Mehr Sicherheit für Domänencontroller

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Funktionsweise des Read-Only-Domain-Controllers

Bei einer Authentifizierungsanfrage muss der RODC einen vollwertigen Domänencontroller kontaktieren und die Anfrage weiterleiten, sofern er die benötigten Anmelddaten nicht zwischengespeichert hat. Hierzu stellt der RODC eine unidirektionale Verbindung zu einem anderen Domänencontroller her. Auch Anwendungen, die schreibenden Zugriff auf das Active Directory benötigen, werden vom RODC an einen Domänencontroller mit Schreibberechtigung verwiesen. Nur lesende Zugriffe auf den Verzeichnisdienst kann der RODC selbständig bearbeiten. Da ein RODC keine Daten auf andere Domänencontroller im Netz repliziert, kann somit ein kompromittierter RODC die Änderungen nicht systemweit im Verzeichnis verbreiten.

Was bei der Einrichtung eines RODCs zu beachten ist

Die Installation eines RODCs erfolgt während der Ausführung des Active Directory Installationsassistenten (DCPROMO). Zuvor sind jedoch noch einige Voraussetzungen sicher zu stellen:

• Ein beschreibbarer Domänencontroller ist eingerichtet und erreichbar
• Die Gesamtstrukturfunktionsebene ist Windows Server 2003 oder Windows Server 2008
• Die Betriebsmasterrolle PDC-Emulator wird auf einem Server unter Windows Server 2008 ausgeführt

Zusätzlich ist in Gesamtstrukturen, die nicht neu unter Windows Server 2008 eingerichtet wurden und ausschließlich Windows 2008 Server enthalten, ein Schemaupdate erforderlich. Hierfür kann das Active Directory Preparation Tool mit dem Parameter adprep /rodcprep ausgeführt werden (zuvor muss der Inhalt des Ordners \sources\adprep von der Windows Server 2008-Installations-DVD auf den Schemamaster kopiert werden).

(ID:2011887)