Active Directory Grundlagen
Lektion 1 von 7
Was ist Active Directory?
Verstehe AD DS als zentralen Verzeichnisdienst und unterscheide lokale von domänenweiten Identitäten.
Lernziele
Nach Abschluss dieser Lektion kannst du:
- AD DS als Active Directory Domain Services ausschreiben
- den grundlegenden Zweck von AD DS erklären
- lokales Konto und Domänenkonto unterscheiden
- zentrale Authentifizierung konzeptionell erklären
- Authentifizierung und Autorisierung unterscheiden
- Verzeichnisobjekte, Attribute und typische Objekttypen erkennen
- Domänenmitgliedschaft konzeptionell erklären
- AD DS von einer einfachen Windows-Benutzerliste unterscheiden
- die Bedeutung von DNS für AD DS einordnen
Active Directory und AD DS
Active Directory ist ein Oberbegriff für Microsoft-Technologien rund um Verzeichnisdienste. Dieses Modul behandelt Active Directory Domain Services (AD DS), im Administrationsalltag oft verkürzt als Active Directory oder AD.
AD DS stellt einen zentralen Verzeichnisdienst für Windows-Domänen bereit. Microsoft Entra ID ist ein anderes Identitätssystem und wird hier nicht mit lokal betriebenem AD DS gleichgesetzt.
Ein strukturierter Verzeichnisdienst
Ein Verzeichnisdienst speichert strukturierte Informationen über Objekte einer Umgebung: Benutzer, Gruppen, Computer, Organisationseinheiten, dienstbezogene Objekte sowie Verweise auf Richtlinien oder Konfiguration. Jedes Objekt besitzt Attribute.
AD DS ist damit weder eine reine Passwortliste noch Unterricht über relationale Datenbanken.
Warum zentral verwalten?
Bei 20 unabhängigen Arbeitsstationen müssten lokale Identitäten und viele Einstellungen womöglich an jedem Computer separat gepflegt werden. Mit AD DS lassen sich Domänenidentitäten und viele administrative Vorgaben zentral verwalten.
Das beseitigt weder alle lokalen Konten noch jede lokale Konfiguration. Eine Domäne ist eine betriebliche Entscheidung, keine Pflicht für jedes kleine Netzwerk.
Arbeitsgruppe / nur lokal
Gleicher Anzeigename bedeutet nicht dieselbe Sicherheitsidentität.
Domänenumgebung
- PC01
- PC02
- Fileserver
Die Systeme nehmen an der Domänenumgebung teil; lokale Konten und Einstellungen verschwinden dadurch nicht.
Authentifizierung und Autorisierung
Authentifizierung beantwortet: „Wer bist du?“ Autorisierung beantwortet: „Was darfst du?“ AD DS kann eine Domänenidentität authentifizieren. Ein Fileserver bewertet anschließend seinen Sicherheitskontext, Gruppen und Ressourcenberechtigungen. AD entscheidet daher nicht automatisch jede Autorisierungsregel jeder Anwendung.
Der Ablauf trennt die Prüfung der Identität von der Entscheidung über konkrete Ressourcenrechte.
- Benutzergibt Domänen-Anmeldedaten an
- Domain Controller / AD DSauthentifiziert die Domänenidentität
- Sicherheitskontextenthält unter anderem Identität und Gruppen
- Autorisierte Ressourcenzum Beispiel eine erlaubte Dateifreigabe
Domänenmitgliedschaft, DC und DNS
Ein Windows-Computer kann einer AD-Domäne beitreten. Ein domänenverbundener Computer besitzt normalerweise ein Computerobjekt mit eigener Sicherheitsidentität und kann an Domänenauthentifizierung und zentraler Verwaltung teilnehmen. Lokale Konten und Richtlinien verschwinden dadurch nicht.
Ein Domain Controller (DC) ist ein Server mit AD DS, der Verzeichnisinformationen für die Domäne bereitstellt. DCs bearbeiten Authentifizierung sowie Verzeichnisabfragen und -änderungen und replizieren mit weiteren DCs. Es darf mehr als einen DC geben; AD DS ist für viele Änderungen kein dauerhaftes Ein-Master-System.
AD DS und DNS sind getrennte Dienste. AD DS benötigt funktionierendes DNS, damit Clients Domänendienste wie Domain Controller finden. Details zu Dienstsuche und Replikation folgen in Lektion 4.
Wissenscheck
AD DS verstehen
Typische Fehlvorstellungen
- Falsch: „Active Directory = Benutzerliste.“
- Korrektur: AD DS verwaltet viele Objekttypen, Attribute und Sicherheitsbeziehungen.
- Falsch: „Domänenkonto und lokales Konto sind dasselbe.“
- Korrektur: FIRMA\azubi und PC01\azubi sind unterschiedliche Sicherheitsidentitäten.
- Falsch: „AD ersetzt DNS.“
- Korrektur: Beide Dienste sind getrennt; AD DS ist stark von DNS abhängig.
- Falsch: „Jeder Windows-PC muss Mitglied einer AD-Domäne sein.“
- Korrektur: Lokale oder Arbeitsgruppenmodelle bleiben möglich.
- Falsch: „Nach der AD-Authentifizierung darf ein Benutzer auf alle Dateien zugreifen.“
- Korrektur: Die jeweilige Ressource muss den Zugriff zusätzlich autorisieren.
- Falsch: „Es darf nur einen Domain Controller geben.“
- Korrektur: Mehrere DCs ermöglichen Redundanz und replizieren Verzeichnisinformationen.
Sichere Beobachtungsübung
Führe auf einem Windows-Rechner nur whoami, whoami /user, whoami /groups und hostname aus; optional ergänzt systeminfo. Ordne die angezeigte Identität anhand einer Schreibweise wie PC01\azubi oder FIRMA\azubi als lokal oder domänenbezogen ein. Eine echte Domänenumgebung ist nicht erforderlich.
Dein Lernstand
Lektion in Bearbeitung
Das Öffnen startet die Lektion. Als erledigt zählt sie erst nach deiner ausdrücklichen Bestätigung.