Active Directory: DNS-Zonen vor versehentlichem Löschen schützen

Im DNS-Manager gibt es keine Möglichkeit, DNS-Zonen vor dem unerwünschten Entfernen zu schützen. Unter den GUI-Tools bietet sich daher Active Directory-Benutzer und -Computer für diese Aufgabe an. Dort existiert bereits in den Eigenschaften anderer Objekte (OUs, Gruppen, etc.) eine entsprechende Option.

Dafür muss man jedoch zuvor die Erweiterten Features im Menü Ansicht aktivieren. Dann lässt sich hier auch der Schutz für die jeweiligen Objekte einrichten. In den Eigenschaften eines Objekts, beispielsweise bei einer OU, unter dem Reiter Objekt findet sich dann die gewünschte Option.

DNS-Zonen mit PowerShell anzeigen und ändern

Bei den integrierten AD DNS-Zonen gibt es zwei Typen. Zum einen die Domain DNS-Zonen und zum anderen die Forest DNS-Zonen. Wie die Namen schon erahnen lassen, sind diese Zonen Domain- oder Forest-weit gültig.

Agiert das Unter­nehmen im Forest über mehrere Domänen, dann ist es sinnvoll, bestimmte Zonen unterhalb des Forests zu pflegen, um Über­schneidungen beispielsweise in den Rückwärts­zonen zu vermeiden. Das aber nur nebenbei als Hinweis.

Ob eine DNS-Zone nun geschützt ist, lässt sich in PowerShell mit dem Cmdlet Get-ADObject abfragen.

Der folgende Befehl zeigt, welche Forest DNS-Zonen nicht vor dem versehent­lichen Löschen geschützt sind. Hierbei muss die SearchBase mit dem gleichnamigen Parameter auf die betroffene Domain angepasst werden.

Get-ADObject -Filter 'ObjectClass -like "dnszone"' -SearchScope Subtree -SearchBase "DC=ForestDnsZones,DC=domain,DC=com" -properties ProtectedFromAccidentalDeletion | where {$_.ProtectedFromAccidentalDeletion -eq $False} | Select name,protectedfromaccidentaldeletion | out-gridview

Nach dem Ausführen des Befehls erscheint dann die Grid-View mit einer Liste der ungeschützten DNS-Zonen.

Sollen diese Zonen nun geschützt werden, dann geht das mit dem folgenden Befehl. Hierbei holt man sich die ungeschützten Zonen erneut mit Get-ADObject und schützt diese per Set-ADObject:

Get-ADObject -Filter 'ObjectClass -like "dnszone"' -SearchScope Subtree -SearchBase "DC=ForestDnsZones,DC=domain,DC=com" -properties ProtectedFromAccidentalDeletion | where {$_.ProtectedFromAccidentalDeletion -eq $False} | Set-ADObject –ProtectedFromAccidentalDeletion $true

Das Gleiche können wir nun auch für die DNS Domain Zonen anwenden. Hierbei wird die SearchBase von ForestDNSZones auf DomainDNSZones geändert. Mit dem ersten Befehl ermitteln wir wieder die ungeschützten Domain DNS Zonen:

Get-ADObject -Filter 'ObjectClass -like "dnszone"' -SearchScope Subtree -SearchBase "DC=DomainDnsZones,DC=subdomain,DC=domain,DC=com" -properties ProtectedFromAccidentalDeletion | where {$_.ProtectedFromAccidentalDeletion -eq $False} | Select name,protectedfromaccidentaldeletion | out-gridview

Anschließend schützt man die Domain Zonen mit folgenden Befehl.

Get-ADObject -Filter 'ObjectClass -like "dnszone"' -SearchScope Subtree -SearchBase "DC=DomainDnsZones,DC=subdomain,DC=domain,DC=com" -properties ProtectedFromAccidentalDeletion | where {$_.ProtectedFromAccidentalDeletion -eq $False} | Set-ADObject –ProtectedFromAccidentalDeletion $true

Eine Nebenwirkung dieser Maßnahme gegen das unbeabsichtigte Löschen kann darin bestehen, dass sie Einstellungen für DNS-Zonen gegen Änderungen sperrt.

Das gilt zum Beispiel, wenn man den Bereich für die Replikation anpassen möchte. In diesem Fall muss man den Schutz temporär entfernen.