18.23 Das Vieraugen-Prinzip 

Ein wichtiges Prinzip, dass Sie beherzigen sollten, ist das Vieraugen-Prinzip. Es sollte selbstverständlich sein, dass alle wichtigen Kennwörter für den Fall, dass ein Systemadministrator ausfällt, in einem versiegelten Briefumschlag im Tresor des Unternehmens hinterlegt werden. Ein Mitarbeiter des Qualitätsmanagements muss in regelmäßigen Abständen kontrollieren, ob diese notierten Kennwörter wirklich funktionieren, der Inhalt des versiegelten Briefumschlags also ständig auf einem aktuellen Stand ist.

In Gesamtstrukturen, die aus einer Stammdomäne und mehreren Subdomänen bestehen, werden die Domänenadministratoren der Subdomänen eventuell befürchten, dass die Organisationsadministratoren und Schemaadministratoren der Stammdomäne ihre besondere Machtposition ausnutzen könnten und in den Subdomänen unkontrollierte Manipulationen vornehmen. Die Organisations-Admins (Enterprise-Admins) haben folgende besonderen Rechte:

Nur sie können den ersten Domänencontroller einer neuen Subdomäne einrichten und den letzten Domänencontroller einer Subdomäne löschen. Das heißt, nur die Organisations-Admins können in der Gesamtstruktur weitere Domänen einrichten und wieder löschen.

Nur die Organisations-Admins können neue Standorte sowie Standortverknüpfungen erstellen und den Standorten IP-Adressbereiche zuweisen. Nach der Einrichtung eines neuen Standortes können sie die Administration dieses Standortes an andere Administratoren delegieren.

Die Gruppe Organisations-Admins wird bei der Einrichtung einer neuen Subdomäne automatisch in die Gruppe der Domänen-Admins eingetragen. Sie können aber aus diesen Gruppen entfernt und dann temporär wieder eingefügt werden, wenn z.B. unterhalb der Subdomäne eine weitere Subdomäne erstellt werden soll, denn auch das können nur die Organisations-Admins und nicht die Domänen-Admins.

Um zu verhindern, dass die Organisationsadministratoren zu viel unerwünschten Einfluss erhalten, gibt es aber nicht nur technische, sondern auch organisatorische Maßnahmen. Sie könnten zur Einhaltung eines schriftlichen Betriebskonzepts per Unterschrift angehalten werden, mit dem Hinweis, dass Zuwiderhandlungen mit disziplinarischen Maßnahmen geahndet werden. In diesem Betriebskonzept könnte schriftlich fixiert werden, dass Interaktionen nach Einrichtung der Subdomänen nur mit ausdrücklicher Genehmigung der dezentralen Domänenadministratoren zulässig sind und dann nur nach dem Vieraugen-Prinzip erfolgen dürfen. Die Kennwörter des Organisationsadministrators als auch des Schemaadministrators könnten z.B. aus einem 12-stelligen Kennwort bestehen, dessen erste sechs Stellen nur einem von zwei Administratoren und die zweiten sechs Stellen nur dem anderen bekannt sind. Würden beide sechsstelligen Teilkennwörter schriftlich in separaten und versiegelten Umschlägen in einem Tresor aufbewahrt, so wäre sichergestellt, dass ein Administrator allein keine Handlungen (speziell keine widerrechtlichen Handlungen) vornehmen kann. Bei der Abwesenheit eines der Organisationsadministratoren kann jedoch ein Vertreter in den Besitz des Teilkennwortes gelangen, um zusammen mit dem anderen Organisationsadministrator die notwendigen Handlungen vorzunehmen.

Ebenso muss es für Schemaänderungen am Active Directory, die nur durch Schemaadministratoren durchgeführt werden können, eine organisatorische Regelung geben, denn Schemaänderungen betreffen alle Subdomänen und sind nicht revidierbar. Produkte, die eine Schemaerweiterung benötigen, müssen in einer Testumgebung auf Kompatibilität mit den anderen Produkten getestet werden und am besten durch eine Kommission freigegeben werden, der ein Domänenadministrator jeder Subdomäne angehört.