Microsoft erweitert sein Identitätsportfolio um Entra Domain Services. Der Dienst adressiert klassische Authentifizierungsanforderungen, ohne Entra ID oder lokale Active-Directory-Umgebungen abzulösen. Entscheidend ist das Zusammenspiel der Systeme und deren klare Abgrenzung.

Active Directory (AD) ist ein Verzeichnisdienst von Microsoft. In Windows-Netzwerken ermöglicht er eine zentrale Verwaltung der Ressourcen, Objekte und Benutzer sowie die Steuerung der Zugriffe. Mithilfe des Verzeichnisdienstes und abgegrenzter Domänen lässt sich die Organisationsstruktur eines Unternehmens logisch abbilden.

„Protected Users“ definiert in Active Directory ein Sicherheitsprofil für Benutzerkonten mit erhöhtem Risiko durch Credential Theft. Die Gruppe erzwingt technische Einschränkungen an Clients und Domänencontrollern, die Kerberos auf AES festlegen, NTLM sperren und lokale Zwi­schen­spei­che­rung sensibler Anmeldedaten unterbinden.

Delegated Managed Service Accounts (dMSA) verändern mit Windows Server 2025 die technische Grundlage für Dienstidentitäten im Active Directory. Der neue Kontotyp ersetzt statische Kennwörter durch gerätegebundene Ker­be­ros-Anmeldungen und integriert Migration, Betrieb und Überwachung in einen durchgängigen Ablauf zum produktiven Einsatz in Domänen.

Standorte bilden in Active Directory die physische Netzstruktur einer Umgebung ab. Sie bestimmen, welcher Domänencontroller Anmeldungen verarbeitet, wie Verzeichnisdaten repliziert werden und wie stark WAN-Verbindungen belastet sind. Eine saubere Standortkonfiguration entscheidet daher direkt über Performance, Stabilität und Skalierbarkeit einer AD-Infrastruktur.

Local Administrator Password Solution (LAPS) ist ein Windows-Sicherheitsfeature. Es schützt lokale Administratorkennwörter von in Active Directory oder Entra ID eingebundenen Rechnern und sorgt dafür, dass automatisch zufällige, individuelle Passwörter generiert und regelmäßig geändert werden. LAPS ist nativ in den aktuellen Windows-Client- und -Server-Betriebssystemen integriert.

Über 90 Prozent der Ransomware-Angriffe zielen auf das Active Directory. Die meisten Backups enthalten jedoch bereits kompromittierte Objekte oder veraltete Strukturen. Microsofts 29-Schritte-Wiederherstellung überfordert Teams unter Zeitdruck, manuelle Prozesse führen zu Fehlern. Prävention allein reicht nicht mehr!

QNAP-NAS-Systeme lassen sich in Active-Directory-Umgebungen einbinden. Dadurch können Admins Berechtigungen für Ordner, Apps oder auch Workloads für Domänenbenutzer steuern. Auch die Konfiguration eines NAS als Domänencontroller ist möglich.

Das Tool ldapsearch ermöglicht im Terminal direkten Zugriff auf LDAP-Verzeichnisdienste und liefert strukturierte Daten zu Benutzern, Gruppen und Attributen. Das Werkzeug arbeitet ohne grafische Oberfläche und zeigt den tatsächlichen Zustand im Verzeichnisdienst. In Diagnose, Audit und Fehlersuche liefert es reproduzierbare Ergebnisse auf Protokollebene.

Windows Server 2016 erreicht im Januar 2027 das Supportende. Wer Domänencontroller betreibt, muss deshalb frühzeitig planen. Die Migration auf Windows Server 2025 betrifft nicht nur das Betriebssystem, sondern AD DS, DNS, Replikation, Funktionslevel und abhängige Dienste wie Exchange oder Hybrid-Sync. Ein strukturierter Ablauf reduziert Risiken, Improvisation erhöht sie.