Acti­ve Direc­to­ry analysieren

Sicher­heit:

• Sie wol­len wis­sen, wel­che Kon­ten nicht genutzt werden
• Wel­che Com­pu­ter gesperrt sind möch­ten Sie wissen
• Sie inter­es­siert, wer sein Kenn­wort nicht ändert
• Lee­re Grup­pen möch­ten Sie ver­mei­den und ver­schach­tel­te Grup­pen erkennen
• Sie wol­len kei­ne dop­pel­ten Log­in-Namen inner­halb eines Forests zulassen

Daten­qua­li­tät und Verwaltung:

• Wel­che Daten­sät­ze unvoll­stän­dig sind möch­ten Sie wissen
• Sie wol­len die Benut­zer­ver­wal­tung stan­dar­di­sie­ren, zusätz­li­che Attri­bu­te verwenden
• Ihr AD um Iden­ti­ty Manage­ment Funk­tio­nen wol­len Sie erweitern
• Sie müs­sen Ihrem Chef berichten
• Über ein Intra­net-Tele­fon­buch auf AD-Daten­ba­sis den­ken Sie nach

Dele­ga­ti­on und Automatisierung:

• Ob Benut­zer bestimm­te Attri­bu­te gefüllt haben möch­ten Sie wissen
• Sie wol­len Berech­ti­gun­gen auto­ma­ti­sie­ren (dyna­mi­sche Grup­pen­mit­glied­schaf­ten)
• Die AD Admi­nis­tra­ti­on wol­len Sie dele­gie­ren und dafür benö­ti­gen Standards
• Sie kop­peln ande­re Sys­te­me mit Acti­ve Direc­to­ry und tau­schen Daten aus

Migra­ti­on:

• Umstel­lung oder Migra­ti­on in eine ande­re AD-Domä­ne pla­nen Sie

Die Anayl­se lie­fert Ihnen alle Com­pu­ter­kon­ten, wel­che der­zeit deak­ti­viert sind.

Der Ker­be­ros Logon Name ent­hält in der Regel neben Benut­zer­na­men auch den Domä­nen­na­men in fol­gen­der Form: username@ADDomain.xxx. Der Ker­be­ros Logon Name soll­te inner­halb des Acti­ve Direc­to­ry Forests ein­deu­tig sein. Bei der oben ange­spro­che­nen Struk­tur wird er dies auch sicher­lich sein.

Die Ana­ly­se der Grup­pen­mit­glied­schaf­ten lie­fert Ihnen zwei Infor­ma­tio­nen zurück. Zum einen bekom­men Sie auf­ge­lis­tet, in wie vie­len Grup­pen Ihr Benut­zer­ob­jekt direk­tes Mit­glied ist und zum Ande­ren bekom­men Sie auf­ge­lis­tet, in wie vie­len geschach­tel­ten Grup­pen (Token­Groups) das Benut­zer­ob­jekt indi­rekt Mit­glied ist. Geschach­tel­te Grup­pen sind Grup­pen, in denen Sie indi­rekt Mit­glied sind, weil Sie in einer Grup­pe ein­ge­tra­gen sind, wel­che sel­ber in einer oder meh­re­ren Grup­pen als Mit­glied ein­ge­tra­gen ist.

Die Schach­te­lung von Grup­pen kann dazu füh­ren, dass Ihr Benut­zer­ob­jekt Berech­ti­gun­gen bekommt, die auf­grund einer geschach­tel­ten Grup­pe ver­ge­ben wird. Es ist daher sinn­voll, die Anzahl der Schach­te­lun­gen nicht zu über­trei­ben, damit die Über­sicht der errek­ti­ven Berech­ti­gun­gen nicht ver­lo­ren geht.

Ein Benut­zer­ob­jekt kann maxi­mal in ~1020 Grup­pen zum Mit­glied wer­den. Hier wer­den sowohl die direk­ten als auch die indi­rek­ten Grup­pen­mit­glied­schaf­ten gerech­net. Sofern Sie ein Benut­zer in mehr als ~1020 Grup­pen als Mit­glied ein­ge­tra­gen hat, grei­fen nicht mehr alle Mit­glied­schaf­ten, da das Token zum Spei­chern der Mit­glied­schaf­ten ein­fach voll ist. Der Effekt ist dann, dass Sie jeman­den in eine Grup­pe ein­tra­gen, die gewünsch­te Berech­ti­gung aber ein­fach nicht ver­ge­ben wird.