Migrationsleitfaden Version 3.0

� Windows 2003
� Windows XP
� Windows Vista
Erhalten bleibt auch der NetBIOS-Namensraum. Sollen Systeme wie Windows NT und
9x unterstützt werden, ist es weiterhin notwendig, eine fehlerfreie NetBIOS Namensauflösung
(zum Beispiel durch WINS) zu gewährleisten. Ob der Einsatz einer NetBIOS Namensauflösung
erforderlich ist, wird nicht allein durch das Betriebssystem bestimmt,
sondern in erster Linie durch das Gesamtsystem. So kann es zum Beispiel sein, dass
auf dem Client Windows XP eingesetzt wird, der kein NetBIOS mehr benötigt, aber Applikationen
auf dem Windows XP eingesetzt werden, die diese Namensauflösung sehr
wohl noch erforderlich machen.
Neben der Implementierung eines Active Directory stellen die Nutzung des Authentisierungsmechanismus
„Kerberos― sowie einige Neuerungen bezüglich der (Domänen-)
Strukturierung die Eckpunkte im Architekturwechsel dar.
Im Folgenden wird zunächst auf die Nutzung des Authentisierungsmechanismus „Kerberos―
in den neuen Windows Server Systemen eingegangen. Anschließend erfolgt ein
weitgehend umfassender Überblick über die Technologie des Active Directory und abschließend
werden die Neuerungen hinsichtlich der Strukturierung behandelt.
Unter Windows 2000/2003 erfolgt die Authentisierung mittels des Authentisierungsmechanismus
Kerberos, wobei NTLM weiterhin unterstützt wird. Clientsysteme wie Windows
2000 oder XP nutzen standardmäßig das Kerberos Protokoll, um sich bei der AD
Domäne zu authentisieren. Der Administrator kann hierbei unterscheiden, ob nur Kerberos
erlaubt ist oder ob NTLM weiterhin für ältere oder Nicht-Microsoft-Betriebssysteme
angeboten werden soll. Windows 2003 DCs kommunizieren ausschließlich über das
Kerberos Protokoll.
1.4.1 Kerberos
Active Directory unterstützt eine Reihe sicherer Protokolle und Authentisierungsmechanismen,
mit denen beim Anmelden die Identität nachgewiesen wird, so zum Beispiel
Kerberos V5, X.509 v3-Zertifikate, Smartcards, Infrastruktur öffentlicher Schlüssel (Public
Key Infrastructure, PKI) und LDAP (Lightweight Directory Access Protocol) mit SSL
(Secure Sockets Layer). 184
In Windows 2000/2003 ist Kerberos in der Version 5 mit Erweiterungen für die Authentisierung
via öffentliche Schlüssel (public key) implementiert worden. Die Implementierung
folgt Spezifikationen in den RFCs 1510 und 1964. Das Kerberos Key Distribution
Center (KDC) ist auf jedem DC des Active Directory integriert und verwendet die Benutzerdatenbank
des AD.
Für das Kerberos Protokoll ist es notwendig, dass die Systemzeiten der beteiligten
Computer nur geringe Abweichungen aufweisen, da die Authentisierung des Computers
über ein sogenanntes Ticket gesteuert wird, dessen Gültigkeitsdauer auf 5 Minuten be-
184 http://www.microsoft.com/technet/prodtechnol/windowsserver2003/de/library/ServerHelp/
62355c36-a646-4bed-b462-dc8f23227447.mspx?mfr=true
Seite 205