Kategorie: Server

Bei einer Domänencontroller-Migration passierte für mich etwas ungewöhnliches. Der Domänencontroller war hinzugefügt und die Betriebsmasterrolen übertragen. Für einen Test trennte ich das Netzwerk vom abzulösenden Server und wollte mich an einem Client vergewissern, dass der Umzug erfolgreich war.

Leider griffen die Anmeldeskripte nicht mehr. Auch eine Freigabe NETLOGON auf dem  hinzugefügten Domänencontroller konnte nicht erreicht werden. Bei einem Blick auf den Server musste ich feststellen, dass die erforderliche Freigabeauf dem Server nicht verfügbar war.

Nach etwas Recherche fand ich einen Technet-Artikel, welcher mich zum Ziel führte:

Pfad: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters

Objekt: SysvolReady

Dieser Eintrag ist bereits vorhanden und wird auf dem Wert „1“ stehen. Dieser muss nun 2-mal gewechselt werden. Der Wert muss einmal auf „0“ und dann direkt wieder auf „1“ gesetzt werden.

Nach einem anschließenden Neustart steht die Freigabe NETLOGON wieder zur Verfügung.

Weitere Informationen: hier

Um die Berechtigungen für Anmeldeskripte zu vergeben muss der Bearbeiter das Recht des Schreibens im Ordner „Skripts“ unter dem „SYSVOL“ der Domäne.

Zwar wird das SYSVOL auf allen Domänencontrollern repliziert, was nicht für Berechtigungen gilt. Diese muss auf allen Domänencontrollern manuell eingetragen werden. Ansonsten ist der Zugriff für die berechtigten Administratoren nur auf dem angepassten Domänencontroller möglich.

Viele Administratoren arbeiten nicht mit getrennten Accounts zur allgemeinen Arbeit und der administrativen Tätigkeit. Entsprechend kann es zu möglichen Sicherheitslücken kommen, obwohl diese gar nicht eingeplant sind.

Wenn ein Benutzer zum Beispiel Mitglied der Gruppe  „Kontenoperator“ ist, ist es ihm möglich Passwörter zu zurückzusetzen. Das gilt allerdings dann auch für sein eigenes Kennwort. Somit ist es ihm möglich sein Passwort zum Ablauf des maximalen Kennwortalters auf das selbe Passwort zu setzen, was bereits im alten Zyklus genutzt wurde und somit auch die vorgegeben Kennwortchronik der definierten Anzahl der gespeicherten Passwörter zu untergraben.

In einer entsprechenden Konstellation kann es Sinn machen, dass die Benutzer der Gruppe „Kontenoperatoren“ oder auch andere Mitglieder, zum Beispiel zur delegierten OU-Verwaltung eingerichteten Gruppen, bei Ihren Benutzerobjekten in der Berechtigung „Self“ die folgenden Rechte verweigert bekommen:

• Reset Passwort
• Write Accountexpires
• Write UserAccountControl

Über die Anpassung des Rechtes „Reset Passwort“ kann der entsprechende Benutzer sein Kennwort nicht mehr direkt zurücksetzen als Beispiel auf den alten Stand.

Durch die Anpassung des Rechtes „Write Accountexpires“ wird dem Benutzer die Berechtigung verwehrt sein Ablaufdatum selberständig zu editieren.

Mit der Anpassung der Berechtigung „Write UserAccountControl“ wird verhindert, dass sich der Anwender seinen deaktivierten Account wieder freigibt und die Option setzt, dass sein Kennwort nicht mehr abläuft.

Mit diesen Maßnahme ist eine deutliche Verbesserung der Sicherheit für administrative Benutzer bzw. Benutzern mit erweiterten Berechtigungen.

Im Gegensatz zu den vorherigen Server-Versionen Windows Server 2008 und Windows Server 2008 R2 wird bei einer Standard-Installation des Windows Server 2012 die Server Core-Installation verwandt.

Der Server Core unterscheidet sich aber nicht nur von der Darstellung sondern auch von den angebotenen Rollen, die installiert werden können:

Nach der Einrichtung des Server Core ist es im Regelfall nur noch nötig per Remotezugriff unter anderem per Powershell oder MMC-Snap-Ins auf den Server oder die damit verbundene Infrastruktur zuzugreifen.

Der Server Core ist auch nicht in jeder Edition verfügbar:

Weiterer Nebeneffekt ist natürlich die geringere Auslastung der Hardware sowie des Speicherplatzes. Außerdem müssen zum Beispiel weniger Updates installiert werden und auch die möglichen Angriffsszenarien verringern sind, eine direkte Anmeldung am Server eigentlich nicht notwendig ist und auch die Möglichkeiten etwas eingeschränkter sind.

Tipp: Der SQL Server 2012 lässt sich auch unter dem Server Core installieren.