Ebenenmodell zur Partitionierung von Administratorrechten

Dieser Artikel beschreibt ein Sicherheitsmodell, das vor einer Erweiterung von Rechten schützt, indem Aktivitäten mit hohen Berechtigungen von Zonen mit hohen Risiken getrennt werden.

Wichtig

Das Modell in diesem Artikel ist nur für isolierte Active Directory-Umgebungen vorgesehen, die MIM PAM verwenden. Informationen zu Hybridumgebungen finden Sie stattdessen in der Anleitung im Enterprise Access Model.

Rechteerweiterung in Active Directory-Gesamtstrukturen

Benutzer, Dienste oder Anwendungskonten, denen dauerhaft Administratorrechte für Windows Server-Active Directory-Gesamtstrukturen gewährt werden, stellen ein großes Risiko für die Arbeit und die Geschäfte von Organisationen dar. Diese Konten sind häufig das Ziel von Angreifern, da ein Angreifer im Erfolgsfall Berechtigungen zum Herstellen einer Verbindung mit anderen Servern oder Anwendungen in der Domäne erhält.

Das Ebenenmodell erstellt verschiedene Abteilungen für Administratoren, je nachdem, welche Ressourcen ein Administrator verwaltet. Administratoren, die Benutzerarbeitsstationen steuern, werden von Administratoren getrennt, die Anwendungen steuern oder Unternehmensidentitäten verwalten.

Einschränken der Offenlegung von Anmeldeinformationen mit Anmeldeeinschränkungen

Um das Risiko zu senken, dass Anmeldeinformationen für Administratorkonten gestohlen werden, müssen in der Regel administrative Verfahren neu gestaltet werden, um die Anfälligkeit für Angriffe zu verringern. Als erste Schritte sollten Organisationen Folgendes erledigen:

• Die Anzahl der Hosts, auf denen Administratoranmeldeinformationen verfügbar gemacht werden, verringern.
• Die Rollenberechtigungen auf die Mindestanforderungen beschränken.
• Sicherstellen, dass administrative Aufgaben nicht auf Hosts ausgeführt werden, die für Standardbenutzeraktivitäten (z. B. E-Mail und Browsen im Internet) verwendet werden.

Im nächsten Schritt müssen Anmeldebeschränkungen implementiert und Prozesse und Vorgehensweisen umgesetzt werden, die die Einhaltung der Anforderungen an das Ebenenmodell sicherstellen. Im Idealfall sollte die Offenlegung von Anmeldeinformationen auf die niedrigste Berechtigung für die Rolle auf der jeweiligen Ebene reduziert werden.

Anmeldebeschränkungen sollten erzwungen werden, um sicherzustellen, dass Konten mit hohen Berechtigungen keinen Zugriff auf weniger sichere Ressourcen erhalten. Beispiel:

• Domänenadministratoren (Ebene 0) können sich nicht bei Unternehmensservern (Ebene 1) und Standardbenutzer-Arbeitsstationen (Ebene 2) anmelden.
• Serveradministratoren (Ebene 1) können sich nicht bei Standardbenutzer-Arbeitsstationen (Ebene 2) anmelden.

Hinweis

Serveradministratoren sollten nicht Mitglied der Domänenadministratorgruppe sein. Personen, die für die Verwaltung sowohl von Domänencontrollern als auch von Unternehmensservern zuständig sind, benötigen separate Konten.

Anmeldebeschränkungen können durch Folgendes erzwungen werden:

• Einschränkungen für Anmeldungen per Gruppenrichtlinie, einschließlich der folgenden:
  • Zugriff vom Netzwerk auf diesen Computer verweigern
  • Anmelden als Batchauftrag verweigern
  • Anmelden als Dienst verweigern
  • Lokal anmelden verweigern
  • Anmelden über Remotedesktopeinstellungen verweigern
• Authentifizierungsrichtlinien und Silos bei Verwendung von Windows Server 2012 oder höher
• Ausgewählte Authentifizierung, wenn das Konto Mitglied einer dedizierten administrativen Gesamtstruktur ist

Nächste Schritte

• Das nächste Dokument, Planen einer geschützten Umgebung, beschreibt das Hinzufügen einer dedizierten administrativen Gesamtstruktur für Microsoft Identity Manager zum Einrichten administrativer Konten.
• Das Schützen von Geräten bietet ein dediziertes Betriebssystem für vertrauliche Aufgaben, das vor Internetangriffen und Bedrohungsvektoren geschützt ist.