Sollten Sie Ihre bestehende AD-Gesamtstruktur auf Windows Server 2016 Active Directory (auch bekannt als AD 2016) aktualisieren oder sie unverändert belassen? Trotz des heutigen Fokus und der Aktivitäten rund um die Einführung von Cloud-Diensten bleibt die Tatsache bestehen, dass Active Directory weiterhin die Grundlage für all dies bildet. Neben seiner langjährigen Dominanz als lokale Identitätsquelle nutzt die überwiegende Mehrheit der mittelständischen bis großen Unternehmen weltweit ein hybrides Identitätsmodell, das auf AD basiert, für ihre Cloud-Dienste. Daher ist dies eine wichtige Frage.
Ein wichtiger Grund dafür, dass IT-Abteilungen ihre AD-Umgebung noch nicht von Betriebssystemen mit mittelfristigem Support wie Windows Server 2012 oder R2 auf Windows Server 2016 aktualisiert haben, ist, dass sie der Ansicht sind, es gebe keine eindeutige und überzeugende „Herofunktion“ wie den AD-Papierkorb, die das Upgrade rechtfertigen würde. Wenn Sie zu diesen gehören, sollten Sie sich Windows Server 2016 genauer ansehen.
Lassen Sie uns anhand von Szenarien – also geschäftlichen und technischen Beispielen für Umgebungen und Anforderungen, die möglicherweise auch bei Ihnen vorliegen – die wichtigsten Verbesserungen bei der Active Directory- und Betriebssystemsicherheit von Windows Server seit 2008 R2 betrachten. Trifft eines dieser Szenarien auf Ihr Unternehmen zu?
Wenn Sie Ihre DCs virtualisieren
Virtualisierung ist bereits seit vielen Jahren weit verbreitet, doch die Virtualisierung von Domänencontrollern hinkt aus zwei triftigen Gründen oft hinter anderen Workloads hinterher: Integrität und Sicherheit. Falls Sie einige oder alle Ihrer Domänencontroller virtualisiert haben, gibt es sowohl im Basisbetriebssystem Windows Server 2016 als auch in Active Directory wesentliche Verbesserungen hinsichtlich Integrität und Sicherheit, die Sie unverzüglich nutzen sollten.
Ein Problem bei der Virtualisierung einer Anwendung wie AD, die ihren Status verfolgt, besteht darin, dass der wiederhergestellte Domänencontroller bei einer Wiederherstellung aus einem zuvor erstellten VM-Snapshot nicht erkennt, dass er nicht mehr mit den anderen Domänencontrollern synchron ist. Dieser Zustand kann zu schwerwiegenden Divergenzfehlern in Ihrer Domäne oder Gesamtstruktur führen. Windows Server 2012 führte sowohl in AD als auch in Hyper-V eine Funktion ein, die VM-GenID, die AD im Wesentlichen mitteilt, dass es aus einem Snapshot wiederhergestellt wurde, und es anweist, geeignete Maßnahmen zu ergreifen, um sich selbst zu schützen.
Nachdem der DC über die Wiederherstellung aus einem Snapshot informiert wurde, löscht er seinen RID-Pool und setzt die Aufruf-ID (die Versionsnummer der AD-Datenbank) zurück, um Divergenzprobleme zu vermeiden. (Es ist jedoch nach wie vor keine gute Idee, DCs regelmäßig aus Snapshots wiederherzustellen.) VMware, Xen und andere Virtualisierungsanbieter haben diese Methode ebenfalls übernommen, sodass Ihre DCs nicht unbedingt auf Hyper-V laufen müssen.
Falls Ihre Domänencontroller (DCs) auf Windows Server 2012 oder 2012 R2 laufen und Sie Ihre DCs aufgrund von Sicherheitsbedenken hinsichtlich der Hostserver noch nicht virtualisiert haben, bietet Windows Server 2016 eine wichtige Funktion für Sie. Das neueste Betriebssystem behebt ein grundlegendes Sicherheitsproblem bei jeder virtuellen Maschine (VM): Jeder, der über Administratorrechte auf dem Hostrechner verfügt, kann die Dateien der VM einfach vom Host kopieren und nach Belieben manipulieren. Ein DC ist ein bevorzugtes Ziel für diesen Angriff, da er natürlich die Benutzer-IDs und Passwörter aller Mitarbeiter des Unternehmens enthält. Die Funktion „Shielded VMs“ schützt virtuelle Maschinen vor kompromittierten oder böswilligen Administratoren, wie z. B. Speicher- oder Backup-Administratoren, indem sie die Festplatte und den Status der virtuellen Maschinen verschlüsselt, sodass nur VM- oder Mandantenadministratoren darauf zugreifen können.
Unterstützung für Ihre Kunden in einer hybriden Welt
Eine Organisation besteht natürlich nicht nur aus ihren Servern. Auch die Clients, mit denen die Benutzer interagieren, spielen eine wichtige Rolle. Früher musste sich die IT-Abteilung lediglich um Windows-Clients kümmern, die in eine Domäne eingebunden waren, doch heute steht den Geschäftsanwendern eine große Auswahl zur Verfügung. Im Laufe mehrerer Versionen hat sich Active Directory angepasst, um dieser größeren Vielfalt gerecht zu werden.
Wenn Ihr Unternehmen die „digitale Transformation“ durch Cloud-Dienste vorantreibt – insbesondere Azure Active Directory mit Windows 10-Clients –, gibt es ein Szenario, in dem Sie sich AD 2016 genauer ansehen sollten. Zunächst helfen einige Hintergrundinformationen zur Geräteunterstützung in AD dabei, das Szenario besser zu verstehen.
Active Directory unterstützt seit jeher Windows-Geräte, die einer Domäne beigetreten sind. Seit Windows Server 2012 R2 kann ein Benutzer auch ein mobiles Gerät (z.B. ein Smartphone) in AD registrieren (Sie können sich das wie einen einfachen Beitritt vorstellen). Diese Workplace Join-Funktion verleiht dem Gerät eine Präsenz in AD und ordnet es einem Benutzer zu. Diese Zuordnung verleiht dem Gerät ein höheres Maß an Vertrauen als einem unbekannten Gerät, so dass ihm eine einmalige Anmeldung und der Zugriff auf sicherere Netzwerkressourcen gewährt werden kann.
Der leistungsstarke „kleine Bruder“ von AD in der Cloud – Azure AD – unterstützt ebenfalls beide Gerätetypen. Sie können diese Geräte direkt mit dem Cloud-Dienst verbinden, indem Sie für Windows 10-Geräte die Azure AD-Anbindung und für iOS-, Android- und Mac OS-Geräte die Intune-Registrierung nutzen. Diese verwirrende Architektur wird in einer Hybridumgebung mit lokalen Windows 7- und 8-Clients noch unübersichtlicher; Azure AD kann über eine hybride Azure AD-Anbindung auf diese Geräte aufmerksam gemacht werden, was für die Anwendung geräteabhängiger Richtlinien für den bedingten Zugriff erforderlich ist.
Ziehen Sie Windows Hello for Business in Betracht, um eine sichere Authentifizierung jenseits von Passwörtern zu ermöglichen? Standardmäßig bietet Hello Ihnen die Möglichkeit, Ihr Windows 10-Gerät mithilfe biometrischer Daten oder einer PIN zu entsperren. Hello for Business ist ein umfassenderes MFA-Framework, das asymmetrische Schlüssel (die im Sicherheitsmodul eines Geräts gespeichert sind) zur Authentifizierung des Benutzers verwendet. Es gibt ein MFA-Szenario in einer lokalen Active Directory-/Azure AD-Hybridumgebung, in der Sie sowohl AD 2016 als auch AD FS 2016 benötigen. In einem zukünftigen Blogbeitrag werde ich auf die Gründe eingehen, warum ein Upgrade auf AD FS 2016 in Betracht gezogen werden sollte.
Mehr Sicherheit
Unabhängig von den Verbesserungen am Active Directory profitieren Sie von Sicherheitsvorteilen, wenn Sie auf das zugrunde liegende Betriebssystem Windows Server 2016 aktualisieren. Sollten Sie noch mit 2008 R2 arbeiten, erhalten Sie nach dem Upgrade eine Benutzeroberfläche für den AD-Papierkorb, die die Bedienung erheblich vereinfacht. Außerdem können Sie damit beginnen, eine seit langem bestehende Sicherheitslücke zu schließen: veraltete, unveränderliche Passwörter auf Ihren Dienstkonten. Gruppenverwaltete Dienstkonten (gMSAs) aktualisieren das Passwort auf diesen Konten automatisch für Sie, selbst wenn sie in einem Cluster verwendet werden.
Wenn Sie bereits Windows Server 2012 R2 einsetzen, bietet Windows Server 2016 einige Sicherheitsverbesserungen, die Sie in Betracht ziehen sollten. Windows Defender Credential Guard und Remote Guard schützen NTLM- und Kerberos-Anmeldeinformationen in AD davor, von Angreifern abgefangen und für Pass-the-Hash-Angriffe missbraucht zu werden. Windows Defender Application Control schützt die Integrität des Basisbetriebssystems, indem es nur die Ausführung bestimmter Anwendungen zulässt (auch als Whitelisting bezeichnet) – eine hervorragende Sicherheitsmaßnahme für einen Server, auf dem eine dedizierte Arbeitslast wie AD ausgeführt wird.
Privileged Access Management für AD
Falls Sie die Vorgabe haben, Ihre AD-Administratorkonten wirklich streng abzusichern, bietet AD 2016 nun auch das Privileged Access Management (PAM) an. In Verbindung mit einer speziellenMIM-Bereitstellung handelt es sich bei PAM um eine spezielle, hochgesicherte „rote“ Gesamtstruktur, die Sie einrichten und die die Administrationsgruppen einer Ziel-AD-Gesamtstruktur steuert.
AD 2016 enthält Neuerungen bei Sicherheitsgruppen, sogenannte „Shadow Principals“, die es ermöglichen, Administratorgruppen in der Ziel-Forest über eine neue Form der Forest-Vertrauensstellung in die „Red Forest“ zu „spiegeln“. Wenn ein Administratorkonto in der roten Gesamtstruktur einer „geschatteten“ Administratorengruppe in dieser Gesamtstruktur hinzugefügt wird, erhält es dieselbe SID wie die Administratorengruppe und damit dieselben Rechte. Mit dieser Funktion werden Administratorkonten aus der Zielgesamtstruktur entfernt und existieren nur noch in der gesicherten roten Gesamtstruktur.
AD 2016 bietet auch Aktualisierungen des Kerberos-Protokolls, die eine zeitlich begrenzte Gruppenmitgliedschaft (gespeichert im PAC-Feld des Kerberos-Tickets) ermöglichen. In Kombination mit Shadow Principals und dem in MIM integrierten Workflow für Zugriffsanfragen können Administratoren Admin-Rechte (über die Gruppenmitgliedschaft) für einen bestimmten Zeitraum anfordern und erhalten. Wenn die Zeit abgelaufen ist, werden diese Rechte automatisch entzogen.
Gründe, dort zu bleiben, wo Sie sind
Ehrlich gesagt gibt es nicht viele Gründe, bei einem AD auf niedriger Stufe zu bleiben.
Wenn Sie über eine Test-Forest in einem isolierten Netzwerk verfügen, die auf physischen Domänencontrollern läuft und keine Client-Geräte unterstützt, können Sie vielleicht noch etwas warten.
Vielleicht ist das Budget im Moment ein Problem. Ihr Management muss das größere Bild sehen: Die meisten Unternehmen haben weit weniger als fünfzig DCs. Die Kosten für die Lizenzierung, das Upgrade und die Bereitstellung neuer Funktionen auf diesen Servern sind trivial im Vergleich zu den Kosten eines Einbruchs, bei dem Domänen-Zugangsdaten von älteren AD-Versionen erlangt werden.
Die Kompatibilität von Active Directory mit sehr alten Anwendungen oder alter eingebetteter Client-Software, die auf sehr teurer Hardware wie computergesteuerten Fertigungsanlagen läuft, kann ein heikleres Thema sein. Doch 2008 R2 wird nicht mehr lange einsetzbar sein: Das Ende des Supports (wohlgemerkt mit installiertem SP1) ist am14. Januar 2020. Das ist nur noch ein Jahr und vier Monate entfernt. Das Ende des Supports bedeutet, dass Microsoft keine Sicherheitsupdates mehr bereitstellen wird – ein unverzichtbarer Service in der heutigen Welt von Schwachstellen und Patches, die einem Katz-und-Maus-Spiel gleicht. Für 2012- und 2012 R2-Forests bleibt noch mehr Zeit: bis zum 10. Oktober 2023. (Beachten Sie, dass sowohl 2012 als auch R2 dasselbe Datum für das Ende des Supports haben.)
Empfehlungen
Meine Empfehlungen sind:
- Wenn Ihre DCs mit 2008 R2 laufen, sollten Sie unabhängig von den oben genannten Szenarien Ihre Upgrades planen und die Anwendungskompatibilität sofort testen.
- Für Nutzer von 2012 oder 2012 R2 rechtfertigen die Verbesserungen bei der Virtualisierung und der grundlegenden Betriebssystemsicherheit ein Upgrade. Sie sollten zudem als Stakeholder mit den Server- und Sicherheitsteams zusammenarbeiten, um die Implementierung der Sicherheitsverbesserungen von 2016 in das standardisierte Plattform-Build-Image voranzutreiben. Probleme mit der Anwendungskompatibilität dürften geringfügig sein.
- Sofern Sie nicht unter das spezielle „Hello for Business“-Hybridszenario fallen, werden Verbesserungen bei der Geräteverwaltung kein wesentlicher Treiber für die Einführung von Active Directory 2016 sein.
Wenn Sie die Umstellung auf AD 2016 im Vergleich zum Beibehalten der aktuellen Lösung genauer betrachten, gibt es – abgesehen von der Anwendungskompatibilität – eigentlich keine triftigen Gründe, die gegen ein Upgrade sprechen. Der Hauptgrund für das Ausbleiben eines Upgrades ist wahrscheinlich Selbstzufriedenheit: Es funktioniert so, wie es ist, gut genug. Doch die Sicherheitsverbesserungen sowohl im Basisbetriebssystem als auch in AD werden den Schutz Ihres Unternehmens vor Angreifern erheblich verbessern. Und das bedeutet, dass Sie noch heute mit der Planung Ihrer Upgrades beginnen sollten.
