Auch wenn es zahlreiche Regeln und Best Practices zur Absicherung des Active Directory gibt, so sind diese ohne ein geeignete Tools nur schwer einzuhalten und zu überwachen. Das kostenlose PingCastle übernimmt diese Aufgabe, indem es das AD auf zahlreiche Risikofaktoren prüft und detaillierte Reports erstellt.
Seit Server 2016 ist es möglich, Benutzer temporär in AD-Gruppen aufzunehmen und so ihre Berechtigungen zeitlich zu beschränken. Die Bordmittel sehen dafür nur PowerShell vor. Mein hier beschriebenes Script bietet aber eine GUI, so dass auch technisch nicht versierte User diese Aufgabe übernehmen können.
Wenn sich im Active Directory die Mitglieder von privilegierten Gruppen ändern, dann sollte gewährleistet sein, dass es sich dabei um eine legitime Aktion handelt. Ähnliches gilt beim Zugriff auf Verzeichnisse eines File-Servers, der sensible Informationen enthält. Die Windows-Bordmittel bieten dafür einige Basisfunktionen.
Windows enthält die nötige Grundausstattung für das Management des Active Directory und seiner verschiedenen Funktionen. Sie reicht aber für viele Aufgaben nicht aus, so dass ein ganzer Markt für AD-Tools entstanden ist. Neben mächtigen Produkten für komplexe Umgebungen füllen auch kostenlose Angebote einige Lücken der Bordmittel.
Bei LAPS handelt es sich um ein kostenloses Tool von Microsoft, das für lokale Admin-Konten auf jedem PC ein zufälliges Passwort erzeugt. Allerdings kann man nicht so einfach erkennen, ob der Mechanismus auf jedem Rechner funktioniert. Abhilfe schafft hier ein PowerShell-Script, das einen Health-Report erstellt.
CommuniGate Pro ist eine Software für Unified Communications, deren Funktionen von E-Mail, Kalender und Aufgaben über VoIP und Instant Messaging bis Video-Konferenzen reicht. Sie besitzt eine übergreifende Installation für alle Features. Als kritische Infrastruktur lässt sie sich hochverfügbar konfigurieren.*
Wenn eine Installation von Exchange gegen die Wand gefahren wurde oder der alte Exchange-Server sich nicht mehr deinstallieren lassen will, dann kann eine manuelle Bereinigung des Active Directory erforderlich sein. Andernfalls scheitert jeder Versuch, Exchange in dieser Umgebung neu einzurichten.
Die Windows-Bordmittel bieten bekanntlich nur beschränkte Reporting-Fähigkeiten für das Active Directory. Diese Lücke schließen zahlreiche Anbieter mit eigenen Tools. Im Gegensatz zu komplexen Werkzeugen für ein umfassendes AD-Management konzentriert sich AD FastReporter auf Berichte zu den wesentlichen AD-Objekten.
PowerShell Core 6 ist seit Anfang des Jahres verfügbar und soll die Basis für alle weiteren Entwicklungen von PowerShell sein. Aktuell fehlen der Core-Version jedoch die meisten Module zur Verwaltung von Windows. Diese muss man von Windows PowerShell importieren, was für einige wichtige Module nicht klappt.
Zu den neuen Features der Preview 17079 gehört die Möglichkeit, neue Releases direkt auf vorherige Versionen aufzuspielen. Auf diese Weise lässt sich Windows Server ab 1709 aktualisieren. Das Upgrade erfolgt durch die Ausführung von setup.exe, einen Mechanismus via Windows Update oder WSUS gibt es nicht.
Zu den kritischen Entitäten im Active Directory gehören administrative Gruppen. Wenn sich deren Mitgliedschaften oder die Passwörter von enthaltenen Konten ändern, dann sollte die Systemverwaltung davon erfahren. Daher empfiehlt es sich, für diesen Zweck die Überwachungsfunktionen für den Verzeichnisdienst zu aktivieren.