Migrationsleitfaden Version 3.0

� LM (LAN Manager)
� NTLM
� NTLMv2
Die Authentisierung innerhalb einer NT Domänenlandschaft basiert auf dem Mechanismus
NTLM (NT LAN Manager). Es wird folgendes Szenario betrachtet: Eine Ressourcendomäne
vertraut einer Account-Domäne. Eine funktionsfähige WINS-Umgebung ist
vorhanden. Ein Benutzer startet eine Windows NT Workstation, die Mitglied der Ressourcendomänen
ist, und meldet sich an der Account-Domäne an. Beim Starten der
Windows NT Maschine erfragt diese per WINS eine Liste der Domain Controller (DC)
der Ressourcendomäne. Zunächst wird per Broadcast ein Netlogon-Request gesendet.
Wird dieser nicht von einem DC der Ressourcendomänen beantwortet, wird der Netlogon-Request
an die DCs der erfragten Liste gesendet. Über einen sogenannten „Secure
Channel― mit dem zuerst antwortenden DC erfolgt die Validierung der Anmeldeinformation.
Die NT Maschine erfragt im Anschluss eine Liste der vertrauten Domänen vom DC
der Ressourcendomänen. Nachdem der Benutzer in der Anmeldemaske die Account-
Domäne ausgewählt sowie seine Kennung und sein Kennwort eingegeben hat, erfolgt
der Anmeldeprozess des Benutzerkontos. Der NT Client sendet die Anmeldeinformationen
zur sogenannten „pass-through validation― an den DC der Ressourcendomäne, mit
dem die Maschine über einen Secure Channel verfügt. Der DC der Ressourcendomäne
sendet diese Anfrage an einen DC der Account-Domäne (zunächst lokal, dann gerichtet
über Secure Channel). Die validierten Anmeldeinformationen werden über den DC der
Ressourcendomäne an den NT Client zurückgeliefert. Dieser öffnet nun eine direkte
Verbindung zum DC der Account-Domäne, um dort das Logon-Script, Systemrichtlinien
oder Benutzerprofil zu laden.
Auf NT Systemen, die kein Domain Controller sind, werden die Anmeldeinformationen
der zuletzt angemeldeten Benutzer zwischengespeichert, um die Anmeldung auch dann
zu ermöglichen, wenn kein Domain Controller erreichbar ist (typischerweise Notebooks).
Diese Informationen werden wiederum in einem Hash-Wert gespeichert.
Das Domänenkonzept von Windows NT ermöglicht ein begrenztes Single Sign-On innerhalb
der Microsoft Produktpalette. Der Anwender meldet sich einmalig an seiner Windows
NT Workstation an und kann dann, sofern die Ressourcen beziehungsweise die
Serversysteme Mitglied der eigenen oder einer vertrauenden Domäne sind, auf Dienste
wie
� File- und Print Services,
� Exchange,
� SQL und
� Intranet (Web, Internet Information Server)
zugreifen. Dritthersteller von Software können ihre Produkte so implementieren, dass die
einmalige Anmeldung erhalten bleibt. In der Regel müssen sie aber ihre Anwendungen
auf Windows NT 4 Servern bereitstellen, die Mitglied einer Domäne sind.
In Windows NT Domänen können Richtlinien erlassen werden,
Seite 202