Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement
Verantwortlich für Umsetzung: Administrator
Benutzergruppen sind unter Windows NT Zusammenstellungen von Benutzerkonten. Wenn ein Benutzerkonto zu einer Gruppe hinzugefügt wird, erhält der betreffende Benutzer alle Rechte und Berechtigungen, die der Gruppe erteilt wurden. So kann man leicht bestimmte Benutzer mit gemeinsamen Möglichkeiten ausstatten. Nach Möglichkeit sollten die Rollen der Mitarbeiter auf Gruppen abgebildet und diesen Gruppen entsprechend ihren Bedürfnissen die Zugriffsrechte zugeteilt werden.
Die Verwendung von Gruppen an Stelle der Zuweisung von Rechten und Berechtigungen an einzelne Benutzer erleichtert die Administration und trägt durch größere Transparenz zur Erhöhung der Systemsicherheit bei. Auch bei einer geringen Anzahl von Mitarbeitern sollten Gruppen gebildet werden. Hierdurch müß bei einer Erweiterung keine grundsätzliche Umstrukturierung der Rechtestrukturen durchgeführt werden.
Rechte und Berechtigungen sind additiv, d. h. für einen Benutzer, der Mitglied in mehreren Gruppen ist, gilt in Bezug auf eine Ressource die jeweils weitestgehende Zugriffsberechtigung. Es gibt allerdings eine Ausnahme: Ist ein Benutzer Mitglied einer Gruppe, der auf eine Ressource die Zugriffsberechtigung "Kein Zugriff" zugeteilt wurde, so kann der Benutzer auf diese Ressource nicht zugreifen, auch dann nicht, wenn er Mitglied einer anderen Gruppe ist, der auf diese Ressource die Zugriffsberechtigung "Vollzugriff" erteilt wurde (siehe auch M 4.53Restriktive Vergabe von Zugriffsrechten auf Dateien und Verzeichnisse unter Windows NT).
Beispiel:
Benutzer Meier ist Mitglied der Gruppen "A" und "B". Der Gruppe "A" wurde auf ein Verzeichnis "Rechnung" die Zugriffsberechtigung "Lesen", der Gruppe "B" wurden auf dieses Verzeichnis die Zugriffsberechtigungen "Lesen und Schreiben" zugewiesen. Der Benutzer Meier hat damit auf das Verzeichnis "Rechnung" die Zugriffsberechtigungen "Lesen und Schreiben".
Das Benutzergruppenkonzept von Windows NT unterscheidet zwischen globalen und lokalen Gruppen.
Lokale Gruppen
Die Gruppe wird "lokal" genannt, weil ihr Berechtigungen und Rechte nur für den Rechner erteilt werden können, auf dem sie definiert wurde. Auf Rechnern unter dem Betriebssystem Windows NT (d. h. sowohl Servern als auch Workstations), die keiner Domäne angehören, gibt es nur lokale Gruppen. Um die Vergabe von Rechten und Berechtigungen zu strukturieren, wird auf solchen Rechnern ausschließlich dieser Gruppentyp benutzt.
Gehört ein Rechner unter Windows NT einer Domäne an, so sind lokale Gruppen ebenfalls verfügbar. Sie können dann Benutzerkonten aus dem eigenen Rechner und Benutzerkonten und globale Gruppen aus der eigenen Domäne und aus vertrauten Domänen beinhalten. Lokale Gruppen können keine Berechtigungen auf Ressourcen anderer Domänen erhalten. Es ist nicht möglich, eine lokale Gruppe zum Mitglied einer anderen lokalen Gruppe zu machen. Lokale Gruppen werden im Benutzermanager durch ein Gruppensymbol mit einem Computer dargestellt.
Globale Gruppen
Wenn ein Rechner, auf dem Windows NT ausgeführt wird, einer Domäne angehört, gibt es einen weiteren Gruppentyp, dem der Zugriff auf die Arbeitsstation ermöglicht werden kann. Es handelt sich um die " Globale Gruppe ", die an mehreren Orten verwendet werden kann: in der eigenen Domäne, auf Servern, auf Arbeitsstationen der Domäne und in vertrauten Domänen. Wenn eine Arbeitsstation einer Domäne angehört, bedeutet dies, daß den globalen Gruppen der Domäne und der vertrauten Domänen Berechtigungen und Rechte für die Arbeitsstation sowie die Zugehörigkeit zu lokalen Gruppen der Arbeitsstation erteilt werden können. Eine globale Gruppe kann nur Benutzerkonten der eigenen Domäne enthalten.
Globale Gruppen können nur auf dem primären Domänencontroller definiert werden. Es ist nicht möglich, daß andere Gruppen Mitglied einer globalen Gruppe werden. Globale Gruppen werden im Benutzermanager durch ein Gruppensymbol mit einem Globus dargestellt.
Zusammenfassend empfiehlt sich folgendes Vorgehen zur strukturierten Systemverwaltung:
Rechte und Berechtigungen werden lokalen Gruppen zugewiesen. Benutzer werden Mitglied in globalen Gruppen, und die globalen Gruppen werden Mitglied in lokalen Gruppen.
Neben der Unterscheidung in lokale und globale Gruppen gibt es auch noch die Unterscheidung zwischen vordefinierten Benutzergruppen, besonderen Gruppen und frei definierten Benutzergruppen:
Vordefinierte Benutzergruppen
Welche Aktionen ein Benutzer durchführen kann, hängt von den Gruppenmitgliedschaften seines Benutzerkontos ab. Es sind mehrere Gruppen in Windows NT vordefiniert, und standardmäßig wird jeder Gruppe ein bestimmter Satz von Benutzerrechten erteilt. Bei Bedarf können mit dem Benutzermanager zusätzliche Gruppen erstellt und definiert werden, mit denen den ihnen zugewiesenen Benutzern der Zugriff auf individuell zusammengestellte Ressourcen ermöglicht wird.
Zusätzlich zu den Rechten werden einigen der vordefinierten lokalen Gruppen vordefinierte Funktionen zugeteilt. Rechte und Zugriffsberechtigungen können den Gruppen und Benutzerkonten direkt erteilt und ihnen entzogen werden. Dagegen sind die vordefinierten Funktionen nicht direkt verwaltungsfähig. Vordefinierte Funktionen können für einen Benutzer nur bereitgestellt werden, wenn der Benutzer zum Mitglied einer geeigneten lokalen Gruppe ernannt wird.
Auf Rechnern, die unter dem Betriebssystem Windows NT als Mitgliedsserver (Server ohne Domänencontroller-Funktionalität) oder als Workstation konfiguriert sind, werden folgende lokale Gruppen standardmäßig bei der Installation eingerichtet:
Die Rechte und Funktionen, die unter Windows NT auf Workstations und Servern, die nicht als Domänencontroller konfiguriert sind, bestimmten vordefinierten lokalen Gruppen erteilt werden, sind in der folgenden Tabelle angegeben:
Auf Servern, die unter dem Betriebssystem Windows NT als Domänencontroller konfiguriert sind, werden folgende lokale Gruppen standardmäßig bei der Installation eingerichtet:
Außerdem werden in dieser Konfiguration folgende globale Gruppen bei der Installation angelegt:
Die Rechte und Funktionen, die unter Windows NT auf Domänencontrollern
bestimmten vordefinierten lokalen Gruppen erteilt werden, sind in der folgenden
Tabelle angegeben:
Hinweis: Die oben beschriebenen Rechte, die unter Windows NT standardmäßig vergeben sind, sind alle einzeln daraufhin zu überprüfen, ob sie mit der festgelegten Sicherheitsstrategie vereinbar sind (siehe M 2.91 Festlegung einer Sicherheitsstrategie für das Windows NT Client-Server-Netz ). So sollte beispielsweise das Recht "Zugriff auf diesen Computer vom Netz" der Gruppe "Jeder" entzogen werden. Ob es ersatzweise der Gruppe "Benutzer" zugestanden wird, ist im einzelnen zu klären.
Die folgenden vordefinierten Gruppen stehen unter Windows NT zur Verfügung:
Hinweis: Benutzerkonten dieser Gruppe sollten nur zu Systemverwaltungsarbeiten verwendet werden, die die volle Kontrolle über das System erfordern. Arbeiten, die unter eingeschränkten Rechten durchgeführt werden können, sollten nach Möglichkeit von Benutzerkonten aus erledigt werden, die einer der anderen Gruppen angehören, um die Gefährdung des Systems durch Arbeiten mit unbeschränkten Rechten zu reduzieren.
Insbesondere sollte für jeden Administrator zur Erledigung der täglichen Routinearbeiten jeweils ein Benutzerkonto angelegt werden, das nur der Gruppe "Benutzer" oder einer bzw. mehreren frei definierten Gruppen angehört. Die Anzahl der Benutzerkonten in der Gruppe "Administratoren" sollte so gering wie möglich gehalten werden.
Administratoren sind der normalen Zugriffskontrolle unterworfen und besitzen nicht automatisch Zugriff auf jede Datei. Bei Bedarf kann ein Administrator den Besitz einer Datei übernehmen und dadurch auf sie zugreifen. Der Administrator kann die Datei jedoch in diesem Fall nicht wieder an den ursprünglichen Besitzer zurückgeben, da Windows NT hierzu keine Funktion bereitstellt.
Hauptbenutzer können jedoch nicht die Gruppen " Administratoren ", " Domänen-Admins ", " Konten-Operatoren ", " Sicherungs-Operatoren ", " Druck-Operatoren " und " Server-Operatoren " verändern oder löschen, und sie können auch keine Benutzerkonten von Administratoren verändern oder löschen.
Hinweis: Diese Gruppe sollte verwendet werden, um Untersystemverwalter zu definieren, die den Systemverwalter von gewissen Routineaufgaben, insbesondere in der Verwaltung der Benutzerkonten, entlasten, ohne jedoch dazu die volle Kontrolle über das System zu erhalten.
Hinweis: Normalerweise sollten alle Benutzer, die keine erweiterten Rechte benötigen, nur dieser vordefinierten Gruppe sowie geeigneten frei definierten Gruppen angehören, die die Organisationsstruktur widerspiegeln. Zuordnungen zu den anderen vordefinierten Gruppen sollten nur in begründeten Einzelfällen vorgenommen werden. Dies bedeutet auch, daß Benutzer keine Administratorrechte auf ihren Arbeitsplatzrechnern erhalten sollten.
Hinweis: Nach Möglichkeit sollten dieser Gruppe außer dem vordefinierten Gastkonto keine weiteren Benutzerkonten angehören, und das vordefinierte Gastkonto sollte gesperrt sein (siehe M 4.55 Sichere Installation von Windows NT ). Außerdem sollte es vorsorglich mit einem Paßwort versehen werden, um unbefugten Zugriffen vorzubeugen, falls es kurzfristig entsperrt werden sollte.
Hinweis: Datensicherungen und die Wiederherstellung gesicherter Daten sollten von einem Mitglied dieser Gruppe durchgeführt werden. Es ist hierzu nicht erforderlich, ein Administratorkonto zu verwenden.
Hinweis: Die Verwaltung von Druckern sollte von Mitgliedern dieser Gruppe durchgeführt werden, um die unnötige Nutzung von Administratorkonten zu vermeiden.
Hinweis: Dieser Gruppe sollten keine Konten von Benutzern hinzugefügt werden, und das dort vorhandene Benutzerkonto sollte nicht über die Rechte " Lokale Anmeldung " und " Zugriff auf diesen Computer vom Netz " verfügen.
Besondere Gruppen
Zusätzlich zu den oben erwähnten vordefinierten Gruppen erstellt Windows NT einige spezielle, interne Gruppen, die vom Benutzermanager nicht angezeigt werden. Sie werden jedoch in manchen Fällen in der Gruppenliste angezeigt, beispielsweise beim Zuweisen von Berechtigungen zu Verzeichnissen, Dateien, freigegebenen Netzverzeichnissen oder Druckern.
Mit Hilfe von frei definierten Benutzergruppen ist es möglich, die Organisationsstruktur einer Institution auf die Rechtestruktur abzubilden. So kann für jede Organisationseinheit, also z. B. für jedes Referat bzw. für jede Abteilung, eine Gruppe gebildet werden, in der die Benutzer der jeweiligen Organisationseinheit zusammengefaßt sind. Den Gruppen werden dann die notwendigen Berechtigungen auf Ressourcen zugewiesen. Werden innerhalb der Institution für vorübergehende Aufgaben Projektgruppen gebildet, so können auch diese durch Zusammenfassung der Projektgruppenmitglieder in einer entsprechenden frei definierten Gruppe abgebildet werden.
Bei der Erstellung von frei definierten Benutzergruppen auf dem primären Domänencontroller ist festzulegen, ob diese vom Typ lokal oder global sind.
Ergänzende Kontrollfragen:
© Copyright by Bundesamt für Sicherheit in der Informationstechnik 2000
.