses Attribut umfasst eine Liste von Sicherheitsprinzipalen
in der lokalen Domäne, die gegenüber dem RODC authentifiziert wurden. Über die RODC-Eigenschaften
in Active Directory-Benutzer und -Computer kann ermittelt werden, welche Computer
und Benutzer den RODC zur Anmeldung verwenden. Auf diese Weise kann die Kennwortreplikationsrichtlinie
für den RODC bearbeitet und präzise angepasst werden.