Ein Active Directory besteht in der Regel aus einem Forest (Gesamtstruktur). Dieser Forest kann unzählige Subdomänen besitzen um bestimmte Aufgaben zu delegieren. Doch in vielen Szenarien ist es erforderlich zwei oder mehrere Gesamtstrukturen zusammen zu schliessen. Erfolgt die Integration eines aufgekauften Unternehmens oder besteht eine Partnerschaft zu einer Firma, ist die Freigabe der Ressourcen oftmals notwendig.

Ein weiteres Szenarion könnte die Isolierung einer DMZ sein, in der Benutzer der internen Infrastruktur Zugriff  auf die DMZ erhalten sollen. Eine Lösung sähe vor, eine dedizierte DMZ-Infrastruktur aufzubauen und diese durch einen Trust mit der internen Infrastruktur über eine gesicherte Verbindung zusammen zu schliessen. Dies fördert die Benutzerfreundlichkeit und damit die Akzeptanz einer hoch gesicherten Umgebung.

Ein Trust ist also ein Vertrauen zu einer bestimmten Domäne bzw. Forest. Dieses kann ein- oder beidseitig (uni- oder bidirektional) bestehen. Weiterhin ist es möglich dieses Vertrauen transitiv zu übermitteln. Vertraut Domäne A der Domäne B und vertraut Domäne A der Domäne C, dann wird dieses Vertrauen automatisch übertragen, respektive vertraut Domäne B der Domäne C. Welche Voraussetzungen müssen gegeben sein?

Voraussetzung 1: Konnektivität

Was als selbstverständlich gilt, ist unbedingt zu überprüfen. Es muss eine Netzwerkverbindung zwischen den Domänencontrollern der beiden Gesamtstrukuren bestehen. Dies erfolgt in der Regel über eine VPN- oder gesicherten IPSec-Verbindung. Dies geschieht entweder über entsprechende Gateways oder durch Einrichtung einer IPSec-Richtlinie. Diese kann der Einfachheit halber per GPO an die Domänencontroller verteilt werden. Was ist dabei zu beachten? Es sollten nur die benötigten Server als Ziel bzw. Quelle eingetragen werden. Sicherheit ist erforderlich, sodass sichergestellt wird, dass der Datenverkehr ausschliesslich verschlüsselt und/oder authentisch übermittelt wird. Es sollten nur sichere Methoden der Verschlüsselung/Integritätssicherstellung genutzt werden. Als potentiell unsicher gelten alte Algorithmen wie DES oder MD5.

Voraussetzung 2: Namensauflösung

Wenn Ressourcen genutzt werden ist es unabdingbar, dass sich die Domänen und deren Ressourcen gegenseitig auflösen können. Hierzu ist die Einrichtung einer Bedingten Weiterleitung (Conditional Forwarding) der Zieldomäne im DNS notwendig. Diese Funktionalität erschien erst mit dem Windows Server 2003. Unter Windows 2000 Server müssen die HOST-Einträge gepflegt werden.

Anschliessend ist die Auflösung über NSLOOKUP zu überprüfen. Besteht keine funktionsfähige Namensauflösung, schlägt die Einrichtung des Trusts fehl.

Wurden alle Voraussetzungen erfüllt, ist die Einrichtung der Vertrauensstellung nur noch Formsache. Über das Snapin “Active Directory-Domänen und -Vertrauensstellungen” (domain.msc) wird über ein Assistent der Trust eingerichtet. Dazu öffnet man die Eigenschaften der Quelldomäne.

Mittels “Neue Vertrauensstellung…” wird der benötigte Assistent aufgerufen.

Es folgt die Angabe der Zieldomäne.

Der Typ des Trust wird im anschließenden Fenster angegeben. Es gilt zu entscheiden, ob der Trust transitiv ist.

Die Sichtbarkeit der Domänen, respektive die Nutzung der Ressourcen einer Domäne, ist im nächsten Fenster anzugeben. Wird in beiden Richtungen vertraut, können Benutzer sowohl in der Ziel- als auch der Quelldomäne berechtigt werden.

Besitzt man den administrativen Zugang zu beiden Domänen, kann die Einrichtung des Trust auf beiden Seiten in einem Durchgang erledigt werden.

Hierzu gibt man den berechtigten Account der Zieldomäne an.

Wenn die Benutzer der Quelldomäne gleiche allgemeine Privilegien wie Benutzer der Zieldomäne besitzen sollen, muss dies in diesem Fenster ausgewählt werden. Eine alternative und sicherere Methode ist die selektive Authentifizierung. In diesem Modus werden nur explizite Berechtigungen vergeben. Diese Einstellung kann später in den Eigenschaften des Trust noch geändert werden.

Nach der Wahl der Einstellung erscheint die Übersicht der gewählten Angaben. Nach Bestätigung erfolgt die Einrichtung des Trust.

Abschließend kann eine Überprüfung der Vertrauensstellung durchgeführt werden, um sich von der korrekten Einrichtung zu überzeugen.

Jetzt können die Benutzer, Computer oder Gruppen einer Gesamtstruktur auf die Ressourcen des Forest berechtigt werden. Die Domäne ist nun sicht- und nutzbar.

Related Posts:

• Active Directory – Grundlagen
• Active Directory – Interdomain Trust Account Phantom
• Der Domänencontrollername für das Computernetzwerk konnte nicht ermittelt werden.
• Microsoft DHCP-Server – Installation & Konfiguration
• Active Directory: Replikation überprüfen