Benutzer, Gruppen und AGDLP
Ein Konto, mehrere Namen
Ein Benutzerkonto in AD hat nicht „einen Namen“, sondern mehrere – jedes mit anderem Zweck:
| Attribut | Beispiel | Wofür |
|---|---|---|
CN (Anzeigename) | Anna Schmidt | Anzeige in Listen, E-Mail-Clients |
sAMAccountName | anna.schmidt | Anmeldung (Windows 2000 und älter kompatibel) |
userPrincipalName (UPN) | anna.schmidt@corp.lab | Anmeldung mit Domänen-Suffix, Microsoft-365-Login |
distinguishedName | CN=Anna Schmidt,OU=Benutzer,... | Eindeutige Position im Baum |
Der sAMAccountName ist max. 20 Zeichen lang, darf keine Sonderzeichen wie @ enthalten und
muss domänenweit eindeutig sein. Der UPN darf doppelt vorkommen, solange das Suffix anders ist.
Hinweis
Im Labor erzeugt die App den Anmeldenamen automatisch aus dem Anzeigenamen
(Anna Schmidt → anna.schmidt). Du kannst ihn im Dialog überschreiben.
Gruppenbereiche – wann welcher?
| Bereich | Mitglieder aus | Verwendbar in |
|---|---|---|
| Global | eigener Domäne | allen Domänen des Waldes (als Mitglied) |
| Domänenlokal | eigener Domäne + andere Domänen | nur eigener Domäne (für Berechtigungen) |
| Universal | allen Domänen des Waldes | allen Domänen (Vorsicht: Global Catalog) |
Dazu der Typ: Sicherheit (für Berechtigungen) oder Verteilung (nur E-Mail-Verteiler, keine Berechtigungen).
AGDLP – die Regel, die Aufräumarbeit spart
Accounts → Global groups → Domain local groups → Permissions
Konkret:
- Benutzer kommen in globale Gruppen – nach Rolle, nicht nach Ressource (
GG_Sales). - Globale Gruppen kommen in domänenlokale Gruppen – nach Ressource (
DL_Share_Sales). - Die domänenlokale Gruppe bekommt die Berechtigung (NTFS, Freigabe).
Warum der Umweg? Weil Berechtigungen dann an eine Gruppe gehängt sind. Kommt ein neuer
Vertriebsmitarbeiter, fügst du ihn zu GG_Sales hinzu – fertig. Kein Rechte-Dialog, kein
Risiko, eine Freigabe falsch zu setzen.
Merke
Faustregel: Benutzer nie direkt berechtigen. Immer über Gruppen. Wer Benutzer direkt in ACLs einträgt, hinterlässt beim Offboarding verwaiste Berechtigungen.
Typische Fehler
- Gruppen nach Personen benannt (
Gruppe_Max) – skaliert nicht, niemand weiß, wofür sie steht. - Universal-Gruppen überall – bläht den Global Catalog auf, wenn sie nicht gebraucht werden.
- Verteilergruppen für Berechtigungen – funktioniert nicht, kostet eine Stunde Fehlersuche.
- Konten im Container
CN=Usersvergessen – keine GPO, keine Delegation, kein Aufräumen.
Jetzt üben
Die drei Aufgaben zu diesem Modul findest du unten. Sie laufen im Labor – dort baust du die OU-Struktur, legst Konten an, verschiebst sie und füllst eine Gruppe.