Was ist Active Directory?

Active Directory ist ein Verzeichnisdienst von Microsoft, der vor allem in Windows-basierten Unternehmensnetzwerken eine zentrale Rolle spielt. Vereinfacht gesagt stellt Active Directory Informationen über Benutzer*innen, Computer, Gruppen und andere Netzwerkressourcen zentral bereit. Administrator*innen können dadurch Identitäten, Zugriffsrechte und IT-Ressourcen strukturiert verwalten.

Im Unternehmensumfeld ist mit Active Directory meist Active Directory Domain Services (AD DS) gemeint. AD DS bildet unter anderem die technische Grundlage für Windows-Domänen und ermöglicht eine zentrale Authentifizierung und Zugriffssteuerung. Statt Benutzerkonten und Berechtigungen auf jedem einzelnen Computer separat zu verwalten, lassen sie sich innerhalb der Domäne zentral organisieren.

Wie funktioniert Active Directory?

Active Directory Domain Services speichert Informationen in einer hierarchisch aufgebauten Verzeichnisstruktur. Einträge werden als Objekte geführt. Ein Benutzerkonto ist beispielsweise ein Objekt mit verschiedenen Attributen, ebenso ein Computer oder eine Gruppe. Das Schema von AD DS definiert dabei, welche Objektklassen und Attribute im Verzeichnis vorhanden sein können.

Eine zentrale Rolle übernehmen Domänencontroller (Domain Controller, DC). Auf ihnen läuft AD DS und sie stellen die Verzeichnisinformationen für die jeweilige Domäne bereit. Meldet sich ein*e Benutzer*in an einem in die Domäne eingebundenen Computer an, kann ein Domänencontroller die Identität authentifizieren. Gruppenmitgliedschaften und weitere Informationen bilden anschließend eine Grundlage dafür, welche Zugriffe erlaubt werden.

Unternehmen setzen üblicherweise mehrere Domänencontroller ein. Änderungen am Verzeichnis werden zwischen den Domänencontrollern repliziert. Damit befinden sich die Verzeichnisinformationen nicht nur auf einem einzigen Server. Microsoft beschreibt die Replikation als einen grundlegenden Bestandteil von AD DS: Domänencontroller einer Domäne verfügen über eine vollständige Kopie der Verzeichnisinformationen ihrer Domäne und gleichen Änderungen miteinander ab.

Auch Domain Name System (DNS) ist für den Betrieb wesentlich. Clients nutzen DNS unter anderem, um geeignete Domänencontroller und die von ihnen angebotenen Dienste zu finden. Für die Authentifizierung von Domänenkonten spielt wiederum Kerberos eine wichtige Rolle.

Die zentralen Bestandteile von Active Directory

Wer sich mit Active Directory beschäftigt, stößt häufig auf die Bezeichnungen Domäne, Tree, Forest und Organizational Unit. Teilweise werden diese Konzepte als „4 Säulen von Active Directory“ bezeichnet. Das ist jedoch keine offizielle technische Einteilung von Microsoft. Sinnvoller ist es, sie als wichtige Elemente der logischen AD-Struktur zu verstehen.

Eine Domäne fasst unter anderem Benutzer*innen, Computer, Gruppen und weitere Objekte zusammen und bildet eine zentrale Verwaltungs- und Sicherheitsgrenze innerhalb von AD DS. Mehrere zusammenhängende Domänen können einen Tree, also eine Domänenstruktur, bilden. Eine oder mehrere solcher Domänenstrukturen gehören zu einem Forest (Gesamtstruktur). Microsoft bezeichnet den Forest als übergeordnete Struktur, innerhalb derer eine oder mehrere AD-DS-Domänen betrieben werden.

Innerhalb einer Domäne helfen Organizational Units (OUs) dabei, Objekte logisch zu strukturieren. Unternehmen können damit beispielsweise Benutzer*innen oder Computer nach Organisationseinheiten, Standorten oder administrativen Anforderungen ordnen. OUs sind zudem wichtig für die Delegation administrativer Aufgaben und für die Anwendung von Gruppenrichtlinien.

Neben diesen Strukturbegriffen gehören weitere Komponenten wie das AD-Schema, der globale Katalog, Replikationsmechanismen und Gruppenrichtlinien zum Gesamtbild. Active Directory ist daher mehr als eine Sammlung von Benutzerkonten: Es bildet eine umfassende Infrastruktur für Identitäten, Ressourcen und deren Verwaltung in Windows-Domänen.

Was ist der Unterschied zwischen LDAP und Active Directory?

Lightweight Directory Access Protocol (LDAP) und Active Directory werden häufig gleichgesetzt, bezeichnen aber unterschiedliche Dinge. Active Directory ist ein Verzeichnisdienst beziehungsweise ein System von Verzeichnisdiensten und zugehörigen Funktionen. LDAP ist dagegen ein standardisiertes Protokoll, mit dem Clients auf Verzeichnisdienste zugreifen und Verzeichnisinformationen abfragen oder bearbeiten können.

AD DS unterstützt LDAP und nutzt es als wesentliches Protokoll für Verzeichnisoperationen. Anwendungen können beispielsweise über LDAP nach Benutzer*innen oder Gruppen suchen. Für geschützte LDAP-Kommunikation kann LDAPS, also LDAP über eine TLS-geschützte Verbindung, eingesetzt werden.

Active Directory verwendet allerdings nicht nur LDAP. Kerberos dient in AD-DS-Domänen als wichtiges Authentifizierungsprotokoll. Auch NTLM wird in bestimmten Szenarien weiterhin unterstützt. DNS wiederum hilft Clients dabei, Domänencontroller und Active-Directory-Dienste im Netzwerk zu finden. Hinzu kommen weitere Microsoft-Protokolle für Funktionen wie Replikation und Verwaltung.

Die Unterscheidung ist für die Praxis relevant: Eine Anwendung mit LDAP-Unterstützung benötigt nicht zwangsläufig Microsoft Active Directory. Umgekehrt umfasst Active Directory wesentlich mehr Funktionen als LDAP alleine.

Wie ist die Active-Directory-Datenbank aufgebaut?

Die Verzeichnisinformationen von Active Directory Domain Services werden auf einem Domänencontroller in einer Datenbank gespeichert. Die zentrale Datenbankdatei trägt den Namen NTDS.dit. Darin befinden sich die Verzeichnisobjekte und deren Attribute. Zur technischen Datenhaltung gehören darüber hinaus unter anderem Transaktionsprotokolle.

Da AD DS als verteilter Verzeichnisdienst ausgelegt ist, sollten Administrator*innen einen Domänencontroller nicht isoliert betrachten. Verzeichnisänderungen werden zwischen den Domänencontrollern repliziert. Redundanz, ein funktionierendes Replikationskonzept sowie geeignete Sicherungs- und Wiederherstellungsverfahren sind deshalb wesentliche Bestandteile eines stabilen AD-Betriebs.

Bei Verdacht auf eine beschädigte Active-Directory-Datenbank stehen Administrator*innen Werkzeuge und dokumentierte Verfahren zur Analyse zur Verfügung. Microsoft beschreibt beispielsweise eine semantische Datenbankanalyse mit Ntdsutil.exe. Welche Wiederherstellungsmethode sinnvoll ist, hängt allerdings von der konkreten Situation ab.

Insbesondere verlustbehaftete Datenbankreparaturen sollten nicht als reguläre Fehlerbehebung verstanden werden. Je nach Fehlerbild können die Wiederherstellung eines geeigneten System-State-Backups oder der Neuaufbau eines betroffenen Domänencontrollers die sinnvollere Vorgehensweise sein. Datenbankreparaturen erfordern daher fundiertes AD-Wissen und eine genaue Analyse der Ausgangslage.

Active Directory, AD DS und Microsoft Entra ID

Die Microsoft-Terminologie rund um Active Directory kann auf den ersten Blick verwirrend sein. Entscheidend ist zunächst: Das klassische Active Directory Domain Services wurde nicht einfach in Microsoft Entra ID umbenannt. Es handelt sich um unterschiedliche Identitätslösungen mit unterschiedlichen technischen Schwerpunkten. AD DS stellt klassische Domänenfunktionen wie Domänenbeitritt, Gruppenrichtlinien, LDAP, Kerberos und Vertrauensstellungen bereit. Unternehmen betreiben die dafür notwendigen Domänencontroller selbst, entweder auf eigener Infrastruktur oder beispielsweise auf virtuellen Maschinen in einer Cloud-Umgebung.

Microsoft Entra ID, früher Azure Active Directory, ist dagegen Microsofts cloudbasierter Identitäts- und Zugriffsverwaltungsdienst. Er wird unter anderem für Identitäten und Authentifizierung bei Microsoft 365 und Software-as-a-Service-Anwendungen (SaaS) eingesetzt. Bei modernen Cloud-Szenarien kommen beispielsweise OAuth und OpenID Connect zum Einsatz. Eine lokale AD-DS-Umgebung kann mit Microsoft Entra ID verbunden werden, weshalb beide Technologien in hybriden Infrastrukturen häufig nebeneinander bestehen.

Eine weitere Variante sind Microsoft Entra Domain Services. Dabei stellt Microsoft verwaltete Domänendienste mit ausgewählten klassischen AD-DS-Funktionen zur Verfügung. Dazu zählen unter anderem Domänenbeitritt, Gruppenrichtlinien, LDAP sowie Kerberos- und NTLM-Authentifizierung. Unternehmen müssen die dafür erforderlichen Domänencontroller nicht selbst bereitstellen und warten.

Für IT-Administrator*innen bleibt Active-Directory-Wissen deshalb relevant: Klassische AD-DS-Infrastrukturen sind weiterhin Bestandteil vieler Unternehmensnetzwerke und werden zunehmend mit Cloud-Identitätsdiensten kombiniert. Wer Windows Server, Identity Management oder hybride Microsoft-Infrastrukturen administriert, sollte sowohl die Grundlagen von AD DS als auch die Unterschiede zu Microsoft Entra verstehen.