Active Directory.pdf - Gattner

624 Kapitel 16: Active Directory Lightweight Directory Services
Tabelle 16.5
AD LDS – Replikationssicherheitsstufen
Wert msDS-Repl
AuthenticationMode
AD LDS – Sicherheit
Authentifizierungsmethode
0 Ausgehandelter
Durchsatz
Beschreibung
Alle ADAM-Instanzen im Konfigurationssatz verwenden als ADAM-
Dienstkonto einen identischen Kontonamen mit identischem Kennwort.
Der Konfigurationssatz kann Computer umfassen, die einer oder mehreren
Arbeitsgruppen bzw. mehreren Domänen oder Gesamtstrukturen
ohne Vertrauensstellungen beigetreten sind.
1 Ausgehandelt Zuerst wird die Kerberos-Authentifizierung (mithilfe von Dienstprinzipalnamen,
SPNs) versucht. Schlägt Kerberos fehl, wird die NTLM-Authentifizierung
versucht. Schlägt NTLM fehl, werden die ADAM-Instanzen
nicht repliziert.
2 Gegenseitige Authentifizierung
mit Kerberos
Die Kerberos-Authentifizierung mithilfe von Dienstprinzipalnamen (Service
Principal Names, SPNs) ist erforderlich. Schlägt die Kerberos-Authentifizierung
fehl, werden die ADAM-Instanzen nicht repliziert. Der
Konfigurationssatz muss vollständig in einer Active Directory-Domäne,
-Gesamtstruktur oder -Gesamtstrukturvertrauensstellung enthalten
sein.
Eine der Anforderung an ein Anwendungsverzeichnis ist das Gewährleisten von Sicherheit. Anwendungen
schreiben ggf. vertrauliche Informationen, z.B. Kundendaten, in das Verzeichnis, oder Unternehmen
möchten Daten im Verzeichnis beschränken, die die Benutzer anzeigen oder bearbeiten können.
Da die AD LDS auf demselben Code wie die AD DS basieren, gelten viele der Konzepte für
Authentifizierung, Autorisierung, Benutzer, Gruppen, Zugriffssteuerungslisten und Sicherheitstoken
für die AD DS ebenso für die AD LDS.
Sicherheitsprinzipale in den AD LDS
AD LDS-Sicherheitsprinzipale sind alle Objekte mit einer eindeutigen SID, denen Berechtigungen für
Verzeichnisobjekte zugewiesen werden können. In den AD LDS sind folgende Sicherheitsprinzipale
möglich:
• AD LDS-Sicherheitsprinzipale, die in einer AD LDS-Verzeichnispartition erstellt werden. Ein AD
LDS-Sicherheitsprinzipal ist ein Benutzer oder anderes Objekt mit möglichen Bindungen, das in
den AD LDS erstellt wird. Das AD LDS-Schema enthält standardmäßig keine Benutzerobjektklassen,
weshalb es keine AD LDS-Sicherheitsprinzipale enthalten kann. Wenn Sie die Datei msuser.ldf
oder ms-inetorgperson.ldf dem Schema hinzufügen, können Sie andere Benutzer- oder
inetOrgPerson-Objekte erstellen. Wenn Sie diese Objekte hinzufügen, wird ihnen automatisch
eine SID zugewiesen.
Hinweis In einer AD LDS-Instanz oder -Anwendungspartition werden standardmäßig keine AD LDS-
Benutzerkonten erstellt. AD LDS-Benutzerkonten können nur in Anwendungsverzeichnispartitionen und
nicht in Konfigurations- oder Schemapartitionen erstellt werden. Darüber hinaus können AD LDS-Benutzern
nur Berechtigungen für Objekte in ihrer eigenen Verzeichnispartition zugewiesen werden. Diese
Benutzer können ferner nur Mitglied der Gruppe in der Verzeichnispartition sein, in der ihr Benutzerkonto
vorhanden ist.