Neuaufbau einer Active-Directory-Sicherheitsarchitektur für rund 16.000 Anwender
Für eine große öffentliche Verwaltung wurde die bestehende Active-Directory-Landschaft grundlegend neu aufgebaut und in eine neue Sicherheitsarchitektur überführt. Die Ausgangsumgebung bestand aus einem Forest mit Root- und Child-Domain. Ziel war der vollständige Wechsel in eine neue, stärker gehärtete Identitäts- und Administrationsstruktur.
Neues Zielbild
Johannes Stolz plante und designte die neue Active-Directory-, GPO-, DNS- und PKI-Umgebung. Das ESAE-/Red-Forest-Design wurde gemeinsam mit Microsoft ausgearbeitet.
- neuer Active-Directory-Forest
- eigener administrativer Forest nach ESAE-/Red-Forest-Prinzip
- Tier-0-/Tier-1-/Tier-2-Modell
- getrennte administrative Konten und Privileged Access Workstations
- neue GPO-, DNS- und PKI-Strukturen
- kontrollierter Parallelbetrieb mit Trust zur Altumgebung
Security by Design
Die neue Umgebung sollte nicht nur funktional gleichwertig sein, sondern strukturell sicherer. BSI-Vorgaben und Microsoft Security Baselines wurden auf Clients und Servern vollständig berücksichtigt.
- NTLM-, LDAP-, Kerberos- und SMB-Härtung
- restriktive Delegations- und Administrationsmodelle
- GPO-basierte Sicherheitskonfiguration
- Härtung lokaler Administratorrechte
- standardisierte Security Baselines für Clients und Server
Migration mit Parallelbetrieb
Benutzer wurden mit ADMT in die neue Umgebung migriert. Die Clientmigration wurde mit dem späteren Windows-10-Rollout kombiniert. Auch die damals rund 900 Serversysteme mussten schrittweise in die neue Welt überführt werden.
Ein längerer Trust-basierter Parallelbetrieb stellte sicher, dass Alt- und Neuumgebung während der Migration gleichzeitig funktionsfähig blieben.
Besondere Herausforderungen
- enge Timeline und begrenzte Wartungsfenster
- Authentifizierungsprobleme von Fachverfahren nach konsequenter Härtung
- gleichzeitiger Betrieb alter und neuer Identitätswelt
- Migration von DNS, DHCP, PKI, GPO, Fileservices, Service Accounts und Fachanwendungen
Ergebnis
Am Ende musste die vollständige produktive Umgebung in der neuen Welt lauffähig sein. Neben einem höheren Sicherheitsniveau waren die Arbeitsfähigkeit der Anwender, eine belastbare Dokumentation und eine sichere Betriebsübergabe gleichwertige Erfolgsziele.
Erfahrung von Johannes Stolz.
Dieses Projektbeispiel beschreibt die persönliche berufliche Erfahrung von Johannes Stolz in seiner jeweiligen Rolle. Es bedeutet nicht automatisch, dass das Projekt als Auftrag von correctIT durchgeführt wurde. Kunden-, System- und Betriebsdetails sind bewusst anonymisiert.