💡 1. Theorie & Praxiskonzept
Das AGDLP-Prinzip (Accounts → Global → Domain Local → Permissions) ist die von Microsoft empfohlene Referenzarchitektur für skalierbare Zugriffsverwaltung. Benutzerkonten (A) werden niemals direkt auf Ressourcen berechtigt. Sie werden Mitglied einer Globalen Gruppe (G, z.B. G_Marketing), diese wird Mitglied einer Domänenlokalen Gruppe (DL, z.B. DL_Share_Projekte_RW), und nur dieser Domänenlokalen Gruppe werden auf der Ressource Berechtigungen (P) erteilt.
A (Mitarbeiter): Lisa fängt neu an.
G (Abteilungsausweis): Lisa bekommt den Ausweis 'Marketing-Team'.
DL (Tür-Schlossberechtigung): Das Schloss am Konferenzraum lässt 'Türberechtigung Raum A' hinein.
P (Rechte): Du hängst 'Marketing-Team' in die 'Türberechtigung Raum A'. Lisa kann sofort hinein – und verlässt sie das Marketing, nimmst du ihr nur den Ausweis weg, ohne alle Schlösser im Gebäude neu zu programmieren!
⚡ 2. Active Directory Cheat-Sheet
| Befehl / Konzept | Bedeutung & Funktion |
|---|---|
A → G → DL → P | Standard: Benutzer in Globale Rolle, Rolle in lokale Ressourcengruppe, Ressourcengruppe in NTFS-ACL. |
A → G → U → DL → P | AGUDLP: Erweiterung für Multi-Domain Forests mit Universellen Gruppen. |
G_<Rolle> | Namenskonvention für Globale Rollengruppen (z.B. G_Vertrieb). |
DL_<Ressource>_<Recht> | Namenskonvention für Domänenlokale Rechtegruppen (z.B. DL_Fileserver_Vertrieb_RW). |
⚠️ 3. Häufige Stolperfallen & Best Practices
Weist ein Admin einem Benutzer A direkt NTFS-Rechte auf einem Ordner zu, entsteht Berechtigungs-Chaos. Beim Abteilungswechsel verbleiben verwaiste Altrechte ('Berechtigungs-Wucher').
Schachtelst du globale Gruppen domänenübergreifend direkt ineinander, scheitert dies an den Bereichsregeln von Windows Domains. Halte dich strikt an A → G → DL → P.
🧠 Diagnostischer Selbst-Check
Überprüfe dein Verständnis zu Active Directory Architektur, FSMO, GPO und Sicherheit mit gezieltem Feedback: