Serverdienste

Rollen und Abhängigkeiten

Serverdienste werden aus Anforderungen abgeleitet. DNS, Zeitdienst, Identitätsverwaltung und Zertifikate sind häufig voneinander abhängig; Ausfälle und Startreihenfolgen müssen berücksichtigt werden.

DNS betreiben

Autoritative Zonen enthalten Resource Records. Resolver lösen Namen rekursiv oder iterativ auf und cachen Antworten gemäß TTL. Split DNS kann interne und externe Antworten trennen.

DHCP betreiben

Bereiche, Ausschlüsse, Reservierungen, Optionen und Leasezeiten werden passend zum Netz geplant. DHCP-Relay leitet Broadcast-Anfragen zwischen Netzen an einen zentralen Server weiter.

Verzeichnisdienste

Ein Verzeichnisdienst verwaltet Identitäten, Gruppen, Geräte und Richtlinien. Berechtigungen werden bevorzugt Gruppen statt einzelnen Konten zugewiesen; administrative Konten werden getrennt genutzt.

Datei- und Webdienste

Freigabe- und Dateisystemrechte wirken gemeinsam. Webdienste benötigen sichere Protokolle, Zertifikate, Protokollierung und einen eingeschränkten Dienstkontext.

PKI und Zertifikate

Ein Zertifikat bindet einen öffentlichen Schlüssel an eine Identität. Vertrauenskette, Gültigkeit, Name, Schlüsselverwendung und Widerruf müssen geprüft werden.

Betrieb dokumentieren

Konfiguration, Abhängigkeiten, Berechtigungen, Wiederanlauf, Monitoring und Verantwortlichkeiten gehören in die Betriebsdokumentation. Geheimnisse selbst werden dort nicht im Klartext abgelegt.

Praxis: Gruppen und Berechtigungen

Für eine einzelne AD-Domäne ist AGDLP ein verbreitetes Muster: Konten in globale Rollen-Gruppen, diese in domänenlokale Ressourcen-Gruppen, dort Berechtigungen vergeben. Organisationsstrukturen und Mehrdomänenumgebungen können andere Konzepte benötigen. Prüfe effektive Rechte mit einem gewöhnlichen Testkonto, nicht nur mit Administratorrechten.

Benutzer → GG_Buchhaltung → DL_Finanzen_Lesen → Leserecht auf Freigabe und Dateisystem

Praxis: Anmeldung und Richtlinien

Active Directory ist ein konkretes Beispiel für einen Verzeichnisdienst. DNS und passende Zeit sind wichtige Voraussetzungen für Domänenfunktionen und Kerberos. Prüfe Gruppenmitgliedschaft, Domänenkontakt und wirksame Richtlinien. Eine OU strukturiert Objekte und Richtlinienzuordnung; sie ist keine Sicherheitsgruppe. Änderungen werden zuerst an einer begrenzten Testgruppe geprüft.

Praxis: Dienstabnahme

Formuliere für DNS, DHCP und Freigaben getrennte Tests. DNS muss einen erwarteten Namen richtig auflösen; DHCP muss zulässige Adresse, Gateway und DNS liefern; eine Freigabe muss autorisierte Zugriffe erlauben und unberechtigte abweisen. Dokumentiere Erwartung, Messung und Ergebnis. Eine offene Portnummer allein beweist keine funktionierende Dienstleistung.