Berechtigungen an das Konto delegieren, das Kontivo startet

1. Warum ein delegiertes Konto

Kontivo arbeitet im Verzeichnis mit dem Windows-Konto, das es startet. Ein Konto der Gruppe „Domänen-Admins“ funktioniert, aber ein Bedienfehler hätte dann Auswirkungen auf die gesamte Domäne. Ein delegiertes Konto hat nur Berechtigungen für die drei Ordner (OUs), die in den Einstellungen gewählt wurden: den Ordner der Benutzer, den Ordner der ausgeschiedenen Konten und den Ordner der Verzeichnisgruppen. Selbst bei einem Fehler kann es nichts anderes verändern.

Das Tool benötigt keine Administratorrechte auf dem Computer: Es lauscht nur auf dem Computer selbst (Adresse 127.0.0.1) und legt seine Daten in C:\ProgramData\ComptesAD ab, das ein Benutzer erstellen kann.

2. Konto und Gruppe erstellen

Erteilen Sie die Berechtigungen einer Gruppe und nehmen Sie das Konto in diese Gruppe auf: So können Sie das Konto wechseln, ohne die Delegierung zu wiederholen. In den Beispielen heißt die Domäne DEMO (demo.local):

• eine globale Sicherheitsgruppe, zum Beispiel GG-ComptesAD;
• ein Benutzerkonto, zum Beispiel adm-comptes, Mitglied dieser Gruppe, mit einem langen Kennwort, außerhalb der Ordner der verwalteten Benutzer abgelegt;
• dieses Konto darf Mitglied keiner Administratorgruppe sein.

Ersetzen Sie in den folgenden Befehlen die Namen der OUs durch die Ihres Verzeichnisses (die Beispiele verwenden die vom Tool vorgeschlagenen Namen Personen, Abgaenge und Gruppen unter einer übergeordneten OU Organisation):

OU der Benutzer                 OU=Personen,OU=Organisation,DC=demo,DC=local
OU der ausgeschiedenen Konten   OU=Abgaenge,OU=Organisation,DC=demo,DC=local
OU der Gruppen                  OU=Gruppen,OU=Organisation,DC=demo,DC=local

Erstellen Sie zuerst diese drei OUs (mit „Active Directory-Benutzer und -Computer“ oder in den Einstellungen des Tools mit einem Konto, das dazu berechtigt ist): Das delegierte Konto kann keine OU außerhalb des Ordners der Benutzer erstellen.

3. Die Berechtigungen, Ordner für Ordner

Um ein Konto zu verschieben (Gruppenwechsel, Abgang, Rückkehr), sind „Löschen“ für das Konto selbst und „Untergeordnete Objekte erstellen“ für die Ziel-OU erforderlich. Die Berechtigung „Löschen“ für die Benutzer der OU der Benutzer ist notwendig: Wenn die vom Tool erstellten Gruppen-OUs vor versehentlichem Löschen geschützt sind, setzt dieser Schutz auf ihrer übergeordneten OU eine Verweigerung von „Untergeordnete Objekte löschen“. Diese würde verhindern, dass ein Konto verschoben wird, das direkt in der OU der Benutzer liegt (Benutzer mit „Gruppe ausstehend“).

Vom delegierten Konto erstellte Gruppen-OUs

Das Tool erstellt jede Gruppen-OU in zwei Schritten: zuerst die OU ohne Schutz, dann in einem eigenen Schritt den Schutz vor versehentlichem Löschen. Das Setzen dieses Schutzes ändert die Berechtigungen der OU der Benutzer (die oben beschriebene Verweigerung), was die Delegierung dieses Dokuments nicht erlaubt. Fehlt die Berechtigung, wird die OU trotzdem erstellt und der Vorgang ist erfolgreich, mit diesem Hinweis im Protokoll: „OU erstellt, Schutz vor versehentlichem Löschen nicht gesetzt (Berechtigung „Berechtigungen ändern“ für die übergeordnete OU fehlt): Ein Administrator kann ihn in „Active Directory-Benutzer und -Computer“ setzen (Registerkarte „Objekt“ der OU).“ Danach gibt es zwei Möglichkeiten:

• die Gruppen-OUs ungeschützt lassen (sie enthalten nur Konten verwalteter Benutzer, und das Tool erstellt sie bei Bedarf neu) oder sie von Hand mit einem Administratorkonto schützen;
• oder der delegierten Gruppe „Berechtigungen ändern“ nur für die OU der Benutzer erteilen (nicht für ihre Unter-OUs). Das ist eine weitreichende Berechtigung, die mit dem Domänenadministrator abzuwägen ist:

  dsacls "OU=Personen,OU=Organisation,DC=demo,DC=local" /G "DEMO\GG-ComptesAD:WD"

Der erste Durchlauf auf einer Test-OU (Handbuch, § 6) zeigt, welcher der beiden Fälle in Ihrem Verzeichnis eintritt.

Für alles andere liest das Tool nur, mit den Leseberechtigungen, die jedes Domänenkonto standardmäßig hat: die Liste der Benutzernamen der Domäne (um Dubletten zu vermeiden), die Kennwortrichtlinien, die Domänencontroller.

4. Berechtigungen mit dsacls erteilen

dsacls wird mit den Active Directory-Tools (RSAT) und auf den Domänencontrollern installiert. Geben Sie diese Befehle in einer Eingabeaufforderung ein, die mit einem Konto der Gruppe „Domänen-Admins“ geöffnet wurde. /I:T wendet die Berechtigung auf die OU und alles an, was sie enthält, /I:S nur auf die enthaltenen Objekte.

OU der Benutzer

dsacls "OU=Personen,OU=Organisation,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CCDC;user"
dsacls "OU=Personen,OU=Organisation,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CC;organizationalUnit"
dsacls "OU=Personen,OU=Organisation,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:RPWP;;user"
dsacls "OU=Personen,OU=Organisation,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:SD;;user"
dsacls "OU=Personen,OU=Organisation,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:CA;Reset Password;user"

OU der ausgeschiedenen Konten

dsacls "OU=Abgaenge,OU=Organisation,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CCDC;user"
dsacls "OU=Abgaenge,OU=Organisation,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:RPWP;;user"
dsacls "OU=Abgaenge,OU=Organisation,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:SD;;user"

Nur wenn ein Löschvorgang mit dem Fehler 8213 („Das Konto enthält Objekte“) fehlschlägt:

dsacls "OU=Abgaenge,OU=Organisation,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:DT;;user"

OU der Gruppen

dsacls "OU=Gruppen,OU=Organisation,DC=demo,DC=local" /I:T /G "DEMO\GG-ComptesAD:CCDC;group"
dsacls "OU=Gruppen,OU=Organisation,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:RPWP;;group"

Optional: Schutz vor versehentlichem Löschen entfernen

Nur wenn Sie die Option „Schutz entfernen“ verwenden möchten (Einstellungen, Bereich „Erweitert“, oder Schaltfläche in der Vorschau):

dsacls "OU=Personen,OU=Organisation,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:WD;;user"
dsacls "OU=Abgaenge,OU=Organisation,DC=demo,DC=local" /I:S /G "DEMO\GG-ComptesAD:WD;;user"

5. Berechtigungen mit dem Delegierungs-Assistenten erteilen

Klicken Sie in „Active Directory-Benutzer und -Computer“ mit der rechten Maustaste auf die OU, wählen Sie Objektverwaltung zuweisen…, fügen Sie die Gruppe GG-ComptesAD hinzu und wählen Sie dann Benutzerdefinierte Task zum Zuweisen erstellen. Die folgenden Bezeichnungen können je nach Windows-Version leicht abweichen.

OU der Benutzer (zwei Durchläufe des Assistenten)

1. Erster Durchlauf: Nur den folgenden Objekten in diesem Ordner, aktivieren Sie Benutzer-Objekte, dann Ausgewählte Objekte in diesem Ordner erstellen und Ausgewählte Objekte in diesem Ordner löschen. Auf der nächsten Seite unter Allgemein: Alle Eigenschaften lesen, Alle Eigenschaften schreiben, Löschen, Kennwort zurücksetzen.
2. Zweiter Durchlauf: Nur den folgenden Objekten in diesem Ordner, aktivieren Sie Organisationseinheit-Objekte und Ausgewählte Objekte in diesem Ordner erstellen; nächste Seite: Es ist keine weitere Berechtigung nötig (aktivieren Sie bei Bedarf Lesen).

OU der ausgeschiedenen Konten

Ein Durchlauf wie der erste Durchlauf für die OU der Benutzer, ohne „Kennwort zurücksetzen“.

OU der Gruppen

Ein Durchlauf: Gruppe-Objekte, erstellen und löschen; Berechtigungen Alle Eigenschaften lesen und Alle Eigenschaften schreiben.

Prüfen Sie nach dem Assistenten das Ergebnis: Rechtsklick auf die OU, Eigenschaften, Registerkarte Sicherheit, Erweitert (die Registerkarte „Sicherheit“ erscheint nur mit Ansicht > Erweiterte Features). Die Berechtigungen für die Benutzer müssen für „Untergeordnete Objekte: Benutzer“ gelten, die Erstellungsberechtigungen auch für die Unter-OUs.

6. Die Freigabe der Basisordner

Ist in den Einstellungen eine Pfadvorlage ausgefüllt (zum Beispiel \\srv-fichiers\personen$\{sam}), ist das Kontrollkästchen „Ordner auf der Freigabe erstellen und dem Benutzer Berechtigungen erteilen“ automatisch aktiviert. Für jeden neuen Benutzer führt das Tool Folgendes aus:

1. Es erstellt den Ordner \\srv-fichiers\personen$\lea.martin, falls er nicht existiert (ein vorhandener Ordner wird nie geändert);
2. es erteilt dem Benutzer über seine SID die gewählte Berechtigung für diesen Ordner und seinen Inhalt: „Ändern“ (Standard) oder „Vollzugriff“;
3. beim endgültigen Löschen des Kontos erstellt es, wenn die Archivierung gewählt ist, bei Bedarf \\srv-fichiers\personen$\_archives und benennt den Ordner dorthin um (_archives\lea.martin_2027-10-05). Es wird nichts gelöscht, die Berechtigungen des Ordners ändern sich nicht.

Die Freigabe in einem Schritt vorbereiten: ComptesAD.exe -PreparerPartage

Die Freigabe wird auf dem Dateiserver vorbereitet (möglichst nicht auf dem Domänencontroller), ein einziges Mal, von einem Administrator dieses Servers. Kopieren Sie ComptesAD.exe dorthin (zum Beispiel nach C:\ComptesAD) und geben Sie in einer als Administrator geöffneten Eingabeaufforderung oder PowerShell ein:

C:\ComptesAD\ComptesAD.exe -PreparerPartage -Dossier D:\Personen -Partage personen$ -GroupeDelegue DEMO\GG-ComptesAD

Ohne Parameter fragt ein kleines Fenster nach dem Ordner, dem Freigabenamen, der delegierten Gruppe und, optional, der Benutzergruppe, mit einer Schaltfläche Prüfen (es wird nichts geändert) und einer Schaltfläche Vorbereiten. Die Vorbereitung führt der Reihe nach Folgendes aus:

1. Sie erstellt den Ordner D:\Personen, falls er fehlt;
2. sie setzt die NTFS-Berechtigungen des Stamms und deaktiviert dabei die Vererbung vom Laufwerk:
   • SYSTEM und Administratoren: „Vollzugriff“;
   • die delegierte Gruppe (GG-ComptesAD): „Ändern“, für diesen Ordner, Unterordner und Dateien;
   • die Benutzer: „Ordner durchsuchen / Datei ausführen“ und „Ordner auflisten / Daten lesen“, nur für diesen Ordner, damit sie ihren eigenen Ordner erreichen, ohne die der anderen zu sehen. Standardmäßig „Authentifizierte Benutzer“; fügen Sie -GroupeEleves DEMO\Personen-Alle hinzu, wenn die Benutzer eine eigene Gruppe haben;
   • ERSTELLER-BESITZER (CREATOR OWNER): nichts.
   Jede andere von Hand gesetzte Berechtigung auf dem Stamm wird entfernt, und der Bericht nennt sie (das Fenster fragt vorher nach einer Bestätigung);
3. sie erstellt die Freigabe personen$ (das „$“ verbirgt sie in der Netzwerkumgebung) mit diesen Freigabeberechtigungen: Administratoren „Vollzugriff“, Authentifizierte Benutzer „Ändern“; die feinen Berechtigungen bleiben die von NTFS. Besteht sie bereits für diesen Ordner, werden nur ihre Berechtigungen korrigiert; besteht sie für einen anderen Ordner, geschieht nichts: Wählen Sie einen anderen Namen;
4. sie aktiviert die zugriffsbasierte Aufzählung: Beim Öffnen von \\srv-fichiers\personen$ sieht jeder Benutzer nur seinen eigenen Ordner;
5. sie zeigt die Vorlage an, die in die Einstellungen von Kontivo einzufügen ist, Bereich „Basisordner“, Feld „Pfadvorlage des Ordners“: \\srv-fichiers.demo.local\personen$\{sam} (vollständiger DNS-Name des Servers).

Jede Zeile des Berichts beginnt mit [OK] (bereits eingerichtet), [FAIT] (erledigt), [A FAIRE] (zu erledigen, nur bei der Prüfung), [ATTENTION] oder [REFUS]: Die Vorbereitung kann gefahrlos erneut gestartet werden, was bereits eingerichtet ist, wird nie wiederholt. Um nur zu prüfen, fügen Sie -LectureSeule hinzu. In einem Skript wird der Bericht in die Fehlerausgabe geschrieben (UTF-8), und der Exitcode ist 0 (bereit), 1 (Ablehnung oder Fehler), 2 (Parameter) oder 3 (Prüfung: Punkte zu korrigieren).

Sie lehnt ab, ohne etwas zu ändern: ein Konto ohne aktive Administratorrechte auf dem Server (starten Sie die Eingabeaufforderung „als Administrator“); einen Ordner auf einem Netzlaufwerk oder einer Freigabe (starten Sie die Vorbereitung auf dem Server, an dem das Laufwerk angeschlossen ist, mit dessen lokalem Pfad); den Stamm eines Laufwerks oder einen Windows-Ordner; einen ungültigen oder reservierten Freigabenamen (C$, ADMIN$…); eine nicht gefundene Gruppe (prüfen Sie DOMAINE\nom und ob der Server Mitglied der Domäne ist); eine zu weit gefasste delegierte Gruppe („Domänen-Benutzer“, „Authentifizierte Benutzer“…): Sie erhielte das Recht, alle Benutzerordner zu ändern.

Von Hand, wenn Sie das vorziehen

Berechtigungen für die Gruppe GG-ComptesAD:

• Freigabeberechtigungen: mindestens „Ändern“ (oder „Vollzugriff“ für Jeder, wenn Sie die Berechtigungen ausschließlich über NTFS verwalten, was üblich ist);
• NTFS-Berechtigungen für den Stammordner der Freigabe: „Ändern“, angewendet auf „Diesen Ordner, Unterordner und Dateien“. Auf dem Dateiserver zum Beispiel:

icacls "D:\Personen" /grant "DEMO\GG-ComptesAD:(OI)(CI)M"

Meldet das Tool „Ordner erstellt, aber die Berechtigung des Benutzers konnte nicht erteilt werden“, erteilen Sie der Gruppe zusätzlich die Berechtigung „Berechtigungen ändern“ für den Stamm und erteilen Sie dem betroffenen Benutzer die fehlende Berechtigung von Hand (das Tool ändert nie einen bereits vorhandenen Ordner). Die Berechtigungen der Benutzer für den Stamm bleiben die von Ihnen festgelegten (in der Regel: Ordner durchsuchen, ohne die Ordner der anderen zu sehen); prüfen Sie, dass sie _archives nicht betreten können.

Erstellt bereits eine Gruppenrichtlinie (Ordnerumleitung) die Ordner der Benutzer, deaktivieren Sie das Kontrollkästchen in den Einstellungen: Das Tool füllt dann nur die Attribute des Kontos aus (Pfad und Laufwerkbuchstabe), und es sind keine Berechtigungen auf der Freigabe nötig.

7. Auf dem Computer

• Das delegierte Konto muss sich am Administrationscomputer anmelden können (das ist für einen Domänenbenutzer auf einer Arbeitsstation standardmäßig der Fall, auf einem Domänencontroller standardmäßig nicht).
• Es muss den Ordner des Tools lesen können: Starten Sie das Tool einmal mit diesem Konto und lassen Sie einen Administrator des Computers den angezeigten icacls-Befehl in einer als Administrator geöffneten Eingabeaufforderung oder PowerShell eingeben (siehe Handbuch, § 3.3). Der Datenordner, den das Tool dann erstellt (C:\ProgramData\ComptesAD), gehört diesem Konto: ein einziges Konto pro Datenordner.
• Für die Verwendung des Tools sind keine lokalen Administratorrechte nötig, und es muss nichts installiert werden: RSAT ist seit Version 2 nicht mehr erforderlich. ComptesAD.exe spricht mit dem Verzeichnis über signiertes und verschlüsseltes LDAP (Kerberos, sonst NTLM), auf Port 389 des Domänencontrollers.

8. Prüfen

1. Starten Sie das Tool mit dem delegierten Konto im Nur-Lesen-Modus: runas /user:DEMO\adm-comptes "C:\ComptesAD\ComptesAD.exe -LectureSeule".
2. In den Einstellungen, Schritt 1, muss die Prüfung „✓ Ihr Konto kann Konten in „Organisation › Personen“ erstellen.“ anzeigen, dasselbe für „Organisation › Abgaenge“, und „✓ Ihr Konto kann Gruppen in „Organisation › Gruppen“ erstellen.“ (der vollständige Pfad jeder OU wird angezeigt: Prüfen Sie, dass es sich um die delegierten OUs handelt, da das Tool sie anhand ihres Namens vorausgefüllt hat).
3. Die Vorschau darf nicht „Ihr Konto kann keine Konten in … erstellen.“ anzeigen.
4. Auf dem Dateiserver muss C:\ComptesAD\ComptesAD.exe -PreparerPartage -Dossier D:\Personen -Partage personen$ -GroupeDelegue DEMO\GG-ComptesAD -LectureSeule mit „Alles ist bereits eingerichtet“ enden.
5. Die erste echte Ausführung erfolgt auf einer Test-OU mit einigen fiktiven Konten. Der Fehler „Unzureichende Berechtigungen“ während einer Ausführung zeigt die Berechtigung an, die dem betreffenden Vorgang fehlt.

Das Tool prüft die Unter-OUs nicht einzeln: Eine von Hand entfernte Berechtigung für eine Gruppen-OU fällt erst bei der Ausführung auf („Unzureichende Berechtigungen“).

Kontivo 3, für Active Directory · Berechtigungen nach § 10.9 des Entwurfs des Tools; Vorbereitung der Freigabe: § 15.2 des Entwurfs der V2 · Active Directory ist eine Marke von Microsoft.