Berechtigungen nie direkt an Benutzer vergeben
Zugriff auf ein Verzeichnis sollte immer über eine eigene, zweckgebundene Sicherheitsgruppe mit konsistentem Namensschema erfolgen — etwa fs_finance_read. Den meisten Administratoren ist diese Regel bekannt, in der Praxis gerät sie dennoch unter Druck, wenn ein Vorgesetzter lautstark sofortigen Zugriff für ein Teammitglied fordert.
Das Problem direkter Benutzerberechtigungen: Sie lassen sich nicht nachverfolgen. Beim Blick auf ein Benutzerobjekt sind sämtliche Gruppenmitgliedschaften sichtbar — benennt man Gruppen nach der Berechtigung, die sie gewähren, entsteht damit automatisch eine Liste aller Zugriffe eines Nutzers. Eine direkt auf einen Ordner gesetzte Berechtigung taucht dagegen ausschließlich in den Eigenschaften dieses Ordners auf. Schon in einer überschaubaren Umgebung mit einigen hundert Verzeichnissen sind solche Einzelfallrechte damit praktisch unsichtbar.
Gruppen verschachteln statt Nutzer direkt eintragen
Dedizierte Sicherheitsgruppen sind der richtige Weg — Benutzer sollten ihnen aber nicht unmittelbar hinzugefügt werden. Effizienter wird es mit einer zusätzlichen Abstraktionsebene: Zunächst globale Gruppen anlegen, die den Rollen im Unternehmen entsprechen (Vertrieb, Kundenbetreuung, Personalwesen), und diese dann zu Mitgliedern der einzelnen Berechtigungsgruppen für jede benötigte Ressource machen. Neue Mitarbeiter erhalten so alle nötigen Rechte allein durch die Aufnahme in die passende Rollengruppe.
Dieses Vorgehen ist als AGDLP-Modell bekannt — benannt nach der Verschachtelung von Konten, globalen Gruppen, domänenlokalen Gruppen und schließlich Berechtigungen. Es ermöglicht eine rollenbasierte Zugriffskontrolle für Dateiserver- und Active-Directory-Ressourcen.
NTFS- vor Freigabeberechtigungen
Freigabeberechtigungen regeln den Zugriff auf Netzwerkressourcen wie Dateifreigaben. NTFS-Berechtigungen greifen dagegen sowohl beim Netzwerk- als auch beim lokalen Zugriff und erlauben eine feinere Abstufung, weshalb die meisten Administratoren sie bevorzugen. Treffen beide aufeinander, setzt sich die restriktivere Stufe durch. Am einfachsten ist es daher, die Freigabeberechtigungen hoch anzusetzen — etwa “Ändern” für Benutzer und “Vollzugriff” für Administratoren — und die eigentliche Einschränkung über NTFS vorzunehmen.
Vererbung nutzen, Struktur sauber halten
Wer die oberen Ebenen des Verzeichnisbaums verwaltet und die Berechtigungen nach unten durchreichen lässt, spart Aufwand. Voraussetzung ist eine aufgeräumte Ordnerstruktur. Idealerweise werden explizite Berechtigungen nie tiefer als zwei oder drei Ebenen gesetzt. In der Realität zwingen jahrelang gewachsener Wildwuchs und Anforderungen der Führungsebene jedoch häufig zu Behelfslösungen — etwa wenn ein tief in einer Abteilungsfreigabe vergrabener Projektordner freigegeben werden soll. Auch dann ist es meist einfacher, neue Ordner anzulegen oder den betreffenden Ordner im Baum nach oben zu verschieben, als vererbte Rechte zu überschreiben und die Folgewirkungen auf Unterordner und Dateien zu beherrschen.
Least Privilege als Dauerauftrag
Nutzer sollten nur jene Zugriffe besitzen, die sie für ihre Arbeit zwingend benötigen — und dabei die restriktivste Berechtigungsstufe, mit der die Aufgabe noch erledigt werden kann. Entscheidend ist, dass das Prinzip der geringsten Rechte keine einmalige Prüfung bei der Vergabe ist: Rollen und Zuständigkeiten ändern sich, und damit auch die Frage, ob ein Zugriff nach einem Monat, einem Quartal oder einem Jahr noch gerechtfertigt ist. Nur regelmäßige Überprüfungen mit anschließendem Entzug überflüssiger Rechte halten Berechtigungen und Aufgaben deckungsgleich. Ohne zentrale Governance-Plattform zur Nachverfolgung von Berechtigungen und zur Steuerung von Prüfrichtlinien sind solche Audits allerdings kaum umsetzbar — manuelle Kontrolle ist der Aufgabe nicht gewachsen.
Als Lösung verweist der Anbieter auf die Plattform tenfold, die Provisionierung, Genehmigungsabläufe und Gruppenverwaltung automatisiert und Einblick in jede Ebene des Verzeichnisbaums geben soll — für lokale Dateiserver ebenso wie für Cloud-Anwendungen. Der Beitrag ist gesponsert und wurde von Tenfold Software verfasst.