Domänen und Gesamtstrukturen: Das Problem der Vertrauensstellung
Trauen oder nicht trauen?
Wer seine Active-Directory-Umgebung optimieren will oder muss, steht häufig vor der Aufgabe, einen gewissen „Wildwuchs“ bei den Anwenderkonten zu bereinigen. Vertrauensstellungen können hier helfen, beispielsweise ein Single-Sign-On (SSO) über verschiedene Windows-Gesamtstrukturen hinweg zu etablieren. Unser Autor zeigt aber auch, wo diese Optimierung Risiken birgt.
Der Einsatz von übergreifenden Vertrauensstellungen (trust relationships) stellt eine gute Möglichkeit dar, um die verschiedenen Anwender- und Administratoren-Accounts in den Griff zu bekommen. Durch ihren Einsatz wird eine einfache Anmeldung – ein Single-Sign-On (SSO) – auch über mehrer Windows-Forests (Gesamtstrukturen), über Windows-NT und –AD-Domänen und sogar über Windows-Installation hinweg möglich, die kein Kerberos einsetzen. Allerdings muss sich ein Administrator immer der Tatsache bewusst sein, dass der Einsatz solcher Vertrauensstellungen immer seinen Preis hat.
In einer Gesamtstruktur, in der Domänen mit einer Vertrauensstellung existieren, bietet sich für „bösartige“ Administratoren ein weites Betätigungsfeld, um Probleme zu verursachen. Hinzu kommt die Problematik, dass Domain-Controller (DCs), die beispielsweise in direktem physischen Zugriff angreifbar sind, eine komplette Gesamtstruktur kompromittieren kann.
