FachgrundlageSprint 3fachsystematische Phase⏱ 4 h
Hier holst du dir das Werkzeug für das Konzept: Schutzziele, Strategien der Zugriffskontrolle und die Bausteine eines Verzeichnisdienstes mit Domäne, OUs, Gruppen und Richtlinien.
Sprint 3 · InputBrückenstufe 2
Eure Story: Ihr konzipiert, wer im Schulungszentrum in jeder Schicht was sehen und ändern darf, bevor ihr es einrichtet.
Input für eure Storycard. Holt euch die Karte, die eure Storycard gerade braucht. Grundlage für AB 1 bis 6.
Du liest die Abschnitte, ordnest die Begriffe dem Schulungszentrum zu und löst die Prüffragen. Die Vertiefungen öffnest du, wenn du sie im Lernangebot brauchst.
0 von 6 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Ein Verzeichnisdienst bildet die Organisation zweimal ab: Verwaltungseinheiten (OUs) sagen, wer verwaltet und welche Richtlinie gilt, Gruppen sagen, wer worauf zugreift.
Schutzziele: was geschützt werden soll
Informationssicherheit verfolgt drei Schutzziele (BSI IT-Grundschutz). Vertraulichkeit: Nur Befugte lesen. Integrität: Daten sind vollständig und unverändert, Änderungen nur durch Befugte. Verfügbarkeit: Daten und Dienste stehen bereit, wenn sie gebraucht werden. Jede Rechtevergabe ist ein Abwägen dieser Ziele: Wer jedem alles erlaubt, hat hohe Verfügbarkeit und keine Vertraulichkeit.
| Freigabe | Wichtigstes Schutzziel | Warum |
|---|---|---|
| Kursmaterial | Integrität, Verfügbarkeit | Alle brauchen es in jeder Schicht; nur Trainer dürfen es ändern. |
| Pruefungen | Vertraulichkeit, Integrität | Wer die Prüfung vorher kennt oder Ergebnisse ändert, entwertet sie. |
| HLG | Vertraulichkeit | Daten eines anderen Unternehmens; Trennung vertraglich gefordert. |
| Verwaltung | Vertraulichkeit | Personenbezogene Daten (DSGVO Art. 5 und Art. 32). |
Zugriffskontrollstrategien: wer entscheidet über Rechte?
Ein Access Control System entscheidet bei jedem Zugriff, ob ein Subjekt (Person, Dienst) auf ein Objekt (Datei, Drucker, Platz) eine Operation (lesen, ändern) ausführen darf. Wie diese Entscheidung zustande kommt, legt die Strategie fest.
| Strategie | Wer legt fest? | Typisches Beispiel |
|---|---|---|
| DAC (Discretionary Access Control) | die Eigentümerin oder der Eigentümer des Objekts | NTFS-Rechte, Unix-Dateirechte: Wer eine Datei anlegt, darf sie weitergeben. |
| MAC (Mandatory Access Control) | das System nach festen Kennzeichnungen, nicht der Eigentümer | SELinux, AppArmor, Geheimhaltungsstufen |
| RBAC (Role Based Access Control) | die Organisation über Rollen; Rechte hängen an der Rolle, Personen bekommen Rollen | Gruppen „Trainer“, „Verwaltung“ im Verzeichnis |
| ABAC (Attribute Based Access Control) | Regeln über Merkmale von Person, Objekt und Umgebung | „Teilnehmende HLG nur nachts an Plätzen in Raum B“ |
Zwei Grundsätze gelten für jede Strategie. Need-to-know: Zugriff nur auf die Informationen, die für die Aufgabe nötig sind. Least Privilege (geringste Rechte): nur die Rechte, die für die Aufgabe nötig sind, und nur so lange wie nötig. Ein Trainer braucht Lesen und Ändern im Kursmaterial, aber kein Administratorrecht am Server.
Verzeichnisdienst: die Organisation im Betriebssystem
Ein Verzeichnisdienst wie Active Directory oder Samba als AD-kompatibler Domänencontroller speichert Benutzer, Gruppen und Computer als Objekte in einem Baum. Die Domäne szt3.internal ist die Grenze für Verwaltung und Anmeldung: Ein Konto meldet sich an jedem Domänenrechner an, Kerberos prüft das Kennwort am Domänencontroller srv01.
Verwaltungseinheiten (Organizational Units, OUs) gliedern die Objekte. Eine OU hat zwei Aufgaben: An sie werden Gruppenrichtlinien verknüpft, und für sie kann Verwaltung delegiert werden (etwa Kennwort zurücksetzen nur in einer OU). Eine OU vergibt keine Rechte auf Dateien. Achtung: Die Standardcontainer Users und Computers sind keine OUs. Dort kann man keine Richtlinie verknüpfen, und neue Rechner landen beim Domänenbeitritt zunächst im Container Computers.
Gruppen und AGDLP
Sicherheitsgruppen bündeln Konten, damit Rechte nicht je Person vergeben werden. Ihr Bereich legt fest, wer Mitglied sein kann und wo die Gruppe in Berechtigungen auftauchen darf.
| Bereich | Mitglieder | Einsatz |
|---|---|---|
| global | Konten und globale Gruppen derselben Domäne | Personen gleicher Rolle bündeln: G_Trainer |
| domänenlokal | Konten, globale und universelle Gruppen beliebiger Domänen der Gesamtstruktur, domänenlokale Gruppen derselben Domäne | Berechtigung auf eine Ressource der eigenen Domäne: DL_Pruefungen_RW |
| universell | Konten, globale und universelle Gruppen beliebiger Domänen der Gesamtstruktur | Rollen über mehrere Domänen; im globalen Katalog gespeichert. In einer einzigen Domäne meist nicht nötig. |
AGDLP verbindet beides: Accounts in Globale Gruppen, globale Gruppen in Domänenlokale Gruppen, nur domänenlokale Gruppen erhalten Permissions. Die globale Gruppe beschreibt, wer jemand ist (Rolle), die domänenlokale, was man an einer Ressource darf. Neue Personen brauchen nur eine Mitgliedschaft, neue Ressourcen nur neue DL-Gruppen. Mit mehreren Domänen wird daraus AGUDLP.
Gruppenrichtlinien (GPO)
Ein Gruppenrichtlinienobjekt (GPO) ist ein Bündel von Einstellungen: Computerkonfiguration (gilt beim Start für Rechner in der OU) und Benutzerkonfiguration (gilt bei der Anmeldung für Benutzer in der OU). Ein GPO wirkt erst, wenn es verknüpft ist, und zwar an einen Standort, die Domäne oder eine OU, nie direkt an eine Gruppe.
Verarbeitungsreihenfolge LSDOU: lokal, Standort, Domäne, OU von oben nach unten. Bei Widerspruch gewinnt das zuletzt verarbeitete GPO, also das an der untersten OU. Darunterliegende OUs erben verknüpfte GPOs. Vererbung deaktivieren an einer OU blockt GPOs von oben, Erzwungen an einer Verknüpfung setzt sich trotzdem durch. Mit der Sicherheitsfilterung grenzt man ein GPO auf Gruppen ein.
Samba AD speichert GPOs wie Windows Server in der Freigabe SYSVOL; die Windows-11-Clients wenden sie genauso an. Verwaltet werden sie mit der Gruppenrichtlinienverwaltung (GPMC) aus den RSAT, installiert als optionales Feature auf einem Windows-Client, angemeldet mit einem Admin-Konto. Für den Windows-Weg ist es dasselbe Werkzeug.
Abläufe und Organisation darstellen
Rechte leiten sich aus der Arbeit ab, nicht aus der Technik. Das Organigramm zeigt die Aufbauorganisation: Stellen, Abteilungen, Weisungswege, externe Beteiligte. Ein Ablaufmodell zeigt die Ablauforganisation: Wer tut was in welcher Reihenfolge mit welchen Daten? Bewährt hat sich ein Ablauf mit Bahnen (Swimlanes) je Rolle, in BPMN-Schreibweise oder als einfaches Flussdiagramm. Jede Aktivität, die Daten liest oder ändert, wird später eine Zeile in der Rechtematrix.
Samba als AD-Domänencontroller: was gleich ist und was anders
Gleich: Domäne, OUs, Gruppenbereiche, Kerberos, GPOs in SYSVOL, Verwaltung mit RSAT (Active Directory-Benutzer und -Computer, Gruppenrichtlinienverwaltung). Auf dem Server gibt es zusätzlich samba-tool, etwa samba-tool ou, samba-tool group add mit --group-scope und samba-tool gpo listall. Anders: Samba repliziert SYSVOL zwischen mehreren Domänencontrollern nicht selbst; mit nur srv01 spielt das hier keine Rolle, für einen zweiten DC später schon. Umgesetzt wird alles in Teil 4.
Loopback-Verarbeitung: Benutzerrichtlinien je Raum
Benutzereinstellungen kommen normalerweise aus der OU des Benutzers. Soll in Raum B für alle dieselbe Benutzerumgebung gelten, egal wer sich anmeldet, schaltet man im GPO an der Computer-OU die Loopback-Verarbeitung ein (Computerkonfiguration, Administrative Vorlagen, System, Gruppenrichtlinie). Modus Ersetzen nimmt nur die Benutzereinstellungen der Computer-OU, Zusammenführen verarbeitet beide, die der Computer-OU gewinnen.
Sicherheitsfilterung seit 2016
Seit dem Sicherheitsupdate MS16-072 liest der Client GPOs im Kontext des Computerkontos. Wer die Sicherheitsfilterung auf eine Benutzergruppe einschränkt, muss den Domänencomputern (oder den authentifizierten Benutzern) weiterhin Leserecht am GPO lassen, sonst wird es nicht angewendet.
Admin-Konten trennen
Wer mit einem Domänen-Admin-Konto Mails liest oder surft, bringt im Fehlerfall das ganze Verzeichnis in Gefahr. Deshalb hat jede Technikerin und jeder Techniker von Querwind ein normales Konto und ein getrenntes Admin-Konto, das nur zur Verwaltung dient, nur an bestimmten Systemen und nicht für Alltagsarbeit. Das BSI fordert die Trennung im IT-Grundschutz (Bausteine ORP.4 und APP.2.2), Microsoft beschreibt sie im Enterprise Access Model.
Die Begriffe dieser Fachgrundlage
| Begriff | Bedeutung | Im Schulungszentrum |
|---|---|---|
| Vertraulichkeit | nur Befugte lesen | Prüfungen bleiben bis zum Prüfungstag geheim. |
| Integrität | unverändert, Änderung nur durch Befugte | Teilnehmende ändern kein Kursmaterial. |
| Verfügbarkeit | bereit, wenn gebraucht | Kursmaterial auch nachts im Selbstlernen. |
| DAC | Eigentümer vergibt Rechte | Trainerin gibt eigenen Ordner frei. |
| MAC | System erzwingt Kennzeichnung | im Schulungszentrum nicht vorgesehen |
| RBAC | Rechte an Rollen | G_Trainer |
| ABAC | Regeln über Merkmale | HLG nur nachts in Raum B |
| Least Privilege | so wenig Rechte wie nötig | Admin-Konto nur zur Wartung |
| Domäne | Verwaltungs- und Anmeldegrenze | szt3.internal |
| OU | Verwaltungseinheit für Richtlinien und Delegation | Schulungszentrum > Computer > RaumB |
| globale Gruppe | bündelt Konten einer Rolle | G_HLG_Teilnehmende |
| domänenlokale Gruppe | trägt Rechte an einer Ressource | DL_Kursmaterial_R |
| AGDLP | Konto, global, domänenlokal, Recht | neue Teilnehmende: eine Mitgliedschaft |
| GPO | Bündel von Einstellungen, an OU verknüpft | Bildschirmsperre für Raum A und B |
| LSDOU | Verarbeitungsreihenfolge der GPOs | OU-GPO schlägt Domänen-GPO |
Zum Nachlesen
- BSI: IT-Grundschutz-Kompendium, Bausteine ORP.4 Identitäts- und Berechtigungsmanagement und APP.2.2 Active Directory Domain Services
- NIST SP 800-162 (ABAC) und NIST SP 800-53 Rev. 5, Maßnahme AC-6 Least Privilege; ANSI INCITS 359 (RBAC)
- Microsoft Learn: Active Directory security groups (Gruppenbereiche), Group Policy processing (Reihenfolge, Vererbung, Loopback)
- Samba-Wiki: Setting up Samba as an Active Directory Domain Controller; Group Policy
- DSGVO Art. 5 Abs. 1 lit. f und Art. 32