Hier legst du fest, wer was darf: in einer Rechtematrix, einem Gruppenmodell nach AGDLP und einem Plan der Gruppenrichtlinien.
Sprint 3Brückenstufe 2
Eure Story: Ihr konzipiert, wer im Schulungszentrum in jeder Schicht was sehen und ändern darf, bevor ihr es einrichtet.
Input · Rechte- und Richtlinienkonzept. Holt ihn euch, wenn eure Storycard danach fragt. Zahlt ein auf AB 2 bis 5.
Du füllst die Rechtematrix, rechnest Einzelrechte gegen AGDLP, entwirfst das Gruppenmodell und den Richtlinienplan und eine Zugriffsstrategie für die Nachtschicht.
0 von 6 AB abgehakt AB-Liste öffnen
Der wichtigste Satz auf dieser Seite: Die Rechtematrix beantwortet „wer darf was“ auf einer Seite. Jede Zelle ohne Begründung aus einem Ablauf ist ein Recht zu viel.
Am Ende hast du: eine begründete Rechtematrix, ein OU- und Gruppenmodell nach AGDLP mit Rechenweg und einen Richtlinienplan.
Projektdaten des Schulungszentrums: Plätze, Konten, Namen, Adressen und Lizenzpreise: alles, was das Projekt vorgibt, an einer Stelle. Leg es neben jede Aufgabe.
Erst du, dann die anderen
Die Leitung Schulung fragt: „Warum nicht einfach alle in eine Gruppe und gut?“ Wie würdest du die Rechte im Schulungszentrum ordnen?
So gehen andere vor. Such dir einen Weg aus.
- Von den Freigaben aus. Je Freigabe festlegen, wer lesen und wer ändern darf. Das liefert schnell eine Matrix. Es verführt dazu, Rechte nach Gewohnheit statt nach Abläufen zu vergeben.
- Von den Rollen aus. Je Rolle festlegen, was sie für ihre Arbeit braucht (Need-to-know). Das passt zu RBAC und zu Least Privilege. Sonderfälle wie die Nachtschicht passen nicht immer in eine Rolle.
- Von den Risiken aus. Zuerst klären, wo ein Fehler am meisten schadet (Prüfungen, HLG), und dort streng beginnen. Das setzt Prioritäten. Für die übrigen Freigaben fehlt dann leicht die Begründung.
Es gibt hier nicht den einen richtigen Weg. Entscheide dich und prüfe in Aufgabe 6.5, ob dein Weg alle Schutzziele erreicht.
Gegebene Werte: Zugriffswünsche und Pflegezahlen · aufklappen, wenn du sie brauchst
Gegebene Werte: Zugriffswünsche und Pflegezahlen
- Kursmaterial
- alle Teilnehmenden (BVD und HLG) lesen, Trainerinnen und Trainer lesen und ändern
- Pruefungen
- nur Trainerinnen und Trainer, lesen und ändern
- HLG
- Teilnehmende HLG und Trainerinnen und Trainer lesen und ändern; BVD-Teilnehmende und Verwaltung nicht
- Verwaltung
- nur die Verwaltung, lesen und ändern
- Konten
- 300 Teilnehmende BVD, 60 Teilnehmende HLG, 12 Trainerinnen und Trainer, 4 Verwaltung; Admin-Konten und Systemkonten werden nicht mitgezählt
- Wechsel je Woche
- 30 neue Teilnehmende: 25 BVD und 5 HLG; ebenso viele verlassen das Schulungszentrum, der Bestand bleibt gleich
- Zeit je Änderung
- ein Berechtigungseintrag auf einer Freigabe setzen oder entfernen und kontrollieren: 3 min; eine Gruppenmitgliedschaft setzen oder entfernen: 1 min
- Schulungswochen
- 40 im Jahr
Unterrichtswerte. Gezählt wird ein Eintrag je Benutzer oder Gruppe und Freigabe, gleich ob lesen oder ändern. Freigabe- und Dateisystemrechte unterscheidet ihr erst in Teil 4.
Dein Lernprodukt im Einzelnen
Dein Lernprodukt
OU- und Gruppenmodell, Rechtematrix, Richtlinienplan
Darauf laufen die Aufgaben dieses Lernangebots zu. Die Aufgaben sind die Stufen dorthin, das Lernprodukt ist das Ergebnis.
Es besteht aus
- der Rechtematrix: globale Gruppen gegen Freigaben, je Zelle L, Ä oder leer, mit Begründung
- dem Rechenweg Einzelrechte gegen AGDLP mit Pflegeaufwand je Woche und Jahr
- dem Gruppenmodell: globale und domänenlokale Gruppen, Mitgliedschaften, Bereich, Abgleich mit den Projektdaten
- dem Richtlinienplan: je GPO Name, Ziel-OU, Computer- oder Benutzerkonfiguration, Einstellungen, Zweck
- der Prüfung gegen die Schutzziele und der Zugriffsstrategie für die Nachtschicht in Raum B
Zur Dokumentation
Tabellen statt Fließtext. Jede Gruppe und jedes GPO mit dem Namen, den ihr in Teil 4 anlegt. Rechenweg mit Formel, Einheit und Kontrolle.
Zusammen mit dem Lernprodukt aus Lernangebot 5 ist das das Konzept Benutzer und Rechte für die Abnahme M3. In Teil 4 setzt ihr es um und prüft die effektiven Rechte.
Deine Aufgaben
6.1Fülle die Rechtematrix
Jetzt seid ihr dran · Zu zweit · 4 Arbeitsschritte
zahlt ein auf AB 3Öffnen ▾Schließen ▴
Aufgabe 6.1
Stufe I · Abfolge
Fülle die Rechtematrix:
- Übertrage die Zugriffswünsche in die Matrix aus dem Bild.
- Trage für die Admin-Konten ein, was sie im Alltag dürfen.
- Begründe jede Zelle mit einer Aktivität aus den Ablaufmodellen von Lernangebot 5.
- Markiere die Zellen, bei denen ein Need-to-know fehlt.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
6.2Berechne Einzelrechte gegen AGDLP
Jetzt seid ihr dran · Zu zweit · 5 Arbeitsschritte
zahlt ein auf AB 2Öffnen ▾Schließen ▴
Aufgabe 6.2
Stufe II · Algorithmus
Berechne Einzelrechte gegen AGDLP:
- Zähle die Berechtigungseinträge auf den vier Freigaben, wenn jede Person einzeln eingetragen wird.
- Zähle die Einträge auf den Freigaben, die Verschachtelungen und die Mitgliedschaften mit AGDLP.
- Berechne die Änderungen je Woche bei 30 neuen und 30 ausscheidenden Teilnehmenden für beide Wege.
- Rechne die Änderungen mit den Zeiten aus den gegebenen Werten in Stunden je Woche und je Jahr um.
- Kontrolliere, ob die Wechselzahlen zum gleichbleibenden Bestand passen.
Zu zweit Diese Aufgabe bearbeitet ihr zu zweit.
6.3Entwirf das Gruppenmodell nach AGDLP
Jetzt seid ihr dran · Im Team · 5 Arbeitsschritte
zahlt ein auf AB 2Öffnen ▾Schließen ▴
Aufgabe 6.3
Stufe II · Algorithmus
Entwirf das Gruppenmodell nach AGDLP:
- Leite aus der Rechtematrix die domänenlokalen Gruppen ab, je Freigabe und Recht eine.
- Lege fest, welche globale Gruppe Mitglied welcher domänenlokalen Gruppe wird.
- Gib für jede Gruppe Bereich und Typ an.
- Gleiche euer Modell mit der Gruppenliste aus den Projektdaten ab und benennt jede Lücke.
- Ordnet jeder Gruppe eine OU zu, in der sie liegt.
Nachschlagen Suchbegriffe für Handbuch, Herstellerdoku und RFC: Active Directory security groups group scope · AGDLP · samba-tool group add group-scope
Im Team Diese Aufgabe bearbeitet ihr im Team.
6.4Plane die Gruppenrichtlinien
Jetzt seid ihr dran · Im Team · 4 Arbeitsschritte
zahlt ein auf AB 4Öffnen ▾Schließen ▴
Aufgabe 6.4
Stufe II · Algorithmus
Plane die Gruppenrichtlinien:
- Legt mindestens fünf GPOs fest, darunter Ordnerumleitung für Trainer und Verwaltung, Bildschirmsperre für die Schulungsräume und Laufwerkszuordnungen.
- Gebt je GPO Ziel-OU, Computer- oder Benutzerkonfiguration und die wichtigsten Einstellungen an.
- Prüft mit LSDOU und Vererbung, welche GPOs an einem Platz in Raum B bei einer HLG-Teilnehmerin wirken.
- Benennt eine Stelle, an der Sicherheitsfilterung oder Loopback nötig ist.
Nachschlagen Suchbegriffe für Handbuch, Herstellerdoku und RFC: Group Policy processing order · Folder Redirection · Group Policy loopback processing · RSAT Gruppenrichtlinienverwaltung
Im Team Diese Aufgabe bearbeitet ihr im Team.
6.5Prüfe das Konzept gegen die Schutzziele
Jetzt seid ihr dran · Im Team · 5 Arbeitsschritte
zahlt ein auf AB 3 und 5Öffnen ▾Schließen ▴
Aufgabe 6.5
Stufe II · Algorithmus
Prüfe das Konzept gegen die Schutzziele:
- Legt je Freigabe das wichtigste Schutzziel fest.
- Ordnet jeder Freigabe die Maßnahmen aus Matrix, Gruppen und Richtlinien zu, die es sichern.
- Prüft die Trennung von HLG und BVD an jeder Stelle: Konten, Gruppen, Freigaben, Plätze.
- Prüft die Admin-Konten gegen Least Privilege und haltet fest, wo und wie sie geführt werden.
- Benennt das größte verbleibende Risiko.
Im Team Diese Aufgabe bearbeitet ihr im Team.
6.6Entwirf eine Zugriffsstrategie für die Nachtschicht in Raum B
Jetzt seid ihr dran · Im Team · 5 Arbeitsschritte
zahlt ein auf AB 5Öffnen ▾Schließen ▴
Aufgabe 6.6
Stufe III · Heuristik
Entwirf eine Zugriffsstrategie für die Nachtschicht in Raum B:
- Nachts teilen sich Teilnehmende von BVD und HLG die Plätze in Raum B ohne Aufsicht. Beschreibt die Risiken für alle drei Schutzziele.
- Vergleicht, was DAC, RBAC und ABAC hier leisten können.
- Entwerft eine Strategie mit den Mitteln, die Samba AD und die Windows-11-Clients bieten.
- Begründet, was ihr bewusst nicht regelt.
- Haltet fest, was ihr in Teil 4 testen müsst, bevor ihr der Strategie traut.
Im Team Diese Aufgabe bearbeitet ihr im Team.
Veränderter Fall
Der Hersteller liefert die Webfassung der Schulungssoftware. Sie bringt eine eigene Benutzerverwaltung mit, kann aber auch an einen Verzeichnisdienst angebunden werden. Was ändert sich an eurer Rechtematrix und an eurem Gruppenmodell, und was empfehlt ihr der Leitung Schulung?