18 - Microsoft Active Directory

1. Wofür benötigt man eine Windows-Domäne?

Eine Windows-Domäne wird verwendet, um Benutzer, Computer und Ressourcen zentral zu verwalten. In einem kleinen Netzwerk ohne Domäne existieren Benutzerkonten lokal auf jedem Rechner. Das bedeutet: Wenn ein Benutzer an mehreren Computern arbeiten soll, müsste sein Konto auf jedem Gerät einzeln angelegt werden.

Eine Domäne löst dieses Problem. Alle Benutzerkonten, Gruppen und Computer werden zentral auf einem Domänencontroller gespeichert. Benutzer melden sich also nicht mehr am einzelnen Rechner an, sondern an der Domäne. Dadurch ergeben sich mehrere Vorteile:

• Zentrale Benutzerverwaltung
• Einheitliche Sicherheitsrichtlinien
• Zentrale Anmeldung an allen Domänencomputern
• Vereinfachte Rechtevergabe
• Zentrale Softwareverteilung

Ein Administrator kann damit tausende Benutzerkonten verwalten, ohne jedes System einzeln konfigurieren zu müssen.

2. Was genau ist mit "Active Directory" gemeint?

Active Directory (AD) ist der Verzeichnisdienst von Microsoft. Ein Verzeichnisdienst ist im Grunde eine strukturierte Datenbank, die Informationen über alle Objekte im Netzwerk enthält.

Diese Objekte können zum Beispiel sein:

• Benutzerkonten
• Computer
• Gruppen
• Drucker
• Freigaben
• Richtlinien

Active Directory speichert also alle wichtigen Informationen über die Struktur des Netzwerks.

Technisch basiert AD auf mehreren Komponenten:

• Verzeichnisdatenbank (NTDS.dit)
• LDAP-Verzeichnisdienst
• Kerberos-Authentifizierung
• DNS-Integration

Active Directory ist damit nicht nur eine Benutzerverwaltung, sondern ein komplettes Identitäts- und Verwaltungsframework.

3. Welche Rolle übernimmt der DNS-Dienst in einer AD-Domäne?

DNS ist eine zentrale Voraussetzung für Active Directory. Ohne funktionierenden DNS-Dienst kann Active Directory praktisch nicht arbeiten.

Der Grund ist einfach: In einer AD-Domäne müssen Computer ständig Domänencontroller finden können. Diese Information wird über DNS bereitgestellt.

Active Directory nutzt dafür spezielle DNS-Einträge, sogenannte SRV-Records. Diese Einträge enthalten Informationen darüber, welcher Server bestimmte Dienste bereitstellt, zum Beispiel:

• LDAP
• Kerberos
• Global Catalog

Wenn sich ein Client in einer Domäne anmeldet, fragt er zuerst den DNS-Server:

"Welcher Domänencontroller ist für meine Domäne zuständig?"

Der DNS-Server liefert dann die passende Adresse.

Ohne DNS könnten Clients keine Domänencontroller finden und somit auch keine Anmeldung durchführen.

4. Wie ist Active Directory aufgebaut?

Active Directory hat eine hierarchische Struktur. Diese Struktur erinnert an ein Dateisystem mit Ordnern und Unterordnern.

Die wichtigsten Elemente sind:

Domäne

Die Domäne ist die grundlegende Verwaltungseinheit. Sie enthält Benutzer, Gruppen, Computer und Richtlinien.

Beispiel:
firma.local

Organisationseinheiten (OU)

Organisationseinheiten sind Container innerhalb der Domäne. Sie dienen dazu, Objekte logisch zu gruppieren.

Beispiel:

• OU = Mitarbeiter
• OU = Server
• OU = Clients

OU sind besonders wichtig, weil man an ihnen Gruppenrichtlinien angewendet werden können.

Objekte

Die eigentlichen Einträge in Active Directory sind die Objekte.

Typische Objekte:

• Benutzer
• Computer
• Gruppen
• Drucker

Diese Objekte enthalten verschiedene Attribute wie Name, Beschreibung oder Sicherheitsinformationen.

5. Was sind Gruppenrichtlinien?

Gruppenrichtlinien (Group Policy) sind ein Mechanismus, um Einstellungen zentral auf viele Computer oder Benutzer anzuwenden.

Sie ermöglichen es Administratoren, Konfigurationen automatisch durchzusetzen.

Beispiele für Einstellungen:

• Passwortregeln
• Desktop-Hintergrund
• Softwareinstallation
• Firewall-Konfiguration
• USB-Geräte sperren
• Skripte beim Login ausführen

Gruppenrichtlinien werden über sogenannte Gruppenrichtlinienobjekte (GPO) umgesetzt.

6. Welche Aufgaben können mit Gruppenrichtlinien erledigt werden?

Gruppenrichtlinien sind extrem vielseitig. Typische Einsatzmöglichkeiten sind:

Zum Beispiel:

• Mindestlänge von Passwörtern
• Kontosperrung bei Fehlversuchen
• Benutzerrechte

Programme können automatisch auf allen Computern installiert werden.

Einstellungen wie:

• Windows Update
• Netzwerkeinstellungen
• Energiesparoptionen

Zum Beispiel:

• Netzlaufwerke verbinden
• Desktop konfigurieren
• Startmenü anpassen

7. Wie werden Gruppenrichtlinien zugeordnet?

Gruppenrichtlinien werden nicht direkt einzelnen Computern zugewiesen. Stattdessen werden sie mit bestimmten Active-Directory-Containern verknüpft.

Diese Container sind:

• Domänen
• Organisationseinheiten (OU)
• Standorte

Wenn ein Benutzer oder Computer Teil einer OU ist, werden alle dort verknüpften Richtlinien automatisch angewendet.

Die Vereinbarung erfolgt in folgender Reihenfolge:

1. Lokale Richtlinien
2. Standort
3. Domäne
4. Organisationseinheiten

Diese Reihenfolge nennt man LSDOU-Reihenfolge.

-- Praktischer Teil --

1. Hochstufen einer VM zum Domänencontroller

Um einen Server zum Domänencontroller zu machen, wird er zuerst als Windows-Server installiert.
Anschließend wird die Rolle Active Directory Domain Services (AD DS) hinzugefügt.

Nach der Installation erscheint im Server Manager eine Meldung:
"Server zu einem Domänencontroller heraufstufen".

Der Assistent führt durch mehrere Schritte:

1. Neue Domäne erstellen oder vorhandener Domäne beitreten
2. Domänenname festlegen
3. DNS-Server installieren
4. Verzeichnisdienst-Wiederherstellungskennwort festlegen
5. Datenbank- und Logpfade definieren
6. Installation abschließen

Nach einem Neustart ist der Server ein Domänencontroller

2. Zusammenhang zwischen AD-Struktur und Gruppenrichtlinien

Gruppenrichtlinien sind eng mit der AD-Struktur verbunden.

Eine Richtlinie wirkt immer auf die Objekte innerhalb eines Containers. Deshalb ist die Struktur der OU extrem wichtig.

Beispielstruktur:

Firma.local
├── Server
├── Clients
└── Mitarbeiter

Man kann nun unterschiedliche Richtlinien definieren:

• Server erhalten spezielle Sicherheitsrichtlinien
• Clients erhalten Desktoprichtlinien
• Mitarbeiter erhalten Login-Sktipte

Die Struktur von Active Directory bestimmt also, welche Richlinien auf welche Systeme wirken.

3. Wichtige Verwaltungskonsolen

Die wichtigsten Werkzeuge zur Verwaltung sind:

Hier werden:

• Benutzerkonten
• Gruppen
• Computer
• Organisationseinheiten

verwaltet.

Hier können:

• neue GPOs erstellt
• Richtlinien bearbeitet
• GPOs mit OU oder Domänen verknüpft

werden.

Ein Administrator sollte sich in beiden Konsolen sicher bewegen können.

4. Organisationseinheiten (OU)

Eine OU ist ein Container für Objekte innerhalb der Domäne:

Sie dient dazu:

• Benutzer und Computer logisch zu gruppieren
• Richtlinien gezielt anzuwenden
• Verwaltung zu delegieren

Zum Beispiel kann ein Administrator nur für eine bestimmte OU zuständig sein.

5. Active Directory Standorte

Active Directory kann mehrere physische Standorte verwalten, zum Beispiel verschiedene Filmenfilialen.

Standorte werden genutzt, um Replikation und Authentifizierung zu optimieren.

Das System entscheidet anhand der IP-Subnetze, welcher Standort zu welchem Netzwerk gehört.

Das hat Einfluss auf:

• Anmeldung von Benutzern
• Replikation zwischen Domänencontrollern
• Auswahl des nächstgelegenen DC

6. FSMO-Rollen

FSMO steht für Flexible Single Master Operations.

Bestimmte Aufgaben dürfen nur von einem Domänencontroller gleichzeitig ausgeführt werden. Dafür gibt es fünf spezielle Rollen.

Verwaltet Änderungen am AD-Schema.

Kontrolliert das Hinzufügen oder Entfernen von Domänen.

Vergibt eindeutige Sicherheitskennungen für neue Objekte.

Übernimmt mehrere wichtige Aufgaben:

• Zeitserver der Domäne
• Passwortänderungen
• Kompatibilität mit älteren Systemen

Aktualisiert Referenzen zwischen Domänenobjekten.

7. AD-Trusts (Vertrauensstellungen)

Vertrauensstellungen erlauben Benutzern aus einer Domäne Zugriff auf Ressourcen einer anderen Domäne.

Typische Praxisbeispiele:

• Zwei Firmen arbeiten zusammen
• Unternehmensfusion
• getrennte IT-Strukturen innerhalb eines Konzerns

Trusts können einseitig oder beidseitig sein.

8. AD Tree und Forest

Ein Tree ist eine Sammlung mehrerer Domänen mit gemeinsamer Namensstruktur.

Beispiel:

firma.local
server.firma.local

Mehrere Trees können zu einem Forest zusammengefasst werden.

Ein Forest ist die oberste Sicherheitsgrenze von Active Directory.

Alle Domänen im Forest teilen sich:

• Schema
• Konfiguration
• Global Catalog

9. RODC (Read Only Domain Controller)

Ein RODC ist ein Domänencontroller mit schreibgeschützter Datenbank.

Es wird häufig an unsicheren Standorten eingesetzt, zum Beispiel:

• Außenstellen
• Filialen
• kleine Büros

Vorteile:

• geringeres Sicherheitsrisiko
• keine vollständige Passwortdatenbank
• eingeschränkte Verwaltungsrechte

10. AD-Standorteinstellungen

In der Konsole Active Directory Standorte und Dienste können Administratoren:

• Standorte definieren
• Subnetze zuordnen
• Replikationsverbindungen konfigurieren
• Replikationsintervalle festlegen

Diese Einstellungen beeinflussen, wie Domänencontroller Daten miteinander austauschen.

11. FSMO-Rollen anzeigen und verschieben

Die aktuellen Rolleninhaber lassen sich mit verschiedenen Methoden anzeigen.

Beispiel über Kommandozeile:

Alternativ über grafische Verwaltungstools.

Die Rollen können auf andere Domänencontroller übertragen werden, zum Beispiel wenn ein Server ersetzt wird.

Zusammenfassung

Active Directory ist der zentrale Verzeichnisdienst für Windows-Netzwerke. Es verwaltet Benutzer, Computer, Gruppen und Richtlinien. DNS ist eine grundlegende Voraussetzung für die Funktion der Domäne. Gruppenrichtlinien ermöglichen eine zentrale Konfiguration von Systemen. Die Struktur von Domänen, OU und Standorten bestimmt, wie Richtlinien angewendet werden und wie Systeme miteinander kommunizieren.

Damit bildet Active Directory die Grundlage für die Verwaltung moderner Windows-Netzwerke.