Implementieren delegierter Berechtigungen
Sie untersuchen den Bericht, der von einem Unternehmen von IT-Sicherheitsexperten für Contoso erstellt wurde. Sie stellen fest, dass Benutzerkonten, die Mitglieder von Gruppen mit hohen Berechtigungen sind, z. B. „Unternehmensadministratoren“ und „Domänenadministratoren“, über Vollzugriff auf alle Systeme und Daten verfügen. Sie erkennen, dass diese Konten streng geschützt werden müssen.
Es gibt jedoch Benutzer, die bestimmte Administratorrechte benötigen, um ihre Aufgaben auszuführen. Beispielsweise müssen Helpdeskmitarbeiter in der Lage sein, Kennwörter zurückzusetzen und Konten für normale Benutzer zu entsperren, oder einige IT-Mitarbeiter sind für die Installation von Anwendungen auf Clients oder Servern oder die Erstellung von Sicherungen verantwortlich.
Active Directory und Mitgliedsserver verfügen zwar über integrierte Gruppen, denen vordefinierte Berechtigungen zugewiesen sind, wie z. B. „Sicherungsoperatoren“ und „Konten-Operatoren“, diese entsprechen aber möglicherweise nicht Ihren Anforderungen. Sie müssen nun festlegen, wie Sie diesen eingeschränkten administrativen Zugriff am besten bereitstellen.
Verwenden des Assistenten zum Zuweisen der Objektverwaltung
Delegierte Berechtigungen stellen eine Möglichkeit dar, bestimmten Benutzern oder Gruppen begrenzte Berechtigungen zu gewähren. Mithilfe des Assistent zum Zuweisen der Objektverwaltungkönnen Sie präzisere Berechtigungen an Benutzer oder Gruppen delegieren. Der Assistent ermöglicht Ihnen, Berechtigungen auf der Ebene der Website, Domäne oder Organisationseinheit zuzuweisen. Der Assistent verfügt über die folgenden vordefinierten Aufgaben, die Sie zuweisen können:
- Erstellen, Löschen und Verwalten von Benutzerkonten.
- Zurücksetzen von Benutzerkennwörtern und Erzwingen der Kennwortänderung bei der nächsten Anmeldung.
- Lesen aller Benutzerinformationen.
- Erstellen, Löschen und Verwalten von Gruppen.
- Ändern der Mitgliedschaft einer Gruppe.
- Hinzufügen eines Computers zur Domäne (nur auf Domänenebene verfügbar).
- Verwalten von Gruppenrichtlinienverknüpfungen.
- Generieren von Richtlinienergebnissätzen (Planung).
- Generieren von Richtlinienergebnissätzen (Protokollierung).
- Erstellen, Löschen und Verwalten von inetOrgPerson-Konten.
- Zurücksetzen von inetOrgPerson-Kennwörtern und Erzwingen der Kennwortänderung bei der nächsten Anmeldung.
- Lesen aller inetOrgPerson-Informationen.
Sie können auch Berechtigungen kombinieren, um benutzerdefinierte Aufgaben zu erstellen und zuzuweisen.
Zum Starten es Assistenten zum Zuweisen der Objektverwaltungöffnen Sie „Active Directory-Benutzer und -Computer“, und suchen Sie die Organisationseinheit (OU), über die Sie die Objektverwaltung delegieren möchten.
Hinweis
Sie können auch die Objektverwaltung für das Domänenobjekt delegieren.
Tipp
Zum Delegieren der Objektverwaltung für einen Standort verwenden Sie das Tool „Active Directory-Standorte und -Dienste“, um die Kontrolle zu delegieren.
Verwenden Sie dann das folgende Verfahren:
Rechtsklicken oder aktivieren Sie das Kontextmenü zur Organisationseinheit. Wählen Sie Objektverwaltung zuweisen und dann Weiter aus.
Wählen Sie im Assistenten zum Zuweisen der Objektverwaltung den Benutzer oder die Gruppe aus, an den bzw. die Sie die Objektverwaltung delegieren möchten, und wählen Sie dann Weiter aus.
Tipp
Vermeiden Sie es, Rechte bestimmten Benutzern zuzuweisen. Verwenden Sie stattdessen Gruppen, auch wenn die Gruppe nur einen Benutzer enthält. Dadurch wird die zukünftige Verwaltung vereinfacht.
Wählen Sie auf der Seite Zuzuweisende Aufgaben aus einer Liste allgemeiner Aufgaben aus, oder wählen Sie eine benutzerdefinierte Aufgabe aus, die Sie delegieren möchten. Um z. B. die Möglichkeit zum Verwalten von Benutzerkonten zu delegieren, wählen Sie Folgendes aus:
- Erstellen, Löschen und Verwalten von Benutzerkonten.
- Zurücksetzen von Benutzerkennwörtern und Erzwingen von Kennwortänderungen bei der nächsten Anmeldung.
- Lesen aller Benutzerinformationen.
Wählen Sie Fertig stellen aus.
Wichtig
Nachdem Sie den delegierten Zugriff zugewiesen haben, können Sie den Assistenten zum Zuweisen der Objektverwaltung nicht verwenden, um Ihre Einstellungen zu überprüfen.
So überprüfen Sie die zuvor konfigurierten delegierten Aufgaben
- Wählen Sie unter Active Directory-Benutzer und -Computer im Menü Ansicht die Option Erweiterte Funktionen aus.
- Suchen Sie die Organisationseinheit, die Sie delegiert haben. Rechtsklicken oder aktivieren Sie das Kontextmenü, und wählen Sie Eigenschaften aus.
- Wählen Sie im Dialogfeld Eigenschaften von Name der Organisationseinheit zuerst die Registerkarte Sicherheit und anschließend Erweitert aus.
- Suchen Sie den Sicherheitsprinzipal, an den Sie die Objektverwaltung delegiert haben, und überprüfen Sie die Berechtigungen. Sie können hier auch die delegierten Berechtigungen ändern.
Hinweis
Der Assistenten zum Zuweisen der Objektverwaltung bietet eine einfache, vom Assistenten gesteuerte Schnittstelle für die Konfiguration von AD DS-Berechtigungen für AD DS-Objekte.
Demo
Im folgenden Video wird gezeigt, wie Sie den Assistenten zum Zuweisen der Objektverwaltung zum Implementieren delegierter Berechtigungen verwenden. Der Vorgang umfasst die folgenden Hauptschritte:
- Öffnen Sie Active Directory-Benutzer und -Computer.
- Erstellen Sie eine neue Gruppe mit dem Namen Vertriebsleiter in der Organisationseinheit Manager.
- Fügen Sie einen Benutzer zur Gruppe Vertriebsleiter hinzu.
- Führen Sie den Assistent zum Zuweisen der Objektverwaltung mit der Organisationseinheit Vertrieb als Ziel aus.
- Weisen Sie der Gruppe Vertriebsleiter die Berechtigung Benutzerkennwörter zurücksetzen und Kennwortänderung bei der nächsten Anmeldung erzwingen für die Organisationseinheit Vertrieb zu.
- Melden Sie sich als Mitglied der Gruppe Vertriebsleiter an, und vergewissern Sie sich, dass der Benutzer ein Kennwort für Benutzer in der Organisationseinheit Vertrieb zurücksetzen kann, aber nicht in der Organisationseinheit Forschung.