Die Zukunft der Zugriffsrechte in der Praxis Dynamic Access Control mit Windows Server 2012/2012 R2

Die dynamische Zugriffssteuerung (Dynamic Access Control, DAC) in Windows Server 2012 (R2) soll Unternehmen bei der Verwaltung von Datei-Berechtigungen helfen. Die Funktions­weise von DAC ist recht einfach, denn die Rechte, die Anwender für ein Dokument erhalten, sind im Dokument selbst als Metadaten und die Regeln in Active Directory gespeichert.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Specops Software GmbH

Microsoft Deutschland GmbH

Bei Dynamic Access Control (DAC) bleiben die Datei-Berechtigungen, also Lesen, Schreiben, Drucken und mehr, im Dokument immer gültig, unabhängig davon, ob das Dokument bzw. die Datei in einen anderen Ordner verschoben, als E-Mail verschickt oder in SharePoint gespeichert wird.

DAC soll aber nicht die herkömmlichen Rechte auf Basis der Access Control List (ACL) ersetzen, sondern diese ergänzen, damit Rechte besser skalierbar sind. Wie bei ACL auch, setzen sich immer die restriktiveren Rechte durch, das gilt auch, wenn Unternehmen ACL und DAC parallel einsetzen.

Grundlagen zur dynamischen Zugriffssteuerung

Rechte werden in DAC über „Claims“ gewährt. Auf deutschen Servern tragen diese die Bezeichnung „Ansprüche“. Basis der Claims sind verschiedene Attribute für Objekte und Anwender in Active Directory. Bei der Einrichtung legen Administratoren daher zunächst Claim Types (Anspruchtypen) fest. Diese verwenden Attribute in Active Directory. Die Einrichtung erfolgt über das Active-Directory-Verwaltungscenter. Hier sind auch die verschiedenen Attribute zu sehen, die sich den Claim Types zuordnen lassen. Im Active-Directory-Verwaltungscenter steuern Administratoren alle Zugriffe und Attribute, die sie verwenden (siehe Abbildung 1).

Unternehmen können auf diesem Weg beispielsweise festlegen, dass nur Mitarbeiter in einer bestimmten Niederlassung und Abteilung fest definierte Dokumente lesen und bearbeiten können. Für die Dokumente können Administratoren wiederum Attribute festlegen. Bei der Zuteilung von Rechten spielt es dann keine Rolle, in welchem Verzeichnis die Datei gespeichert wird. Sobald ein Benutzer aus Active Directory zugreift, überprüft DAC, ob es Zugriffsregeln für die Datei gibt und weist die Rechte entsprechend zu.

Die dazu gehörigen Rechte liest DAC aus dem Active Directory aus. Es spielt daher eine wichtige Rolle, dass Administratoren die Attribute, die in DAC verwendet werden, auch in den Einstellungen der Benutzer korrekt setzen. Sind hier bestimmte Werte nicht gepflegt, funktioniert auch die Rechteverwaltung nicht.

Resource Property Lists

Resource Property Lists fassen Attribute zusammen, die Anwendern den Dokumenten und Verzeichnissen zuteilen können. Natürlich lassen sich diese Vorgänge auch automatisieren. Verwenden Administratoren aber die Standard-Eigenschaften muss keine Liste angelegt werden. Hier gibt es bereits eine vorgefertigte Liste, welche diese Standard-Eigenschaften bereits enthält (siehe Abbildung 2). Attribute lassen sich aber natürlich beliebig anlegen und zuweisen.

Den Zugriff auf die Dokumente bestimmen wiederum die Regeln, welche die erstellten Claim Types und die Eigenschaften der Dokumente verwenden, um Zugriff zu erteilen. In den Regeln legen Administratoren fest, welche Rechte Anwendern zugeteilt werden sollen, wenn diese über bestimmte Attribute, zum Beispiel Abteilung, Standort, etc. verfügen. Diese Regeln lassen sich dann an die Eigenschaften der Dokumente binden. Wir kommen später noch zu diesen Regeln.

Zentrale Zugriffsregel vs. zentrale Zugriffsrichtlinie

Die zentralen Zugriffsregeln steuern also, welche Berechtigungen einem bestimmten Satz Ressourcen, Dateien, Ordner oder Bibliotheken, zugewiesen sind. Während die zentrale Zugriffsrichtlinie steuert, wer zugreifen darf, steuern zentrale Zugriffsregeln, mit welchen Rechten die Anwender auf die klassifizierten Dateien zugreifen dürfen und welche Ressourcen die Regel verwendet. Diese Regeln, mit der Bezeichnung Central Access Rules sind ebenfalls im Active-Directory-Verwaltungscenter im Bereich „Dynamische Zugriffssteuerung“ zu finden (siehe Abbildung 3).

Beispielsweise dürfen nur Benutzer, die als Geschäftsführer definiert sind, auf Dokumente zugreifen, welche die Eigenschaften „Vertraulich“ aufweisen. Hier besteht auch die Möglichkeit, Bedingungen zu verknüpfen und komplexere Regelwerke zu erstellen. Man kann also bspw. die obere Regel noch um eine Bedingung zu ergänzen; bspw. dass der Zugriff nur von PCs aus erlaubt ist, die sich im Firmengebäude befinden, keine Notebooks.

Regeln werden zu Richtlinien zusammengefasst und mit den Servern im Unternehmen verbunden. Dazu steht im Active-Directory-Verwaltungscenter der Bereich „Dynamische Zugriffssteuerung\Central Access Policy“ zur Verfügung. Hier können Administratoren eigene Regeln erstellen, oder vorhandene Regeln bearbeiten (siehe Abbildung 4).

Damit die Regeln funktionieren, müssen die Eigenschaften der Dokumente (Resource Properties) auf die Dokumente klassifiziert werden. Am besten verwenden Unternehmen hier den Dateiserver-Ressourcen-Manager (FSRM), der zu den Bordmitteln in Windows Server 2012/2012 R2 gehört. Microsoft stellt für diese Zwecke aber auch das Microsoft Data Classification Toolkit zur Verfügung, mit dem Administratoren Dateien und Verzeichnisse klassifizieren können.

Auf Basis der Klassifizierung erstellen Administratoren die bereits erwähnten zentralen Zugriffsrichtlinien (Central Access Policies, CAPs). Auch diese legen Administratoren im Active-Directory-Verwaltungscenter fest. Die Richtlinien steuern, welche Rechte Anwender auf Ressourcen haben, die dieser zentralen Richtlinie zugeordnet sind.

Darf ein Anwender auf eine Datei über das Dateisystem zugreifen, verweigert die CAP aber den Zugriff, ist das Öffnen der Datei trotzdem nicht zulässig. Dies gilt auch umgekehrt. Verweigerungen haben auch in Windows Server 2012 R2 immer Vorrang vor erteilten Berechtigungen.

AD RMS und dynamische Zugriffssteuerung

AD RMS und die dynamische Zugriffssteuerung arbeiten zusammen. Wie bei der Rechteverwaltung lassen sich auch bei der dynamischen Zugriffssteuerung Richtlinien für den Zugriff auf Dateien erstellen (siehe Abbildung 5).

(ID:42855519)