Um eine sicherere Umgebung bereitzustellen, bietet Ihnen DRA die Möglichkeit, die Befugnisse der in Microsoft Windows integrierten Sicherheitsgruppen einzuschränken. Die Möglichkeit, Gruppenmitgliedschaften, die Eigenschaften integrierter Sicherheitsgruppen oder die Eigenschaften der Gruppenmitglieder ändern zu können, kann wichtige Auswirkungen auf die Sicherheit haben. Wenn Sie beispielsweise das Passwort in der Gruppe der Serveroperatoren ändern, können Sie sich anschließend als dieser Benutzer anmelden und die Befugnisse nutzen, die dieser integrierten Sicherheitsgruppe zugewiesen sind.
DRA verhindert dieses Sicherheitsproblem mithilfe einer Richtlinie, die Ihre Befugnisse über die nativen integrierten Sicherheitsgruppen und deren Mitglieder überprüft. Diese Bestätigung gewährleistet, dass die angeforderten Aktionen keine Befugniseskalation bewirken. Wenn Sie diese Richtlinie aktivieren, kann ein Hilfsadministrator, der Mitglied einer integrierten Sicherheitsgruppe ist, beispielsweise Mitglied der Gruppe der Serveroperatoren, nur die anderen Mitglieder der gleichen Gruppe verwalten.
Mit DRA-Richtlinien können Sie die Befugnisse der folgenden integrierten Microsoft Windows-Sicherheitsgruppen einschränken:
Konten-Operatoren
Administratoren
Sicherungs-Operatoren
Zertifikatherausgeber
DNS-Administratoren
Domänenadministratoren
Organisations-Admins
Richtlinien-Ersteller-Besitzer
Druck-Operatoren
Schema-Admins
HINWEIS:DRA verwendet die internen IDs zur Bezugnahme auf integrierte Sicherheitsgruppen. DRA unterstützt diese Gruppen also auch dann, wenn sie umbenannt wurden. Diese Funktion gewährleistet, dass DRA integrierte Sicherheitsgruppen unterstützt, die in verschiedenen Ländern verschiedene Bezeichnungen tragen. DRA nimmt beispielsweise mit der gleichen internen ID Bezug auf die Gruppe „Administratoren“ und auf die Gruppe Administrators.
Mithilfe einer Richtlinie beschränkt DRA die Befugnisse, die von den nativen integrierten Sicherheitsgurten und deren Mitgliedern ausgeübt werden können. Diese Richtlinie, $SpecialGroupsPolicy, schränkt die Aktionen ein, die ein Mitglied einer nativen integrierten Sicherheitsgruppe auf andere Mitglieder oder andere native integrierte Sicherheitsgruppen ausführen kann. Diese Richtlinie ist in DRA standardmäßig aktiviert. Wenn Sie die Aktionen für native integrierte Sicherheitsgruppen und deren Mitglieder nicht einschränken möchten, können Sie diese Richtlinie deaktivieren.
Wenn diese Richtlinie aktiviert ist, verwendet DRA die folgenden Validierungstests, um zu bestimmen, ob eine Aktion auf eine native integrierte Sicherheitsgruppe oder deren Mitglieder zulässig ist:
Wenn Sie ein Microsoft Windows-Administrator sind, können Sie Aktionen auf native integrierte Sicherheitsgruppen und deren Mitglieder ausführen, für die Sie über die entsprechenden Befugnisse verfügen.
Wenn Sie Mitglied einer integrierten Sicherheitsgruppe sind, können Sie Aktionen auf die gleiche integrierte Sicherheitsgruppe und auf deren Mitglieder ausführen, sofern Sie über die entsprechenden Befugnisse verfügen.
Wenn Sie kein Mitglied einer integrierten Sicherheitsgruppe sind, können Sie keine integrierte Sicherheitsgruppe und keine ihrer Mitglieder ändern.
Wenn Sie beispielsweise Mitglied der Gruppen der Serveroperatoren und der Kontenoperatoren sind und über die entsprechenden Befugnisse verfügen, können Sie Aktionen für Mitglieder der Gruppe der Serveroperatoren, Mitglieder der Gruppe der Kontenoperatoren und Mitglieder beider Gruppen ausführen. Sie können jedoch keine Aktionen für ein Benutzerkonto ausführen, das Mitglied der Gruppe der Druckoperatoren und der Gruppe der Kontenoperatoren ist.
DRA verhindert, dass Sie die folgenden Aktionen in nativen integrierten Sicherheitsgruppen ausführen:
Gruppen klonen
Gruppen erstellen
Gruppen löschen
Mitglieder zu einer Gruppe hinzufügen
Mitglieder aus einer Gruppe entfernen
Gruppen in eine organisatorische Einheit verschieben
Eigenschaften einer Gruppe ändern
Postfächer kopieren
Postfächer entfernen
Benutzerkonten klonen
Benutzerkonten erstellen
Benutzerkonten löschen
Benutzerkonten in eine organisatorische Einheit verschieben
Benutzerkontoeigenschaften ändern
DRA schränkt außerdem die Aktionen ein, um sicherzustellen, dass keine Befugnisse über ein Objekt erlangt werden. Wenn Sie beispielsweise ein Benutzerkonto zu einer Gruppe hinzufügen, überprüft DRA, ob Sie dadurch zusätzliche Befugnisse über das Benutzerkonto erhalten. Diese Überprüfung trägt zum Schutz vor einer Befugniseskalation bei.