Dieser Beitrag ist schon älter. Bitte vergewissern Sie sich, dass die Rahmenbedingungen oder der enthaltene Lösungsvorschlag noch dem aktuellen Stand der Technik entspricht.

Zwei trusted Domänen - Gefahr der "Übernahme"?

Mitglied: dns
In unserer Firma gibt es ein NT-netzwerk mit 1 Domäne. Eine externe Firma soll in unserem Auftrag ein IT-System installieren. Da dieses unter W2k läuft und Active Directory nutzt, ist nach deren Auskunft eine eigene Domäne nötig, in der die Fremdfirma auch die Rechte eines Domänenadministrators beansprucht. Da z.T. auch Anwendungen in unserer ursprünglichen Domäne genutzt werden sollen, ist angeblich eine Vertrauensstellung der beiden notwendig.
Unsere EDV-Abteilung befürchtet jetzt, dass dadurch die Möglichkeit zur Übernahme der ursprünglichen Domäne durch den Domänenadministrator der neuen W2K-Domäne besteht. Natürlich wird eine solche Absicht der betreffenden Firma nicht unterstellt, aber eine Sicherheitslücke für eine Art "Exploit" wird als untragbar angesehen.

Als Nicht-Administrator geht diese Problem deutlich über den Rand meines IT-Wissens, deshalb folgende Fragen

1. Sind diese Befürchtungen begründet?
2. Kann man über Berechtigungen oder Gruppen-Richtlinien ein solches Szenario verhindern?
3. Könne Ressourcen entsprechend restriktiv zugänglich gemacht werden?
4. Kann der Domänenadministrator der neuen Domäne tatsächlich unautorisiert PCs von einer in die andere Verschieben oder beliebige Nutzer auch in der alten Domäne anlegen?

Würde mich freuen, wenn mir ein "Profi" in ein paar Sätzen seine Einschätzung dazu geben könnte.

Vielen Dank im Voraus!

Content-Key: 2365

Url: https://administrator.de/contentid/2365

Ausgedruckt am: 24.10.2021 um 08:10 Uhr

Mitglied: kriebgui
kriebgui 14.10.2004 um 08:20:00 Uhr
Goto Top
Hi,

also erstmal werden bei einen Trusted Domän im ersten Schritt die beiden Domänen mit Hilfe eines neuem Passwortes mit einander bekannt gemacht. Im zweiten Schritt müssen die Globalengruppe miteinandere "Verbunden" werden. Hier fängt nun das Übel an. Sobald die Globale Gruppe der "Domänen Admins" gegenseitige Rechte haben, hat die eine Domäne auf die andere Zugriff. Es gibt zwar dann auch noch hier einige Einschränkungen aber Platt gesagt, es heisst ja auch Vertraute Domänen. Wenn ich jemand Vertrau, lasse ich Ihn auch in mein Netz, wenn nicht dann solltet ihr keine Vertraute Domäne anlegen. Wenn ihr die neue Domäne bei euch im Gebäude/Firma habt, ist das alles in Ordnung, NUR der IT Firma würde ich weder Fernzugriff via Internet, Wähl oder Standleitung geben und die Adminrechte nur auf Anfrage. Allein schon deshalb, damit die bei einem Fehler den sie machen, nicht die Möglichkeit haben, diesen heimlich zu vertuschen!

Gruß
G.
Heiß diskutierte Beiträge
question
HP Printerport schneller als TCPIP PrinterportAnulu1Vor 1 TagFrageDrucker und Scanner8 Kommentare

Hallo, ich habe einen Drucker über einen Printserver mit dem HP Printerprort installiert. Der Drucker ist über einen 100 mbit Lan Anschluß verbunden. Wenn ich ...

question
PfSense nach Änderung von "Block private networks and loopback addresses" nicht mehr erreichbarvafk18Vor 1 TagFrageRouter & Routing5 Kommentare

Ich habe an meiner pfSense am entfernten Standort in den WAN-Einstellungen den Haken bei "Block private networks and loopback addresses" gelöscht. Nach dem Bestätigen war ...

question
Von Outlook gesendete Nachricht kann vom Empfänger nicht angezeigt werdenfrosch2Vor 1 TagFrageOutlook & Mail11 Kommentare

Hallo, ich brauche eure Hilfe zur Selbsthilfe. Im moment sehe ich den Wald vor läuter Bäumen nicht. Problem: Ein Mitarbeiter von uns sendet mails mit ...

question
Jeder druckjob (auf WTS) soll im eventvwr.msc vermerkt werdenManuManu2021Vor 1 TagFrageMicrosoft2 Kommentare

Hallo, die User arbeiten mit TS Server und versenden via Warenwirtschaft mittels Datei/Drucken/Tobit-Faxware-Drucker einzelne Briefe. (ca. 2000 pro monat ausgehend, kein Newsletter) Manchmal funktioniert der ...

question
Prüfen ob Befehl in Variable true zurück gibt gelöst zuzuelqVor 22 StundenFrageBatch & Shell7 Kommentare

Hallo liebe Gemeinde, sonst stiller Leser nun Fragender (Powershellbeginner). Steinigt mich bitte nicht, aber ich habe mir die gestrige Nacht um die Ohren geschlagen, und ...

question
DNS Client + DNS Server für bestimmte Seite neustartenasoskingVor 1 TagFrageMicrosoft2 Kommentare

Hallo liebe Mitstreiter, Seit einiger Zeit kann ich auf eine bestimmte Seite (Bankseite) nur dann zugreifen, nachdem ich den DNS Client und DNS Server neustarte. ...

question
Teams Kalender mit falscher UhrzeitviolakVor 1 TagFrageSoziale Netzwerke2 Kommentare

Guten Morgen, ich habe folgendes Problem. Ich habe in MS Teams ein paar Kalender in verschiedenen Channels. Die Kalender habe ich mit meinem localen Outlookclient ...

question
Dateien automatisch in Ordner kopieren via BatchInfokernVor 1 TagFrageBatch & Shell1 Kommentar

Hallo ihr Lieben, ich habe diesen Batchcode gefunden und er macht nahezu das, was ich benötige. Es existieren Word-Dateien, die mit einer kleinen Wortgruppe in ...