System und Einsatzplanung, Windows im Netz (Page 4).doc

·      Dann wird System-Hive wird geladen, damit ist die Systeminformation (in Registry – zentrale Datenbank aller Einstellungen) gemeint.
Nach dem REGEDIT ausgewertet wurde, wird die Login Prozedur aufgerufen die nicht so leicht zu durchbrechen ist.

·      Beim Login wird ein vorhandenes Profile geladen.

14.          Sicherheit im NT Netzwerk

NT erfüllt C2, allerdings muß es dazu besonders eingerichtet werden.

Eine Hilfe ist das Domänen Konzept von NT (Mischung der Yellow Pages von UNIX und OS/2 – 1992/93 wurde dieses Konzept entwickelt).

Eine Domäne ist eine logische Struktur in einem Netzwerk mit folgenden Bedingungen.

Innerhalb eines physischen Subnetzes kann es mehrere Domänen geben, umgekehrt kann sich auch eine Domäne über mehrere physische Subnetze erstrecken.

Domänen sind völlig unabhängig voneinander konfigurierbar.

Wenn eine Benutzermenge auf mehrere Server zugreifen soll, ist es sinnvoll eine Domäne zu bilden. Das Login passiert an der Domäne, und nicht am Server.

Es gibt eine Benutzer-Datenbank, und die Verwaltung der Benutzer braucht nur einmal durchgeführt werden.

Innerhalb einer Domäne gibt es unterschiedliche Aufgaben der Server.

Der Domänen Controller

Er enthält die Benutzer-Datenbank mit den Rechten und so weiter.

-       Backup Domänen Controller (BDC)
Können ein oder mehrmals vorhanden sein.
Hier wird die vollständige Benutzer-Datenbank kopiert, die Änderungen werden dort auch ugedated.
BDC entlasten die PDC (Benutzerinfo muß nicht immer über das Netzgeschickt werden)
Falls der PDC abstürzt kann sofort ein BDC den PDC ersetzen.

Globale, Lokale Gruppen

Unterhalb der Domäne gibt es beides. Auf der Ebene der NT-Workstation und dem Server gibt es nur lokale Gruppen.

Ein Benutzer kann Mitglied einer lokalen oder globalen Gruppe werden, wobei die lokalen Gruppen auf dem Domänen Controller nur bei der Rechtevergabe sichtbar werden.

Es können auf Server-Ebene in lokale Gruppen globale Gruppen aufgenommen werden.

KONZEPT

Man sollte Benutzer ausschließlich in globalen Gruppen definieren, nicht auf WS.
Nachteil: Wenn der Domänen Controller nicht aktiv ist kann nicht eingeloggt werden.

Benutzer

Globale Gruppe Gruppen mit gleichen Aufgaben (Internet..)

Lokale Gruppe Gruppen mit gleichen Rechten

Rechte

Lokale Gruppen...... Zusammenfassung von globalen Gruppen die gleiche Rechte haben.

Globale Gruppen..... Zusammenfassung der Benutzer die den selben Aufgabenbereich/Rechte haben. ZB alle Internetbenutzer

Standard globale Gruppe: Domänen Adminis

lokale Gruppe: Administratoren

 

VERTRAUTE DOMÄNEN

Es gibt 2 Möglichkeiten die zu Problemen führen können:

·      Die Anzahl der Benutzer ist zu groß (zB über 1000) oder

Man unterscheidet 2 Arten von Domänen:

Vertraute und vertrauende Domäne

Eine vertrauende Domäne vertraut einer Anmeldung in einer vertrauten Domäne. Ein Benutzer meldet sich an einer vertrauten Domäne an, und kann dann auf Daten in der vertrauenden Domäne zugreifen.
In der Praxis wird in der vertrauenden Domäne die globalen Gruppen zu Mitgliedern der lokalen Gruppe in der Vertrauenden.

Globale Gruppen werden Mitglieder in

Vertraute

Globale

Vertrauend

LG LG

Lokale Gruppe

Microsoft hat dieses Prinzip zu Domänenmodellen zusammengefaßt.
(Trussted Domain Prinzip)

a)   Master Domänen Modell

Eine Master Domäne und mehrere untergeordnete Domänen. Die Benutzer sind in der Master Domäne gespeichert, die Ressourcen in den untergeordneten.

b)   Multiple Master Domain

Erweiterung vom Master Domain Modell, hier gibt es mindestens 2 Master die mit allen untergeordneten Domänen verbunden sind.

Microsoft hat 9 Master Domänen die mit Standleitungen verbunden sind. Für Europa steht der Rechner in Frankfurt. Im Netz verbunden sind nur Primary Domain Controler

c)    Complete Trust Modell

Jede Domäne vertraut der anderen. Hier gibt es den Vorteil des zentralen Administrators nicht mehr.

 

WIEDERHOLUNG

Gegenüberstellung: Arbeitsgruppe ó Domäne

Bei Arbeitsgruppen gibt es keine Möglichkeit Benutzer speziell auszuschließen, man kann nur allgemein freigeben oder nicht.

Es gibt nicht die Möglichkeit benutzerspezifisch frei zu geben, beider Domäne ist dies jedoch möglich.