Was ist Active Directory?

Einfach erklärt: was ein Verzeichnisdienst tut

Ein Verzeichnisdienst ist eine zentrale Datenbank, in der ein Netzwerk nachschlägt, wer und was zu ihm gehört: Personen mit ihren Konten, Rechner, Drucker, Gruppen und Regeln. Ohne ihn müsste jeder Server seine eigene Benutzerliste führen, und wer das Unternehmen verlässt, müsste auf jedem einzelnen Gerät gelöscht werden.

Active Directory übernimmt dafür zwei Aufgaben gleichzeitig. Es ist das Adressbuch, in dem steht, dass es eine Anna Müller in der Buchhaltung gibt und welchen Gruppen sie angehört. Und es ist der Pförtner, der bei der Anmeldung das Kennwort prüft und jedem Dienst bestätigt, wer gerade vor ihm steht. Öffnet Anna das Netzlaufwerk der Buchhaltung, fragt der Dateiserver nicht nach einem eigenen Kennwort, sondern vertraut der Bestätigung aus dem Verzeichnis und prüft nur noch, ob ihre Gruppe Zugriff hat.

Diese Objekte findest du in jedem Verzeichnis:

Domäne, Gesamtstruktur, Organisationseinheit

Active Directory ist hierarchisch aufgebaut. Die Begriffe klingen ähnlich, bezeichnen aber unterschiedliche Grenzen:

• Gesamtstruktur (Forest)

  Die äußerste Klammer mit einem gemeinsamen Schema, also der Definition aller Objektarten und ihrer Attribute. Sie ist die eigentliche Sicherheitsgrenze: Wer in einer Domäne der Gesamtstruktur administrative Rechte hat, kommt darüber auch in die übrigen.

• Domäne

  Die Verwaltungsgrenze, in der Konten, Richtlinien und Rechte gepflegt werden, benannt wie eine DNS-Zone, etwa firma.local oder ad.firma.de. Alle Domänencontroller einer Domäne halten dieselbe Datenbank und gleichen Änderungen untereinander ab.

• Organisationseinheit (OU)

  Ein Container innerhalb der Domäne, an dem Gruppenrichtlinien hängen und über den sich Rechte delegieren lassen, etwa damit das Team vor Ort Kennwörter zurücksetzen darf, ohne Domänenadministrator zu sein. Eine OU ist keine Sicherheitsgruppe.

• Standort (Site)

  Bildet die Netzstruktur ab, also welche IP-Bereiche an welchem Ort liegen. Darüber steuert AD, welcher Domänencontroller eine Anmeldung annimmt und wie oft zwischen den Orten repliziert wird.

Die meisten mittelständischen Unternehmen kommen mit einer Gesamtstruktur und einer einzigen Domäne aus und bilden Abteilungen und Standorte über Organisationseinheiten ab. Zusätzliche Domänen schaffen vor allem Verwaltungsaufwand, aber keine echte Abschottung.

Anmeldung über Kerberos

Meldet sich jemand an, stellt der Domänencontroller nicht einfach ein Ja aus, sondern ein Ticket. Mit diesem Ticket holt sich der Rechner weitere Tickets für einzelne Dienste, etwa für die Dateifreigabe oder den Datenbankserver. Das Kennwort selbst wandert dabei nicht über das Netz zum Zielserver.

Zwei Voraussetzungen bringen dieses Verfahren regelmäßig ins Stolpern. Erstens die Zeit: Weichen die Uhren zwischen Client und Domänencontroller weiter ab als erlaubt, in der Standardeinstellung fünf Minuten, gelten Tickets als ungültig und die Anmeldung schlägt fehl. Zweitens DNS. Clients finden ihre Domänencontroller über Diensteinträge (SRV-Einträge) im DNS, ein Rechner mit einem externen DNS-Server im Netzwerkprofil findet die Domäne schlicht nicht.

Neben Kerberos beherrscht AD noch das ältere NTLM-Verfahren, auf das Windows zurückfällt, wenn kein Ticket möglich ist, etwa beim Zugriff über eine IP-Adresse statt über den Namen. NTLM gilt als schwächer, und Microsoft drängt es schrittweise zurück.

Gruppenrichtlinien im Betrieb

Eine Gruppenrichtlinie wird mit einem Standort, einer Domäne oder einer Organisationseinheit verknüpft und wirkt von dort nach unten. In ihr stecken ein Computer- und ein Benutzerteil, und beide greifen nur, wenn das jeweilige Objekt tatsächlich unterhalb der verknüpften Stelle liegt. Werden mehrere Richtlinien angewendet, gilt die Reihenfolge lokal, Standort, Domäne, Organisationseinheit, und die zuletzt angewendete gewinnt bei widersprüchlichen Einstellungen.

Genau daraus entsteht die häufigste Fehlerursache: Die Richtlinie ist korrekt, hängt aber an der Organisationseinheit der Benutzer, während sie Computereinstellungen enthält. Bevor du an den Einstellungen zweifelst, prüfst du Verknüpfung, Vererbung und Sicherheitsfilterung und lässt dir den tatsächlich angewendeten Richtliniensatz auf dem betroffenen Rechner ausgeben:

gpupdate /force
gpresult /r
gpresult /h bericht.html

gpupdate holt die Richtlinien sofort neu, statt auf das nächste Intervall von standardmäßig rund 90 Minuten zu warten. gpresult zeigt, welche Richtlinien angewendet und welche gefiltert wurden, als Kurzfassung in der Konsole oder als ausführlicher HTML-Bericht.

Mehr als nur Anmeldung: die Rollen unter dem Namen Active Directory

Wer von Active Directory spricht, meint fast immer die Domänendienste. Windows Server führt unter demselben Namen aber mehrere Serverrollen, die unterschiedliche Aufgaben haben:

Die Konten, an denen alles hängt

Wer Domänenadministrator ist, kann in einer Domäne alles. Deshalb ist die Zahl dieser Konten die wichtigste Kennzahl für die Sicherheit einer Umgebung, und ein privilegiertes Konto gehört nicht auf den täglichen Arbeitsplatz, an dem Mails geöffnet werden.

Gefährlich sind außerdem Dienstkonten mit alten, schwachen Kennwörtern und weitreichenden Rechten. Solche Konten lassen sich gezielt angreifen, weil Kerberos-Tickets für ihre Dienste von jedem angemeldeten Konto angefordert und offline geknackt werden können. Gruppenverwaltete Dienstkonten (gMSA) mit automatisch gewechselten, langen Kennwörtern nehmen diesem Angriffsweg die Grundlage.