Video-Tipp: Löschschutz im AD

Objekte im Active Directory vor dem Löschen schützen

| Autor / Redakteur: Thomas Joos / Peter Schmitz

Mit dem erweiterten Löschschutz lassen sich Organisationseinheiten in AD vor versehentlichem Löschen schützen.
Mit dem erweiterten Löschschutz lassen sich Organisationseinheiten in AD vor versehentlichem Löschen schützen. (© hanss - stock.adobe.com)

Es ist schnell passiert, dass man als Administrator in einem AD-Verwaltungstool eine Organisationseinheit versehentlich löscht. Dadurch löscht man allerdings auch gleichzeitig alle darin enthaltenen Objekte und auch andere Organisationseinheiten, die dem Objekt untergeordnet sind. Das lässt sich aber mit dem erweiterten Löschschutz leicht verhindern und wir zeigen wie es geht.

Vor allem wenn es eilig ist, kann es schnell passieren, dass man eine Organisationseinheit aus Versehen löscht. Dadurch werden aber auch alle darin enthaltenen Objekte und andere Organisationseinheiten gelöscht, die dem Objekt untergeordnet sind. Natürlich lassen sich Objekte in Active Directory über die Datensicherung und den AD-Papierkorb wiederherstellen. Allerdings ist das oft mit viel Aufwand verbunden und Folgeprobleme lassen sich nicht ausschließen. Oft stellt man ja im ungünstigsten Moment fest, dass bei der Datensicherung etwas nicht so funktioniert wie es gedacht war. Besonders kritisch wird es, wenn eine Organisationseinheit weitere Organisationseinheiten enthält, denn das verschachtelte Wiederherstellen ganzer OU-Strukturen kann durchaus einige Zeit in Anspruch nehmen. Besser ist es also Vorkehrungen zu treffen und sicherzustellen, dass sich Objekte nicht einfach so löschen lassen. Wir zeigen wie das geht und was dahintersteckt.

Wie man im Active Directory Objekte und Organisationseinheiten vor versehentlichem Löschen schützt, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Erweiterte Optionen für Organisationseinheiten einblenden

Werden die Eigenschaften von Organisationseinheiten in der Verwaltungskonsole Active Directory-Benutzer und -Computer aufgerufen, stehen nicht alle Optionen zur Verfügung. Es fehlen zum Beispiel die Einstellungen für die Sicherheit von Objekten.

In der Konsole kann über den Menüpunkt „Ansicht“ die Option „Erweiterte Features“ aktiviert werden. Ab diesem Moment werden die Eigenschaften erweitert und es werden mehr Einstellungen angezeigt.

Um Objekte davor zu schützen, dass sie von einem Administrator versehentlich gelöscht werden, kann die Option „Objekt vor zufälligem Löschen schützen“ auf der Registerkarte „Objekt“ aktiviert werden. Dadurch wird verhindert, dass ein Objekt löschbar ist.

Wird versucht ein Objekt zu löschen, erscheint eine Fehlermeldung, dass die Berechtigungen dazu fehlen, oder dass das Objekt bereits vor dem zufälligen Löschen geschützt ist. Um das Objekt zu löschen reicht es aus den Haken zu entfernen und es danach zu löschen. Es ist sinnvoll den Schutz auch für untergeordnete Objekte zu aktivieren und zu kontrollieren, ob er auch aktiviert wurde.

Organisationseinheiten sind automatisch geschützt, andere Objekte nicht

Generell werden in Windows Server 2016 und davor Organisationseinheiten so angelegt, dass sie nicht gelöscht werden können. Der Schutz vor dem versehentlichen Löschen ist also automatisch gesetzt. Das gilt allerdings nicht für andere Objekte wie Gruppen und Benutzern. Auch hier kann der Schutz aktiviert werden, um ein versehentliches Löschen zu verhindern. Dazu wird einfach der entsprechende Haken auf der Registerkarte „Objekt“ gesetzt.

Beim Anlegen von Organisationseinheiten kann der Schutz aber auch deaktiviert werden. In diesem Fall wird beim Erstellen einfach der entsprechende Haken entfernt. Beim Anlegen anderer Objekte, wie zum Beispiel Gruppen oder Benutzer, erscheint die Option nicht. Hier muss der Schutz nachträglich aktiviert werden.

Wie man im Active Directory Objekte und Organisationseinheiten vor versehentlichem Löschen schützt, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Das steckt hinter dem Löschschutz in Active Directory

Durch Aktivieren der Option „Objekt vor zufälligem Löschen schützen“ auf der Registerkarte „Objekt“, wird dem Objekt die Benutzergruppe „Jeder“ hinzugefügt. Dieser wird das Recht „Verweigert“ für das Löschen des Objektes zugewiesen. Wird der entsprechende Haken wieder entfernt, wird auch die Gruppe „Jeder“ in den Eigenschaften des Objektes gelöscht, sowie das dazugehörige Recht. Dadurch ist das Objekt wieder löschbar.

Neben dieser Einstellung können natürlich auch die Berechtigungen für Organisationseinheiten auf der Registerkarte „Sicherheit“ angepasst werden. Hier können entweder die vorhandenen Benutzergruppen entfernt oder bearbeitet werden. Dadurch kann sichergestellt werden, dass nur Administratoren die Objekte löschen dürfen, die dazu berechtigt sind.

Das zeigt auch, dass es sinnvoll ist einem Administrator nicht gleich die Rechte eines Domänen-Admins zu geben, sondern genau festzulegen welches Recht ein Administrator oder Benutzer braucht, und ihm nur das Recht zuzuweisen, das sinnvoll ist. Zu viele Rechte resultieren schnell in fehlenden Daten, und es ist schwer anschließend nachzuverfolgen, wer die Daten tatsächlich gelöscht hat.

Benutzer ohne Admin-Rechte

Mehr Sicherheit durch weniger Rechte

Benutzer ohne Admin-Rechte

31.07.18 - Häufig erhalten Benutzer Admin-Rechte auf einem Computer, weil einzelne Programme ansonsten nicht funktionieren. Das ist seit Jahren üblich, bringt aber viele Probleme, wie zum Beispiel ein erhöhtes Malware-Risiko mit sich. Dabei sind die erweiterten Rechte in den meisten Fällen gar nicht notwendig. Windows bietet genug Möglichkeiten, damit Benutzer auch ohne Admin-Rechte mit dem System arbeiten können. lesen

Andere Objekte schützen - Active Directory-Standorte und Dienste

Neben der Verwaltungskonsole Active Directory-Benutzer und -Computer lassen sich Objekte auch in anderen Konsolen sichern. So können zum Beispiel auch die Objekte in Active Directory-Standorte und Dienste vor dem versehentlichen Löschen geschützt werden. Auch hier gibt es eine Registerkarte „Objekte“ und die Option „Objekt vor dem versehentlichen Löschen schützen“. Für die Anzeige der Option muss die erweiterte Ansicht aber nicht aktiviert werden.

Löschschutz in der PowerShell abfragen und setzen

Neben der Möglichkeit die Einstellungen in der grafischen Oberfläche vorzunehmen, kann der Löschschutz auch in der PowerShell abgefragt und gesetzt werden. Um den Löschschutz für ein Objekt abzufragen, wir der folgende Befehl verwendet:

Get-ADObject ‹DN des Objekts› -Properties ProtectedFromAccidentalDeletion

Aktivieren lässt sich der Löschschutz mit:

Set-ADObject ‹DN des Objekts› -ProtectedFromAccidentalDeletion $true

Soll der Löschschutz deaktiviert werden, kann wiederum die Option „$false“ gesetzt werden. Sollen keine Objekte geschützt werden, sondern Organisationseinheiten, werden die CMDlets „Get-ADOrganizationalUnit“ und „Set-ADOrganizationalUnit“ verwendet.

Wie man im Active Directory Objekte und Organisationseinheiten vor versehentlichem Löschen schützt, zeigen wir hier im Video-Tipp und in der Bildergalerie.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45406961 / Betriebssystem)