Ein Active Directory Forest (AD Forest) ist ein Container auf der höchsten Organisationsebene einer Active Directory-Konfiguration, in der Domänen, Benutzer, Computer und Gruppen-Richtlinien enthalten sind.
„Moment einmal!“, mögen Sie sagen. „Ich dachte, Active Directory wäre nur eine einzige Domäne!“
Eine einzige Active Directory-Konfiguration kann mehr als eine Domäne enthalten, und die Organisationsebene oberhalb der Domäne bezeichnen wir als Active Directory Forest. Unter jeder Domäne kann es mehrere Baumstrukturen geben, und manchmal kann man den Wald (Forest) vor lauter Bäumen nicht erkennen.
Diese zusätzliche höchste Organisationsebene birgt leider auch neue Sicherheitsprobleme und ein erhöhtes Missbrauchspotenzial: Sie kann aber auch für verstärkte Isolierung und Autonomie sorgen: Der Trick liegt darin, Active Directory Forests und unterschiedliche Strategien zu deren Schutz zu verstehen.
Nehmen wir an, Sie möchten einen Forest anlegen oder (was wahrscheinlicher ist) haben einen Forest übernommen, den Sie bereinigen müssen. Häufig liegen aufgrund früherer Konsoldierungsversuche oder Übernahmen mehrere unterschiedliche Domänen und GPOs in einem oder mehreren Forests vor, die zu koexistieren versuchen.
Ermitteln Sie zunächst, ob aufgrund organisatorische Anforderungen ein kompletter Satz separater Sicherheitsrichtlinien erforderlich ist. Legen Sie bei der Untersuchung den Schwerpunkt auf Datensicherheit:
Sobald Sie die Anforderungen im Hinblick auf „Autonomie und Isolation“ dokumentiert haben, kann das Design-Team die Forests, Domänen und GPOs in Abstimmung auf den Bedarf der jeweiligen Teams oder Organisationen aufbauen.
In einigen Fällen kann es notwendig sein, je nach Autonomie- oder Isolationsbedarf separate Active Directory Forests einzurichten. Das Hinzufügen von zusätzlichen Forests steigert die Komplexität der Verwaltung der AD-Struktur exponentiell. Es sind andere Aspekte zu berücksichtigen, wenn Sie sich entscheiden, einen weiteren Forest zu Ihrer AD-Struktur hinzuzufügen:
Ein einziger AD-Forest ist langfristig eine einfachere Lösung und wird im Allgemeinen als Best Practice empfohlen. Mithilfe von GPOs, festen Daten-Eigentümern und einem Berechtigungsmodell nach dem Prinzip der notwendigsten Berechtigung lässt sich eine sichere Umgebung ohne zusätzlichen Aufwand für einen zweiten AD-Forest mit mehreren Domänen einrichten.
Mit mehreren Forests ergibt sich eine zusätzliche Sicherheitsebene für die beiden Domänen, aber auch die IT-Kosten steigen signifikant. Mehrere Forest verschaffen Ihnen nicht automatisch mehr Sicherheit. Sie müssen weiterhin für jeden Forest Berechtigungen und GPOs ordnungsgemäß konfigurieren.
Es gibt drei primäre Methoden für das Design eines AD-Forests: Sie können diese Designs in Abhängigkeit vom Sicherheitsbedarf Ihrer Organisation mischen und zusammenstellen. Jedes Active Directory hat mindestens einen AD-Forest, und es gibt Fälle, in denen mehrere AD-Forest nötig sind, um die Geschäfts- und Sicherheitsanforderungen zu befriedigen. Hier gibt es einige unterschiedliche Forest-Modelle. Jedes Modell bietet hier eigene Vor- und Nachteile und eignet sich für jeweils eigene Anwendungsfälle.
In einem Organizational Forest werden Benutzerkonten und Ressourcen gemeinsam gespeichert und verwaltet. Das ist die Standardkonfiguration.
Eigenschaften eines Organizational Forest-Modells:
Ein Resource Forest teilt Benutzerkonten und Ressourcen auf separate Forests auf. Diese Konfiguration eignet sich dafür, ein Produktions- oder geschäftskritisches System vom primären Forest zu trennen, so dass bei Problemen in einem Forest der Betrieb im anderen Forest ungestört weiterlaufen kann.
Eigenschaften eines Resource Forest-Modells:
Bei einem Restricted Access Forest sind die, in ihm enthaltenen Benutzer und Ressourcen, vollständig von anderen Forests isoliert. Diese Konfiguration würden Sie verwenden, um Daten komplett zu sichern und die Benutzer auf bestimmte Datensätze zu beschränken.
Eigenschaften eines Restricted Access Forest-Modells:
AD-Forests gibt es etwa seit dem Jahr 2000, weshalb viele verschiedene Theorien bezüglich der optimalen Konfiguration von Active Directory und Forests im Umlauf sind. Zu den aktuellen Best Practices gehören:
Wenn man das Active Directory mit den Schlüsseln zu einem Königreich vergleicht, dann ist der AD-Forest der Schlüsselring für eine Reihe dieser Schlüssel: Um Datenschutzverletzungen zu verhindern und die Anzahl von Sicherheitslücken zu minimieren, ist es nicht nur wichtig, das Active Directory zu schützen, sondern es auch wirklich zu verstehen, wie der AD-Forest zu konfigurieren und verwalten ist.
Möchten Sie mehr darüber erfahren, wie das Active Directory– unabhängig von der Anzahl der AD-Forests, die Sie haben, zu schützen ist? Informieren Sie sich über 5 FSMO-Rollen im Active Directory und die Unterschiede zwischen AD für Windows und Azure Active Directory. Bevorzugen Sie die Informationen in Audio-/Video-Format? Kein Problem: Schauen Sie sich unser On-Demand-Webinar 4 Tipps zur Sicherung des Active Directory an.