Carlo Westbrook. Active Directory. in Windows Server 2012 R2. Planung und praktischer Einsatz in Windows-Netzwerken. CertPro PRESS

Transkript

1

2 Carlo Westbrook Active Directory in Windows Server 2012 R2 Planung und praktischer Einsatz in Windows-Netzwerken CertPro PRESS ein Imprint von CertPro Limited

3 Bibliografische Informationen der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über abrufbar. Die Informationen in diesem Produkt werden ohne Rücksicht auf einen eventuellen Patentschutz veröffentlicht. Warennamen werden ohne Gewährleistung der freien Verwendbarkeit benutzt. Bei der Zusammenstellung von Texten und Abbildungen wurde mit größter Sorgfalt vorgegangen. Trotzdem können Fehler nicht vollständig ausgeschlossen werden. Verlag, Herausgeber und Autoren können für fehlerhafte Angaben und deren Folgen weder eine juristische Verantwortung noch irgendeine Haftung übernehmen. Für Verbesserungsvorschläge und Hinweise auf Fehler sind Verlag und Herausgeber dankbar. Alle Rechte vorbehalten, auch die der fotomechanischen Wiedergabe und der Speicherung in elektronischen Medien. Die gewerbliche Nutzung der in diesem Produkt gezeigten Modelle und Arbeiten ist nicht zulässig. Fast alle Hard- und Softwarebezeichnungen und weitere Stichworte und sonstige Angaben, die in diesem Buch verwendet werden, sind als eingetragene Marken geschützt. Da es nicht möglich ist, in alle Fällen zeitnah zu ermitteln, ob ein Markenschutz besteht, wird das - Symbol in diesem Buch nicht verwendet. Print-Ausgabe: ISBN ebook-ausgabe (PDF): ISBN ebook-ausgabe (EPUB): ISBN Copyright 2016 by CertPro Press-Verlag, ein Imprint der CertPro Limited, Im Pflänzer 14, D Bad Kreuznach/Germany. Alle Rechte vorbehalten. Einbandgestaltung: Carlo Westbrook, CertPro Limited Bilder und Grafiken: CertPro Limited Herstellung: CertPro Limited Druck und Verarbeitung: BoD GmbH, Hamburg ebook-distribution: libreka! GmbH, Frankfurt am Main Printed in Germany 2

4 Auf einen Blick Teil 1 - Einführung und Grundlagen 1 Einführung in Windows Server 2012 R Einführung in Active Directory Sicherheit in Active Directory-Domänendienst-Umgebungen Teil 2 - Planung, Aktualisierung und Migration 4 Planung einer Active Directory-Domänendienste-Infrastruktur Aktualisierung vorhandener Gesamt- und Domänenstrukturen Migration von Gesamtstrukturen und Domänen Teil 3 - Implementierung, Verwaltung und Wartung 7 Installation und Konfiguration von Windows Server 2012 R Implementierung und Verwaltung von Domain Name System (DNS) Implementieren der Active Directory-Domänendienste (AD DS) Verwalten der Betriebsmasterrollen Verwaltung globaler Katalogserver Erstellen und Verwalten von Organisationseinheiten Delegierung der Verwaltungsfunktionalität Erstellen und Verwalten von Active Directory-Objekten Erstellen und Verwalten von Gruppenrichtlinienobjekten Verwaltung der Benutzerumgebung mit Gruppenrichtlinienobjekten Planung und Einsatz von Kennworteinstellungen Schreibgeschützte Domänencontroller Domänencontroller unter Server Core Verwaltung von Standorten und Replikation Wartung und Diagnose der Active Directory-Domänendienste Sichern und Wiederherstellen der Active Directory-Domänendienste Weitere Active Directory-Dienste Stichwortverzeichnis

5 Website zum Buch Liebe Leserin, lieber Leser, zu diesem Buch bieten wir Ihnen zusätzliche Materialien, wie z. B. Zusatzdokumentation, Beispieldateien, die Sie bei Bedarf gerne direkt aus unserer Verlagswebsite im Internet herunterladen können unter: 4

6 Inhaltsverzeichnis Der Autor Vorwort Aufbau des Buches Konventionen und Symbole Teil 1: Einführung und Grundlagen Einführung in Windows Server 2012 R Unterstützte Serverrollen und -funktionen Unterstützte Serverrollen Unterstützte Features (Funktionen) Neuerungen und Verbesserungen Der Anmeldebildschirm Die grafische Benutzeroberfläche Der grafische Server-Manager Server Core - Grafikoberfläche nachträglich aktivierbar Neuerungen im Windows-Explorer Die Windows PowerShell Active Directory-Verwaltungscenter Active Directory-Papierkorb - jetzt grafisch Verbesserte Kennwortrichtlinienverwaltung Active Directory-basierte Aktivierung Klonen von Domänencontrollern Dynamische Zugriffssteuerung Essentials Experience - für kleine Firmen und Institutionen Merkmale der Essentials Experience-Serverrolle Weitere Verbesserungen und Neuerungen Zusammenfassung Einführung in Active Directory Was ist ein Verzeichnisdienst? Merkmale der Active Directory-Domänendienste Der X.500-Standard und die Microsoft Active Directory-Domänendienste Das Lightweight Directory Access Protocol (LDAP)

7 2.3.2 Der Namenskontext Distinguished Name (DN) Relative Distinguished Name (RDN) LDAP Uniform Resource Locator (URL) User Principal Name (UPN) Das Kerberos-Protokoll Die Architektur Die physikalischen Komponenten der Active Directory-Domänendienste Die Datenbank Aufteilung in einzelne Partitionen Replikation der Partitionsinhalte Das Datenspeicherungsmodell Schnittstellen für den Datenbankzugriff Die Datenbankdateien Die Extensible Storage Engine (ESE) Der Ablauf von Transaktionen Domänencontroller Schreibgeschützte Domänencontroller Einsatzzweck von RODCs Weitere Funktionen Zwischenspeichern von Kennwörtern auf RODCs Delegierung der Verwaltungsberechtigung Einschränkungen schreibgeschützter Domänencontroller Die Betriebsmasterrollen Gesamtstrukturweite Betriebsmasterrollen Domänenweite Betriebsmasterrollen Tools zur Verwaltung der Betriebsmasterrollen Der globale Katalog Globaler Katalog und der Infrastruktur-Master Zwischenspeichern der universellen Gruppenmitgliedschaft Vorteile Ablauf des Anmeldevorgangs Der Replikationsdienst Die Replikationstopologie Inter-Site Topology Generator Replikation der Inhalte von Verzeichnispartitionen

8 Multimaster-Replikation Dringlichkeitsreplikation (Urgent Replication) Lokale USN Replikationskonflikte Replikation zwischen Standorten Optimierung des Client-Anmeldeverkehrs Die logischen Komponenten der Active Directory-Domänendienste Das Active Directory-Schema Gründe für die Änderung des Active Directory-Schemas Tools zum Verwalten des Active Directory-Schemas Verzeichnispartitionen Tools zum Verwalten von Verzeichnispartitionen Gesamtstrukturen Vertrauensstellungen Bidirektionale, transitive Vertrauensstellungen Gesamtstrukturvertrauensstellung Verknüpfte Vertrauensstellung Externe Vertrauensstellung Bereichsvertrauensstellung Tools zum Verwalten von Vertrauensstellungen Domänen Tools zum Verwalten von Domänen Authentifizierung und Autorisierung Der Authentifizierungsprozess Der Autorisierungsprozess Organisationseinheiten Beispiel für die Strukturierung von Organisationseinheiten Delegierung der Verwaltungsberechtigung Tools zum Verwalten von Organisationseinheiten Standorte Tool zum Verwalten von Active Directory-Standorten Subnetz Beispiel für den Einsatz von Subnetzen in Active Directory-Domänen Tool zum Verwalten von Subnetzen Heraufstufen einer Domänen- oder Gesamtstrukturfunktionsebene Heraufstufen der Domänenfunktionsebene

9 Heraufstufen der Gesamtstrukturfunktionsebene Active Directory- Domänendienste und das Domain Name System (DNS) Die DNS-Namenszonen Forward-Lookup-Zone Reverse-Lookup-Zone DNS-Zonentypen Standardspeicherorte für DNS-Zonendaten Dynamische oder statische Registrierung DNS und DHCP Sichere dynamische Aktualisierung DNS-Ressourceneinträge SRV-Einträge Arten von Diensteinträgen Zusammenfassung Sicherheit in Active Directory-Domänendienst-Umgebungen Grundlagen Sicherheitsprinzipale Beispiel für eine Sicherheitskennung (SID) Standardmäßige Sicherheitskennungen Löschen von Objekten Discretionary Access Control List (DACL) System Access Control List (SACL) Authentifizierung & Autorisierung Zugriffstoken Kerberos V5-Protokoll Kerberos - unterstützte Verschlüsselungstypen Festlegen der AES-Verschlüsselung für Kerberos Standardmäßiger Fallback zu NTLM Kerberos-Konfiguration unter Windows Server 2012 (R2) Ports für die Kerberos-Authentifizierung Tools für die Kerberos-Verwaltung und -Problembehandlung NTLM-Protokoll Situationen für die Verwendung des NTLM-Protokolls Vergleich von LM, NTLM und NTLMv Verhindern der Zwischenspeicherung von LM-Hashes Konfiguration der Lan Manager-Authentifizierungsebene

10 3.2 Domänensicherheit Vordefinierte Sicherheit Microsoft Security Compliance Manager (SCM) Problemloser Export in Gruppenrichtlinienobjekte möglich Enthaltene Tools Sicherheitsrichtlinien für Domänencontroller Standardmäßige Gruppenrichtlinienobjekte SMB - Zugriff auf Freigaben erst ab Version Domänencontroller als Server Core-Installation Grafische Benutzeroberfläche nachträglich wieder aktivierbar Dynamische Zugriffssteuerung Verbesserte Kennwortrichtlinienverwaltung Funktionsweise Auswertelogik Schritte zum Erstellen abgestimmter Kennwortrichtlinien Anzeigen der auf einen Benutzer angewandten abgestimmten Kennwortrichtlinien Sicherheitsgruppe Protected Users Vordefinierte Schutzfunktionen Voraussetzungen für den erweiterten Schutz Überwachung der Active Directory-Domänendienste Konfiguration der erweiterten Überwachungsrichtlinien Zusätzliche Konfiguration für die erweiterte Überwachung Aktivierung der Überwachung einzelner Active Directory-Objekte Dokumentation der Änderungen in der Ereignisanzeige Zusammenfassung Teil 2: Planung, Aktualisierung und Migration Planung einer Active Directory-Domänendienste-Infrastruktur Planung der Active Directory-Domänendienste Der Masterplan Sammeln von Informationen über das Unternehmen Sammeln und Analysieren von Unternehmensanforderungen Dokumentation der vorhandenen Netzwerkinfrastruktur Projektvorbereitende Dokumentation Analysieren der Entwurfsoptionen Eine oder mehrere Gesamtstrukturen?

11 Maximale Anzahl an Domänen Maximale Anzahl an Domänencontrollern Maximale Anzahl an Active Directory-Objekten Gesamtstrukturmodelle Organisations-Gesamtstrukturmodell Ressourcen-Gesamtstrukturmodell Gesamtstrukturmodell mit eingeschränktem Zugriff Gesamtstrukturübergreifende Vertrauensstellung SID-Filterung Authentifizierungsoptionen UPN-Suffix-Routing Entwerfen einer Domänenstruktur Das Domänenmodell Anzahl der erforderlichen Domänen Die Stammdomäne der Gesamtstruktur Die Domänen- und Gesamtstrukturfunktionsebene Strategien für die Planung von DNS-Namensräumen Merkmale der verschiedenen Namensstrategien Empfehlungen für die Namensvergabe Entwerfen einer Standorttopologie Standorte (Sites) Subnetz Standortverknüpfung (Site Link) Standortverknüpfungsbrücke (Site Link Bridge) Replikationsprotokolle Bridgeheadserver Platzierung von Domänencontrollern Empfehlungen für die Anzahl von Domänencontrollern Schreibgeschützte Domänencontroller Voraussetzung für den Einsatz von RODCs RODC als globaler Katalogserver RODC und die Zwischenspeicherung der universellen Gruppenmitgliedschaft RODC und die Betriebsmasterrollen (FSMO-Roles) RODC und die Bridgehead-Server Delegierung von RODCs Schreibgeschützter DNS

12 4.3.3 Platzieren globaler Katalogserver Globaler Katalog und der Anmeldeprozess Globaler Katalog und die Infrastrukturmasterrolle Der globale Katalog und Remote-Standorte Richtlinien für die Platzierung von globalen Katalogservern Platzieren der Betriebsmasterrollen Standardmäßige Platzierung von Betriebsmasterrollen Richtlinien für die Platzierung von Betriebsmasterrollen Active Directory-Gesamtstruktur mit einer einzigen Domäne Active Directory-Gesamtstruktur mit mehreren Domänen Entwerfen einer Verwaltungsinfrastruktur Bestimmen eines Verwaltungsmodells Verwaltungsmodelle Weitere Gesichtspunkte für die Auswahl eines Verwaltungsmodells Planen einer Struktur für Organisationseinheiten Delegieren der Verwaltungsfunktionalität Vererbung der Verwaltungsberechtigung Empfehlungen für den Entwurf von Organisationseinheitenstrukturen Entwerfen von Strukturen für die Verwendung von Gruppenrichtlinienobjekten Empfehlungen für die Planung der Struktur der Organisationseinheiten für die Verwendung von Gruppenrichtlinienobjekten Entwerfen einer Strategie für Objekte Benutzerobjekte Unterschiede zwischen lokalen und Domänenbenutzerkonten Eindeutigkeit anhand von Benutzerobjekten Namensstrategie Teilzeitkräfte, externe Mitarbeiter, Praktikanten und Dienstkonten Benutzerprinzipalnamen (UPN) Entwerfen einer Kennwortrichtlinie für Benutzerobjekte InetOrgPerson-Objekte Kontaktobjekte Gruppenobjekte Gruppentypen Konvertierung von Gruppen Gruppenbereiche Delegierung der Verwaltung der Gruppenmitgliedschaft

13 Active Directory-Standardgruppen Planungsstrategien für Gruppen Die A-G-DL-P -Regel Die A-G-G-DL-P -Regel Die A-G-U-DL-P -Regel Die A-G-L-P -Regel Die A-G-P -Regel Verwendung neuer oder vorhandener Gruppen? Besondere Identitäten Computerobjekte Sicherheit durch Kennwortvereinbarung Zurücksetzen von Computerkonten Standardcontainer für Computerobjekte Speicherung von Computerobjekten Druckerobjekte Gruppenrichtlinien für die Druckerkonfiguration Druckerstandorte Freigegebene Ordner-Objekte Zusammenfassung Aktualisieren vorhandener Gesamt- und Domänenstrukturen Planen der Aktualisierungspfade Unterstützte Aktualisierungspfade zu Windows Server 2012 R Unterstützte Aktualisierungspfade zu Windows Server Planen der Domänen- und Gesamtstrukturfunktionsebene Vergleich der Domänen- und Gesamtstrukturfunktionsebenen Mitgliedsserver und Clientcomputer Windows 8/8.1 und Windows 10 als Clientbetriebssystem Der Aktualisierungsvorgang Aktualisierung des Betriebssystems der Domänencontroller Domänenaktualisierung durch das Hinzufügen von Windows Server 2012 R2 bzw. Windows Server 2012-Domänencontrollern Vorbereitung der Active Directory-Umgebung Vorbereitung der Active Directory-Gesamtstruktur Vorbereitung der Active Directory-Domäne Vorbereitung der Domänen für den Einsatz eines RODCs

14 Aktualisieren der Berechtigungen für DNS-Anwendungsverzeichnispartitionen mittels adprep.exe Zusammenfassung Migration von Gesamtstrukturen und Domänen Mögliche Migrationspfade Neustrukturierung SID-History und der Zugriff auf Ressourcen Gesamtstrukturübergreifende Migration Einrichtung der neuen Gesamtstruktur Erstellen von Benutzerkonten für den Migrationsvorgang Einrichtung von Vertrauensstellungen Installation des Active Directory Migration Tools (ADMT) Mögliche Migrationsschritte mit ADMT Migration von Benutzerkontenkennwörtern Aktivierung der Überwachung in der Quell- und Zieldomäne Migration der Gruppen Migration der Benutzerkonten Migration von Benutzerkonten in der Praxis Migration der Computerkonten Migration der Dienstkonten Migration der Domänenressourcen der Quell- zur Zieldomäne Auflösung der alten Gesamtstruktur Gesamtstrukturinterne Migration Wichtiger Unterschied zur gesamtstrukturübergreifenden Migration Alternative zur Migration: Gesamtstrukturvertrauensstellungen Vor- und Nachteile Einrichtung von Gesamtstrukturvertrauensstellungen Zusammenfassung Teil 3: Implementierung, Verwaltung und Wartung Installation und Konfiguration von Windows Server 2012 R Neuinstallation oder Aktualisierung? Neuinstallation von Windows Server 2012 R Voraussetzungen Hardwareanforderungen Bestimmen der zu verwendenden Betriebssystemedition

15 Verfügbare Betriebssystemeditionen Enthaltene Virtualisierungsrechte Erweiterbarkeit der Virtualisierungsrechte Spätere Aktualisierung von Standard- auf Datacenter-Lizenz Spätere Aktualisierung von Essentials- auf Standard-Lizenz Digital signierte Treiber erforderlich Schritte zur Vorbereitung der Installation Installationsschritte Unbeaufsichtigte Installation Konfigurationsschritte nach der Installation Systemeigenschaften im Server-Manager Schritte zur Konfiguration der Systemeigenschaften Aktivierung des Betriebssystems Produktaktivierung oder Volume Activation Volumenaktivierung (Volume Activation) Aktivierung über Active Directory (Einzel-)Produktaktivierung Aktivierung über das Internet Telefonische Aktivierung Aktivierung über die Kommandozeile Erneute Aktivierung? Aktualisierung vorhandener Serversysteme Unterstützte Aktualisierungspfade Notwendige Schritte vor der Aktualisierung Digital signierte Treiber erforderlich Vorbereitung der Active Directory-Umgebung Vorbereitung der Active Directory-Gesamtstruktur (forestprep) Vorbereitung der Active Directory-Domäne (domainprep) Durchführung der Serveraktualisierung Überprüfung der erfolgreichen Aktualisierung Zusammenfassung Implementierung und Verwaltung von Domain Name System (DNS) Installation der DNS-Serverrolle Installationsschritte DNS-Namenszonen