Was ist Database Security: Top 13 der besten Praktiken

Active Directory (AD) wurde 1999 eingeführt und das Verständnis dieser Kerntechnologie ist heutzutage eine grundlegende Anforderung für die meisten IT-Administratoren. In diesem Teil des Tutorials, bieten wir einen Überblick über die Grundlagen von AD, einschließlich dessen, was eine Active Directory-Domäne ist.

AD Grundlagen

Was ist AD?

Active Directory ist der Verzeichnisdienst in Microsoft-Netzwerken verwendet. Ein Verzeichnisdienst (oder Namensdienst) verbindet Netzwerkressourcen (wie Laufwerke, Ordner, Dateien, Drucker, Benutzer, Gruppen und Geräte) mit ihren jeweiligen Netzwerkadressen und stellt diese Informationen den Entitäten im Netzwerk zur Verfügung. Mit anderen Worten, AD ist eine Sammlung von Datenbanken und Diensten, die dazu verwendet werden, Netzwerkressourcen zu organisieren, zu finden und zu verwalten.

Was macht AD?

Die Active Directory-Datenbank speichert Informationen über Benutzer und Computer, einschließlich ihrer Namen und Zugriffsrechte. Das Active Directory Schema definiert die Objekte, die im Verzeichnis gespeichert werden können.

Active Directory Domain Services (AD DS) steuern viele der Operationen Ihrer IT-Umgebung und helfen dabei, die Verzeichnissicherheit zu gewährleisten, indem sie die folgenden Prozesse verwalten:

• Authentifizierung — Sicherstellen, dass jeder Sicherheitsgrundsatz der ist, der er vorgibt zu sein, üblicherweise durch Überprüfung von Anmeldeinformationen wie Benutzer-ID und Passwort während eines Anmeldevorgangs.
• Autorisierung — Sicherstellen, dass jeder Sicherheitsgrundsatz nur auf die Daten und Dienste zugreifen kann, zu denen er Zugang hat.
• Namensauflösung — Ermöglicht Clients und Domänencontrollern, sich gegenseitig zu finden und zu kommunizieren. AD DS verwendet DNS als primäre Methode zur Namensauflösung.
• Zentralisiertes Management — Steuerung einer Vielzahl von Einstellungen von einem einzigen Ort aus über eine Funktion namens Group Policy.

Was beinhaltet AD?

Eine grundlegende Einheit von Active Directory ist das Domain. Ein AD-Domain ist eine logische Gruppe von Objekten, die gemeinsame Verwaltung, Sicherheit und Replikationseinstellungen teilen. Mit Active Directory-Domains können IT-Teams Verwaltungsgrenzen definieren und Sets von Geräten, Diensten und Systemen zentralisiert verwalten.

Ein domain controller (DC) ist ein Server, der Active Directory-Domänendienste ausführt und Daten, die in AD gespeichert sind, für die Benutzerauthentifizierung und -autorisierung, Gruppenverwaltung, Richtlinienverwaltung und zusätzliche Funktionen verwendet. In der Praxis haben Organisationen typischerweise mehrere Domain-Controller in lokalen Rechenzentren und/oder in der Cloud. Jeder DC in einer Domäne hält eine Kopie der AD-Datenbank, und sie synchronisieren Daten untereinander mithilfe der Active Directory-Replikation. DCs können auch den global catalog speichern — ein schreibgeschütztes Register aller Objekte im Verzeichnis der Domäne und eine Teilkopie aller Objekte in allen anderen Domänen im Wald, um die Suche nach Informationen über Objekte zu erleichtern. Ein DC mit dieser aktivierten Funktion wird als global catalog Server bezeichnet. Das primäre Zugriffsprotokoll für Active Directory ist das Lightweight Directory Access Protocol (LDAP).

Wie wird AD verwaltet?

Die Verwaltung von Active Directory kann über native Tools auf Domänencontrollern durchgeführt werden, wie zum Beispiel:

• Active Directory-Verwaltungszentrum
• Active Directory-Domänen und Vertrauensstellungen
• Active Directory-Standorte und -Dienste
• Active Directory Benutzer und Computer
• ADSI Edit
• Active Directory-Modul für Windows PowerShell

Diese Tools können auch als Teil der Remote Server Administration Tools (RSAT) auf Arbeitsstationen installiert werden, um Administratoren die Fernverwaltung von AD zu ermöglichen.

AD-Struktur

Nachdem wir die grundlegenden Konzepte von AD behandelt haben, lassen Sie uns die Struktur des Active Directory überprüfen. Active Directory enthält mehrere logische Einheiten, die hierarchisch organisiert sind. Von der kleinsten bis zur größten sind sie:

• Objekte
• Organisationseinheiten (OUs)
• Domains
• Bäume
• Wälder

Objekte

Ein Active Directory Object ist die kleinste logische Einheit. Beispiele umfassen:

• Benutzerkonto
• Computerkonto
• Gruppe
• Drucker
• Teilen

Objekte haben ein oder mehrere Attribute, die ihre Eigenschaften, Grenzen und das Format definieren. Attributwerte können mehrwertig, Zeichenketten, Ganzzahlen, Boolesch (wahr oder falsch) oder andere Typen sein. Die Attribute, die jedes Objekt hat, sind im Schema festgelegt.

Organisationseinheiten (OUs)

AD-Objekte innerhalb einer Domäne können in logische Container namens organizational units (OUs) gruppiert werden. OUs sind ebenfalls Objekte, was Administratoren ermöglicht, verschachtelte OUs zu erstellen. Alle Objekte in einer bestimmten OU müssen eindeutige Namen haben, und jedes Objekt kann zu einem bestimmten Zeitpunkt nur in einer OU sein.

Achten Sie darauf, OUs nicht mit AD-Gruppen zu verwechseln. Eine Gruppe ist eine Sammlung von AD-Objekten, wie Benutzern, deren Mitgliedschaft in der Gruppe ihnen bestimmte Berechtigungen gewährt. Ein bestimmter Benutzer kann (und ist es üblicherweise) Mitglied mehrerer Gruppen sein. Die Verwirrung entsteht typischerweise, weil Gruppenrichtlinienobjekte (GPOs) mit OUs verknüpft werden können (aber nicht mit Gruppen), was ebenfalls beeinflusst, was Benutzer, Computer und andere Objekte tun können und was nicht.

Domains

Eine Active Directory-Domäne ist eine logische Gruppe von Objekten (Benutzer, Computer, OUs usw.), die vom selben administrativen Team verwaltet wird und sich normalerweise im selben physischen Netzwerk befindet.

Bäume

Domänen sind in Bäume organisiert. Ein AD DS-Baum besteht aus mehreren Domänen, die durch bidirektionale transitive Vertrauensstellungen verbunden sind. Jede Domäne in einem AD DS-Baum teilt sich ein gemeinsames Schema und einen globalen Katalog.

Wälder

Der Active Directory forest ist die höchste Ebene der Hierarchie. Während Domänen administrative Grenzen darstellen, sind Wälder die Haupt-Sicherheitsgrenze für AD DS; es wird davon ausgegangen, dass alle Domänenadministratoren innerhalb eines Waldes bis zu einem gewissen Grad vertrauenswürdig sind. Objekte in getrennten Wäldern können nicht miteinander interagieren, es sei denn, die Administratoren dieser Wälder erstellen eine Vertrauensstellung zwischen ihnen.

Physische Struktur

Lassen Sie uns kurz auf die physische Struktur von Active Directory eingehen. Sie lässt sich unterteilen in:

• Hosts — Geräte, die mit dem Domain-Netzwerk verbunden sind
• Subnets — Netzwerkgruppen mit einem festgelegten Bereich von IP-Adressen und einer Netzwerkmaske
• Standorte — Gruppen von einer oder mehreren Subnetzen, die verwendet werden, um die Bandbreitennutzung durch den DC-Replikationsdienst zu optimieren

Active Directory-Dienste

Schließlich bestehen Active Directory-Dienste aus mehreren Verzeichnisdiensten. Wir haben bereits über Active Directory Domain Services (AD DS) gesprochen. AD DS verwendet Informationen über im Verzeichnis gespeicherte Objekte, um Benutzer zu authentifizieren und ihnen zu autorisieren, gemäß ihren Zugriffsrechten Aktionen durchzuführen.

Wenn Menschen über Active Directory sprechen, meinen sie normalerweise Active Directory Domain Services. Es gibt jedoch auch andere Active Directory services, einschließlich:

• Active Directory Lightweight Directory Services (AD LDS) — Stellt Verzeichnisdienste für Anwendungen bereit
• Active Directory Certificate Services (AD CS) — Erstellt und verwaltet digitale Zertifikate, die in Sicherheitssystemen verwendet werden, die auf öffentlichen Schlüsseltechnologien basieren
• Active Directory Federation Services (AD FS) — Bietet Single Sign-On (SSO)-Fähigkeiten für Systeme und Anwendungen über Organisationsgrenzen hinweg
• Active Directory Rights Management Services (AD RMS) — Bietet detaillierte Kontrolle über den Zugriff auf Dokumente, indem Management- und Entwicklungswerkzeuge für die Arbeit mit insider threat prevention und anderen Sicherheitstechnologien wie Verschlüsselung, Zertifikate und Authentifizierung bereitgestellt werden

Für weitere Informationen

Sie können mehr über die grundlegenden Active Directory-Konzepte erfahren, indem Sie unser eBook lesen, What is Active Directory.