Was ist AGDLP? Microsofts Best Practice Gruppenstruktur
Accounts, Global, Domain Local, Permission (AGDLP) bezeichnet die von Microsoft empfohlene Verschachtelung von Benutzerkonten und Gruppen bei der Berechtigungsvergabe. Alle Infos im tenfold Glossar.
Die Abkürzung AGDLP bezeichnet die empfohlene Vorgehensweise von Microsoft, um eine rollenbasierte Zugriffssteuerung (RBAC) innerhalb einer Windows Domain zu realisieren. Zusammengefasst besagt die Vorgehensweise, dass Computer- und Benutzer-Accounts (A) Mitglieder von globalen Gruppen (G) sind, welche Geschäftsrollen darstellen. Diese globalen Rollengruppen sind wiederum Mitglied von domänenlokalen Gruppen (DL), welche zur Zugriffssteuerung verwaltet werden und Berechtigungen (P) auf einer bestimmten Ressource haben.
Die Vorteile von AGDLP sind:
Benutzer- und Gruppenberechtigungen können gleichermaßen einfach realisiert werden (über Mitgliedschaft in der domänenlokalen Gruppe)
Sofern bereits entsprechende Gruppen für die jeweilige Ressource existieren, können Berechtigungen einfach über die Active Directory-Konsole geändert werden (durch Hinzufügen der Mitgliedschaften).
Das Risiko, verwaiste Benutzereinträge in ACL zurückzulassen ist gemindert, da alle Einträge in den ACL sich auf Gruppen (domänenlokale Gruppen, speziell zur Berechtigungsvergabe auf dem jeweiligen Objekt) beziehen.
Bei konsquenter Einhaltung wirkt sich AGDLP positiv auf Transparenz und Active Directory Sicherheit aus. Der schwerwiegende Nachteil von AGDLP ist, dass die benötigten Strukturen in der Active Directory-Konsole manuell erstellt werden müssen; es gibt keine Standardwerkzeuge für die Verwaltung. Das System ist daher sehr arbeits- und damit kostenintensiv und leider auch tendenziell fehleranfällig. Weitere Informationen finden Sie auch in unserem Whitepaper zum Berechtigungsmanagement in Microsoft.
Best Practices im Access Management in Microsoft Umgebungen
Dieses Whitepaper enthält eine detaillierte Anleitung zur korrekten Einstellung von Berechtigungsstrukturen mit technischen Detailinformationen.