Das NT Domänen-Konzept

Einführung

Was ist eine Domäne?

Was ist eine Gruppe?

Was ist ein Trust?

Domänen

Das Single Domain Model

Das Single Master Domain Model

Das Multiple Master Domain Model

Das Complete Trust Model

Einführung

Was ist eine Domäne?

Eine Domäne ist eine administrative Einheit, die aus mehreren Servern, Netzwerksegmenten, Ressourcen (z.B. Drucker, ) und Benutzerkonten bestehen kann. Für Verwaltung von Domänen unter Windows NT 4.0 gibt es einen PDC (Primary Domain Controller) und optional dazu kann man beliebig viele BDCs (Backup Domain Controller) bzw. SDCs (Secondary Domain Controller; sie werden für gewisse Domänenkonzepte benötigt) installieren.

Das original der zentralen Domänendatenbank SAM (Security Account Manager) liegt nur am PDC. Auf den BDCs liegen nur Kopien der Datenbank. Um Zugriff auf die Domäne zu erhalten, muß unbedingt der PDC in Betrieb sein. Die BDCs dienen rein als Sicherung und zur Unterstützung für Login-Autentifikationen.

Was ist eine Gruppe?

Um einzelne Benutzer in leicht administrierbare Einheiten (mit bestimmten Rechten) zusammenzufassen, gibt es unter Windows NT die Alternative der Gruppen. Man unterscheidet zwischen

Lokalen Gruppen und

Globalen Gruppen

Lokale Gruppen

sind auf die eigene Domäne beschränkt. Alle Rechte einer Gruppe werden an die Gruppenmitglieder vererbt. Gruppenmitglieder können sein:

Benutzer der eigenen oder einer anderen Domäne

Globale Gruppen der eigenen oder anderer vertrauter Domänen

Globale Gruppen

sind in allen Domänen sichtbar. Gruppenmitglieder können sein:

Benutzer der eigenen Domäne

Weitere Domänen

Was ist ein Trust?

Wenn es in einem Netzwerk mehrere Domänen gibt und Benutzer einer Domäne auf Ressourcen einer anderen Domäne zugreifen können sollen, müßte dieser Benutzer normalerweise auch in der anderen Domäne aufgenommen werden. Dadurch wäre dem Prinzip der zentralen Benutzerverwaltung nicht mehr Folge geleistet.

Um dieses Problem zu lösen, gibt es sogenannte Trust-Relationships (Vertrauens-Beziehungen). Vertraut eine Domäne (Trusting Domain) einer anderen (Trusted Domain), können die Benutzer der Trusted Domain auf die Ressourcen der Trusting Domain zugreifen, ohne ein eigenes Benutzekonto auf der Trusting Domain haben zu müssen.

Der Benutzer muß sich also nicht mehrmals anmelden, um Zugriff auf Ressourcen anderer Domänen zu erhalten.

Domänen

2.1 Das Single Domain Model

Dieses Modell ist am einfachsten und wird dann benutzt, wenn die Zahl der Benutzer 15.000 nicht überschreitet und das Netzwerk unterteilt ist.

Bei diesem Domänenkonzept werden alle Benutzer und Ressourcen in einer einzigen Domäne zusammengefaßt.

Dieses Konzept wird am häufigsten für Netzwerke mit wenigen Benutzern und wenigen Ressourcen verwendet (z.B. Büros).

Vorteile:

Zentrale Verwaltung der Rechte der einzelnen Benutzer

Keine Trust-Verwaltung nötig

Lokale Gruppen müssen nicht mehrfach definiert werden

Nachteile:

Antwortzeiten beim Anmelden bei zu vielen Benutzern oder Gruppen schlecht

Benutzer und ihre Rechte lassen sich nicht einzelnen Abteilungen zuordnen

Ressourcen (Fileserver, Drucker, ) lassen sich nicht einzelnen Abteilungen zuordnen

Suche nach Ressourcen dauert lange, weil alle Ressourcen der Domäne angeboten werden

2.2 Das Single Master Domain Model

Bei diesem Modell ist es möglich, das Netzwerk in einzelne Einheiten einzuteilen. Zum Beispiel könnte man pro Abteilung eines Betriebes eine Einheit definieren.

Es gibt eine sogenannte Master Domain, auf der alle Benutzerkonten und Gruppen verwaltet werden. Alle weiteren Server Domänen im Netzwerk (z.B. pro Abteilung eine Domäne) vertrauen der Master Domain und haben somit Zugriff auf die dort gespeicherten Benutzer- und Gruppeninformationen.

Die Master Domain fungiert als zentrale Anmeldestelle für alle Benutzer und verwaltet alle Benutzerkonten. Die zusätzlichen BDCs (bzw. SDCs) haben lediglich eine Kopie der Benutzerkonten.

Dieses Domänenkonzept wird größtenteils für Netzwerke in Unternehmen mittlerer Größe angewendet.

Vorteile:

Zentrale Verwaltung der Benutzerinformationen

Übersichtliche Gliederung des Netzwerkes

Netzwerkressourcen können einzelnen Abteilungen zugeordnet werden

Möglichkeit der Administration lokaler Ressourcen der einzelnen Domänen

Nachteile:

Antwortzeiten beim Anmelden bei zu vielen Benutzern oder Gruppen schlecht

Lokale Gruppen müssen in allen benötigten Domänen eingerichtet werden

2.3 Das Multiple Master Domain Model

Dieses Domänenkonzept entspricht im Groben dem Master Domain Konzept. Jedoch dürfen hier mehrere Master Domeins existieren, die sich gegenseitig vertrauen. An jeder Master Domain können weitere Server Domänen angeknüpft sein, die wiederum mindestens einer Master Domain vertrauen. Somit haben die weiteren Server Domänen Zugriff auf alle Ressourcen des gesamten Netzwerkes.

Vorteile:

Bestes Konzept für Netzwerke in großen Unternehmen mit dezentralen Rechenzentren

Nachteile:

Hoher Aufwand der Verwaltung der Vertrauensbeziehungen

Benutzerkonten können sich in verschiedenen Domänen liegen (Problem der Sicherung und der Eindeutigkeit)

Lokale und globale Gruppen müssen mehrfach definiert werden

2.4 Das Complete Trust Model

Bei diesem Konzept existieren keine Master Domains. Jede Domäne operiert eigenständig und ist gleichberechtigt. Das heißt der Administrator einer Domäne ist allein für seine Domäne verantwortlich. Er richtet die Benutzerkonten seiner Domäne ein, verwaltet die Ressourcen seiner Domäne, usw.

Die Interaktion aller Domänen wird durch Vertrauensbeziehungen zu allen anderen Domänen gewährt.

Vorteile:

Jede Domäne verwaltet ihre Ressourcen und Benutzer selbst

Gut geeignet für Unternehmen ohne Rechenzentrum

Nachteile:

Sehr unsicher, da Funktionalität und Sicherheit von den Absprachen der einzelnen Administratoren und dem Know-How dieser abhängig ist

Sehr unübersichtlich

Sehr viel Verwaltungsaufwand der Vertrauensstellungen (für n Domänen sind n*(n-1) Vertrauensbeziehungen notwendig)

Das Sicherheitskonzept von Windows NT

Einführung

'Orange Book'

Sicherheit unter Windows NT

Allgemein

Der Sicherheitsstandard C2

'Orange Book'

Das 'Orange Book' beinhaltet Kriterien, nach denen Betriebssysteme bezüglich ihrer Datensicherheit bewertet werden. Das 'Orange Book' umfaßt 7 Sicherheitsstufen: D, C1, C2, B1, B2, B3 und A, wobei A für den höchsten Sicherheitsgrad steht.

Definiert wurde dieser Kriterienkatalog vom amerikanischen Verteidigungsministerium unter dem Namen "Trusted Computer System Evaluation Criteria" (TCSEC), 'Orange Book' ist lediglich ein Beiname.

Sicherheit unter Windows NT

Allgemein

Voraussetzung für den Einsatz von Windows NT in US-Regierungsbehörden war die Zertifizierung  durch das NCSC (National Computer Security Center), einer Unterorganisation der NSA (National Security Agency).

1995 bekam Windows NT unter Nutzung des NTFS das C2-Zertifikat verliehen. In Europa bekam Windows NT das C2-Zertifikat nach dem 'Red Book', das Sicherheitsanforderungen an Netzwerke definiert.

Der Sicherheitsstandard C2

Kriterien des C2-Standard:

Eindeutige Identifizierung

Auditing (Überwachung)

Zugriffskontrolle

Schutz gelöschter Objekte

Das Administrator-Benutzerkonto

Hardware

2.2.1 Eindeutige Identifizierung

Jeder Benutzer muß sich mit einer eindeutigen Identifikation (Benutzername) und einem Paßwort beim System anmelden. Hierfür wird der Benutzer aufgefordert, die 'Secure attention sequence' (Strg+Alt+Entf) einzugeben. Dadurch sichert sich Windows NT gegen Trojanische Pferde' und dgl. ab.

Beim Login wird außerdem das Paßwort verschlüsselt und nicht lesbar (*****) angezeigt.

2.2.2 Auditing

Durch das NTFS ist es möglich, gewisse Aktivitäten (Dateizugriffe, ) der Benutzer in einem Audit-Log aufzuzeichnen. Dies ist vor allem bei streng vertraulichen oder geheimen Daten sehr wichtig.

So kann man unter Umständen ganz schnell und einfach den Übeltäter ermitteln und zur Verantwortung ziehen.

2.2.3 Zugriffskontrolle

Standardmäßig hat unter Windows NT nur der Besitzer einer Ressource uneingeschränkte Zugriffskontrolle. Er hat nun die Möglichkeit, einzelnen Benutzern oder Gruppen gewisse Zugriffsberechtigungen zu erteilen (oder zu entziehen).

Im Gegensatz zu anderen Netzwerk-Betriebssystemen, wie zum Beispiel UNIX, bietet Windows NT erweiterte Berechtigungen:

Lesen, Schreiben, Ausführen, Löschen, Berechtigungen ändern und Besitz übernehmen

UNIX:

Lesen, Schreiben, Ausführen (jeweils für Eigentümer, Gruppenmitglieder und sonstige Benutzer)

2.2.4 Schutz von gelöschten Objekten

Wenn eine Anwendung nach Ausführung den reservierten Speicher wieder freigibt, sollte keine andere Anwendung die Daten der alten Anwendung aus dem freigegebenen Speicher auslesen können. Deshalb wird der Speicher sofort nach Beendigung der Applikation überschrieben.

Das selbe gilt auch für Daten auf Festspeichern. Nach löschen einer Datei, sollte der Bereich, der von dieser Datei benutzt wurde überschrieben werden. Am Besten eignen sich hierfür Zufallswerte. Wenn man den Bereich zum Beispiel nur mit Nullen überschreiben würde, könnte man durch Magnetisierungsrückstände die Datei wieder herstellen.

2.2.5 Das Administrator-Benutzerkonto

In den meisten anderen Betriebssystemen hat der Administrator uneingeschränkte Macht über das System (z.B. unter UNIX). Unter Windows NT kann auch der Administrator nur auf Dateien und Ressourcen zugreifen, zu denen er auch berechtigt ist zuzugreifen. Der Administrator hat aber standardmäßig das Recht, Besitz über Objekte zu nehmen, jedoch merkt das der Eigentümer. Somit ist auch dieses Kriterium des C2-Standard erfüllt.

2.2.6 Hardware

Neben den bereits erwähnten Sicherheitskriterien, sollte auch auf die Hardware Rücksicht genommen werden. Es sollte zum Beispiel nicht möglich sein, über ein anderes Betriebssystem das Windows NT-System zu manipulieren.