Definition

Domänencontroller (Domain Controller)

Was ist ein Domänencontroller?

Ein Domänencontroller ist ein Servertyp, der Authentifizierungsanfragen von Benutzern innerhalb einer Computerdomäne verarbeitet. Domänencontroller übernehmen eine zentrale Funktion in Windows Active Directory-Domänen (AD), kommen aber auch bei anderen Arten von Identitätsmanagementsystemen zum Einsatz.

Domänencontroller duplizieren Verzeichnisdienstinformationen für ihre Domänen, einschließlich Benutzer, Authentifizierungsnachweise und Sicherheitsrichtlinien des Unternehmens.

Was sind die Hauptfunktionen eines Domänencontrollers?

Domänencontroller schränken den Zugriff auf Domänenressourcen ein, indem sie die Benutzeridentität durch Anmeldeinformationen authentifizieren und den nicht autorisierten Zugriff auf diese Ressourcen verhindern.

Domänencontroller wenden Sicherheitsrichtlinien auf Anfragen für den Zugriff auf Domänenressourcen an. In einer Windows AD-Domäne bezieht der Domänencontroller beispielsweise die Authentifizierungsinformationen für Benutzerkonten aus Active Directory.

Ein Domänencontroller lässt sich als Einzelsystem betreiben, wird aber normalerweise in Clustern implementiert, um die Zuverlässigkeit und Verfügbarkeit zu verbessern. Bei Domänencontrollern für Windows AD, besteht jedes Cluster aus einem primären Domänencontroller (PDC) und einem oder mehreren Backup-Domänencontrollern (BDC). In Unix- und Linux-Umgebungen kopieren Replikat-Domänencontroller die Authentifizierungsdatenbanken vom primären Domänencontroller.

Domänendienste für Active Directory
Abbildung 1: Domänendienste, wie sie beispielsweise von Domänencontrollern bereitgestellt werden, sind nur ein Teil von Microsoft Active Directory.

Warum ist ein Domänencontroller wichtig?

Domänencontroller kontrollieren den gesamten Domänenzugriff, indem sie den unbefugten Zugriff auf Domänennetzwerke blockieren und gleichzeitig den Benutzern den Zugriff auf alle autorisierten Verzeichnisdienste ermöglichen.

Der Domänencontroller vermittelt den gesamten Zugriff auf das Netzwerk, daher ist es wichtig, ihn mit zusätzlichen Sicherheitsmechanismen zu schützen, wie zum Beispiel:

  • Firewalls
  • gesicherte und isolierte Netzwerke
  • Sicherheitsprotokolle und Verschlüsselung zum Schutz gespeicherter und in Bewegung befindlicher Daten
  • eingeschränkte Verwendung unsicherer Protokolle, wie zum Beispiel des Remote-Desktop-Protokolls, auf Steuergeräten
  • Einsatz an einem aus Sicherheitsgründen räumlich begrenzten Ort
  • beschleunigtes Patch- und Konfigurationsmanagement
  • Sperren des Internetzugangs für Domänencontroller

Domänencontroller kontrollieren den gesamten Zugriff auf Computerressourcen in einer Organisation. Sie müssen daher so konzipiert sein, dass sie Angriffen widerstehen und auch unter ungünstigen Bedingungen funktionieren.

Wie richtet man Domänencontroller in Active Directory ein?

Die Domänensteuerung ist eine Funktion von Microsofts Active Directory, und Domänencontroller sind Server, die Active Directory nutzen, um auf Authentifizierungsanfragen zu reagieren.

Experten raten davon ab, sich auf einen einzigen Domänencontroller zu verlassen, selbst bei kleineren Domänen. Bewährte Verfahren sehen einen primären Domänencontroller und mindestens einen Backup-Domänencontroller vor, um Ausfallzeiten aufgrund der Nichtverfügbarkeit des Systems zu vermeiden.

Eine weitere bewährte Methode besteht darin, jeden Domänencontroller auf einem eigenständigen physischen Server zu installieren. Dies gilt auch für virtuelle Domänencontroller, die auf virtuellen Maschinen (VMs) laufen, die auf verschiedenen physischen Hosts platziert sind.

Domänencontroller können sowohl physische als auch virtuelle Server sein.

Die Schritte zum Einrichten eines AD-Domänencontrollers umfassen:

  • Bewertung der Domäne. Der erste Schritt beim Einrichten eines Domänencontrollers besteht darin, die Domäne zu bewerten, in der der Controller eingerichtet werden soll. Im Rahmen dieser Bewertung sollten Sie bestimmen, welche Arten von Domänencontrollern Sie benötigen, wo sie sich befinden werden und wie sie mit den bestehenden Systemen in der Domäne zusammenarbeiten.
  • Sicherheit durch Design. Es ist unerlässlich, einen Domänencontroller vor internen oder externen Angriffen zu schützen. Entwerfen Sie die Architektur des Domänencontrollers so, dass er vor Unterbrechungen der Dienste aufgrund von Verbindungsabbrüchen, Stromausfällen oder Systemfehlern geschützt ist.

Die Besonderheiten beim Einrichten und der Konfiguration von AD-Domänencontrollern hängen von der in der Domäne verwendeten Version von Windows Server ab. Im folgenden Video sehen Sie, wie Sie einen Domänencontroller in Windows Server 2019 einrichten.

Andere Optionen für die Implementierung von Domänencontrollern

Die folgenden Optionen sind bei der Einrichtung eines Domänencontrollers mit AD verfügbar:

  • Domain Name System-Server (DNS): Der Domänencontroller lässt sich so konfigurieren, dass er als DNS-Server fungiert. Dell empfiehlt, mindestens einen Domänencontroller als DNS-Server zu konfigurieren.
  • Globale Katalogfunktionen: Der Domänencontroller für den Globalen Katalog konfiguriert werden, wodurch der Controller in der Lage ist, AD-Informationen über jedes Objekt in der Organisation zurückzugeben, unabhängig davon, ob sich das Objekt in derselben Domäne befindet wie der Domänencontroller. Dies ist nützlich für große Unternehmen mit mehreren AD-Domänen.
  • Nur-Lese-Domänen-Controller (RODC): Domänencontroller an Standorten mit einer eingeschränkten Netzwerkkonnektivität sollten Sie als schreibgeschützt konfigurieren.
  • Verzeichnisdienst-Wiederherstellungsmodus (DSRM): DSRM bietet die Möglichkeit, Notfallwartungen auf dem Domänencontroller durchzuführen, einschließlich der Wiederherstellung von Backups. Das DSRM-Kennwort müssen Sie im Voraus konfigurieren.

Was sind die Vorteile von Domänencontrollern?

Domänencontroller bieten folgende Vorteile:

  • Die zentrale Verwaltung von Domänencontrollern ermöglicht es Unternehmen, alle Verzeichnisdienstanfragen über einen zentralen Domänencontroller zu authentifizieren.
  • Verteilte und replizierte Domänencontroller setzen Sicherheitsrichtlinien durch und verhindern unbefugten Zugriff über Unternehmensnetzwerke und WAN.
  • Der Zugriff auf Dateiserver und andere Netzwerkressourcen über Domänencontroller ermöglicht eine nahtlose Integration mit Verzeichnisdiensten wie Microsoft AD.
  • Die Unterstützung von sicheren Authentifizierungs- und Transportprotokollen in Domänencontrollern verbessert die Sicherheit des Authentifizierungsprozesses.
Nutzen und Beschränkungen von Domänencontrollern
Vorteile
-	Zentralisiertes Management der Zugangskontrolle
-	Verteilt und Repliziert für Skalierbarkeit
-	Kontrolle des Zugangs auf Dateiserver und Netzwerkressourcen
-	Unterstützung für sichere Authentifizierung und Autorisierung
Beschränkungen
-	Single Point of Failure für Neztwerkdomänen
-	Beliebtes Ziel für Cyberangriffe
-	Downtime schränkt den gesamten Betrieb ein
-	Zusätzliche Ressourcen erforderlich
Abbildung 2: Sie benötigen in den meisten Fällen einen Domänencontroller. Aber Sie sollten trotzdem wissen, welche Herausforderungen Sie erwarten.

Was sind die Einschränkungen von Domänencontrollern?

Zu den Einschränkungen von Domänencontrollern gehören:

  • Sind ein SPOF (Single Point of Failure) in der Netzwerkdomäne.
  • Da sie den Zugriff auf das gesamte Netzwerk kontrollieren, sind Domänencontroller ein Ziel für Cyberangriffe. Wenn es gelingt, einen Domänencontroller zu hacken, kann der Angreifer Zugriff auf alle Netzwerkressourcen der Domäne sowie auf die Authentifizierungsdaten aller Benutzer in der Domäne erhalten.
  • Netzwerke, die Domänencontroller für die Authentifizierung und Zugriffssicherheit verwenden, sind von ihnen abhängig. Um das Risiko von Ausfallzeiten zu verringern, können die Controller in Clustern eingesetzt werden.
  • Domänencontroller erfordern zusätzliche Infrastruktur und Sicherheitsmechanismen.
Diese Definition wurde zuletzt im März 2023 aktualisiert

Erfahren Sie mehr über Server- und Desktop-Virtualisierung

ComputerWeekly.de
Close