Was ist eine SID? (Security Identifier)
Die Abkรผrzung SID steht fรผrย Security Identifier, eine einzigartige Zeichenfolge, die Windows Server automatisch jedem Computer, jedem Benutzer und jeder Gruppe zuweist, um das jeweilige Objekt eindeutig zu identifizieren. Die SID ist unverรคnderlich und bleibt auch gleich, wenn das Objekt selbst (also zum Beispiel der Benutzer) umbenannt wird.
Die SID wird beispielsweise in der ACL eingetragen, um den berechtigten Benutzer oder die berechtigte Gruppe eindeutig zu identifizieren. Wird ein Benutzer nunmehr umbenannt, so bleiben dessen Berechtigungen erhalten, weil die SID sowohl beim Benutzer selbst, als auch in der ACL von der Namensรคnderung nicht betroffen ist.
Format einer Windows SID
Eine SID hat immer den folgenden Aufbau, mit Zahlenwerten die von Bindestrichen unterbrochen werden:
- S: Der Buchstabe S zeigt an, dass es sich bei der Zeichenfolge um eine SID handelt.
- 1: Die zweite Stelle gibt die Revisionsnummer an, also die spezifische Version dieser SID. Der Wert von 1 wurde bei Windows Systemen noch nie geรคndert.
- 5: An der dritten Position findet sich die Identifer Authority. Bei Windows Server Systemen liegt der Wert bei 5 (NT Authority).
- Domรคnen-ID: Dieser 48-Bit-String identifiziert den Computer bzw. die Domรคne, die diese SID angelegt hat.
- Relative ID (RID): Die relative ID bzw. RID setzt sich aus vier Zahlen zusammen und dient der genauen Identifikation des Objekts als Sicherheitsprinzipal in der lokalen Domรคne. Beim Anlegen von RIDs zรคhlt Windows von 1000 an aufwรคrts.
Fรผgt man all diese Elemente zusammen, kรถnnte ein Beispiel fรผr eine SID etwa so aussehen:
S-1-5-43-4342332-4365423-981231-1015
Erstellung der SID
Im Falle eines Domรคnenbenutzers oder einen Domรคnengruppe beinhaltet die SID den Domain-Identifier. Dieser wird bei der Erstellung der Domรคne per Zufallswert festgelegt. Bei der Erstellung eines Benutzer- oder Gruppenobjekts wird von Windows deren Relative-ID (RID) festgelegt. Im Falle eines lokalen Computerkontos enthรคlt die SID eines Benutzers den Local-Computer-Identifier des Computers, welcher wiederum bei der Installation von Windows vergeben wurde.
รnderung der SID
Eine รnderung der SID รผber Standardmethoden ist nicht mรถglich. Eine รnderung ist jedoch unter Verwendung der Software adsiedit mรถglich. Zu einer รnderung der SID kommt es darรผber hinaus, wenn ein Objekt in einer Domรคne angelegt wurde (und somit der Domain-Identifier Teil der SID des Objekts wurde) und dieses Objekt in eine andere Domรคne migriert wird. Es wird dabei eine neue SID erzeugt, allerdings wird die bisherige SID in Active Directory in der sogenannten SID-History gespeichert.
Die Eintrรคge in der SID-History werden bei Berechtigungsprรผfungen ebenfalls herangezogen, womit es dem Benutzer nach der Migration des Kontos noch mรถglich ist, auf die Ressourcen in der alten Domรคne zuzugreifen, da die Prรผfung (auch) mit der alten SID erfolgt.
Was ist eine verwaiste SID?
Eine SID gilt dann als verwaist, wenn sie in der Access Control List eines Objekts verwendet wird, das zugehรถrige Objekt (also der jeweilige Computer, Benutzer oder Gruppe) aber nicht mehr vorhanden ist.
Verwaiste SIDs sind in Windows daran erkennbar, dass der Eintrag statt dem Namen des Objekts “Unbekanntes Konto (S-1-5- usw.)” anzeigt. In der Regel stellen verwaiste SIDs kein groรes Problem dar, sie schaden jedoch der รbersicht im Active Directory.
Best Practices im Access Management in Microsoft Umgebungen
Dieses Whitepaper enthรคlt eine detaillierte Anleitung zur korrekten Einstellung von Berechtigungsstrukturen mit technischen Detailinformationen.