Active Directory: Vertrauensstellung (Trust) einrichten

Active Directory ist der Verzeichnisdienst von Microsoft und besteht aus einem Forest (Gesamtstruktur). Ein Forest kann unzählige Subdomänen besitzen, in der Gesamtstrukturfunktionsebene Windows 2003 bis zu 1.200. Domänen stellen eine Verwaltungseinheit dar. In der Vergangenheit hat man oft Ressourcen und Benutzer in unterschiedlichen Domänen verwaltet, mittlerweile ist die Empfehlung Microsofts Single Domains zu nutzen. Große Firmen strukturieren ihren Forest gern nach Gesellschaften, Abteilungen oder Standorten. So lassen sich bspw. administrative Aufgaben an entsprechende IT-Abteilungen delegieren oder Sicherheitsvorgaben erfüllen.

In vielen Szenarien ist es erforderlich, zwei oder mehrere Gesamtstrukturen (Forests) zusammenzuschließen. Erfolgt die Integration eines aufgekauften Unternehmens oder besteht eine Partnerschaft zu einer Firma, ist die Freigabe von Ressourcen (Server, Shares, usw.) oftmals eine Anforderung an die IT. Wir brauchen eine Verbindung zwischen den Domänen, wir brauchen einen Trust!

Das nachfolgend beschriebene Verfahren ist für alle verfügbaren Windows Server-Versionen (aktuell Windows Server 2019) gültig. Eine Einführung zum Active Directory findest du in meinem Grundlagen-Beitrag.

Active Directory: Grundlagen

Das Active Directory (AD) ist ein Verzeichnisdienst aus dem Hause Microsoft. Es beinhaltet und verwaltet Netzwerkressourcen wie Benutzer, Gruppen, ...

Weiterlesen

Ein Trust ist ein Vertrauen zwischen Domänen und Gesamtstrukturen. Dieses Vertrauen kann ein- oder beidseitig (uni- oder bidirektional) bestehen. Weiterhin ist es möglich dieses Vertrauen transitiv zu übermitteln. Vertraut Domäne A der Domäne B und vertraut Domäne A der Domäne C, dann wird dieses Vertrauen automatisch übertragen, respektive Domäne B vertraut der Domäne C. Welche Voraussetzungen müssen erfüllt sein?

Voraussetzung 1: Konnektivität

Was als selbstverständlich gilt ist unbedingt zu überprüfen. Es muss eine Netzwerkverbindung zwischen den Domänencontrollern der beiden Gesamtstrukuren bestehen. Dies erfolgt in der Regel über eine VPN- oder gesicherten IPSec-Verbindung. Das geschieht entweder über entsprechende Gateways oder durch Einrichtung einer IPSec-Richtlinie. Diese kann der Einfachheit halber per GPO an die Domänencontroller verteilt werden. Was ist dabei zu beachten? Es sollten nur die benötigten Server als Ziel bzw. Quelle eingetragen werden. Sicherheit ist erforderlich, sodass sichergestellt wird, dass der Datenverkehr ausschließlich verschlüsselt und/oder authentisch übermittelt wird. Es sollten nur sichere Methoden der Verschlüsselung/Integritätssicherstellung genutzt werden. Als potentiell unsicher gelten alte Algorithmen wie DES oder RC4.

Voraussetzung 2: Namensauflösung

Wenn Ressourcen genutzt werden ist es unabdingbar, dass sich die Domänen und deren Ressourcen gegenseitig auflösen können. Hierzu ist die Einrichtung einer bedingten Weiterleitung (Conditional Forwarding) der Zieldomäne im DNS notwendig. Diese Funktionalität erschien erst mit dem Windows Server 2003. Unter Windows 2000 Server müssen die HOST-Einträge (C:\Windows\System32\drivers\etc) gepflegt werden.

Anschließend ist die Auflösung über NSLOOKUP zu überprüfen: nslookup.exe <ZIELDOMÄNE>. Besteht keine funktionsfähige Namensauflösung, schlägt die Einrichtung des Trusts fehl. Wurden alle Voraussetzungen erfüllt, ist die Einrichtung der Vertrauensstellung nur noch Formsache. Über das Snapin “Active Directory-Domänen und -Vertrauensstellungen” (domain.msc) wird über einen Assistenten der Trust eingerichtet. Dazu öffnet man die Eigenschaften der Quelldomäne.

Mittels “Neue Vertrauensstellung…” wird der benötigte Assistent aufgerufen.

Es folgt die Angabe der Zieldomäne.

Der Typ des Trust wird im anschließenden Fenster angegeben. Es gilt zu entscheiden, ob der Trust transitiv ist. Bedeutet, man vertraut (blind) allen Domänen einer Gesamtstruktur oder eben nicht. Im Zweifel sollte man eine externe Vertrauensstellung wählen. Ist der Zugriff auf Ressourcen oder Objekte unterhalb der Ziel-Rootdomäne, respektive Subdomänen, notwendig, beispielsweise für eine Migration, ist die Gesamtstrukturvertrauensstellung auszuwählen.

Die Sichtbarkeit der Domänen, respektive die Nutzung der Ressourcen einer Domäne, ist im nächsten Fenster anzugeben. Wird in beiden Richtungen vertraut, können Benutzer sowohl in der Ziel- als auch der Quelldomäne berechtigt werden.

Besitzt man den administrativen Zugang zu beiden Domänen, kann die Einrichtung des Trust für beiden Seiten in einem Durchgang erledigt werden.

Hierzu gibt man den berechtigten Account der Zieldomäne an.

Wenn für die Benutzer der Quelldomäne die gleichen allgemeinen Privilegien gelten sollen, wie die der Benutzer der Zieldomäne, ist in diesem Fenster die Domänenweite Authentifizierung auszuwählen. Eine alternative und sicherere Methode ist die selektive Authentifizierung. In diesem Modus müssen Berechtigungen explizit vergeben. Diese Einstellung kann später in den Eigenschaften des Trust noch geändert werden.

Nach der Wahl der Einstellung erscheint die Übersicht der gewählten Angaben. Nach Bestätigung erfolgt die Einrichtung des Trust.

Abschließend kann eine Überprüfung der Vertrauensstellung durchgeführt werden, um sich von der korrekten Einrichtung zu überzeugen.

Jetzt können die Benutzer, Computer oder Gruppen einer Gesamtstruktur auf die Ressourcen des Forest berechtigt werden. Die Domäne ist nun, je nach ausgewählter Vertrauensstellung, sicht- und nutzbar.