← Active Directory

Domain-Design & Migration

„Wir brauchen eine eigene Domäne, damit unsere Administratoren nicht an eure Systeme kommen.“ Der Satz enthält eine Anforderung und einen Lösungsvorschlag — und der Vorschlag erfüllt die Anforderung nicht: Ein Domain Admin einer beliebigen Domäne kann sich dokumentiert Forest-weite Rechte verschaffen. Dieses Modul behandelt die tragenden Designentscheidungen und ihre Kosten: wann eine Grenze wirklich zählt und was eine zusätzliche Domäne jeden Monat kostet, was Funktionsebenen freischalten und warum der Rückweg kein Plan ist, In-Place-Upgrade gegen den Neuaufbau in einem pristinen Forest, sIDHistory als Brücke mit scharfer Kante samt der Frage, wo SID-Filterung greift und wo konstruktionsbedingt nicht — und Trust-Design als Angriffsflächen-Design.

Fortgeschritten · ~30 Min · 12 Abschnitte Einführung · 14 Übungen (davon 2 Missionen)

Modul starten →

Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.

Nur den Lehrtext lesen →

Das kannst du danach

  • ✓Eine Anforderung dem kleinsten Werkzeug zuordnen, das sie erfüllt — OU, PSO, Domäne oder eigener Forest.
  • ✓Zwischen Modernisierung im Bestand und Neuaufbau in einem sauberen Forest begründet wählen.
  • ✓Einen Trust nach Typ, Richtung und Reichweite entwerfen und seinen Abbau von Anfang an mitplanen.

Übungen

  • 1. EntscheidungWelches Design ist die vernünftige Default-Wahl?
  • 2. EntscheidungWelche Strategie ist angemessen?
  • 3. EntscheidungWas muss vorher passieren?
  • 4. MissionWelche Grenze leistet was?
  • 5. EntscheidungWelche Vertrauensrichtung wird benötigt?
  • 6. EntscheidungWofür dient SID-History in dieser Übergangsphase?
  • 7. EntscheidungWelche Grenze passt zum Risiko?
  • 8. EntscheidungWie begrenzt du den Trust-Zugriff?
  • 9. EntscheidungWelche Aussage ist betrieblich korrekt?
  • 10. EntscheidungWie wird die Koexistenz korrigiert?
  • 11. EntscheidungWas ist der bessere Weg?
  • 12. EntscheidungWas ist der sichere Abschluss?
  • 13. EntscheidungWelche Richtung ist tragfähig?
  • 14. ReihenfolgeInter-Forest-Migration sicher abschließen

Arbeitsartefakte

Quellen & Aktualität29 Primärquellen · zuletzt geprüft:
  1. 01Microsoft Learn — What Are Domains and Forests? (Domäne = Verwaltungs-/Replikationsgrenze, Forest = Sicherheitsgrenze; Schema/Konfiguration/GC forest-weit)
  2. 02Microsoft Learn — Forest Design Models / AD DS Design (Single-Forest-Empfehlung, wann weitere Domänen/Forests)
  3. 03Microsoft Learn — Raise the domain and forest functional level (Voraussetzungen, Irreversibilität)
  4. 04Microsoft Learn — Fine-Grained Password Policies (mehrere Passwort-Richtlinien je Domäne, DFL-Voraussetzung)
  5. 05Microsoft Learn — AD DS Migration / Upgrade vs. Restructure; Active Directory Migration Tool (ADMT) und SID-History
  6. 06Microsoft Learn — Configuring SID Filtering / How Domain and Forest Trusts Work (SID-Filtering-Defaults, Selective Authentication)
  7. 07dirkjanm.io — Active Directory forest trusts: How does SID filtering work (praktische Wirkung von SID-Filtering und SID-History über Trusts)
  8. 08learn.microsoft.com/en-us/previous-versions/wi…003/cc773178(v=ws.10
  9. 09learn.microsoft.com/en-us/windows-server/ident…security-identifiers
  10. 10learn.microsoft.com/en-us/troubleshoot/windows…er-belongs-to-groups
  11. 11learn.microsoft.com/en-us/previous-versions/wi…003/cc759073(v=ws.10
  12. 12Microsoft Learn — Active Directory domains and forests design
  13. 13Microsoft Learn — AD DS upgrade and migration planning
  14. 14Microsoft Learn — Raise domain and forest functional levels
  15. 15Microsoft Learn — Domains and forests
  16. 16Microsoft Learn — How domain and forest trusts work
  17. 17Microsoft Learn — ADMT and SIDHistory migration
  18. 18Microsoft Learn — Forest security boundary and trust design
  19. 19Microsoft Learn — Selective authentication for forest trusts
  20. 20Microsoft Learn — Lower AD DS domain and forest functional levels
  21. 21Microsoft Learn — Active Directory Recycle Bin
  22. 22Microsoft Learn — Active Directory migration coexistence planning
  23. 23Microsoft Learn — DNS conditional forwarders
  24. 24Microsoft Learn — AD migration planning
  25. 25Microsoft Learn — SID filtering and migration trusts
  26. 26Microsoft Learn — Active Directory forest recovery
  27. 27Microsoft security guidance — compromise recovery
  28. 28Microsoft Learn — ADMT migration and SIDHistory
  29. 29Microsoft Learn — SID filtering

Verfasst von Julian Zentgraf