5 Benutzer und Gruppen in ADDS-Domänen

Transkript

1 5 Benutzer und Gruppen in ADDS-Domänen 5.1 Verwaltung von Benutzern Im Snap-In Active Directory Benutzer und Computer findet sich ein Container Users, in welchem Benutzerkonten angelegt werden können. 72 Mag. Christian Zahler, Stand: Mai 2010

2 5.2 Verwaltung von Gruppen und NTFS-Berechtigungen Lokale Gruppen: können auf Mitgliedsservern oder Workstations eingerichtet werden. Werden in der Registry des Mitgliedsservers bzw. der Workstation abgelegt. Können aber nur für Ressourcen des entsprechenden PCs verwendet werden! Domänen-lokale Gruppen: werden im Active Directory angelegt und entsprechen den lokalen Gruppen mit dem Unterschied, dass durch die AD-Replikation domänenlokale Gruppen auf allen Domänencontrollern gespeichert sind. Sie können für Berechtigungszuweisungen auf Domänencontrollern und Mitgliedscomputern verwendet werden. Mag. Christian Zahler, Stand: Mai

3 Globale Gruppen: sind in der gesamten Domäne und allen vertrauten Domänen verfügbar! Universelle Gruppen: sind in der Gesamtstruktur (im Forest) verfügbar, können jeder Domäne angehören; dienen zur Zusammenfassung globaler Gruppen. Abbildung 1: Zugriffsberechtigungen in Gesamtstrukturen mit nur einer Domäne Abbildung 2: Zugriffsberechtigungen in Multi-Domänen-Gesamtstrukturen Globale Gruppen können nur User der eigenen Domäne enthalten. Lokale Gruppen können auch User von anderen Domänen enthalten. Globale Gruppen können in lokale Gruppen eingefügt werden, aber nicht umgekehrt! 74 Mag. Christian Zahler, Stand: Mai 2010

4 5.3 Domänen-Funktionsebenen von Windows Server 2008 R2- Domänen Funktionsebenen bestimmen die Features von Active Directory-Domänendiensten (Active Directory Domain Services, AD DS), die in einer Domäne oder Gesamtstruktur aktiviert sind. Außerdem beschränken sie, welche Windows Server-Betriebssysteme auf den Domänencontrollern in der Domäne oder der Gesamtstruktur ausgeführt werden können. Die Funktionsebenen haben jedoch keine Auswirkung darauf, welche Betriebssysteme auf den Arbeitsstationen und Mitgliedsservern in der Domäne oder der Gesamtstruktur ausgeführt werden können. Grundsätzlich sollte eine möglichst hohe Domänenfunktionsebene angestrebt werden. Windows 2000 einheitlich (native): Standardeinstellung; Windows Server 2008 R2 DCs, Windows Server 2008 DCs, Windows Server 2003 DCs, Windows 2000 DCs Windows Server 2003: Windows Server 2003 DCs, Windows Server 2008 DCs, Windows Server 2008 R2 DCs Windows Server 2008: Windows Server 2008 DCs, Windows Server 2008 R2 DCs Windows Server 2008 R2: nur Windows Server 2008 R2 DCs Ändern der Domänenfunktionsebene: Das Ändern der Domänenfunktionsebene erfolgt im Snap-In "Active Directory-Benutzer und -Computer". Ausgangsstatus: Windows 2000 einheitlich. Durchführen der Umstufung: Mag. Christian Zahler, Stand: Mai

5 Die Änderungen lassen sich am besten in den Eigenschaften des Domänencontrollers verfolgen: Domänenfunktionsebene Windows 2000 Domänenfunktionsebene Windows Server 2003 : einheitlich : 76 Mag. Christian Zahler, Stand: Mai 2010

6 Verfügbare Funktionalität ab Domänenfunktionsebene Windows 2000 einheitlich (engl. Windows 2000 native ): universelle Gruppen Gruppenverschachtelung Gruppentypkonvertierung SID-Verlauf Für Domänencontroller, auf denen höhere Versionen von Windows Server ausgeführt werden, sind einige erweiterte Funktionen nicht verfügbar, solange die Domäne sich auf der Funktionsebene von Windows 2000 einheitlich befindet. Verfügbare Funktionalität ab Domänenfunktionsebene Windows Server 2003 : Zusätzlich zu den in der Domänenfunktionsebene "Windows 2000 einheitlich" verfügbaren Features kommen folgende Features hinzu: Eingeschränkte Delegierung zur Nutzung der sicheren Delegierung von Benutzeranmeldeinformationen mithilfe des Kerberos-Authentifizierungsprotokolls. Updates für "lastlogontimestamp": Das Attribut "lastlogontimestamp" wird mit der letzten Anmeldezeit des Benutzers oder des Computers aktualisiert und innerhalb der gesamten Domäne repliziert. Möglichkeit, das Attribut "userpassword" als effektives Kennwort für "inetorgperson" und Benutzerobjekte zu verwenden. Möglichkeit, die Benutzer- und Computercontainer zum Festlegen eines neuen bekannten Speicherorts für Benutzer- und Computerkonten umzuleiten. Minimale Voraussetzung für Installation eines Read Only Domain Controllers (RODC) Verfügbare Funktionalität ab Domänenfunktionsebene Windows Server 2008 : Zusätzlich zu den in der Domänenfunktionsebene "Windows Server 2003" verfügbaren Features kommen folgende Features hinzu: Mag. Christian Zahler, Stand: Mai

7 Replikationsunterstützung für SYSVOL durch das verteilte Dateisystem (DFS), das eine stabilere und genauer abgestimmte Replikation von SYSVOL-Inhalt ermöglicht. Unterstützung des Kerberos-Protokolls durch die erweiterten Verschlüsselungsdienste (AES 128 und 256). Letzte interaktive Anmeldeinformationen, mit denen der Zeitpunkt der letzten erfolgreichen interaktiven Anmeldung eines Benutzers, die Anzahl der fehlgeschlagenen Anmeldeversuche seit der letzten Anmeldung und der Zeitpunkt der letzten fehlgeschlagenen Anmeldung angezeigt werden. Abgestimmte Kennwortrichtlinien, die ermöglichen, dass Kennwort- und Kontosperrungsrichtlinien für Benutzer und globale Sicherheitsgruppen in einer Domäne angegeben werden können Verfügbare Funktionalität ab Domänenfunktionsebene Windows Server 2008 R2 : Die auf der Domänenfunktionsebene von Windows Server 2008 R2 verfügbaren Features umfassen neben den auf der Domänenfunktionsebene von Windows Server 2008 verfügbaren Features zusätzlich folgendes Feature: Authentifizierungszusicherung, mit der anhand des Kerberos-Tokens eines Benutzers bestimmt werden kann, welche Anmeldemethode von diesem Benutzer verwendet wurde. 5.4 Gesamtstruktur-Funktionsebenen von Windows Server 2008 R2-Gesamtstrukturen Das Ändern der Gesamtstruktur-Funktionsebene erfolgt im Snap-In "Active Directory-Domänen und - Vertrauensstellungen". 78 Mag. Christian Zahler, Stand: Mai 2010

8 Verfügbare Features ab Gesamtstruktur-Funktionsebene Windows 2000 : Die Gesamtstruktur-Funktionsebene Windows 2000 bietet alle Features für die Active Directory- Domänendienste, die bereits in Windows 2000 Server verfügbar waren. Für Domänencontroller, auf denen höhere Versionen von Windows Server ausgeführt werden, sind einige erweiterte Features nicht verfügbar, solange sich diese Gesamtstruktur auf der Windows 2000-Funktionsebene befindet. Verfügbare Features ab Gesamtstruktur-Funktionsebene Windows Server 2003 : Die Gesamtstruktur-Funktionsebene Windows Server 2003 bietet neben allen in der Gesamtstruktur- Funktionsebene Windows 2000 verfügbaren Features auch die folgenden zusätzlichen Features: Verknüpfte Wertreplikation zur Verbesserung der Replikation von Änderungen an Gruppenmitgliedschaften. Effizientere Erzeugung von komplexen Replikationstopologien durch die Konsistenzprüfung (KCC). Gesamtstrukturvertrauensstellung zur unkomplizierten Freigabe von internen Ressourcen innerhalb mehrerer Gesamtstrukturen. Alle neuen in dieser Gesamtstruktur erstellten Domänen werden automatisch auf der Domänenfunktionsebene von Windows Server 2003 ausgeführt. Verfügbare Features ab Gesamtstruktur-Funktionsebene Windows Server 2008 : Alle Features, die auf der Gesamtstrukturfunktionsebene Windows Server 2003 verfügbar sind, jedoch keine zusätzlichen Features. Alle Domänen, die anschließend der Gesamtstruktur hinzugefügt werden, werden jedoch standardmäßig auf der Domänenfunktionsebene Windows Server 2008 ausgeführt. Verfügbare Features ab Gesamtstruktur-Funktionsebene Windows Server 2008 R2 : Papierkorb: Bietet (sofern aktiviert) die Möglichkeit zum Wiederherstellen gelöschter Objekte in ihrer Gesamtheit, während die Active Directory-Domänendienste ausgeführt werden. Alle in der Gesamtstruktur erstellten neuen Domänen werden standardmäßig auf der Domänenfunktionsebene von Windows Server 2008 R2 ausgeführt. Mag. Christian Zahler, Stand: Mai

9 6 Gruppenrichtlinien 6.1 Konzept, Einrichten von Gruppenrichtlinien Im Gegensatz zu NTFS-Berechtigungen (engl. permissions), die den Zugriff auf Dateien, Ordner und Drucker steuern, gibt es auch (Benutzer-)Rechte. Rechte sind unabhängig von Dateien und Ordnern, zum Beispiel das Recht, Netzwerkkonfigurationen zu ändern, Programme zu installieren oder die Uhrzeit umzustellen. Gruppenrichtlinien (engl. group policies) dienen zur Steuerung von Benutzerrechten, aber auch zur zentralen Konfiguration von Benutzerumgebungen durch Ändern von Registry-Einträgen, zur Softwareverteilung oder Installation von X.509-Zertifikaten. Man unterscheidet Computerrichtlinien und Benutzerrichtlinien. Technisch gesehen bestehen Gruppenrichtlinien teils aus Registry-Einträgen, teils aus auf IntelliMirror-Technologie beruhenden Dateiübertragungsvorgängen. Die Gruppenrichtlinien werden in Gruppenrichtlinienobjekten (engl. group policy objects, GPOs) zusammengefasst. Beachten Sie: GPOs alleine wirken weder auf Benutzer- noch auf Computerobjekte. Dafür muss erst eine Gruppenrichtlinienobjektverknüpfung erstellt werden, die angibt, auf welchen Active Directory- Container (Standort, Domäne, Organisationseinheit) die Richtlinien in diesem Objekt wirken sollen. Diese Verknüpfung kann stattfinden: auf Standort-Ebene (Site-Ebene) auf Domänenebene (hier müssen Kennwort-, Überwachungs- und Kontorichlinien definiert werden) auf Organisationseinheiten-Ebene auf der Ebene des lokalen PCs Dabei gilt, dass lokale Richtlinien beim Vorhandensein von Domänenrichtlinien überschrieben werden. Ein Gruppenrichtlinienobjekt besteht aus zwei Komponenten: Gruppenrichtlinienvorlage (GPT, Group Policy Template): Diese Vorlagen enthalten alle tatsächlichen Einstellungen und sind als Unterordner des Ordners %systemroot%\sysvol\domäne\policies sichtbar. Jede GPT ist durch eine GUID (Globally Unique Identifier) bezeichnet. 80 Mag. Christian Zahler, Stand: Mai 2010

10 Gruppenrichtliniencontainer (GPC, Group Policy Container): Darunter versteht man ein Active Directory-Objekt, in welchem Informationen zum Gruppenrichtlinienobjekt und zur Vorlage gespeichert sind. So ist etwa feststellbar, welche GUID das Gruppenrichtlinienobjekt hat. Die verfügbaren Einstellungen stammen aus XML-Dateien mit der Dateierweiterung *.admx, die unter C:\Windows\PolicyDefinitions gespeichert sind. Standardmäßig werden alle *.admx-dateien geladen. (Anmerkung: Bis Windows XP/Windows 2003 waren es Textdateien mit der Dateierweiterung *.adm.) Jede Richtlinie ist in diesen Definitionen durch einen Abschnitt etwa folgender Gestalt repräsentiert (Beispiel: Abschalten der Vista-Sidebar): <policy name="turnoffsidebar_1" class="user" displayname="$(string.turnoffsidebar)" explaintext="$(string.turnoffsidebar_explain)" key="software\microsoft\windows\currentversion\policies\windows\sidebar" valuename="turnoffsidebar"> <parentcategory ref="sidebar" /> <supportedon ref="windows:supported_windowsvista" /> <enabledvalue> <decimal value="1" /> </enabledvalue> <disabledvalue> <decimal value="0" /> </disabledvalue> </policy> Der Wert im Attribut key entspricht der Registry-Einstellung, die durch diese Richtlinie beeinflusst wird. Die erklärenden Texte, die in der GPMC angezeigt werden, sind in Unterordnern dieses Ordners sprachlich getrennt enthalten (deutsche Texte im Unterordner de-de, englische Texte im Unterordner en-us usw.). Auf diesem Weg kann das Konzept der Gruppenrichtlinien jederzeit erweitert werden. Die Bezeichnung Gruppenrichtlinien ist insofern irreführend, als diese Richtlinien nicht mit Active Directory-Gruppen verknüpft werden können. Für die Verwaltung lokaler Gruppenrichtlinien öffnet man direkt die Konsolendatei gpedit.msc. Die Ausführung von Gruppenrichtlinien wird seit Windows Vista von einem eigenen Clientdienst durchgeführt, dem Gruppenrichtlinienclient (gpsvc). Aktualisieren von Gruppenrichtlinien: Durch Ausführen von gpupdate /force auf dem Zielcomputer (ab Windows XP) werden die Gruppenrichtlinien sofort aktualisiert. Ist auf dem Zielcomputer Windows 2000 installiert, so muss stattdessen folgender Befehl ausgeführt werden: Mag. Christian Zahler, Stand: Mai