Tag 8: Active Directory & LDAP

IHK-Vorbereitung · Fachinformatiker Systemintegration

Tag 8: Active Directory & LDAP

Prüfungsbereich

AP1 + AP2

„Einrichten IT-Arbeitsplatz" und „Konzeption & Administration"

Kernthemen

AD / LDAP

Benutzer, Gruppen, Rollen, ACL, RBAC, AGDLP, Verzeichnisdienste

Was ist Active Directory?

Active Directory Domain Services (AD DS)

Active Directory ist Microsofts Implementierung eines Verzeichnisdienstes für Windows-Netzwerke. Es basiert technisch auf dem offenen LDAP-Protokoll (Lightweight Directory Access Protocol) und erweitert es um Windows-spezifische Funktionen wie Kerberos-Authentifizierung, Gruppenrichtlinien und DNS-Integration.

Verzeichnisdienst: Zentrale Datenbank für alle Netzwerkobjekte (Benutzer, Computer, Drucker, Gruppen, Richtlinien)
Authentifizierung: Single Sign-On (SSO) via Kerberos – einmal anmelden, alle berechtigten Ressourcen nutzen
Autorisierung: Zugriffskontrolle auf Ressourcen über ACLs und Gruppenrichtlinien
Zentrale Verwaltung: Gruppenrichtlinienobjekte (GPOs) steuern Einstellungen für ganze Organisationseinheiten

Strukturelemente des Active Directory

Hierarchische Gliederung

Forest (Gesamtstruktur)

Die oberste Ebene. Enthält eine oder mehrere Domains und teilt ein gemeinsames Schema (Objektdefinitionen). Vertrauensstellungen zwischen Forests möglich.

Domain (Domäne)

Verwaltungseinheit mit eigenem Namensraum (z.B. firma.local). Alle Objekte einer Domain teilen eine gemeinsame Sicherheitsrichtlinie. Ein Domain Controller (DC) verwaltet die Domain.

Organisationseinheit (OU – Organizational Unit)

Container innerhalb einer Domain zur logischen Strukturierung (z.B. nach Abteilungen oder Standorten). An OUs werden Gruppenrichtlinien (GPOs) verknüpft. OUs können verschachtelt werden.

Objekte (Objects)

Die eigentlichen Einträge: Benutzerkonten, Computerkonten, Gruppen, Drucker, freigegebene Ordner. Jedes Objekt hat eindeutige Attribute und einen Distinguished Name (DN).

Prüfungsrelevant: Wichtige AD-Begriffe

Begriffe und ihre Bedeutung

BegriffDomain Controller (DC): Server, der die AD-Datenbank (NTDS.dit) hält und Authentifizierungsanfragen beantwortet

BegriffSchema: Definitionen aller möglichen Objektklassen und Attribute im AD (z.B. was ein „User"-Objekt haben darf)

BegriffGlobaler Katalog (GC): Teilreplikat aller Objekte des Forests – ermöglicht forest-weite Suchen ohne jeden DC abzufragen

BegriffGPO (Group Policy Object): Konfigurationsvorlage, die an OUs, Domains oder Sites gebunden wird und Einstellungen ausrollt (z.B. Passwort-Policy, Desktop-Sperrung)

BegriffKerberos: Ticket-basiertes Authentifizierungsprotokoll im AD (Port 88). Kein Passwort wird übers Netz übertragen – stattdessen verschlüsselte Tickets (TGT, Service Ticket)

BegriffSID (Security Identifier): Eindeutige unveränderliche ID eines AD-Objekts. Wird für ACL-Einträge genutzt, nicht der Name

Merkhilfe: Prüfungsfragen zu AD-Grundlagen

„Was ist der Unterschied zwischen einer OU und einer Gruppe?" → OU = Verwaltungscontainer für GPOs; Gruppe = Sicherheits-/Verteilerobjekt für Berechtigungen
„Wozu dient ein Domain Controller?" → Authentifizierung, Replikation, Verzeichnisdienst für die Domain
„Was ist Kerberos?" → Ticket-basiertes Authentifizierungsprotokoll – SSO ohne Passwortübertragung
„Wie unterscheidet sich AD von einer einfachen Benutzerdatenbank?" → Hierarchisch, replikationsfähig, mit Gruppenrichtlinien, LDAP-basiert, zentrales SSO

Benutzerkonten im Active Directory

Arten von Benutzerkonten

👤

Domänenbenutzer (Domain User Account)

Wird im AD angelegt und gilt im gesamten Netzwerk. Ermöglicht SSO auf alle berechtigten Ressourcen. Anmeldung via DOMAIN\Benutzername oder UPN (user@firma.local).

Kerberos-AuthentifizierungGPO-Anbindungzentrales Profil

🖥️

Lokales Benutzerkonto (Local User Account)

Nur auf einem einzelnen Rechner gültig. Keine Domain-Ressourcen zugänglich. Verwaltung über lusrmgr.msc. Typisch für Notfall-/Adminkonten.

kein SSOnur lokale RessourcenSAM-Datenbank

⚙️

Dienstkonten (Service Accounts)

Für Dienste und Anwendungen, die im Hintergrund laufen (z.B. SQL Server, Exchange). Sollten minimale Rechte haben (Least Privilege). Moderne Alternative: Group Managed Service Accounts (gMSA).

Least Privilegekein interaktiver LogingMSA

Gruppen im Active Directory

Gruppentypen und Gruppendomänen

Gruppen haben zwei unabhängige Dimensionen: Typ (Zweck) und Bereich (Gültigkeitsbereich).

Gruppentypen

Sicherheitsgruppe Wird für Berechtigungsvergabe (ACLs) genutzt. Kann auch als Verteilergruppe dienen. Prüfungsrelevant!

Verteilergruppe Nur für E-Mail-Verteilerlisten (Exchange). Kann nicht für Zugriffssteuerung verwendet werden.

Gruppenbereiche (Scope)

Domänenlokal (DL)

Berechtigungsvergabe innerhalb der eigenen Domain. Mitglieder können aus beliebigen Domains kommen. Wird direkt an Ressourcen (Ordner, Drucker) gesetzt.

Global (G)

Bündelt Benutzer aus der eigenen Domain. Kann in anderen Domains für Berechtigungen eingesetzt werden. Typisch für Abteilungsgruppen.

Universal (U)

Gültig im gesamten Forest. Mitglieder und Nutzung forest-weit möglich. Im Globalen Katalog gespeichert – sparsam einsetzen!

Best Practice: AGDLP

Das AGDLP-Prinzip – Kontenstruktur in der Prüfung

AGDLP ist Microsofts empfohlenes Schema für skalierbare Rechtevergabe in AD-Umgebungen. Es beschreibt, wie Konten, Gruppen und Berechtigungen strukturiert werden sollen.

Account

Benutzerkonto

→

Global Group

z.B. „Buchhaltung"

→

Domain Local

z.B. „Zugriff-Finanzen"

→

Permission

Lesen, Schreiben…

A → G: Benutzerkonten werden in globale Gruppen aufgenommen (z.B. alle Buchhalter in „GG_Buchhaltung")
G → DL: Globale Gruppen werden in domänenlokale Gruppen aufgenommen (z.B. GG_Buchhaltung in „DL_Zugriff_Finanzen")
DL → P: Die domänenlokale Gruppe erhält die Berechtigung auf die Ressource (Ordner, Freigabe)
Vorteil: Benutzer wird einfach zur globalen Gruppe hinzugefügt – alle Berechtigungen folgen automatisch. Ressource muss nicht einzeln angepasst werden.

Prüfungstipp: AGDLP ist ein häufiges Prüfungsthema. Merke: Benutzer → globale Gruppe (nach Jobfunktion) → domänenlokale Gruppe (nach Ressource) → Berechtigung auf der Ressource.

Merkhilfe: Typische Prüfungsfragen

„Was ist der Unterschied zwischen Sicherheits- und Verteilergruppe?" → Sicherheitsgruppe = ACL-Vergabe möglich; Verteilergruppe = nur E-Mail
„Welchen Gruppenbereich nutzt man für eine Abteilungsgruppe?" → Global Group (Mitglieder aus eigener Domain, nutzbar forest-weit)
„Beschreiben Sie das AGDLP-Prinzip" → Konto → globale Gruppe → domänenlokale Gruppe → Berechtigung
„Warum AGDLP statt direkte Rechtevergabe?" → Skalierbarkeit, zentrale Verwaltung, klar trennbare Zuständigkeiten

Zugriffssteuerung: ACL

Access Control List (ACL) – Zugriffskontrollliste

Eine ACL ist eine Liste von Regeln, die festlegt, welche Subjekte (Benutzer, Gruppen) auf welche Objekte (Dateien, Ordner, Ressourcen) in welchem Umfang zugreifen dürfen.

📋

DACL (Discretionary ACL)

Steuert den Zugriff auf ein Objekt. Enthält ACEs (Access Control Entries), die je einem Sicherheitsprinzipal (Benutzer/Gruppe via SID) eine Berechtigung erlauben oder verweigern.

LesenSchreibenAusführenVollzugriff

🔍

SACL (System ACL)

Steuert die Überwachung und Protokollierung von Zugriffsversuchen (Audit). Unabhängig von der DACL – definiert, welche Zugriffe im Sicherheitslog aufgezeichnet werden.

Audit-LogSicherheitsereignisseEreignisanzeige

NTFS-Berechtigungen (Windows)

NTFS vs. Freigabe-Berechtigungen

Bei Windows-Dateiservern gibt es zwei Ebenen von Berechtigungen, die gemeinsam gelten. Es gilt immer die restriktivere Kombination beider Ebenen.

NTFS-Berechtigungen

Gelten lokal und über das Netzwerk. Feingranular (Lesen, Schreiben, Ausführen, Ändern, Vollzugriff, spezielle Rechte). Werden in der DACL des Objekts gespeichert. Vererbung möglich.

Freigabe-Berechtigungen (Share)

Gelten nur beim Netzwerkzugriff via SMB. Gröber (Lesen, Ändern, Vollzugriff). Kombiniert mit NTFS: es zählt die strengere von beiden. Best Practice: Share = Vollzugriff, NTFS regelt alles.

NTFS-Berechtigungsstufen im Überblick

Berechtigung	Bedeutung	Enthält
Lesen (R)	Dateien/Ordner anzeigen und öffnen	Auflisten, Lesen, Attribute lesen
Schreiben (W)	Dateien erstellen und ändern	Erstellen, Anhängen, Attribute schreiben
Ausführen (X)	Anwendungen starten, Ordner durchsuchen	Traversieren, Ausführen
Ändern (M)	Lesen + Schreiben + Löschen	R+W+X + Löschen
Vollzugriff (F)	Alle Operationen inkl. Berechtigungen ändern	M + Berechtigungen + Besitz übernehmen

Rollen & RBAC

Role-Based Access Control (RBAC)

Beim RBAC-Modell werden Berechtigungen nicht direkt an Benutzer vergeben, sondern an Rollen. Benutzer erhalten dann Rollen zugeteilt.

Ressourcen definieren

Was soll geschützt werden? (Dateisystem, Anwendung, Datenbank, API)

Rollen definieren

Welche Tätigkeiten/Aufgaben gibt es? (z.B. „Revisor", „HR-Mitarbeiter", „Netzwerkadmin", „Helpdesk")

Berechtigungen der Rolle zuordnen

Welche Rolle darf was? (Revisor → Lesen auf Finanzdaten; HR → Lesen+Schreiben auf Personalakten)

Benutzer der Rolle zuordnen

Max Müller ist Revisor → erhält automatisch alle Revisor-Berechtigungen. Kein direktes Setzen an Objekten nötig.

RBAC vs. direkte ACL-Vergabe

RBAC (Rollenbasiert)

Skalierbar, leicht auditierbar, klare Verantwortlichkeiten. Neue Mitarbeiter: einfach Rolle zuweisen. Rollenänderung: zentral für alle Nutzer der Rolle wirksam.

Direkte ACL-Vergabe

Schnell bei kleinen Umgebungen, aber bei Wachstum unübersichtlich (ACL-Wildwuchs). Jede Berechtigung muss einzeln gepflegt werden. Audits aufwendig.

Merkhilfe: Prüfungsfragen zu ACL & RBAC

„Was ist eine ACL?" → Liste von Zugriffsregeln (ACEs) für ein Objekt: wer darf was?
„Was ist der Unterschied zwischen DACL und SACL?" → DACL = Zugriffssteuerung; SACL = Überwachungsprotokollierung
„Welche NTFS-Berechtigung enthält auch das Recht, Berechtigungen zu ändern?" → Vollzugriff (Full Control)
„Was ist RBAC?" → Benutzer erhalten Rollen, Rollen haben Berechtigungen – keine direkte Rechtevergabe an Benutzer
„Was gilt, wenn NTFS-Berechtigung und Share-Berechtigung sich unterscheiden?" → Die restriktivere Berechtigung gewinnt

Protokoll

LDAP – Lightweight Directory Access Protocol

LDAP ist ein offenes, plattformunabhängiges Protokoll für den Zugriff auf Verzeichnisdienste. Active Directory, OpenLDAP (Linux) und viele andere Systeme basieren darauf.

Standard-Port

389

LDAP (unverschlüsselt)

Verschlüsselt

636

LDAPS (LDAP über TLS/SSL)

Verzeichnisstruktur

Der Distinguished Name (DN) – Adressierung im LDAP-Baum

Jedes LDAP-Objekt hat einen eindeutigen Distinguished Name (DN), der den vollständigen Pfad vom Objekt bis zur Wurzel beschreibt – ähnlich einem Dateipfad, aber von spezifisch nach allgemein.

# Root / Basis der Domain firma.local DC=firma,DC=local │ ├── OU=Benutzer,DC=firma,DC=local │ ├── OU=IT,OU=Benutzer,DC=firma,DC=local │ │ └── CN=Max Mustermann,OU=IT,OU=Benutzer,DC=firma,DC=local │ │ sAMAccountName: mmustermann │ │ userPrincipalName: mmustermann@firma.local │ │ memberOf: CN=GG_IT,OU=Gruppen,DC=firma,DC=local │ └── OU=HR,OU=Benutzer,DC=firma,DC=local │ └── OU=Gruppen,DC=firma,DC=local └── CN=GG_IT,OU=Gruppen,DC=firma,DC=local groupType: Global Security Group

Komponenten eines DN

Kürzel	Bedeutung	Beispiel
`DC`	Domain Component – Teil des Domänennamens	`DC=firma,DC=local`
`OU`	Organizational Unit – Container/Abteilung	`OU=IT`
`CN`	Common Name – Name des Objekts	`CN=Max Mustermann`
`O`	Organization – Organisationsname (selten im AD)	`O=Firma GmbH`
`C`	Country – Länderkürzel (selten im AD)	`C=DE`

LDAP-Abfragen

LDAP-Suchfilter – Syntax und Beispiele

LDAP-Suchanfragen nutzen eine einfache Filtersyntax in Klammern. Wichtig für Prüfung und Praxis (z.B. Powershell, ldapsearch unter Linux).

Einfacher Filter (sAMAccountName=mmustermann) – findet genau diesen Benutzer

Wildcard (sAMAccountName=m*) – alle Accounts die mit „m" beginnen

UND-Verknüpfung (&(objectClass=user)(department=IT)) – alle Benutzer in der Abteilung IT

ODER-Verknüpfung (|(department=IT)(department=Netzwerk)) – IT oder Netzwerk-Abteilung

Gruppenfilter (&(objectClass=group)(cn=GG_*)) – alle globalen Gruppen nach Namenskonvention

Wichtige LDAP-Attribute (AD)

Attribut	Beschreibung
`sAMAccountName`	Windows-Anmeldename (NetBIOS-Benutzername, max. 20 Zeichen)
`userPrincipalName`	E-Mail-ähnlicher Anmeldename (`user@domain.local`)
`distinguishedName`	Vollständiger eindeutiger Pfad im Verzeichnis
`objectClass`	Typ des Objekts (user, group, computer, organizationalUnit…)
`memberOf`	Gruppen, in denen das Objekt Mitglied ist
`mail`	E-Mail-Adresse des Benutzers
`pwdLastSet`	Zeitstempel der letzten Passwortänderung
`userAccountControl`	Kontostatus-Flags (aktiviert, gesperrt, Passwort läuft nie ab…)

Merkhilfe: Prüfungsfragen zu LDAP

„Was ist LDAP und auf welchem Port läuft es?" → Verzeichnisprotokoll, Port 389 (636 für LDAPS)
„Was bedeutet DN?" → Distinguished Name – eindeutiger vollständiger Pfad eines Objekts im Verzeichnis
„Was bedeutet DC=firma,DC=local?" → Die Domain firma.local als Basis des Verzeichnisbaums
„Welches Attribut enthält den Windows-Anmeldenamen?" → sAMAccountName
„Wie unterscheidet sich LDAP von Active Directory?" → LDAP ist das Protokoll; AD ist Microsofts Implementierung eines Verzeichnisdienstes, der LDAP nutzt

Linux vs. Windows

Dateisystem-Berechtigungen: NTFS vs. Linux-Permissions

Beide Betriebssysteme implementieren Zugriffskontrolle grundlegend unterschiedlich. Die Prüfung fragt häufig beide Seiten und den Vergleich.

Windows NTFS

ACL-basiert. Feingranulare Einzeleinträge pro Benutzer/Gruppe. Vererbung von übergeordneten Ordnern. Grafisch über Eigenschaften → Sicherheit. Cmdlet: Get-Acl / Set-Acl. Fünf Standardstufen + spezielle Rechte.

Linux (klassisch: ugo/rwx)

Jede Datei hat genau 3 Klassen: Eigentümer (u), Gruppe (g), Sonstige (o). Jede Klasse hat drei Bits: Lesen (r=4), Schreiben (w=2), Ausführen (x=1). Anzeige: ls -l. Ändern: chmod, chown.

Linux Berechtigungen

chmod, chown – Oktal und symbolisch

Das klassische Linux-Rechtesystem nutzt 9 Bit (3×3): rwx für Eigentümer, Gruppe, Sonstige. Darstellung als Oktalzahl (z.B. 755) oder symbolisch.

# ls -l Ausgabe: Rechte lesen -rwxr-xr-- 1 alice devs 4096 09.04.2026 script.sh │││ │││ │││ │││ │││ └── Sonstige (o): r-- = 4 (nur lesen) │││ └────── Gruppe (g): r-x = 5 (lesen + ausführen) └────────── Eigentümer (u): rwx = 7 (alle Rechte) # Oktal: u=7, g=5, o=4 → chmod 754 script.sh chmod 754 script.sh # numerisch chmod u+x,g-w script.sh # symbolisch: x hinzu für u, w weg für g chown alice:devs script.sh # Eigentümer:Gruppe setzen

Wichtige Sonderbits

Bit	Oktal	Wirkung auf Datei	Wirkung auf Ordner
SetUID (SUID)	4000	Programm läuft mit Rechten des Eigentümers (nicht Aufrufers). Beispiel: `passwd`	Keine Wirkung
SetGID (SGID)	2000	Programm läuft mit Rechten der Gruppe des Eigentümers	Neue Dateien erben die Gruppe des Ordners
Sticky Bit	1000	Veraltet / ignoriert	Nur Eigentümer darf eigene Dateien löschen (z.B. `/tmp`)

Linux ACL (POSIX ACL)

Erweiterte ACLs unter Linux – acl-Paket

Das klassische rwx-System kennt nur Eigentümer, Gruppe und Sonstige. Für feingranularere Kontrolle (wie NTFS) gibt es POSIX ACLs, die mit getfacl / setfacl verwaltet werden.

# ACL anzeigen getfacl /srv/daten # Ausgabe: # file: /srv/daten # owner: alice # group: devs user::rwx # Eigentümer user:bob:r-x # Bob explizit: lesen + ausführen group::r-x # Gruppe devs group:admins:rwx # Gruppe admins: Vollzugriff mask::rwx # Maximale Rechte für benannte Einträge other::--- # Alle anderen: kein Zugriff # ACL setzen setfacl -m u:bob:r-x /srv/daten setfacl -m g:admins:rwx /srv/daten setfacl -R -m g:admins:rwx /srv/daten # Rekursiv

Netzwerkfreigaben

SMB/CIFS vs. NFS – Windows- und Linux-Freigaben

SMB / CIFS (Windows)

Server Message Block – Standard-Netzwerkdateiprotokoll für Windows. Auch auf Linux via Samba nutzbar. Authentifizierung via Kerberos/NTLM. Berechtigungen auf zwei Ebenen (Share + NTFS). Port 445 (SMB3), historisch 139.

NFS (Linux / Unix)

Network File System – Standard unter Linux/Unix. Einfachere Authentifizierung (UID/GID-basiert, kein AD-nativ). NFSv4 unterstützt Kerberos. Berechtigungen greifen serverseitig auf klassische rwx/POSIX-ACL zurück. Port 2049.

Linux-Client in Active Directory einbinden

Linux-Systeme können vollständig in ein AD integriert werden – Benutzer melden sich dann mit Domain-Credentials an Linux-Rechnern an:

Methode 1SSSD + realmd: Moderne Methode. realm join firma.local bindet das System ein. SSSD cacht Credentials und vermittelt AD-Abfragen

Methode 2Winbind (Samba): Ältere Methode. Samba vermittelt zwischen Linux und AD. Weiterhin verbreitet für Samba-Dateiserver mit AD-Authentifizierung

Methode 3OpenLDAP als eigener Verzeichnisdienst: Für Linux-only-Umgebungen ohne AD. Kompatibler LDAP-Dienst mit slapd. Verwaltung via ldapadd, ldapmodify, ldapsearch

Großer Vergleich: Windows AD vs. Linux/OpenLDAP

Merkmal	Windows AD	Linux / OpenLDAP
Verzeichnisdienst	Active Directory (AD DS)	OpenLDAP (`slapd`)
Protokoll	LDAP + Kerberos + DNS	LDAP (+ optional Kerberos via MIT/Heimdal)
Authentifizierung	Kerberos (Standard), NTLM (Legacy)	PAM + LDAP / Kerberos / SSSD
Verwaltungsoberfläche	ADUC, ADAC, PowerShell	CLI (ldap*-Befehle), phpLDAPadmin, Apache DS
Gruppenrichtlinien	GPOs (zentrale Konfiguration)	Kein natives Äquivalent (Puppet, Ansible o.ä.)
Dateisystem-Rechte	NTFS-ACLs (feingranular)	rwx + POSIX-ACLs (`setfacl`)
Netzwerkfreigaben	SMB/CIFS (Port 445)	NFS (Port 2049), Samba für SMB
RBAC-Umsetzung	AD-Gruppen + NTFS-ACLs (AGDLP)	POSIX-Gruppen, sudo-Regeln, LDAP-Gruppen
Zertifizierungsstelle	AD CS (Certificate Services)	OpenSSL, Let's Encrypt, EJBCA

Merkhilfe: Prüfungsfragen Linux/Vergleich

„Welche Rechte hat eine Datei mit chmod 754?" → Eigentümer rwx (7), Gruppe r-x (5), Sonstige r-- (4)
„Was bewirkt das Sticky Bit auf einem Ordner?" → Nur der Eigentümer einer Datei kann sie löschen (Beispiel: /tmp)
„Wie heißt das Linux-Äquivalent zu Windows-Freigaben via SMB?" → Samba (implementiert SMB/CIFS unter Linux)
„Was ist SSSD?" → System Security Services Daemon – vermittelt zwischen Linux-System und LDAP/AD-Verzeichnisdienst
„Wie heißen die erweiterten ACL-Befehle unter Linux?" → getfacl (anzeigen) und setfacl (setzen)
„Was ist der Unterschied zwischen NFS und SMB?" → NFS = Unix/Linux-Standard (UID-basiert), SMB = Windows-Standard (AD-Authentifizierung)