Einführung in Active Directory: Domänen und Gesamtstrukturen
Seit seiner Einführung vor rund 20 Jahren mit Windows 2000 Server Edition im Februar 1999 hat sich Active Directory als Kernbestandteil des Microsoft-Server-Ökosystems etabliert. Seine primäre Aufgabe besteht darin, Informationen über vernetzte Ressourcen zu verwalten. Da Computernetzwerke oft komplex sind, ist auch Active Directory (AD) von Natur aus anspruchsvoll. Daher ist es unser Ziel, Ihnen heute eine grundlegende Einführung in Active Directory-Domänen und -Gesamtstrukturen zu geben.
Unser Ziel ist nicht, Sie zu AD-Experten zu machen, sondern vielmehr, Ihnen eine erste Orientierung in diesem komplexen Bereich zu bieten. Aufgrund der Komplexität der Technologie ist es nicht verwunderlich, dass diverse Drittanbieter Tools zur Überwachung und Verwaltung von Active Directory entwickelt haben. Wir werden uns daher ansehen, welche Möglichkeiten einige dieser Tools Ihnen bieten.
Unsere Reise in die Welt von Active Directory sieht wie folgt aus: Zuerst klären wir die Verwirrung um das Konzept der „Domäne“. Dies ist ein Kernelement von AD, aber auch ein Begriff, der im Internet verwendet wird. Hierbei handelt es sich jedoch um zwei völlig unterschiedliche Arten von Domänen, die nicht verwechselt werden sollten. Danach werden wir Active Directory vorstellen und seine Ursprünge erläutern. Als Nächstes werden wir AD-Domänen und die „Bäume“ betrachten, die ihre Struktur darstellen. In der Natur wird eine Gruppe von Bäumen als Wald bezeichnet. Das Gleiche gilt auch für Active Directory, wie wir sehen werden. Anschließend werden wir uns mit der Verwaltung und Überwachung von Active Directory befassen, und am Ende werden wir einige der besten verfügbaren Überwachungs- und Verwaltungstools für AD vorstellen.
Die Verwirrung vermeiden: Was ist eine Domäne?
Der Begriff „Domäne“ kann je nach Kontext verschiedene Bedeutungen haben. Selbst in der Informationstechnologie wird er für zwei sehr unterschiedliche Konzepte verwendet. Die erste Art von Domäne, mit der die meisten Computerbenutzer vertraut sind, ist die Internet-Domäne. Sie bezeichnet eine Gruppe von Internetressourcen, die zu einer bestimmten Organisation gehören. Domänennamen werden genutzt, um auf Ressourcen zuzugreifen, wobei benutzerfreundliche Namen anstelle von kryptischen IP-Adressen verwendet werden. Ein Beispiel hierfür ist wdzwdz.com, der Domänenname dieser Website. Microsoft.com ist ein weiteres bekanntes Beispiel, und es gibt viele weitere.
Der Begriff „Domäne“ wird aber auch im Zusammenhang mit Active Directory verwendet. Eine Active Directory-Domäne ist eine Gruppe von Ressourcen (beachten Sie die Parallele zu den Internet-Domänen?), die durch eine zentrale Authentifizierungsdatenbank verwaltet werden. Wir werden AD-Domänen in Kürze genauer beleuchten. Wichtig ist, dass derselbe Begriff für zwei völlig unabhängige Konzepte verwendet wird, die nicht miteinander verwechselt werden sollten.
Active Directory kurz erklärt
Eine häufige Frage lautet: Was genau ist Active Directory? Die einfache Antwort ist, dass es sich um Microsofts Implementierung eines LDAP-Verzeichnisdienstes handelt. Dies ist zwar korrekt, aber möglicherweise nicht sehr hilfreich und wirft weitere Fragen auf.
Gehen wir der Sache auf den Grund. Ein Verzeichnisdienst ist im Kontext von Computernetzwerken eine Datenbank, die Informationen über alle Netzwerkkomponenten speichert. Dazu gehören Computer, Server, Benutzer, Benutzergruppen und Verzeichnisse. Man kann es sich wie ein Telefonbuch vorstellen. Jede Ressource, die eine andere Ressource finden muss, schlägt im Verzeichnis nach.
Der „LDAP“-Teil der Antwort steht für Lightweight Directory Access Protocol. Einfach gesagt, definiert LDAP, wie Informationen über Ressourcen in der Datenbank gespeichert und abgerufen werden können. Es ist ein Industriestandardprotokoll, das von vielen Anbietern genutzt wird, was aber leider nicht bedeutet, dass unterschiedliche Implementierungen interoperabel sind.
Eine Active Directory-Struktur ist eine hierarchische Anordnung von Objekten. Es gibt drei Hauptkategorien von Objekten: Ressourcen (z. B. Computer oder Drucker), Dienste (z. B. E-Mail) und Benutzer (Benutzerkonten und Benutzergruppen). Active Directory speichert Informationen über diese Objekte, organisiert sie und steuert den Zugriff darauf sowie deren Sicherheit. Es ist im Grunde eine Datenbank, in der jeder Eintrag einen Namen und Attribute hat. Jedes Attribut hat einen Namen, einen Typ und einen oder mehrere Werte, die im Schema der Datenbank definiert sind.
Die hierarchische Struktur einer Active Directory-Datenbank kann mit einem Dateisystem verglichen werden. Genau wie ein Dateisystem Container (Verzeichnisse oder Ordner) hat, hat AD Organisationseinheiten (OUs). Diese ermöglichen es, zusammengehörige Objekte zu gruppieren. Systemadministratoren können nach Bedarf Organisationseinheiten erstellen, und es ist nicht ungewöhnlich, für jede Abteilung einer Organisation separate OUs zu haben.
Active Directory-Domänen
Nachdem wir nun ein gemeinsames Verständnis von Active Directory haben, wollen wir uns den Domänen zuwenden. Interessanterweise existierten Domänen bereits vor Active Directory. Schon in den frühen Tagen von Windows NT gab es Domänen, bevor Microsoft seinen eigenen LDAP-Verzeichnisdienst im Jahr 1999 einführte. In einem typischen Windows-Server-Netzwerk ist mindestens einer der Server (oft zwei oder mehr) als Domänencontroller konfiguriert. Dies sind die Server, die die Domänendatenbank hosten, Benutzer authentifizieren und den Zugriff auf Ressourcen steuern. Die Informationen werden zwischen den Controllern repliziert. Zudem sind die Objekte einer Domäne hierarchisch organisiert.
Die Bäume und der Wald
Um hierarchische Strukturen wie Domänen zu beschreiben, wird oft die Analogie eines Baumes verwendet. Microsoft hat diese Analogie bei Active Directory weitergeführt und eine hierarchische Struktur von Domänen als „Baum“ bezeichnet. Eine Domäne ist eine Gruppe von Ressourcen, die von einer Datenbank verwaltet wird. Ein Baum kann aus verschiedenen Gründen aus mehreren Domänen bestehen, was in größeren Organisationen üblich ist. Es ist nicht ungewöhnlich, für jede Abteilung eines großen Unternehmens eine eigene Domäne zu sehen. In noch größeren Organisationen können Bäume zu „Wäldern“ gruppiert werden. Dies ist das oberste Element in Active Directory, von dem alles andere abgeleitet wird.
Verwalten und Überwachen von Active Directory
Überwachung ist essenziell! Jeder Netzwerk- oder Systemadministrator hat diesen Satz schon oft gehört. Und das ist wahr! Überwachung ist eine der wichtigsten Methoden, um den Überblick zu behalten. Es gibt verschiedene Arten von Überwachungstools, die Ihnen die gewünschten Metriken liefern können. So liefert beispielsweise die Bandbreitenüberwachung Informationen über die Nutzung verschiedener Netzwerksegmente, während die CPU-Überwachung die Auslastung Ihrer Server anzeigt. Die meisten Betriebsdaten von Systemen und Netzwerken können überwacht werden. Ein Hauptvorteil von Überwachungstools ist ihre Automatisierung. Sie müssen sie nicht ständig manuell beobachten. Wenn etwas Ungewöhnliches passiert, werden Sie von Ihrem Überwachungstool alarmiert.
Im Fall von Active Directory gibt es viele Parameter, die überwacht werden können. Beispielsweise können Domänencontroller – die Server, auf denen die Datenbank einer Domäne gespeichert ist – auf ihre Reaktionsfähigkeit und Leistung überwacht werden. Änderungen an Zugriffsrechten können ebenfalls von Vorteil sein, und Anmeldeversuche (insbesondere fehlgeschlagene) sind weitere Parameter, die überwacht werden sollten, da sie auf böswillige Aktivitäten hinweisen können.
Active Directory Management ist ein anderes Thema. Microsoft bietet verschiedene Tools zur Unterstützung der Verwaltung von Active Directory. Mit diesen Tools können Sie Objekte erstellen, Rechte zuweisen und die meisten alltäglichen Aufgaben im Zusammenhang mit der AD-Verwaltung ausführen. Einige dieser Tools können jedoch umständlich oder unpraktisch in der Handhabung sein. Daher haben sich viele Anbieter darauf spezialisiert, Active Directory-Verwaltungstools anzubieten, die diese Aufgaben vereinfachen.
Die besten AD-Tools
Wir haben den Markt nach einigen der besten Active Directory-Tools durchforstet und eine Mischung aus Überwachungstools (einige AD-spezifisch, andere allgemeiner) und Verwaltungstools zusammengestellt. Alle diese Tools können Ihnen – das war unser wichtigstes Auswahlkriterium – bei Ihren täglichen Aufgaben im Zusammenhang mit Active Directory helfen. Einige sind sicherheitsorientiert, während andere eher auf Leistung abzielen.
1- SolarWinds Access Rights Manager (KOSTENLOSE TESTVERSION)
SolarWinds ist ein führender Anbieter von Software für Netzwerk- und Systemmanagement. Sein Vorzeigeprodukt, Network Performance Monitor, gehört zu den Top-Systemen für die Überwachung der Netzwerkbandbreite. Das Unternehmen ist auch für seine kostenlose Software bekannt, kleinere Tools, die sich an spezifische Bedürfnisse von Netzwerkadministratoren richten. Beispiele hierfür sind der Advanced Subnet Calculator und der Kiwi Syslog Server.
Der SolarWinds Access Rights Manager zielt vor allem auf die Vereinfachung der Bereitstellung und Aufhebung von Berechtigungen, der Verfolgung und der Überwachung von Benutzern ab, obwohl sein Name vermuten lässt, dass es nur um Objektberechtigungen geht. Er bietet auch einen effizienten Weg zur Verwaltung und Überwachung von Benutzerberechtigungen, um sicherzustellen, dass keine unnötigen Berechtigungen erteilt werden.
Eine der größten Stärken dieses Produkts ist das intuitive Benutzerverwaltungs-Dashboard, mit dem Sie Benutzerzugriffe auf verschiedene Dateien und Ordner erstellen, ändern, löschen, aktivieren und deaktivieren können. Es enthält rollenspezifische Vorlagen, die den Zugriff auf bestimmte Ressourcen in Ihrem Netzwerk erleichtern.
Die Berichtsfunktionen des SolarWinds Access Rights Manager sind ebenfalls sehr interessant. Die Software kann Berichte erstellen, die im Falle von Streitigkeiten oder Rechtsstreitigkeiten als Beweismittel verwendet werden können. Detaillierte Berichte für Auditzwecke und zur Einhaltung von regulatorischen Standards sind ebenfalls verfügbar. Berichte lassen sich einfach erstellen und können alle benötigten Informationen enthalten, z. B. Protokollaktivitäten in Active Directory und Dateiserverzugriffe. Sie sind so zusammenfassend oder detailliert, wie es der Benutzer wünscht.
Angriffe und Datenlecks treten oft auf, wenn Benutzer auf Ordner oder Inhalte zugreifen, für die sie keine Berechtigung haben sollten. Dies ist häufig der Fall, wenn Benutzern zu weitgehende Zugriffsrechte gewährt werden. Der SolarWinds Access Rights Manager kann helfen, diese Art von Lecks und unbefugten Änderungen an vertraulichen Daten zu verhindern. Er bietet Administratoren eine visuelle Darstellung der Berechtigungen auf mehreren Dateiservern, sodass sie auf einen Blick sehen können, wer welche Berechtigungen für welche Datei hat.
Die Preise für den SolarWinds Access Rights Manager basieren auf der Anzahl der aktivierten Benutzer in Active Directory. Ein aktivierter Benutzer ist entweder ein aktives Benutzerkonto oder ein Dienstkonto. Die Preise beginnen bei 2.995 $ für bis zu 100 aktive Benutzer. Für mehr Benutzer (bis zu 10.000) erhalten Sie Preise auf Anfrage. Eine kostenlose 30-Tage-Testversion ist verfügbar.
2- SolarWinds Server and Application Monitor (KOSTENLOSE TESTVERSION)
Der SolarWinds Server and Application Monitor wurde entwickelt, um Administratoren bei der Überwachung von Servern, deren Betriebsparametern, Prozessen und Anwendungen zu unterstützen. Er ist ein hervorragendes Tool zur Überwachung Ihrer Active Directory-Domänencontroller und der kritischen Dienste, die sie ausführen. Das Tool überwacht aber auch alle Ihre anderen Server. Es ist problemlos von kleinen Netzwerken bis hin zu großen Installationen mit Hunderten von Servern skalierbar.
Die Active Directory-Leistungsüberwachung des SolarWinds Server and Application Monitor gibt Ihnen Einblick in Probleme im Zusammenhang mit Benutzerkonten, wie z. B. Kontoerstellung, Kennwortänderungen, deaktivierte oder gelöschte Konten. Es bietet auch Informationen zu Änderungen an Domänen- und Systemrichtlinien, Datenwiederherstellung, Firewall-Einstellungen und anderen Systemänderungen, sowie laufende Dienste. Das Tool überwacht zudem LDAP-Sitzungen. Da sich die Anzahl der verbundenen Clients auf die Serverlast auswirkt, überwacht das Tool die NTDS-Objektzähler, um eine Serverüberlastung durch LDAP-Sitzungen zu vermeiden. Weiterhin bietet die Software Einblicke in erweiterte Statistiken, z. B. aktive LDAP-Threads, Bindungszeit, Clientsitzungen, erfolgreiche Bindungen/Sek. und Suchanfragen/Sek.
Die Erstkonfiguration des Produkts ist dank eines zweistufigen automatischen Erkennungsprozesses schnell und einfach. Der erste Schritt erkennt alle Server, der zweite alle Anwendungen auf den Servern. Dieser Vorgang kann durch die Angabe einer Liste von Anwendungen beschleunigt werden. Die benutzerfreundliche GUI macht die Bedienung des Tools sehr einfach. Das Dashboard kann personalisiert werden und ermöglicht es Ihnen, Informationen in Tabellen- oder Grafikform anzuzeigen.
Die Preise für den SolarWinds Server and Application Monitor beginnen bei 2.995 $ und basieren auf der Anzahl der überwachten Komponenten, Knoten und Volumes. Eine kostenlose 30-Tage-Testversion ist zum Download verfügbar.
3- Kostenlose AD-Tools von ManageEngine
ManageEngine ist ein weiterer bekannter Name unter System- und Netzwerkadministratoren. Das ManageEngine OpManager-Paket gehört zu den Top-Tools für die Überwachung von IT-Infrastrukturen. Ähnlich wie einige seiner Wettbewerber bietet ManageEngine einige sehr nützliche kostenlose Tools an. Speziell für Active Directory bietet das Unternehmen nicht weniger als fünfzehn kostenlose Tools zur Überwachung und Verwaltung Ihrer AD-Infrastruktur. Es handelt sich um eine Kombination aus eigenständigen Programmen und PowerShell-Cmdlets, die größtenteils in einem einzigen Download gebündelt sind. Werfen wir einen Blick auf die interessantesten Tools:
| AD-Abfragetool: Ermöglicht das Auslesen beliebiger Attributdaten aus Active Directory. |
| Suche nach letzter Anmeldung: Zeigt die letzte Anmeldezeit aller oder ausgewählter Benutzer auf allen ausgewählten Domänencontrollern an. Hilfreich für Audit- und Bereinigungsaktivitäten. |
| Active Directory-Replikationsmanager: Ermöglicht die Replikation von Daten in einer Domäne und bietet Berichte zur letzten Replikation. |
| Melder für Domänencontrollerrollen: Listet alle Domänencontroller und ihre jeweiligen Rollen in der Domäne auf. |
| Überwachungstool für Domänencontroller: Ein einfaches, aber leistungsstarkes Tool, das Domänen automatisch erkennt und wichtige Parameter der Domänencontroller anzeigt (z. B. CPU-Auslastung, Festplattenauslastung, Speicherauslastung). |
| Kennwortrichtlinien-Manager: Ermöglicht das Abrufen, Anzeigen und Bearbeiten der Kennwortrichtlinie der Domäne (mit entsprechenden Rechten). |
| Suche nach Active Directory-Duplikaten: Ein PowerShell-Dienstprogramm, das doppelte Einträge für Active Directory-Attribute in einer Domäne identifiziert. |
| Verwaltung von Dienstkonten: Entwickelt, um verwaltete Dienstkonten mit wenigen Klicks einfach zu erstellen, zu bearbeiten und zu löschen. |
| Bericht über schwache Passwortbenutzer: Hilft bei der Suche nach schwachen Kennwörtern in Active Directory, indem Passwörter der Benutzer mit einer Liste von über 100.000 häufig verwendeten schwachen Kennwörtern verglichen werden. |
Dies sind nur einige der vielen kostenlosen Active Directory-Tools von ManageEngine. Obwohl die Verwendung separater Tools für jede Aufgabe weniger praktisch sein kann als ein integriertes Tool, ist der Preis dieser Tools unschlagbar und sie sind definitiv eine erwägenswerte Option.
4- Active Administrator
Der letzte Eintrag auf unserer Liste ist Active Administrator von Quest Software, das jetzt zu Dell gehört. Dies ist eine umfassende und integrierte Softwarelösung für das Active Directory-Management. Sie schließt Lücken, die einige Microsoft-Tools hinterlassen. Dieses Tool kann die Erfüllung von Sicherheits- und Auditanforderungen vereinfachen und beschleunigen. Es bietet Funktionen für viele wichtige Bereiche des AD-Managements.
Zu den wichtigsten Funktionen gehört Active Administrator, das eine integrierte, proaktive Verwaltung bietet. Es ist auch ein leistungsstarkes Überwachungstool mit intuitiver Berichterstellung und Benachrichtigung. Damit können Sie Änderungen schnell erkennen und darüber berichten, indem Sie nach Ereignistyp, Benutzer, Datum und Benutzeranmelde- und -sperraktivität filtern. Sie können auch Ereigniswarnungen festlegen und automatisch warnungsbasierte Aktionen starten.
Die Preise für Active Administrator basieren auf der Anzahl der aktivierten Benutzerkonten in Ihrem Active Directory und beginnen bei 16,37 $ für eine unbefristete Lizenz mit einjährigem Support. Es muss eine Mindestlizenz für 20 Benutzerkonten erworben werden. Eine kostenlose 30-Tage-Testversion ist verfügbar.