Definition Was ist ein Domänencontroller?

Anbieter zum Thema

Aagon GmbH

Ein Domänencontroller ist ein Server, der die Objekte und Ressourcen einer Domäne verwaltet und die Durchsetzung der Zugriffsrichtlinien sicherstellt. Anwender, die auf Ressourcen zugreifen möchten, melden sich am zuständigen Domänencontroller an. In Microsoft-Umgebungen kommt der DC in Verbindung mit dem Active Directory zum Einsatz.

Der Domänencontroller ist eine unverzichtbare, zentrale Instanz jeder Domäne. Manchmal wird er auch als Domänenserver bezeichnet. Domänencontroller sind in Form einer oder mehrerer physischer oder virtueller Server realisiert. IBM entwickelte das Konzept des Domänencontrollers bereits in den 1970er-Jahren. In den 1990er-Jahren übernahm Microsoft dieses Konzept und nutzt es seit der Einführung von Windows NT für Windows-basierte Netzwerke.

Inzwischen ist der Domänencontroller eng mit dem Microsoft-Verzeichnisdienst Active Directory (AD) verknüpft. Im Windows-Umfeld wird der Domänencontroller daher auch als Active Directory Domänencontroller bezeichnet. Grundsätzlich ist ein Domänencontroller aber auch plattformunabhängig realisierbar. Auf Linux-Systemen lassen sich die Funktionen eines DC über die Open-Source-Software Samba abbilden.

Die prinzipielle Funktionsweise und Aufgaben eines Domänencontrollers

Die wichtigsten Aufgaben eines Domänencontrollers sind:

• Verwaltung von Benutzerkonten, Zugriffsrechten und Netzwerkressourcen der Domäne

• Authentifizierung von Benutzern und Computern innerhalb der Domäne

• Durchsetzung der Sicherheits- und Zugriffsrichtlinien innerhalb der Domäne

Möchte ein Benutzer Zugriff auf bestimmte Ressourcen einer Domäne erhalten, muss er sich beim Domänencontroller melden und sich ihm gegenüber authentifizieren. Jede Domäne benötigt daher mindestens einen Domänencontroller. Kann der Benutzer sich authentifizieren und sind entsprechende Benutzerrechte, beispielsweise für den Zugriff auf Dateien oder andere Ressourcen dieser Domäne wie Drucker oder Anwendungen, für ihn hinterlegt, gewährt der Domänencontroller ihm diese Rechte und sorgt für deren Einhaltung. Nicht autorisierte Zugriffe auf die vom Domänencontroller verwalteten Ressourcen werden verhindert.

In Windows-Domänen bezieht der Domänencontroller seine Informationen zu den hinterlegten Benutzerkonten und Ressourcenfreigaben aus dem Active Directory. Mithilfe eines Domänencontrollers und des Active Directory lässt sich ein sehr ausgefeiltes, fein abgestuftes und an der Organisationsstruktur eines Unternehmens ausgerichtetes Rechtesystem realisieren, das dennoch einfach und sicher zu verwalten ist.

Redundanzkonzepte für den Betrieb der Domänencontroller

Domänencontroller nehmen eine wichtige Rolle ein und sind für den ordnungsgemäßen Betrieb einer Domäne unverzichtbar. Sie halten die Daten bereit, mit denen die Zugriffe auf die Netzwerkressourcen validiert und geregelt werden. Ohne einen funktionierenden Domänencontroller kann sich kein Benutzer an einer Domäne anmelden und mit den dort bereitgestellten Ressourcen arbeiten. Oft sind die Domänencontroller daher auch ein beliebtes Ziel von Cyberangriffen.

Um einen Single Point of Failure (SPOF) zu vermeiden und eine hohe Verfügbarkeit der Domäne sicherzustellen, werden Domänencontroller in der Regel redundant realisiert. Meist sind zwei oder mehr Controller pro Domain vorhanden. Sie replizieren ihre Informationsstände und können beim Ausfall eines Controllers dank automatischer Redundanzmechanismen dessen Funktion übernehmen. Zudem lassen sich mit mehreren Domänencontrollern in einer Domäne auch Lastverteilungslösungen umsetzen.

Microsoft implementierte schon in den Windows-NT-Domänen das Konzept des Primary und des Backup Domain Controllers (PDC und BDC). Änderungen waren nur auf dem PDC möglich. Der BDC hielt eine regelmäßig aktualisierte Sicherheitskopie der Daten bereit und ließ sich bei Bedarf zum Primary-System ernennen.

Seit Windows 2000 ist Active Directory mit Multimaster-Replikation möglich. Alle Domänencontroller besitzen dabei eine beschreibbare Kopie der Active-Directory-Datenbank. Änderungen werden automatisch an alle anderen DCs repliziert. Dieser Mechanismus sorgt dafür, dass alle Domänencontroller stets auf dem gleichen Informationsstand sind. Fällt ein DC aus, übernimmt ein anderer DC ohne Informationsverlust dessen Funktion. Die Replikationsintervalle lassen sich auf verschiedene Werte bis in den Sekundenbereich einstellen und an die jeweilige Netzwerkstruktur anpassen.

Mit Windows Server 2008 führte Microsoft zusätzlich das Konzept des Read Only Domain Controllers (RODC) ein. Ein Read Only Domain Controller ist schreibgeschützt. Seine benötigten Informationen erhält der RODC durch Replikation von einem herkömmlichen Domänencontroller. Die Installation eines RODC empfiehlt sich zum Beispiel für kleinere Außenstandorte mit geringeren Sicherheitsvorkehrungen, da er nur die zur Replikation ausgewählten Daten besitzt. Die Replikation findet vom Domänencontroller in Richtung RODC statt. Bei einem sicherheitsrelevanten Vorfall können nicht sämtliche Daten des Active Directory manipuliert oder missbraucht werden.

Als weitere Maßnahmen zur Absicherung von Domänencontrollern sind zu empfehlen:

• physische Sicherheitsmaßnahmen wie Serverräume mit Überwachungssystemen und Zugangskontrollen

• Absicherung der Netzwerkverbindungen mit Systemen wie Firewalls oder IDS/IPS

• regelmäßiges Aktualisieren und Patchen des Betriebssystems und der Software des Domänencontrollers

• Protokollierung und Überwachung der Aktivitäten des Domänencontrollers

Kurz zusammengefasst: Die wichtigsten Vorteile eines Domänencontrollers

• zentrale Verwaltung der Benutzer und ihrer Rechte an Netzwerkressourcen (im Gegensatz zur lokalen Verwaltung beispielsweise in einer Windows-Arbeitsgruppe)

• Änderungen über den Domänencontroller sind automatisch für alle Benutzer und Objekte der Domäne gültig

• Durchsetzung einheitlicher Zugriffs- und Sicherheitsrichtlinien in der Domäne

• flexible Abbildung der logischen Organisationsstruktur eines Unternehmens

• dank einfacher Erweiterbarkeit für sehr große Netzwerke geeignet

• hohe Ausfallsicherheit durch automatische Redundanz- und Replikationsmechanismen

• sichere, verschlüsselte Ablage der Benutzerdaten

• sichere Authentifizierungsprozesse

• hohes Sicherheitsniveau für den Zugriff auf Netzwerkressourcen realisierbar

• nahtlose Zusammenarbeit mit Verzeichnisdiensten wie Microsoft Active Directory

• über Samba auch auf Linux-Systemen realisierbar

• unterstützt die Automatisierung von Aufgaben wie Software- oder Konfigurationsbereitstellung

Definition

Was ist Active Directory?