Korrigiert mich wenn ich falsch liege, aber via GPO kann man nicht einstellen, wer ins Netz darf und wer nicht.
Man kann auf Internet bezogen lediglich Browsereinstellungen (Proxys, Sicherheitseinstellungen usw.) konfigurieren.
Um zu kontrollieren, wer ins Netz kann und wer nicht, brauchst Du nen dedizierten Proxyserver, zum Beispiel ISA (Internet Security and Acceleration Server). Der wird dann anhand von Benutzerkonton und Gruppenmitgliedschaften bestimmen, wer darf und wer nicht.
Active Directory ist lediglich die zentrale Verwalungsstelle für Benutzer- und Computerkonten. Man kann diverse Sicherheitseinstellungen vornhemen, beispielsweise wer sich wo anmelden darf, wo die Benutzerprofile liegen sollen, wies mit Homefoldern aussieht, Remotezugriffsberechtigungen, Sicherheitseinstellungen für Netzwerk und Computer (aber nicht Zugriff auf Ressourcen, das muss an der jeweiligen Resource konfiguriert sein) und viele Sachen mehr. Unter anderem kannste Schaltflächen in Windows ausblenden, nen Updateserver angeben und und und...
Wichtig ist folgendes: in AD sammelst Du alle Objekte, also Benutzer, Gruppen, Computerkonton usw.. Dort liegt die zentrale Stelle zur Benutzerauthentifizierung.
Die Berechtigung für Resourcen, also Dateien, Ordner oder auch den Zugriff aufs Internet musst Du aber auf dem Computer festlegen, der diese bereitstellt. Wenn dann ein Benutzer kommt und davon was haben will, wird er aber wieder in AD (also am Domänencontroller) authentifiziert und authorisiert. Er erhält einen "Schlüssel", ein Token, mit dem er dann auf die Resource zugriefen kann.
Diese Authentifizierung läuft über sehr komplexe Mechanismen und die beiden Protokoll Kerberos und NTLM ab:
Wenn ein Domönencomputer startet, dann wird zuerst einmal der Computer in AD authentifiziert. Der Computer sendet ne LDAP Query:
_ladp._tcp.domain.de
Daraufhin erhält er ne Liste mit Domänencontrollern. Dann schickt er ne Anfrage für ein TGT (Ticket Granting Ticket). Dies erfolgt, falls der Client das kann, alles über Kerberos. Anschlißend wird verifiziert, dass der Computer wirklich der Computer ist, der er vorgibt zu sein. Dafür schickt der Client einen Zeitstempel, der mit einem Hash des Computerpassworts verschlüsselt wurde, zum DC. Außerdem ist eine Plaintext Kopie des Zeitstempels dabei.
Der DC nimmt den Plaintext Zeitstempel und den Hash des Computerpassworts (den er hat, da er DC ist) und errechnet daraus die Verschlüsselung wieder. Dann vergleicht er sein Ergebnis mit dem mitgelieferten verschlüsselten Zeitstempel. Kommt das selbe raus is alles ok und der DC schickt dem Client das TGT. Falls es nicht übereinstimmt oder die Zeit auf Client und DC um mehr als 5 Minuten abweicht, wird die Anfrage aufs TGT vewrweigert (um Replay Attacken zu vermeiden). Alles das passiert ohne Benutzereingriff.
Dann folgt die Benutzerauthentifizierung. Hier gibt der Benutzer seinen Namen und sein Passwort ein. Das wird dann wieder via Kerberos zum DC übertrage und dort mit den Daten verglichen. Dann erstellt der DC das Access Token für den User, das festlegt, was der user darf und was nicht. Zusammen damit werden einige weitere Kerberostickets übertragen.
Greift der Benutzer jetzt auf eine Dateifreigabe zu (oder in Deinem Fall auf nen Proxy), dann fragt dieser beim DC an, ob der User berechtigt ist. Der User erhält ein neues Ticket, bei ner Dateifreigabe z. B. ein CIFS Ticket, mit dem der User dann auf die Freigabe zugreifen kann.
Wenn der DC während der Anmeldung offline ist oder der Client kein Kerberos unterstützt, dann wird NTLM zur Authentifizerung verwendet (New Techoligy LAN Manager). Die Anmeldung an der Domäne selber erfolgt über "Cached Logons", auch etwas das man in AD einstellen kann. Kerberos wird überigens meines Wissens nach nur von Win2k, XP und 2003 unterstützt.
Das war jetzt von mir ausm Gedächtnis geschrieben und soll den ungefähren Ablauf verdeutlichen, damit dir klar wird, was in AD und auf nem DC passiert. Die wenigsten Berechtigungen werden am DC vergeben. Höchstens allgemeine Berechtigungen, wie die lokale Anmeldung an nem DC kann in AD konfiguriert werden. Der Zugriff auf Resourcen, seien es Dateien, Drucker oder auch das Internet, muss da konfiguriert werden, wo der Dienst bereitgestellt wird.
Ich hoffe ich hab jetzt alle Klarheiten mal wieder beseitigt...
.
