Standardgruppen

Auf einem Windows Server 2008 R2-Computer werden zahlreiche Gruppen automatisch erstellt. Diese Gruppen werden als lokale Standardgruppen bezeichnet und umfassen bekannte Gruppen wie Administratoren, Sicherungs-Operatoren und Remotedesktopbenutzer. Weitere Gruppen werden in einer Domäne in den Containern Builtin und Users erstellt, beispielsweise die Gruppen Domänen-Admins, Organisations-Admins und Schema-Admins. Die folgende Liste enthält eine Übersicht über die Funktionen der Standardgruppen, die über wichtige Berechtigungen und Benutzerrechte für die Verwaltung von Active Directory verfügen:

Bei der Verwaltung von Standardgruppen mit Administratorrechten sollten Sie besonders umsichtig vorgehen, da diese in der Regel über weitreichendere Berechtigungen verfügen, als für die meisten delegierten Umgebungen eigentlich erforderlich ist. Außerdem ist die Mitgliedschaft in diesen Gruppen oft geschützt.

Die Gruppe Konten-Operatoren ist ein besonders gutes Beispiel. Wenn Sie sich den Funktionsumfang dieser Gruppe in der obigen Liste genauer ansehen, werden Sie feststellen, dass sie über weitreichende Rechte verfügt. Sie kann sich sogar lokal an einem Domänencontroller anmelden. In sehr kleinen Unternehmen sind diese Rechte unter Umständen für ein oder zwei Personen angemessen, die ohnehin über die Rechte von Domänenadministratoren verfügen. In größeren Unternehmen sind die Rechte und Berechtigungen der Gruppe Konten-Operatoren aber zu umfangreich.

Außerdem handelt es sich bei der Gruppe Konten-Operatoren wie auch bei anderen zuvor aufgeführten Verwaltungsgruppen um eine geschützte Gruppe. Geschützte Gruppen werden vom Betriebssystem definiert, und ihr Schutz kann nicht aufgehoben werden. Mitglieder von geschützten Gruppen sind ebenfalls geschützt. Dieser Schutz führt dazu, dass Änderungen an den Berechtigungen (ACLs) der Mitglieder vorgenommen werden. Sie übernehmen dann nicht einfach die Berechtigungen von ihrer OU, sondern bekommen eine Kopie einer ACL, die viele Einschränkungen aufweist. Wird beispielsweise der Benutzer Jeff Ford zur Gruppe Konten-Operatoren hinzugefügt, wird sein Konto geschützt, und das Helpdeskteam, das über die Berechtigung zum Zurücksetzen aller Benutzerkennwörter in der OU Benutzerkonten verfügt, kann das Kennwort von Jeff Ford nicht mehr zurücksetzen.

Vermeiden Sie es aufgrund der genannten Gründe – Überdelegierung und Schutz –, Benutzer zu den zuvor aufgeführten Gruppen hinzuzufügen, die standardmäßig keine Mitglieder aufweisen: Konten-Operatoren, Sicherungs-Operatoren, Server-Operatoren und Druck-Operatoren. Erstellen Sie stattdessen benutzerdefinierte Gruppen, denen Sie die Berechtigungen und Benutzerrechte zuweisen, die in Ihrem Unternehmen und für Ihre Verwaltungsanforderungen erforderlich sind.

Wenn beispielsweise Scott Mitchell in der Lage sein muss, Sicherungsoperationen auf einem Domänencontroller durchzuführen, er jedoch keine Wiederherstellungsoperationen, die zu einem Rollback oder einer Beschädigung der Datenbank führen könnten, durchführen und auch keine Domänencontroller herunterfahren darf, dürfen Sie ihn nicht zur Gruppe Sicherungs-Operatoren hinzufügen. Erstellen Sie stattdessen eine Gruppe und weisen Sie ihr nur das Benutzerrecht Dateien und Verzeichnisse sichern zu. Fügen Sie Scott Mitchell anschließend als Benutzer zu dieser Gruppe hinzu.