VWA Rhein-Neckar Dipl.-Ing. Thomas Kloepfer. Betriebssysteme (Windows 2000) Vorlesung 5 Berechtigungskonzept

Transkript

1 VWA Rhein-Neckar Dipl.-Ing. Thomas Kloepfer Betriebssysteme (Windows 2000) Vorlesung 5 Berechtigungskonzept WS 2004/2005

2 Inhaltsverzeichnis Inhaltsverzeichnis 5 Sicherheit und Berechtigungskonzept Berechtigungskonzept Lokal Sicherheits-ID, Gruppen-ID Zugriffskontrollliste (Access Control List, ACL) Berechtigungen bei NTFS-Filesystem Netzwerke Das ISO/OSI Referenzmodell Netzwerkprotokoll Welche Protokolle kennt Windows Peer-To-Peer Vernetzung Client-Server Vernetzung Strukturiereung eines Netzwerkes Berechtigungskonzept Peer-To-Peer Netz (Arbeitsgruppen) Berechtigungskonzept Client-Server Netz (Domäne) Domänenkonzept Active Directory Domäne mit einem Server: Domäne mit mehreren NT-Servern Domänen-Modelle Einzelne Domäne Master-Domäne Multiple-Master-Domäne Vertraute Domäne Vertrauensstellungen...13 V5.doc I

3 Berechtigungskonzept Lokal 5 Sicherheit und Berechtigungskonzept 5.1 Berechtigungskonzept Lokal Sicherheits-ID, Gruppen-ID Beim Anmelden an Windows 2000 muß jeder Benutzer einen Benutzernamen und ein Paßwort eingeben um mit dem System arbeiten zu können. Der Sicherheits-Monitor vergleicht nun die Angaben mit der Benutzer-Datenbank, in der alle gültigen Paare Benutzername/Paßwort vermerkt sind. Bei korrektem Paßwort wird der Zugang zum System gewährt. Der Sicherheits-Monitor erzeugt nun ein so genanntes Zugriffs-Token, das mit dem Benutzer und allen Anwendungen, die er startet, verknüpft ist. Das Token kann man sich wie einen Ausweis vorstellen, der dem Betriebssystem immer dann gezeigt werden muß, wenn sicherheitsrelevante Aktionen durchgeführt werden sollen (Datei öffnen, Verzeichnis anlangen, auf Drucker zugreifen...). Folgende Information ist in diesem Token (Ausweiß) enthalten: Sicherheits-ID (SID): Eindeutige Nummer, die den Benutzer innerhalb des Systems (Domain). Das Sicherheits-Token für einen Benutzer enthält genau eine SID, nämlich die, des Benutzers. Gruppen-ID: Eindeutige Nummer, die für jede Gruppe im System (Domain) eindeutig ist. Dem Sicherheits-Token eines Benutzers werden alle Gruppen-ID hinzugefügt, zu denen der Benutzer zugeordnet ist. Berechtigungen: Berechtigungen sind spezielle Zugriffskontrolleinrichtungen, die einzelnen Benutzern Zugriffsrechte gewähren oder diese Einschränken. Wenn die Zugriffskontolliste eines Objekts (z.b eines Druckers) die SID eines speziellen Benutzers enthält, dann wird dem Zugriffs- Token des Benutzers ein weiteres Element hinzugefügt, das die speziellen Zugriffsrechte für das Objekt signalisiert Zugriffskontrollliste (Access Control List, ACL) Jedes Objekte (Drucker, Datei, Verzeichnis, Modem...) von Windows 2000 hat eine eigenen Zugriffsliste, in der vermerkt ist, wer das Objekt benutzen darf. Bei einer Datei ist dann beispielsweise in der ACL vermerkt, wer diese Lesen darf Berechtigungen bei NTFS-Filesystem Unter Windows 2000 können Sie für Dateien und Ordner die entsprechenden NTFS- Sicherheitsattribute setzten und Überwachungen von Dateien und Ordnern aktivieren. Berechtigungen können von übergeordneten Elementen vererbt werden. So können Berechtigungen, die ein Verzeichnis bekommt auf alle enthaltenen Unterverzeichnissen und Dateien vererbt wedeln. V5.doc

4 Berechtigungskonzept Lokal Letztendlich gehen die Sicherheitsattribute von Dateien auf sechs Bits zurück: Rechte Bemerkung R Lesen (Read) Der Inhalt des Objektes kann eingesehen werden, d.h. Dateien und Unterverzeichnisse dürfen aufgelistet werden. W Schreiben (Write) Der Dateninhalt des Objektes kann geändert werden. X Ausführen (Execute) Das Objekt kann ausgeführt werden. Bei Verzeichnissen bedeutet dies, das das Verzeichnis geöffnet werden kann. D Löschen (Delete) Das Objekt kann gelöscht werden. P O Berechtigungen Ändern (Change Permission) Besitz Übernehmen (Take Ownerschip) Die Zugriffsrechte für das Objekt können geändert werden. Der Besitz an einem Objekt kann geändert werden. Der Besitz kann nur übernommen werden, aber nicht einem anderen Benutzer zugewiesen werden. Als Besitzer eines Objekts hat man vollzugriff auf das Objekt und ist keinen Zugriffsbeschränkungen unterworfen. War es unter Windows NT noch möglich diese Bits explizit zu setzten, so ist die Situation unter Windows 2000/XP leicht verändert. Um das Hantieren mit Berechtigungen zu vereinfachen existiert in Windows 2000/XP einer Reihe von Standardberechtigungen, die eine sinnvolle Kombination der Berechtigungs-Schalter darstellt: Jede Berechtigung kann zugelassen oder Verweigert werden. Nicht alle Kombinationen sind anwählbar. Bild: Berechtigungen bei Dateien V5.doc

5 Berechtigungskonzept Lokal Standardberechtigungen für Dateien: Rechte Bits Bemerkungen Vollzugriff (RWXDPO) Es kann frei über die Datei verfügt werden. Ändern (RWXD) Entspricht Lesen plus ändern, löschen und hinzufügen von Dateien. Lesen, Ausführen (RX) Die Datei kann gelesen werden, handelt es sich um ein Programm so kann dies auch gestartet werden. Lesen (R) Die Datei kann gelesen werden. Schreiben (RWD) Die Datei kann gelesen und geändert werden. Bei Verzeichnissen bekommt man ein recht ähnliches Set von Attributen. Hinzu kommt allerdings die Berechtigung Ordnerinhalt auflisten. Standardberechtigungen für Verzeichnisse: Rechte Bits Verzeichnis Bild Berechtigungen bei Verzeichnissen Bits Dateien Bemerkungen Vollzugriff (RWXDPO) (RWXDPO) Es kann frei über das Verzeichnis verfügt werden. Ändern (RWXD) (RWX) Entspricht Lesen plus ändern, löschen und hinzufügen von Dateien. Lesen, Ausführen Ordnerinhalt auflisten (RX) (RX) Die Datei kann gelesen werden, handelt es sich um ein Programm so kann dies auch gestartet werden. (RX) (R) Es kann in das Verzeichnis gewechselt werden. Eine Liste der enthaltenen Files kann angezeigt werden Lesen (R) - Das Verzeichnis bzw. der Verzeichnisname kann gelesen werden Schreiben (RWD) - Das Verzeichnis kann gelesen und geändert werden. V5.doc

6 5.2 Das Sicherheits- und Berechtigungskonzept von Windows 2000 endet natürlich nicht an den Grenzen der lokalen Workstation. Im Gegenteil, erst im Netzwerk wird die Mächtigkeit des Sicherheits- und Berechtigungskonzeptes von Windows 2000 sichtbar. Eines der großen Probleme bei größeren Netzen ist es, einen guten Überblick über die vergebenen Berechtigungen und freigegebenen Ressourcen zu behalten. Hier ermöglicht das Domain-Modell von Windows 2000 eine Zentrale Verwaltung der Benutzer und deren Berechtigungen auf Ressourcen der Domain. Sehen wir uns zunächst einmal die Möglichkeiten der Vernetzung von Windows 2000 Rechnern an Netzwerke Rechner können über ein Netzwerk verbunden werden. Das Netzwerk besteht dabei physikalisch gesehen aus einer Hardware zur Anbindung des Rechners (Netzwerkkarte, Modem, ISDN-Karte, Parallel-Port, Seriell-Port...) an das Netzwerk und der Hardware für die Übertragung der Daten (Netzverkabelung, Telefonleitung, Null-Modem-Kabel...). Die Hardware des Rechners, beispielsweise die Netzwerkkarte, erzeugt auf dem Netzwerkkabel eine Reihe von Spannungsimpulsen, die ein anderer angeschlossener Rechner dann über seine Netzwerkkarte empfangen kann. Softwareseitig müssen diese Sannungsimpulse dann richtig interpretiert werden. Es muß eine Vereinbarung zwischen den beiden Rechnern geben, wie die eintreffenden Spannungsimpulse zu interpretieren sind. Diese Definition wird Netzwerk-Protokoll genannt Das ISO/OSI Referenzmodell Das ISO/OSI Referezmodell teilt Netzwerkverbindugen in sieben logische Schichten ein, die jeweils eine eigene Aufgabe übernehmen. Folgende Schichten sind definiert: Nr Name Beschreibung 1 Bitübertragung Hier wird die physikalische Übertragung (elektrisch wie mechanisch) physical layer definiert: das Medium (Kabel, Funk, Infrarot), die gesendeten Signale 2 Sicherung data link layer, MAC layer 3 Vermittlung network layer 4 Transport transport layer 5 Sitzung session layer 6 Darstellung presentation layer 7 Anwendung application layer usw. Hier werden die Daten in einzelne Rahmen aufgeteilt und gesichert übertragen. Beispiele für diese Schicht sind PPP, SLIP und HDLC. Zentrale Aufgabe ist die Bestimmung eines optimalen Weges durch das Netzwerk. Ein wichtiges Protokoll dieser Ebene ist IP Diese Schicht stellt einen gesicherten Kanal zwischen zwei Stationen her, so das die Dateien einfach seriell gelesen bzw. geschrieben werden können. Auf dieser Ebene ist TCP zu finden. Diese Schicht synchronisiert das Zusammenspiel mehrerer Stationen. Es wird beispielsweise festgelegt, wie eine Sitzung zeitlich abzulaufen hat. (Aufforderung zum senden eines Paßwortes, Senden des Paßwortes, Bestätigen des Paßwortes usw.). Hier werden die Daten in ein einheitliches Format transformiert, zum Beispiel durch Aphabetumwandlu9ng oder Datenkompression. An dieser Stelle gehen die Umlaute verloren, wenn die Übertragung mit 7 Bit statt mit 8 Bit erfolgt. Verschiedene Kodierungsarten sichern dann die Übertragung, beispielsweise MIME. Dies Schicht beschreibt die Schnittstelle, über die Anwendungen auf Dienste eines anderen Systems zugreifen können. CGI-Programme beispielsweise nutzen diese Schicht. V5.doc

7 Jede Schicht kommuniziert mit der ihr entsprechenden Schicht auf dem anderen System (logischer Datenfluß), indem sie Daten entweder an die darüber oder die darunterliegende Schicht weiterleitet (physikalischer Datenfluß) Netzwerkprotokoll Ein Netzwerkprotokoll ist also die Festlegung, in welcher Form die Daten über das Netzwerk übertragen werden sollen. Es läßt sich mit einem Formular in einer Behörde oder einer Bank vergleichen. Die eigentlich zu übertagende Information wird dabei in eine vorgegebene Form gebracht. Beim Ausfüllen einer Überweisung beispielsweise sind Name, BLZ und Kto-No des Empfängers zwingend notwendig, ebenso die eigene BLZ und Kto-No und der zu überweisende Betrag. Analog werden Daten im Netzwerk über ein bestimmtes Protokoll übertragen. Jedes Protokoll setzt sich im Prinzip aus drei Teilen zusammen: Header DATA Trailor Im Header steht die Information zum Sender und zum Empfänger je nach dem um welches Protokoll es sich handelt ist diese Information mehr oder weniger ausführlich. Je nach Protokoll steht im Header noch eine Menge weiterer Information (Absendedatum, Angaben über die versendete Datenmenge, Eindeutige Nummer für dies Paket...). Im DATA-Teil befinden sich die eigentlich zu übertragenen Daten. Diese können in komprimierter oder unkomprimierter Form vorliegen. Im Trailor befindet sich Information zum Sichern der Übertragung. Beispielsweise kann hier eine Prüfsumme über alle Bits dieser Teil-Sendung (Paket) übertragen werden. Sollte ein Bit unterwegs verfälscht werden, so kann der Empfänger die an Hand der Prüfsumme feststellen und dann das Paket nochmals anfordern. V5.doc

8 Welche Protokolle kennt Windows 2000 Windows 2000 kennt zur Kommunikation über Netz nicht nur ein Protokoll, sondern viele. Die wichtigsten Protokolle, die von Windows 2000 unterstützt werden sind: Name Hersteller Bemerkungen NetBEUI IBM NetBIOS Extended User Interface. Das Protokoll NetBEUI wurde von IBM entwickelt. Es zeichnet sich durch eine gute Performance aus kann jedoch nicht geroutet (von einem Netz über einen Verbindungsrechner in ein zweites Netz) werden. Es empfiehlt sich in kleineren Netzen (nicht über 100 Arbeitsstationen), in denen alle Rechner in dem selben Netzwerk laufen. NetBEUI ist das Standardprotokoll von Windows for Workgroups. SPX/IPX Novell Sequenced Packet Exchange / Inter Packet Exchange Protokoll. Das Standardprotokoll von Novell NetWare. Etwas langsamer als NetBEUI, aber schneller als TCP/IP. Vor allem zu empfehlen und notwendig, wenn Windows 2000 mit einem NetWare-Netz verbunden werden soll, wo es dann als einziges Protokoll verwendet werden kann. Apple Talk Apple Von Apple entwickeltes Protokoll, zu verwenden zur Kommunikation mit Apple-Rechnern. TCP/IP Internet Transmission Control Protokoll / Internet Protokoll. Eines der potentesten Protokolle. Es wurde ursprünglich für WANS (Wide Area Networks) entwickelt, hat sich jedoch auch im LAN durchgesetzt. Neben dem großen Vorteil der Verwendung eines einzelnen Protokolls für LAN- und WAN- Connectivity existieren eine große Anzahl von Utilities, von denen die meisten auf Windows 2000 portiert wurde. Dieses Protokoll empfiehlt sich bei größeren, Hierarchisch geordneten Netzwerken. Zur Anbindung von Unix-Rechnern ist dieses Protokoll Standard. Die Protokolle sind die Voraussetzung, das sich mehrere Rechner im Netz in einer gemeinsamen Sprache unterhalten können. Ein weiterer Aspekt, der bei der Vernetzung von Rechnern mit Windows 2000 von Bedeutung ist, ist die Art der Vernetzung aus logischer Sicht: Sind alle Rechner gleichberechtigt, oder haben manche Rechner eine bevorzugte Stellung im Netzwerk? Man unterscheidet hier bei zwei Möglichkeiten Peer-To-Peer Vernetzung Bei einem Peer-To-Peer Netzwerk sind alle Rechner gleichberechtigt. Jeder Rechner kann Ressourcen an das Netzwerk freigeben (Server) und auf freigegebene Ressourcen zugreifen (Client). In Windows 2000 ist dies das so genannte Arbeitsgruppen-Modell. Jeder Rechner kann gleichzeitig Client (Nutzer einer Ressource) und Server (Bereitsteller einer Ressource) sein Client-Server Vernetzung Ein Netzwerk nach dem klassischen Client-Server-Modell benötigt einen eigens für diesen Zweck eingerichteten Server, der die Ressourcen freigeben und so den Arbeitsstationen zur Verfügung stellen kann. V5.doc

9 5.2.2 Strukturiereung eines Netzwerkes Windows 2000 bietet einige Möglichkeiten eine Netzwerk zu strukturieren Je nach Aufgabenstellung ist die Strukturierung eines Netzwerkes notwendig oder zumindest sinnvoll. Bei der Strukturierung entscheidet man sich für eine (oder mehrere) Verwaltungsebenen. Folgende Möglichkeiten sing gegeben: Arbeitsgruppe Domäne Active Directory Berechtigungskonzept Peer-To-Peer Netz (Arbeitsgruppen) Das Berechtigungskonzept in einem Peer-To-Peer Netz entspricht weitgehendst dem innerhalb einer Lokalen Workstation. Einziger Unterschied ist, das nun eine Ressource über das Netzwerk zur Verfügung gestellt wird. Um darüber zu entscheiden, ob auf eine Ressource zugegriffen werden darf, oder nicht, konsultiert der Rechner seine Sicherheits-Datenbank. Die Berechtigungen zur Ressource sind dort hinterlegt. Ist der User, der über das Netzwerk zugreifen will dort eingetragen, so wir der Zugriff gewährt. Beim Peer-To-Peer Netz schaut also jeder Rechner nur in seiner eigenen Sicherheits-Datenbank nach, wenn es um die Freigabe einer Ressource geht. Ein User, der auf mehreren Rechner Ressourcen nutzen will muß also auf jedem dieser Rechner einen Account haben. Mehrere Windows 2000 Workstations können zu einer Arbeitsgruppe zusammen gefaßt werden. Ressourcen wie Drucker und Modems werde über Freigaben von den Workstations der Arbeitsgruppe bereitgestellt. Problematisch für die Administration von Arbeitsgruppe ist die Tatsache, das Benutzer mehrfach angelegt werden müssen. Jeder Nutzer einer Ressource braucht auf der Workstation, die diese Resource bereitstellt einen Account. Das bedeutet, das der Aufwand diese Accounts zu pflegen exponentiell mit der Anzahl der Workstations der Arbeitsgruppe wächst Berechtigungskonzept Client-Server Netz (Domäne) Anders beim Client-Server Netz. Mit Windows 2000 wird ein Client-Server Netz durch den Einsatz mindestens eines Rechners mit Windows 2000 Server Betriebssystem aufgebaut. Windows 2000 Server beinhalte Windows 2000 Workstation und damit alle Merkmale von Windows 2000 Workstation. Zusätzlich unterstützt Windows 2000 Server die Einbindung von entfernten Arbeitsstationen (über Modem, ISDN und X.25), vom Apple Arbeitsstationen sowie von NetWare Clients. Windows 2000 Server vereinfacht die Verwaltung von großen Multi-Server-Netzwerken durch die Unterstützung des Domänenkonzeptes und des Konzeptes der vertrauten Domäne. Mehrere Server können zu einer Gruppe zusammen gefaßt werden, deren Verwaltung erfolgt auf einem Server ( Domain Controller), die Informationen werden an Controller weitergegeben. Der Benutzer meldet sich nur einmal im Netz an, und kann dann auf alle Ressourcen der Domäne zugreifen, Über das Konzept der vertrauten Domäne wird diese Situation auf mehrere Gruppen (Domänen) einfach erweitert. Nachteil: Man muß sich entscheiden, ob man mit Arbeitsgruppen, oder Domänen arbeiten will. Beides gleichzeitig geht nicht. V5.doc

10 5.2.5 Domänenkonzept Bei Windows 2000 ist unter einer Domäne eine Sicherheits- und Verwaltungs-Einheit zu verstehen. Ein oder mehrere Windows 2000 Server verhalten sich dabei wie ein einziges System; sie verwalten eine einzige Sicherheits-Datenbank am Domänen-Controller, die die Sicherheits und Benutzerinformation der Domäne enthält. Die Freigegebenen Ressourcen auf Computern in einer Domäne sind jedoch nur innerhalb der Domäne sichtbar, von anderen Domänen aus kann nicht ohne weiteres auf sie zugegriffen werden. Der Domänen-Controller ist also verantwortlich für die Speicherung der Master-Copy der Benutzerdatenbank und Sicherheitsinformation. Weitere Server in der Domäne können als Sicherungs-Domän-Controller verwendet werden. Sie speichern jeweils eine Kopie der Verwaltungsdateien und einer von ihnen kann die Rolle des Domän-Controllers bei dessen Ausfall übernehmen Active Directory Active Directory Service (ADS) ist ein Verzeichnisdienst, der einen Ort zum Speichern von Informationen über netzwerkbasierte Ressourcen enthält. Dies Können Anwendungen, Drucker, Speicher oder Benutzer sein. ADS bietet ein standartisiertes Verfahren für den Zugriff auf diese Ressource im Netzwerk und auf Informationen über diese. ADS ist die Implementierung eines Verzeichnisdienstes von Microsoft. Es gibt auch andere Verzeichnisdienste, wie NDS von Novell. ADS kann nur verwendet werden, wenn ein Windows 2000 Server als Domäncontroller eingerichtet wurde. Als Clients kommen dagegen Computer mit Windows 95, Windows 98, Windows ME, Windows 2000 Professionell oder Unix in Frage. V5.doc

11 Domäne mit einem Server: Domain Server Security - DB Workstations Bei einer Domäne mit einem NT Server werden die NT Workstations der Domäne zugeordnet. Damit nimmt der NT-Server ein privilegierte Stellung gegenüber den s ein. Alle Benutzerkonten der Domäne befinden sich in der Security-DB (Sicherheitsdatenbank) des NT- Servers. Ein User, der in der Security-DB des Servers eingetragen ist kann auf jeder Workstation innerhalb der Domäne arbeiten Domäne mit mehreren NT-Servern Domain Server Security - DB Server Copy of Security - DB Workstations Befinden sich in einer Domäne mehrere NT-Server, so übernimmt einer der NT Server die Rolle des -s. Dieser NT Server ist dann allen anderen NT Servern übergeordnet. Der Promary- beherbergt die Security-DB der Domäne. Alle weiteren NT Server werden -. Ein - hält eine Kopie der Security-DB, die er selbständig auf dem neusten Stand hält. Der - kann bei Ausfall des -s dessen Aufgaben übernehmen. V5.doc

12 5.2.7 Domänen-Modelle In der Praxis sind unterschiedlich große Netzwerke mit unterschiedlichen Anforderungen hinsichtlich Strukturierung und logischer Zusammenfassung von Netzwerk-Segmenten zu verwalten. Um diesen vielfältigen Anforderungen zu entsprechen, wurden Domänen-Modelle entwickelt, die bestimmten logischen Strukturen entsprechen. Die Unterschiede zwischen den im folgenden beschriebenen Modellen liegen vor allem im Umfang des administrierten Netzwerkes, seiner Kapazität und der Verwaltungsorganisation Einzelne Domäne Im Einzel-Domänen-Modell existiert nur eine einzige Domäne. Ein einzelner Domänen-Controller (mit beliebig vielen - oder Sicherungs-Domänen-Controllern) verwaltet die Benutzerkonten und den Zugriff auf die Ressourcen. V5.doc

13 Master-Domäne Existieren mehrere Domänen, so können diese sich gegenseitig eine Vertrauensstellung einräumen. Master Domäne Mehrere Domänen werden von einer zentralen Domäne aus verwaltet. Der Domänen-Controller der zentralen Domäne beherbergt die Benutzer-Datenbank. Jede Domäne hat einen Domäne-Controller und eventuell mehrere - oder Sichrungs-Domänen-Controller. Die Domäen-Controller der dezentralen Domänen vertrauen der zentralen Domäne. Benutzerkonten die in der Master-Domäne angelegt werden, sind also auch in allen anderen Domänen gültig. V5.doc

14 Multiple-Master-Domäne Geht das Vertauen nicht streng in eine Richtung, sondern vertrauen sich Domänen gegenseitig, so liegt ein Multiple-Master-Domäne-Modell vor: Master Domäne Master Domäne In diesem Modell sind mehrere nach dem Master-Domänen-Modell organisierte Domänen zusammengeschlossen. Die zentralen Domänen-Controller verwalten jeweils einen Teil der Benutzerkonten-Datenbank. Durch gegenseitige Vertrauensstellungen zwischen den einzelnen zentralen Domänen wird der Zugang der Benutzer von einer beliebigen Domäne aus gewährleistet. Die angeschlossenen Domänen können über Vertrauensstellungen zur Master Domäne Ressourcen zur Verfügung stellen. V5.doc

15 5.2.8 Vertraute Domäne Vertrauensstellungen Domänen vereinfachen die Verwaltung von Netzwerken. Existiert jedoch mehr als eine Domäne und benötigt ein Benutzer Ressourcen aus mehr als einer Domäne, müsset er ein Benutzerkonto in jeder Domäne haben; er müsset sich außerdem in jeder Domäne anmelden, um auf benötigte Ressourcen zugreifen zu können. Die Verwaltung all dieser Benutzerkonten wäre ein zusätzliche Aufgabe der Administrators. Um diesem Problem zu begegnen, wurde das Prinzip der vertrauten Domänen (trust relationship) eingeführt. Vertrauensstellungen verbinden Domänen dahingehend, das Benutzerkonten und globale Gruppen in einer Domäne verwendet werden können, in der sie nicht definiert wurden. Vertrauensstellungen zwischen Domänen werden also benutzt, um Rechte von Benutzerkonten und globalen Gruppen zu teilen, was eine Verminderung des Verwaltungsaufwands bewirkt Für den Netzwerkadministrator haben Vertrauensstellung einen weiteren Vorteil. Normalerweise benötigt jede Domäne ihre eigene Benutzerdatenbank. Wird die Benutzerdatenbank jedoch in der Domäne zentralisiert und werden alle anderen Domänen angewiesen, dieser eine Domäne zu trauen, kann die Verwaltung des gesamten Netzwerkes mit all seinen Domänen durch die Verwaltung der einen zentralen Domäne erfolgen. Für die Benutzer bedeutet dies, das sie in allen Domänen mit dem selben Benutzerkonto und Kennwort arbeiten können. Zwei Arten von Vertrauensstellungen sind zu unterscheiden: Domäne A vertraut Domäne B Domäne A vertraut Domäne B, Domäne B vertraut Domäne A Im ersten Fall - Domäne A vertraut Domäne B können Benutzer der Domäne B (der vertrauten Domäne) Ressourcen der Domäne A (der vertrauenden Domäne) benutzen. Im zweiten Fall beide Domänen vertrauen einander können Benutzer beider Domänen die Ressourcen der jeweils anderen Domäne benutzen. V5.doc