Microsoft Verzeichnisdienst Was ist Active Directory (AD)?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Mit dem Active Directory lassen sich Objekte und Ressourcen in einem Windows-Netzwerk zentral verwalten und Zugriffe steuern. Die Struktur eines Unternehmens oder einer Organisation kann mit einem Active Directory logisch nachgebildet werden.

Das Active Directory (AD) ist ein Verzeichnisdienst von Microsoft. Dieser Dienst nimmt eine wichtige Rolle in der Verwaltung von Windows-Netzwerken ein. Innerhalb eines Verzeichnisses lassen sich die Objekte und Ressourcen eines Netzwerks speichern und strukturiert organisieren. Sie sind über ihre Attribute definiert und die Abgrenzung der verschiedenen Bereiche ist über Domänen realisiert.

AD steht im Fokus der Hacker

Best Practices zur Active Directory-Sicherheit

Was versteht man unter Active Directory?

Das Active Directory bildet die Struktur einer Organisation inklusive der verwendeten Geräte und Ressourcen nach. Sogenannte Domänen grenzen die verschiedenen Bereiche logisch voneinander ab. Die Domänen sind hierarchisch aufgebaut. Ihre Hierarchie ist von der zugrundeliegenden Netzinfrastruktur unabhängig. In einem AD verwaltete Objekte sind beispielsweise Computer, Services, Server, Speicher, Drucker, Benutzer, Gruppen oder Dateifreigaben. Der AD-Administrator hat die Möglichkeit, Netzwerkressourcen für Benutzer freizugeben oder zu sperren. Nur der Administrator hat das Recht, die Objekte, ihre Attribute und die Struktur des Verzeichnisdienste zu verändern. Zahlreiche Anwendungen innerhalb eines Windows-Netzwerks sind vom Active Directory abhängig. Ein Ausfall des Verzeichnisdienstes kann zu erheblichen Einschränkungen bis hin zum Komplettausfall der Anwendungen im Netzwerk führen. Replikationsmechanismen und Redundanzen sichern die Verfügbarkeit des Verzeichnisdienstes ab.

Angriffsfläche des eigenen AD reduzieren

Active Directory härten und vor Angriffen schützen

Welche Daten sind im Active Directory?

Im AD werden zahlreiche strukturierte Daten eines Unternehmens gespeichert, die zur Verwaltung von Benutzern, Geräten, Ressourcen und Sicherheitsrichtlinien in einem Netzwerk dienen. Diese Daten sind in Form von Objekten organisiert und in einer hierarchischen Struktur abgelegt. Zu den Daten im Actice Directory gehören:

• Benutzerbezogene Daten: Benutzername / Anmeldename, Passworthashes, Gruppenzugehörigkeiten, Kontenstatus, Telefonnummer, E-Mail-Adresse, Abteilung, Position, Profilpfade, Anmeldeskripte, Startlaufwerke, letzter Anmeldezeitpunkt, Sicherheitskennungen (SIDs)

• Daten zu Workstations, Servern, Laptops: Computername / Hostname, Domänenzugehörigkeit, Betriebssysteminformationen, IP- und MAC-Adressen, letzte Anmeldung, Gruppenrichtlinienzuordnung, Vertrauensstellungen zu anderen Domänen

• Domänen- und Vertrauensstellungen: Domänennamen, Subdomänen und Forest-Struktur, Vertrauensstellungen zu anderen Domänen / Forests

• Strukturelemente zur logischen Gliederung von Objekten innerhalb der Domäne: Organisationseinheiten wie „IT“, „HR“, „München“, hierarchische Struktur der Verwaltung, delegierte Administratorenrechte

• Gruppen und Gruppenrichtlinien: Sicherheitsgruppen (Security Groups) für Zugriffskontrolle,

• Verteilergruppen (Distribution Groups) für E-Mail-Verteiler,

• Gruppentypen und -bereiche (global, lokal, universell), Kennwortrichtlinien, Netzwerk- und Sicherheitseinstellungen, Skripte bei Anmeldung/Abmeldung, Softwareverteilung und Updates

• Technische Informationen zur Struktur und Erweiterung des AD: Schema-Definitionen der Objekttypen, Replikationsmetadaten, Global Catalog Indexe

• Sonstiges: Dienstkonten, zum Beispiel Managed Service Accounts, Zertifikatsinformationen, zum Beispiel bei PKI-Integration, Drucker- und Freigabeobjekte

Aufbau und Komponenten eines Active Directories

Wichtige Begriffe und Komponenten eines Active Directories sind:

• Objekte

• Domänen

• Domänencontroller

Ein Objekt ist die kleinste im Verzeichnisdienst verwaltete Einheit vergleichbar mit einem einzelnen Datensatz einer Datenbank. Es beschreibt Ressourcen oder Geräte wie Computer, Services, Server, Speicher, Drucker, Benutzer, Gruppen oder Dateifreigaben. Eigenschaften eines Objekts sind die Attribute. Die generell verwendeten Objekttypen, Klassen, Attribute und Syntax der Attribute lassen sich über ein Schema als Art Schablone für alle Verzeichniseinträge definieren.

Die Abbildung der Struktur einer Organisation findet über Domänen statt. Bei einer Domäne handelt es sich um einen logisch separierten Netzbereich mit jeweils gleichen Sicherheitsrichtlinien und -einstellungen. Jede Domäne ist über einen eindeutigen Namen gekennzeichnet, der auf den Namenskonventionen des Domain Name Systems (DNS) basiert. Von einer Stammdomäne gehen die untergeordneten Domänen aus. Der komplette Name enthält Subdomänen und Stammdomäne. Der Name einer Domäne lautet beispielsweise Entwicklung.Firma-xy.de oder Vertrieb.Firma-xy.de. Die Namen einer Active-Directory-Domäne müssen keiner registrierten Internet-Domäne entsprechen, können es aber. Domänenstrukturen lassen sich unabhängig von den vorhandenen logischen oder physischen Strukturen der Organisation aufbauen. Sie sind nicht an Standorte eines Unternehmens, an die Topologie des Netzwerks oder die Lokationen der Objekte gebunden. Oft bilden die Domänen einzelne Organisationseinheiten wie Abteilungen eines Unternehmens ab.

Der Domänencontroller übernimmt für jede Domäne wichtige Funktionen. Es handelt sich um einen Server, den ein Administrator zum Domänencontroller ernannt hat. Der Domänencontroller stellt den Benutzern und Geräten das Active Directory zur Verfügung und übernimmt die Authentifizierung der Benutzer sowie die Zuweisung der Rollen. Die Informationen des Active Directories werden auf dem Domänencontroller-Server gespeichert. Um sich am Verzeichnisdienst anzumelden, nach Objekten oder Ressourcen zu suchen und sie anzusprechen ist zuvor der Domänencontroller zu kontaktieren. Die Clients verwenden das Domain Name System, um den für sie zuständigen Domänencontroller ausfindig zu machen. Nachdem der Domänencontroller gefunden ist, wird für den Zugriff auf das Active Directory die Kommunikation mithilfe des Lightweight Directory Access Protocols (LDAP) eingerichtet. Redundanzen und die Replikation der Daten des Domänencontrollers verhindern, dass beim Ausfall des Servers wichtige Funktionen im Netz nicht mehr zur Verfügung stehen.

Keynote von Paula Januszkiewicz

Cyberangriff auf das Active Directory – Das ist jetzt zu tun!

Vorteile eines Active Directories

Typische Vorteile eines Active Directories sind:

• zentrale Verwaltung der Objekte und Ressourcen eines Netzwerks inklusive Attribute, Dateifreigaben und Richtlinien

• hohe Ausfallsicherheit durch Redundanz- und Replikationsmechanismen

• Kompatibilität mit anderen Verzeichnisdiensten und Betriebssystemen

• flexibel und einfach zu erweitern

• Abbildung unterschiedlicher Organisationsstrukturen

• hohe Informationssicherheit

• orientiert sich am Domain Name System

Domänencontroller zuverlässig vor Angriffen schützen

Härtungsmaßnahmen für das Active Directory

(ID:47028358)