Domain Controller und Netzwerkzugangsschutz
Windows Server 2008: Mehr Sicherheit mit RDOC und NAP
Die wohl interessanteste Neuerung für das Active Directory ist der Read Only Domain Controller (RODC). Dabei handelt es sich um einen neuen Typ Domänen-Controller (DC), der lediglich eine Kopie der Verzeichnisdienst-Datenbank enthält. Er selber kann aber keine Änderungen zu anderen DCs im Active Directory replizieren.
Wollen Anwendungen schreibend auf das Active Directory zugreifen, verweist der RODC die Anfragen an einen Domänen-Controller, der über Schreibberechtigung verfügt. Lesende Zugriffe auf den Verzeichnisdienst kann der RODC in den meisten Fällen selbst bearbeiten.
Das Konzept des RODC eignet sich besonders für Standorte, wo man den physischen Zugriff auf den Server durch unautorisierte Personen nicht ohne Weiteres verhindern kann. Nicht umsonst sagt man „wenn der Angreifer das Keyboard hat, hat er auch den Rechner“. Derart exponierte Server sind besonders gefährdet, weil es ein Leichtes ist, die Sicherheitsmechanismen von Windows auszuhebeln, wenn man von einem externen Medium ein anderes Betriebssystem startet, um auf die Systempartition zuzugreifen. Sollte es einem Angreifer gelingen, die Verzeichnisdatenbank auf einen physisch kompromittierten Server zu manipulieren, ist beim Einsatz eines RODC ausgeschlossen, dass die Änderungen systemweit in das Verzeichnis übernommen werden.