FachgrundlageSprint 4fachsystematische Phase⏱ 5 h

Hier holst du dir das Werkzeug für die Umsetzung: wie Konten zentral verwaltet werden, wie Gruppen Rechte tragen, wie Freigabe-, NTFS- und Linux-Rechte zusammenwirken, wo Daten liegen, wie Richtlinien wirken und wie du überwachst, ob alles so bleibt.

Der wichtigste Satz auf dieser Seite: Rechte gehören an domänenlokale Gruppen, Menschen gehören in globale Gruppen. Wer Konten direkt an Ordner hängt, baut sich das nächste Ticket.

Lokale und zentrale Benutzerverwaltung

Lokal verwaltet jeder Rechner seine Konten selbst (unter Windows in der SAM-Datenbank, unter Linux in /etc/passwd und /etc/shadow). Das ist einfach und funktioniert ohne Server, aber bei 40 Plätzen und 376 Personen müsste jedes Konto auf jedem Platz gepflegt werden.

Zentral liegen die Konten im Verzeichnis der Domäne szt3.internal auf srv01. Ein Platz wird durch den Domänenbeitritt Mitglied: Er bekommt ein Rechnerkonto und vertraut ab dann dem Domänencontroller. Die Anmeldung läuft über Kerberos: Der Client holt sich mit dem Kennwort ein Ticket (TGT), mit dem er später Dienste wie die Dateiablage nutzt. Kerberos verträgt höchstens 5 Minuten Zeitversatz, und der Client muss srv01 über DNS finden.

Lokale Konten verschwinden dadurch nicht: Jeder Windows-Client hat weiter ein lokales Administratorkonto, und manche Software bringt eigene Dienstkonten mit. Ist srv01 nicht erreichbar, kann sich nur anmelden, wer sich an diesem Platz schon einmal angemeldet hat (zwischengespeicherte Anmeldung). Neue Teilnehmende kommen dann nicht an den Platz.

Benutzer und Gruppen verwalten: AGDLP

Gruppen haben einen Bereich: Global fasst Konten derselben Domäne nach Organisation zusammen (G_Trainer). Domänenlokal steht für eine Ressource und ein Recht (DL_Pruefungen_RW) und bekommt die Berechtigung. Universal braucht man erst bei mehreren Domänen. Nach AGDLP gilt: Account in Global, Global in Domain Local, Permission an Domain Local.

Der Vorteil zeigt sich im Betrieb: Kommt eine neue Trainerin, wird sie nur in G_Trainer aufgenommen und hat alle Trainerrechte. Bekommen Trainer ein neues Recht, wird G_Trainer in eine weitere DL-Gruppe aufgenommen, kein Ordner wird angefasst.

Die Konten verwaltest du auf srv01 mit samba-tool (user, group, ou, computer) oder von einem Windows-Client mit RSAT und dem PowerShell-Modul ActiveDirectory. Beide schreiben in dasselbe Verzeichnis. Der Anmeldename (sAMAccountName) darf höchstens 20 Zeichen lang sein; der Anmeldename in E-Mail-Form (UPN, etwa lena.hoffmann@szt3.internal) darf länger sein.

Rechte und Berechtigungen: Freigabe, NTFS, effektiv

Wer über das Netz auf einen Ordner zugreift, durchläuft zwei Filter: die Freigaberechte (Lesen, Ändern, Vollzugriff auf die ganze Freigabe) und die Dateisystemrechte (unter Windows NTFS-Rechte, bei Samba die NT-ACL, die Samba im erweiterten Attribut der Datei speichert). Das effektive Recht ist das restriktivere der beiden Ergebnisse. Wer direkt am Server arbeitet, durchläuft nur das Dateisystem.

Innerhalb einer Ebene addieren sich die Rechte aller Gruppen, in denen das Konto steckt. Ein explizites Verweigern schlägt ein Erlauben. Explizit gesetzte Einträge gehen vor vererbten; ein explizites Erlauben schlägt deshalb ein vererbtes Verweigern. Steht ein Konto in keinem Eintrag, hat es keinen Zugriff.

Vererbung trägt die Rechte eines Ordners in alle Unterordner. Wer sie an einem Unterordner unterbricht, muss die Einträge dort bewusst neu setzen. In der Praxis setzt man die Freigaberechte weit (zum Beispiel Authentifizierte Benutzer: Ändern) und steuert fein über das Dateisystem. Beides gemischt eng zu setzen, macht Fehler schwer auffindbar.

Linux-Rechte, setgid und ACL

Unter Linux hat jede Datei einen Besitzer, eine Gruppe und Rechte für Besitzer, Gruppe und alle anderen: r (lesen, 4), w (schreiben, 2), x (ausführen oder Ordner betreten, 1). In Oktalschreibweise wird je Stelle addiert: rwxr-x— ist 750. Eine vierte Stelle davor trägt Sonderrechte: setgid (2) auf einem Ordner sorgt dafür, dass neue Dateien die Gruppe des Ordners erben. Das ist der Kern jedes Gruppenordners. rwxrws— ist 2770.

Die umask nimmt beim Anlegen Rechte weg: Neue Dateien starten bei 666, Ordner bei 777, die umask wird abgezogen (bitweise). Mit umask 007 entstehen Dateien mit 660 und Ordner mit 770.

Reicht eine Gruppe nicht, helfen POSIX-ACLs: setfacl -m g:gruppe:rx ordner fügt einen Eintrag hinzu, setfacl -d -m … setzt einen Standardeintrag, den neue Dateien erben, getfacl zeigt alles an. Auf srv01 setzt ihr die Grundrechte der Freigabeordner einmal unter Linux und pflegt danach die NT-ACL von Windows aus. Beides parallel zu pflegen, führt zu Widersprüchen.

Lokale und zentrale Datenspeicherung

Lokal liegen Daten im Benutzerprofil auf dem Platz (C:\Users\name). Wer am nächsten Tag an einem anderen Platz sitzt, findet sie nicht, und bei einem Defekt sind sie weg. Bei 360 Teilnehmenden auf 34 Raumplätzen sammeln sich außerdem viele lokale Profile an.

Zentral gibt es zwei Wege: Das servergespeicherte Profil kopiert das ganze Profil bei An- und Abmeldung zwischen Server und Platz. Das ist bequem, aber langsam und anfällig. Die Ordnerumleitung legt nur ausgewählte Ordner (Dokumente, Desktop) direkt auf den Server; das Profil bleibt lokal. Im Schulungszentrum bekommen Trainer und Verwaltung die Ordnerumleitung, Teilnehmende speichern Kursdaten in den Freigaben und haben kein servergespeichertes Profil.

Kontingente begrenzen den Platz je Person. Unter Linux sind das Dateisystemquoten (ext4 oder XFS), unter Windows Server der Ressourcen-Manager für Dateiserver. Ein Kontingent ist eine Obergrenze, kein reservierter Platz: Die Summe aller Kontingente darf größer sein als die Platte, wenn die tatsächliche Nutzung mit Reserve hineinpasst.

Unternehmensrichtlinien (Policy) und Gruppenrichtlinien

Eine Unternehmensrichtlinie ist eine Regel der Organisation: „An Schulungsplätzen werden keine privaten USB-Speicher benutzt.“ Eine Gruppenrichtlinie (GPO) setzt einen Teil davon technisch um. Manches bleibt organisatorisch, etwa dass Prüfungsunterlagen nicht ausgedruckt liegen bleiben.

GPOs werden mit der Gruppenrichtlinienverwaltung (RSAT) erstellt und an Standort, Domäne oder OU verknüpft. Die Reihenfolge ist lokal, Standort, Domäne, OU; bei Widerspruch gewinnt die zuletzt angewandte, also die der nächstgelegenen OU, wenn nichts erzwungen ist. Computerrichtlinien wirken auf die Rechner in der OU, Benutzerrichtlinien auf die Konten in der OU. Mit Sicherheitsfilterung und Zielgruppenadressierung (etwa nach Gruppe) wird es feiner.

Samba speichert GPOs wie Windows im Ordner SYSVOL und wendet sie über die Windows-Clients an. Die Kennwort- und Sperrrichtlinie der Domäne setzt ihr bei Samba mit samba-tool domain passwordsettings. Prüfen könnt ihr die Wirkung jeder GPO am Client mit gpresult.

Überwachung der Informationssicherheit

Rechte schützen nur, wenn ihr merkt, wenn etwas nicht stimmt. Überwacht werden vor allem Anmeldungen (erfolgreich und fehlgeschlagen), Kontosperren, Gruppenänderungen und der Zugriff auf schützenswerte Ordner wie Pruefungen.

Unter Windows schaltet die Überwachungsrichtlinie (GPO, Erweiterte Überwachungsrichtlinienkonfiguration) die Ereignisse ein. Wichtige Ereignis-IDs im Sicherheitsprotokoll: 4624 Anmeldung erfolgreich, 4625 Anmeldung fehlgeschlagen, 4740 Konto gesperrt, 4728 und 4732 Mitglied zu einer globalen bzw. domänenlokalen Sicherheitsgruppe hinzugefügt, 4663 Zugriff auf ein Objekt. Samba schreibt Anmeldungen mit auth_audit und auth_json_audit ins eigene Protokoll, Dateizugriffe mit dem Modul full_audit.

Überwachen heißt auswerten: regelmäßig, mit klarer Frage („Wo häufen sich Fehlanmeldungen?“) und mit festgelegter Reaktion. Protokolle enthalten personenbezogene Daten. Wer sie auswertet, wofür und wie lange sie aufbewahrt werden, legt ihr mit dem Auftraggeber fest; bei Beschäftigten ist der Betriebsrat zu beteiligen.

Vertiefung: Wie Gruppen in den Anmeldetoken kommen (Kerberos und PAC)

Bei der Anmeldung stellt der Domänencontroller das Ticket aus und schreibt die Gruppenmitgliedschaften des Kontos hinein (Privilege Attribute Certificate, PAC). Aus dem Ticket baut der Client oder der Dateiserver den Zugriffstoken. Ändert sich eine Gruppe, merkt der Token das erst, wenn ein neues Ticket ausgestellt wird. Das passiert sicher bei der nächsten Anmeldung. Die Standardlaufzeit eines Benutzertickets beträgt 10 Stunden. whoami /groups zeigt die Gruppen im aktuellen Token, klist die Tickets. klist purge verwirft Tickets, eine bestehende Verbindung zur Freigabe kann aber den alten Token behalten; Abmelden und neu anmelden ist der sichere Weg.

Vertiefung: Der Windows-Weg (Variante A, Windows Server)

Wer in Teil 1 Variante A gewählt hat, arbeitet mit denselben Begriffen. Konten und Gruppen: Active Directory-Benutzer und -Computer oder PowerShell (New-ADOrganizationalUnit, New-ADGroup -GroupScope Global bzw. DomainLocal, New-ADUser, Add-ADGroupMember). Freigaben: New-SmbShare, NTFS-Rechte im Explorer oder mit icacls. Kontingente: Ressourcen-Manager für Dateiserver. Kennwortrichtlinie: in der Default Domain Policy. Linux-Rechte übt ihr dann am Linux-Client und an srv02.

Vertiefung: In welcher Reihenfolge Windows die Einträge einer ACL prüft

Die Einträge einer ACL stehen in fester Reihenfolge: explizite Verweigern, explizite Erlauben, vererbte Verweigern, vererbte Erlauben (vom nächsten Elternordner aufwärts). Windows geht die Liste von oben durch, bis alle angefragten Rechte erlaubt oder eines verweigert ist. Daraus folgen die Regeln „Verweigern vor Erlauben“ und „explizit vor vererbt“. Verweigern-Einträge an Gruppen sind selten eine gute Idee: Wer zufällig auch in dieser Gruppe steckt, verliert den Zugriff, auch wenn er ihn über eine andere Gruppe haben soll.

Die Begriffe dieser Fachgrundlage

Zum Nachlesen

• Samba Wiki: Setting up Samba as an Active Directory Domain Controller; Setting up a Share Using Windows ACLs; Joining a Windows Client or Server to a Domain
• Manpages samba-tool(8), smb.conf(5), vfs_full_audit(8), chmod(1), setfacl(1), acl(5)
• Microsoft Learn: Active Directory security groups (Gruppenbereiche); Folder Redirection; Advanced security audit policy settings; Ereignisse 4624, 4625, 4740
• RFC 4120 (Kerberos V5), Microsoft-Spezifikation MS-PAC
• BSI IT-Grundschutz-Kompendium, Baustein ORP.4 Identitäts- und Berechtigungsmanagement