← Active Directory

Objekte & Struktur: Gruppen, OUs und Delegation

„Nimm den Helpdesk einfach in Account Operators auf, die dürfen genau so etwas.“ Der Satz klingt nach Least Privilege und ist das Gegenteil: Die Gruppe wirkt domänenweit, und ihre Mitglieder dürfen sich laut Dokumentation lokal an Domain Controllern anmelden. Dieses Modul zeigt, wie Struktur in Active Directory wirklich trägt — die drei Gruppen-Scopes samt ihrer Umwandlungsregeln, AGDLP als Entkopplung von Rolle und Ressource, der OU-Schnitt nach Delegation und Richtlinie statt nach Organigramm, verwaltete Dienstkonten und die Stelle, an der ihre Sicherheitsgrenze tatsächlich liegt. Dazu die Obergrenze, die niemand einplant: Ab einer gewissen Zahl von Mitgliedschaften passt das Kerberos-Token nicht mehr — und die Anmeldung scheitert mit einem Fehler, der nach einem Bug in der Webanwendung aussieht.

Einstieg · ~30 Min · 12 Abschnitte Einführung · 9 Übungen (davon 1 Mission)

Modul starten →

Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.

Nur den Lehrtext lesen →

Das kannst du danach

  • ✓Für jede Anforderung entscheiden, ob sie eine Gruppe oder eine OU braucht — und den passenden Gruppen-Scope begründen.
  • ✓Rechte nach AGDLP so vergeben, dass ein Rollenwechsel keine Zugriffssteuerungsliste anfasst.
  • ✓Verwaltungsrechte gezielt auf einer OU delegieren, statt Reichweite über eingebaute Gruppen zu vererben.

Übungen

  • 1. EntscheidungWas brauchst du für die beiden Anforderungen?
  • 2. EntscheidungWie strukturierst du die Gruppen für die Rechtevergabe?
  • 3. MissionAGDLP zusammensetzen
  • 4. EntscheidungWie sollte die OU-Struktur stattdessen geschnitten werden?
  • 5. EntscheidungWelches Dienstkonto wählst du?
  • 6. EntscheidungWie bewertest du das — und was ist die bessere Struktur?
  • 7. EntscheidungWie richtest du das ein?
  • 8. EntscheidungWas passiert bei der Umwandlung — und woran liegt es?
  • 9. EntscheidungWas ist die wahrscheinlichste Ursache, und wo setzt du an?
Quellen & Aktualität20 Primärquellen · zuletzt geprüft:
  1. 01learn.microsoft.com/en-us/windows-server/ident…tand-security-groups
  2. 02learn.microsoft.com/en-us/previous-versions/wi…003/cc737410(v=ws.10
  3. 03learn.microsoft.com/en-us/windows-server/secur…ce-accounts-overview
  4. 04learn.microsoft.com/en-us/windows-server/secur…ged-service-accounts
  5. 05learn.microsoft.com/en-us/windows-server/ident…ing-active-directory
  6. 06learn.microsoft.com/en-us/windows-server/ident…security-identifiers
  7. 07learn.microsoft.com/en-us/troubleshoot/windows…computers-containers
  8. 08learn.microsoft.com/en-us/troubleshoot/windows…er-belongs-to-groups
  9. 09Microsoft Learn — Active Directory security groups: Gruppenbereich (global, domänenlokal, universal)
  10. 10Microsoft Learn — Best Practices für Gruppenverschachtelung (AGDLP)
  11. 11Microsoft Learn — Active Directory security groups: Gruppenbereich und Gruppenverschachtelung
  12. 12Microsoft Learn — AGDLP: Role-based access control mit verschachtelten Gruppen
  13. 13Microsoft Learn — Organizational Units: Zweck von OUs (Delegation und Group Policy)
  14. 14Microsoft Learn — Group Policy: GPOs lassen sich nicht an die Standard-Container Users/Computers linken
  15. 15Microsoft Learn — Group Managed Service Accounts (gMSA) Overview
  16. 16Microsoft Learn — Service accounts: Auswahl zwischen gMSA, Standalone-Managed-Account und User-Konto
  17. 17Microsoft Learn — Active Directory security groups: Universal-Gruppen und Global-Catalog-Replikation der Mitgliedschaft
  18. 18Microsoft Learn — Global Catalog und Linked Value Replication (Verhalten bei Gruppenänderungen)
  19. 19Microsoft Learn — Delegating administration by using OU objects (Delegation of Control)
  20. 20Microsoft Learn — Active Directory security groups: Account Operators (Umfang der Built-in-Gruppe)

Verfasst von Julian Zentgraf