AD DS Topologie, FSMO-Rollen, AGDLP-Prinzip, GPO-Vererbung (LSDOU), Kerberos 3-Wege-Handshake & PKI.
Lernfeld 10 umfasst die Konzeption und Bereitstellung zentraler Verzeichnis- und Identitätsdienste: Active Directory Domain Services (AD DS), die FSMO-Rollen, das Berechtigungsdesign nach AGDLP, Gruppenrichtlinien (GPOs), Kerberos-Authentifizierung und Public Key Infrastructure (PKI).
| FSMO-Rolle | Geltungsbereich | Aufgabe & Bedeutung |
|---|---|---|
| Schema Master | 1x pro Gesamtstruktur (Forest) | Steuert Änderungen an den Definitionen von Objektklassen und Attributen des Active Directory. |
| Domain Naming Master | 1x pro Gesamtstruktur (Forest) | Verwaltet das Hinzufügen oder Entfernen von Domänen und Anwendungspartitionen in der Gesamtstruktur. |
| PDC Emulator | 1x pro Domäne | Zentraler Zeitgeber (NTP) für alle Clients/Server, bevorzugtes Ziel für Passwortänderungen und Sperrungen, verarbeitet ältere NT4-Anfragen. |
| RID Pool Master | 1x pro Domäne | Vergibt relative Identifier-Blöcke (RIDs) an alle DCs der Domäne zur Generierung weltweit eindeutiger SIDs für neue Objekte. |
| Infrastructure Master | 1x pro Domäne | Verwaltet domänenübergreifende Referenzen (Phantome) und aktualisiert Gruppenmitgliedschaften fremder Domänen. |
Standard nach Microsoft und IHK: Niemals Benutzer direkt berechtigen!
- A (Account): Benutzerkonto (z. B. max.mustermann).
- G (Global Group): Fasst Benutzer nach betrieblicher Funktion zusammen (z. B. GG_Buchhaltung).
- DL (Domain Local Group): Repräsentiert die Berechtigung auf eine konkrete Ressource (z. B. DL_Share_Rechnungen_Modify).
- P (Permissions): Zugriffsrechte (NTFS-ACLs: Lesen, Ändern, Vollzugriff), die ausschließlich der Domain Local Group zugewiesen werden.
- LSDOU-Reihenfolge: 1. Local Policy $
ightarrow$ 2. Site Policy $
ightarrow$ 3. Domain Policy $
ightarrow$ 4. OU Policy (untergeordnete OUs überschreiben übergeordnete). Ausnahmen: Enforced (Erzwungen) bricht Blockierungen.
- Kerberos Authentifizierung (Port 88): 1. Client sendet AS-REQ an KDC und erhält TGT (Ticket Granting Ticket); 2. Client sendet TGS-REQ mit TGT und erhält Service Ticket; 3. Client weist sich mit Service Ticket beim Zielserver aus (AP-REQ). Kein Passwort wird je über das Netz übertragen!
Bearbeiten Sie die Aufgaben und vergleichen Sie Ihre Antwort mit dem offiziellen Erwartungshorizont:
Nennen Sie die fünf FSMO-Rollen, unterscheiden Sie zwischen gesamtstrukturweiten und domänenweiten Rollen und erläutern Sie die Aufgaben des PDC-Emulators.
Erläutern Sie die Auswertungsreihenfolge von Richtlinien nach der LSDOU-Regel und beschreiben Sie die Auswirkung der Einstellungen "Vererbung deaktivieren" (Block Inheritance) und "Erzwungen" (Enforced).
Beschreiben Sie die drei Schritte des Kerberos-Prozesses unter Nennung der Rollen KDC, AS, TGS, TGT und Service-Ticket.
Begründen Sie, warum die Root-CA offline betrieben wird, und erklären Sie den Unterschied zwischen einer Sperrliste (CRL) und OCSP.
Erläutern Sie die Aufgaben und Funktionsweisen von SPF, DKIM und DMARC.