đĄ 1. Theorie & Praxiskonzept
Active Directory Domain Services (AD DS) ist das IdentitĂ€ts-RĂŒckgrat moderner Unternehmensnetzwerke. Eine Gesamtstruktur (Forest) bildet die oberste Sicherheitsgrenze. Innerhalb des Forests teilen sich DomĂ€nenbĂ€ume einen gemeinsamen Namensraum und ein Schema. Clients finden DomĂ€nencontroller (DCs) ĂŒber standardisierte DNS-SRV-Records (z.B. _ldap._tcp.dc._msdcs.domaene.de) und authentifizieren sich ĂŒber Kerberos.
Der Forest ist der Gesamtkonzern (z.B. Alphabet) mit einer gemeinsamen Verfassung (Schema). Die DomĂ€nen sind eigenstĂ€ndige Tochterfirmen (Google, Waymo) mit eigenen Mitarbeiterlisten, die sich gegenseitig vertrauen. Der DNS-SRV-Record ist der Empfangstresen, der jedem Besucher sagt, in welchem GebĂ€ude das BĂŒro des Sicherheitschefs (DC) liegt.
⥠2. Active Directory Cheat-Sheet
| Befehl / Konzept | Bedeutung & Funktion |
|---|---|
Get-ADForest | Gibt Forest-Name, Schema-Master, Domain-Naming-Master und Root-DomĂ€ne zurĂŒck. |
Get-ADDomain | Liefert DomÀnen-SID, NetBIOS-Name, PDC-Emulator und DomÀnen-Funktionsebene. |
Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.<Domain> | PrĂŒft, ob Clients DomĂ€nencontroller im DNS auffinden können. |
klist | Zeigt aktuelle Kerberos-Tickets (TGT & Service Tickets) des angemeldeten Benutzers an. |
â ïž 3. HĂ€ufige Stolperfallen & Best Practices
Active Directory steht und fÀllt mit DNS! Kann ein Client die SRV-Records unter _msdcs nicht auflösen, schlÀgt der DomÀnenbeitritt und die Anmeldung trotz intakter Netzwerkverbindung fehl.
Nur der Forest (Gesamtstruktur) ist eine echte Microsoft Security Boundary! Ein DomĂ€nen-Admin einer SubdomĂ€ne kann ĂŒber Token Manipulation und SID History Rechte im Forest Root erlangen.
đ§ Diagnostischer Selbst-Check
ĂberprĂŒfe dein VerstĂ€ndnis zu Active Directory Architektur, FSMO, GPO und Sicherheit mit gezieltem Feedback: