Domänencontroller

Domänencontroller im Zentrum eines Windows-Netzwerks

Wenn sich ein Benutzer an einem Firmen-PC mit einem Domänenkonto anmeldet, auf einem gemeinsam genutzten Drucker druckt oder einen Dateiserver öffnet, entscheidet eine Komponente stillschweigend über “erlaubt” oder “verweigert”: die Domänencontroller.

Er speichert Benutzeridentitäten, überprüft Kennwörter und setzt Sicherheitsregeln für die gesamte Windows-Domäne durch.
Wenn die Domänencontroller ausfallen, kommen die Anmeldungen ins Stocken und gemeinsame Ressourcen sind nur noch schwer zu erreichen, selbst wenn die Daten noch auf der Festplatte vorhanden sind.

Zentrale Konzepte: Domäne, Verzeichnis und Authentifizierung

A Domain ist eine Sicherheitsabgrenzung, die Benutzer, Computer und Ressourcen unter einem Satz von Regeln gruppiert.
Das Verzeichnis, das sie beschreibt, lautet Active Directory-Domänendienste (AD DS).

A Domänencontroller (DC) ist ein Windows Server, der AD DS ausführt und Authentifizierungsanfragen beantwortet.
Er enthält eine beschreibbare Kopie der Verzeichnisdatenbank und antwortet auf die Fragen “Wer ist dieser Benutzer?” und “Was kann dieser Benutzer tun?”

Was ein Domänencontroller tagtäglich tut

Domänencontroller übernehmen jedes Mal, wenn jemand das Netz benutzt, mehrere wichtige Aufgaben.

Wichtige Funktionen:

• Validierung von Anmeldedaten bei interaktiver Anmeldung und Einzelanmeldung

• Ausstellung von Kerberos-Tickets und Verwaltung von Sicherheits-Tokens

• Gruppenrichtlinien auf Benutzer und Computer anwenden

• Speichern und Replizieren von AD-Objekten wie Benutzern, Gruppen und OUs

• Protokollierung von Sicherheitsereignissen, die später von Auditoren überprüft werden

Da DCs auf dem Vertrauenspfad liegen, haben sie direkten Einfluss darauf, wie sicher Benutzer Dateiserver, Anwendungen und Sicherungssysteme erreichen.

Domänencontroller, Active Directory und DNS: Wie sie zusammenhängen

Domänencontroller vs. Active Directory

Active Directory ist der Verzeichnisdienst und die Datenbank.
Ein Domänencontroller ist der Server, der diesen Dienst für eine Domäne hostet.

Sie können sich AD DS als die Informationen, das Schema und die Regeln vorstellen, während Domänencontroller die Maschinen sind, die diese Informationen speichern und replizieren und Client-Anfragen beantworten.

Domänencontroller vs. DNS-Server

Domänencontroller verlassen sich auf DNS um Dienste zu finden.
In vielen Umgebungen führt dieselbe Windows Server-Instanz sowohl AD DS als auch DNS aus.

Die DNS-Rolle übersetzt Hostnamen in IP-Adressen und veröffentlicht Service-Datensätze (SRV), mit denen Clients Domänencontroller finden können.
Der DC verwaltet die Identitäten, der DNS-Dienst die Namensauflösung.

Arten von Domänencontrollern

Administratoren verwenden verschiedene Funktionstypen von Domänencontrollern, auch wenn das zugrunde liegende Betriebssystem weiterhin Windows Server ist.

Zu den gängigen Kategorien gehören:

• Beschreibbarer Domänencontroller: Standard-DC, der Änderungen annimmt und sie repliziert.

• Nur-Lese-Domänen-Controller (RODC): Enthält schreibgeschützte Verzeichnisdaten, häufig für Zweigstellen mit schwächerer physischer Sicherheit.

• FSMO-Rolleninhaber: DCs, die spezielle Rollen wie PDC Emulator, RID Master oder Schema Master besitzen.

• Global Catalog Server: Speichert ein teilweises Replikat jedes Objekts im Forest für schnelle Suchen und Anmeldungen.

Die Wahl des Designs hängt von der Sicherheit, der WAN-Qualität und der Anzahl der Standorte des Unternehmens ab.

Planen Sie, wie viele Domänencontroller Sie benötigen

In der Regel werden aus Redundanzgründen mindestens zwei Domänencontroller pro Domäne eingesetzt.
Fällt ein Server aus, fährt der andere fort, Benutzer zu authentifizieren und Richtlinien anzuwenden.

Faktoren, die die DC-Zahl beeinflussen:

• Anzahl der Benutzer und Computer

• Anzahl der physischen Standorte und WAN-Verbindungen

• Anmeldung und Laden der Anwendung

• Toleranz gegenüber Ausfallzeiten

Kleine Unternehmen betreiben oft zwei DCs an einem Standort.
Größere Umgebungen fügen DCs pro Standort hinzu und verteilen FSMO-Rollen, um Single Points of Failure zu vermeiden.

Domänencontroller und Datensicherung

Domänencontroller speichern keine Benutzerdokumente, aber sie kontrollieren, wer auf diese Dokumente zugreifen kann.
Wenn ein DC ausfällt, bleiben die Dateiserver möglicherweise online, während sich die Domänenbenutzer nicht authentifizieren können.

Aus der Perspektive der Wiederherstellung planen Sie für:

• Systemstatus-Sicherungen eines jeden Domänencontrollers

• Getestete Verfahren zur Wiederherstellung eines DC und zur Handhabung von USN-Rollbacks

• Schutz von AD-integrierten DNS-Zonen

Auf der Endpunktebene werden Tools wie Amagicsoft Datenrettung helfen, wenn Benutzer lokale oder freigegebene Dateien verlieren, während der DC weiterhin die Identitäts- und Zugriffskontrolle übernimmt.
Die Wiederherstellung der Identität und die Wiederherstellung von Dateien bilden zusammen einen vollständigen Ausfallsicherheitsplan.