Active Directory einfach erklärt
Ohne zentrales Verzeichnis müsste jedes Benutzerkonto auf jedem Rechner einzeln existieren. Wechselt jemand sein Kennwort, gilt das neue nur auf dem einen Gerät; verlässt jemand das Unternehmen, bleiben Konten auf anderen PCs zurück. Active Directory löst das, indem es Konten, Geräte und Rechte in einer gemeinsamen Datenbank führt. Ein Kennwort gilt dann an allen eingebundenen Arbeitsplätzen.
Technisch ist das Verzeichnis eine Rolle von Windows Server. Server, die diese Rolle tragen, heißen Domänencontroller. Sie prüfen Anmeldungen und halten nach Angaben von Microsoft jeweils eine vollständige Kopie des Verzeichnisses ihrer Domäne. Ändert jemand ein Konto auf einem Domänencontroller, übertragen sich die Änderungen per Replikation auf die übrigen.
Wie das Verzeichnis aufgebaut ist
Im Verzeichnis steht jedes Konto als Objekt mit Eigenschaften, etwa Name, Abteilung, Kennwortstatus oder Gruppenzugehörigkeit. Auch PCs, Notebooks und Server sind dort als Computerobjekte eingetragen, sobald sie der Domäne beitreten.
Organisationseinheiten ordnen diese Objekte wie Ordner, zum Beispiel nach Standort oder Abteilung. An sie lassen sich Verwaltungsrechte und Einstellungen knüpfen. Gruppen fassen dagegen Konten mit gleichem Bedarf zusammen. Bekommt die Gruppe „Einkauf“ das Recht auf den Ordner mit den Lieferantenverträgen, erhalten es alle ihre Mitglieder. Wer später wissen will, welche Personen den Ordner öffnen dürfen, schaut in die Mitgliederliste der Gruppe.
Über Gruppenrichtlinien legt die IT zentral fest, was beim Start eines Rechners oder bei der Anmeldung greift. Das betrifft etwa die Netzlaufwerke, die Einstellungen für Windows-Updates oder die Mindestlänge von Kennwörtern. Das BSI verlangt dafür ein Konzept, das Mehrfachüberdeckungen möglichst vermeidet und Ausnahmen erkennbar macht (Baustein APP.2.2.A3). Ohne ein solches Konzept wachsen Richtlinien über die Jahre, bis kaum noch nachvollziehbar ist, welche Einstellung woher stammt.
Mehrere Domänen in einer Gesamtstruktur bringen kleinen Umgebungen vor allem zusätzlichen Aufwand. Das BSI weist außerdem darauf hin, dass zwischen den Domänen einer Gesamtstruktur keine Sicherheitsgrenze besteht (APP.2.2.A1).
Lokales Verzeichnis und Cloud-Konten
Wer Microsoft 365 nutzt, hat neben Active Directory einen zweiten Verzeichnisdienst: Microsoft Entra ID. Microsoft spricht von hybrider Identität, wenn beide zusammenarbeiten. Ein Synchronisationsdienst gleicht dann Konten und Gruppen aus dem Active Directory mit der Cloud ab, sodass Mitarbeitende eine gemeinsame Identität für beide Welten haben.
Entra ID ist allerdings kein in die Cloud verlegtes Active Directory. Gruppenrichtlinien gibt es dort nicht; Cloud-Geräte werden zum Beispiel über Microsoft Intune verwaltet. Ob ein Unternehmen das lokale Verzeichnis behält oder schrittweise ablöst, hängt davon ab, welche Anwendungen noch eine Anmeldung an der Domäne brauchen. Konzepte wie Zero Trust bauen in beiden Fällen auf sauber gepflegten Identitäten auf, weil sie Zugriffe zuerst davon abhängig machen, wer sich anmeldet.
Vom Verkauf in die Abrechnung
Angenommen, ein Sanitätshaus mit Hauptgeschäft, zwei Filialen und 30 Mitarbeitenden verwaltet seine Konten im Active Directory. Eine Verkäuferin aus einer Filiale wechselt in die Abrechnung im Hauptgeschäft.
Die Änderung erledigt die IT an einer Stelle: Das Konto zieht in die Organisationseinheit des Hauptgeschäfts, verlässt die Gruppe für den Filialverkauf und tritt der Gruppe Abrechnung bei. Bei der nächsten Anmeldung erscheint am PC im Hauptgeschäft das Laufwerk mit den Kostenvoranschlägen; den Ordner mit den Kassenabschlüssen der Filiale sieht sie nicht mehr. Weil die Gruppen mit der Cloud abgeglichen werden, gilt die neue Zuordnung auch für Freigaben in Microsoft 365, soweit diese an dieselben Gruppen geknüpft sind. Ohne Verzeichnis hätte jemand diese Rechte auf mehreren Systemen einzeln ändern müssen – mit dem Risiko, dass alte Zugriffe stehen bleiben.
Konten pflegen, Ausfälle abfangen
Ein- und Austritte sollten als fester Ablauf geregelt sein, damit Konten am letzten Arbeitstag deaktiviert und Gruppen bei einem Wechsel angepasst werden. Ein zweiter Domänencontroller hält Anmeldung und Namensauflösung verfügbar, falls der erste gestört ist oder gerade Updates erhält.
Die Sicherung des Verzeichnisses verdient besondere Sorgfalt. Weil darin Kennwortdaten liegen, empfiehlt das BSI, den Zugriff auf Backups eines Domänencontrollers ebenso zu schützen wie den Domänencontroller selbst (APP.2.2.A12). Konten mit Administratorrechten gehören auf das nötige Minimum beschränkt und regelmäßig überprüft.
Wie ProNet unterstützt
Die Pflege des Active Directory gehört zu unserer Windows Server Betreuung. Dazu zählen Konten und Gruppen beim Ein- und Austritt, ein Konzept für Gruppenrichtlinien und Ordnung bei den Freigaberechten. Je nach Umgebung kommt der Abgleich mit Microsoft Entra ID hinzu. Das Verzeichnis ist dabei ein Teil der Serverlandschaft, die unsere Server-Betreuung für KMU mit Speicher und Datensicherung zusammendenkt.