Schlüsselpunkte
- Identifizieren und entfernen Sie regelmäßig veraltete Active-Directory-Konten, darunter deaktivierte Benutzer:innen, inaktive Konten (zum Beispiel solche, die seit mehr als 30 Tagen nicht genutzt wurden) sowie Konten mit längst abgelaufenen Passwörtern, um Sicherheitsrisiken zu reduzieren und die Authentifizierungsleistung zu verbessern.
- Verwenden Sie PowerShell-Befehle wie „Search-ADAccount“, um alle Arten von ungenutzten Konten, wie etwa deaktivierte Benutzer:innen und inaktive Computerkonten, für die Massenbereinigung effizient zu finden.
- Entfernen Sie veraltete Gruppenrichtlinienobjekte (GPOs) aus der Umgebung, um unnötige Verarbeitungszeiten zu eliminieren und dadurch sowohl die Anmeldeleistung der Benutzer als auch die Gesamteffizienz des Active Directory zu steigern.
- Führen Sie regelmäßige Audits der Sicherheitsgruppen durch, um leere, doppelte oder nur mit einem einzelnen Benutzer belegte Gruppen zu identifizieren und zu entfernen. Dies ist unerlässlich, um ein transparentes Least-Privilege-Sicherheitsmodell aufrechtzuerhalten und die Compliance zu gewährleisten.
- Optimieren Sie die Active-Directory-Replikation, indem Sie die Replikationsintervalle feinjustieren und die Topologie verfeinern, sodass der Verzeichnisdienst leistungsfähig, schnell und netzwerkeffizient bleibt.
Active Directory gehört zu jenen Produkten, die mit der Zeit dazu neigen, aufgebläht zu werden. Je mehr Daten vorhanden sind, desto schwieriger wird alles, von der Verwaltung der AD-Benutzer:innen bis hin zur Einrichtung von AD-Backups. Es handelt sich um ein Produkt, an dem täglich zahlreiche Personen Änderungen vornehmen, was letztlich dazu führt, dass ein enormer Datenbestand entsteht, der irgendwie dennoch funktioniert.
Selbst in der gewissenhaftesten IT-Abteilung entsteht häufig eine Active-Directory-Umgebung, die zahlreiche nicht mehr benötigte Benutzerkonten enthält, GPOs, die mit Organisationseinheiten verknüpft sind, von deren Existenz niemand wusste, sowie Computerkonten, die längst ausgemusterte Geräte repräsentieren. Dieser Zustand schleicht sich in der Regel unbemerkt ein. Eines Tages setzt sich jemand vor Active Directory Users and Computers (ADUC) und hat genau diesen Moment: „Das muss dringend aufgeräumt werden.“
Wenn dies der Fall bei Ihnen ist, dann sind Sie bei uns genau richtig. In diesem Artikel erfahren Sie, wie Sie Active Directory mithilfe von Best Practices und weiteren Tipps bereinigen können. Falls Sie einen visuellen Guide bevorzugen, bietet dieses Tutorial eine schrittweise Anleitung zur Bereinigung von Active Directory.
Anzeichen dafür, dass Ihr Active Directory bereinigt werden muss
Sobald Sie feststellen, dass Ihr AD bereinigt werden muss, kann dies zunächst eine entmutigende und überwältigende Aufgabe sein. Möglicherweise starten Sie ein Projekt zum „Aufräumen“, werden jedoch schnell merken, dass einfaches Rechtsklicken und Löschen bei Weitem nicht ausreicht.
Es gibt zahlreiche Möglichkeiten, dieses Projekt zum Erfolg zu führen, wobei die erste Aufgabe darin besteht, genau zu definieren, was „Bereinigung“ bedeutet. In diesem Artikel verstehen wir unter der „Bereinigung“ des AD die Verbesserung der folgenden fünf wesentlichen Aspekte:
- Leistung: Ein aufgeblähtes AD kann zu unnötigem Replikationsverkehr führen. Eines der offensichtlichsten Anzeichen für ein schlecht funktionierendes AD ist der Faktor Zeit: Benötigt AD länger als üblich, um Benutzer:innen zu authentifizieren, nach AD-Objekten zu suchen oder Gruppenrichtlinienobjekte herunterzuladen?
- Sicherheit: Bedrohungsakteure versuchen kontinuierlich, Unternehmen auszunutzen. Eine ihrer Methoden besteht darin, sich Zugang zu Netzwerken zu verschaffen, indem sie Active-Directory-Benutzerkonten übernehmen.
- Compliance: Eine regelmäßige Active-Directory-Bereinigung hilft Ihnen dabei, regulatorische Vorgaben einzuhalten, von der DSGVO bis hin zu PCI-DSS.
- IT-Betrieb: Ein überladenes Active Directory erschwert die Verwaltung durch IT-Administrator:innen erheblich. Dies kann zu allgemeiner Ineffizienz führen, da Ihr IT-Team mehr Zeit für die AD-Verwaltung aufwenden muss, anstatt sich auf andere strategische Projekte konzentrieren zu können.
- Geschäftliche Agilität: Active Directory ist für viele Aufgaben von grundlegender Bedeutung, und eine AD-Bereinigung kann Ihnen dabei helfen, agil zu bleiben und Ihren Wettbewerbsvorteil zu wahren.
Ein schlecht gepflegtes Active Directory
- enthält zahlreiche fehlerhafte Daten, von veralteten bis hin zu doppelten Benutzerkonten,
- weist leere oder doppelte Verteilergruppen auf,
- bietet nur unzureichende Einblicke in die Zugriffsberechtigungen von Sicherheitsgruppen,
- lässt einen Mangel an etablierten Prozessen für die Bereitstellung und Aufhebung von Berechtigungen erkennen,
- ermöglicht keine Bestimmung der Eigentümerschaft von Objekten und Gruppen
- und zeigt ungenaue oder unvollständige Objektattribute.
Drei Merkmale ungenutzter Benutzerkonten
Konzentrieren wir uns nun auf ungenutzte Benutzerkonten. Genauer gesagt betrachten wir die drei Attribute, die ein Benutzerkonto potenziell „löschbar“ machen. Diese Attribute sind: a) deaktivierte Konten, b) Konten, die seit X Tagen nicht mehr verwendet wurden, und c) Konten mit abgelaufenen Passwörtern.
Sicherheitsprotokoll: Konten deaktivieren und unter Quarantäne stellen
Bevor Sie veraltete Konten endgültig löschen, sollten Sie stets ein Quarantäneprotokoll einhalten. Deaktivieren Sie zunächst das Konto und verschieben Sie es anschließend in eine dedizierte Quarantäne-Organisationseinheit (OU). Warten Sie dann 30 bis 90 Tage, um sicherzustellen, dass keine kritischen Dienste oder Zugriffsrechte von diesem Konto abhängen, bevor Sie mit der endgültigen Löschung fortfahren.
Eine der einfachsten Methoden, um potenziell ungenutzte Konten zu finden, ist der Einsatz von PowerShell. Das Active Directory-PowerShell-Modul enthält ein äußerst nützliches Cmdlet namens „Search-AdAccount“, mit dem sich Abfragen erstellen und genau die benötigten Ergebnisse problemlos abrufen lassen. Bevor dieses Cmdlet jedoch verwendet werden kann, muss zunächst das Paket „Remote Server Administration Tools“ (RSAT) von Microsoft heruntergeladen werden. Sobald RSAT installiert ist, steht Ihnen das ActiveDirectory-Modul zur Verfügung, und Sie können loslegen. Zudem setze ich für die Ausführung des nachfolgenden Codes voraus, dass Sie sich auf einem Windows-PC befinden, der derselben Domain angehört wie die Benutzer:innen, die Sie aufspüren möchten.
Beginnen wir also!
Deaktivierte Konten im Active Directory finden
Die erste Aufgabe besteht darin, deaktivierte Konten aufzuspüren. Dazu verwenden wir das Cmdlet „Search-ADAccount“, das über einen einzelnen Parameter namens „Disabled“ verfügt, wodurch diese Aufgabe äußerst einfach wird. Führen Sie einfach „Search-AdAccount -AccountDisabled“ aus, und schon werden alle deaktivierten Konten angezeigt. Beachten Sie, dass ich im folgenden Beispiel den Parameter „UsersOnly“ verwendet habe, da dieses Cmdlet auch deaktivierte Computerkonten finden kann.
C:> Search-ADAccount -UsersOnly -AccountDisabled -Server dc AccountExpirationDate : DistinguishedName : CN=Guest,CN=Users,DC=mylab,DC=local Enabled : False LastLogonDate : LockedOut : False Name : Guest ObjectClass : user ObjectGUID : 89cfaf2b-c6d8-4ae0-a720-e2da7d201717 PasswordExpired : False PasswordNeverExpires : True SamAccountName : Guest SID : S-1-5-21-4117810001-3432493942-696130396-501 UserPrincipalName : ............
Inaktive Benutzerkonten im Active Directory finden
Ein weiterer typischer Kandidat für die Bereinigung sind inaktive Benutzerkonten, die sich etwas schwieriger aufspüren lassen. Da „inaktiv“ ein subjektiver Begriff ist, definieren wir ihn für unsere Zwecke wie folgt: Als inaktiv gilt jeder Benutzer, dessen Wert für „LastLogonTimeStamp“ älter als 30 Tage ist. Im Internet finden sich zahlreiche Artikel zum Thema „Inaktive Benutzer finden“, doch vielen ist nicht bewusst, dass dies wesentlich einfacher ist, als komplizierte AD-LDAP-Filter zu erstellen, da die Unterstützung bereits nativ in „Search-AdAccount“ integriert ist.
Mit dem Befehl Search-AdAccount -AccountInactive -UsersOnly -Timespan 30.00:00:00 lassen sich sofort alle AD-Benutzerkonten ermitteln, die seit 30 Tagen nicht mehr verwendet wurden.
Dabei ist jedoch ein Vorbehalt zu beachten: Microsoft aktualisiert das Attribut „LastLogonTimestamp“, das dem Wert „LastLogonDate“ entspricht, nur alle 14 Tage, um sogenannte Replikationsstürme zu vermeiden. Aufgrund dieser Eigenschaft von AD ist diese Methode (ebenso wie die Verwendung von „Get-AdUser“ oder „Get-AdComputer“ mit dem erweiterten Filter) nicht zu 100 % genau, wenn Sie Konten mit einer Inaktivität von weniger als 14 Tagen ermitteln möchten. Dies sollte daher berücksichtigt werden.
Abschließend müssen wir noch alle AD-Benutzer finden, deren Passwort abgelaufen ist und die nicht mehr benötigt werden. Dies ist etwas knifflig, da auch „aktive“ Benutzerkonten ein abgelaufenes Passwort aufweisen können, wenn es erst kürzlich abgelaufen ist. Daher muss nicht nur festgestellt werden, ob Kennwörter abgelaufen sind, sondern auch, wie lange der Ablauf bereits zurückliegt. Wenn ein Passwort beispielsweise vor 30 Tagen oder länger abgelaufen ist, lässt sich davon ausgehen, dass diese Benutzerkonten tatsächlich inaktiv sind.
Um festzustellen, wie lange ein Passwort bereits abgelaufen ist, muss zunächst das maximale Passwortalter der Passwortrichtlinie der Domain ermittelt werden. Dies lässt sich mit dem Cmdlet „Get-AdDefaultDomainPasswordPolicy“ bewerkstelligen.
$MaxPasswordAge = (Get-ADDefaultDomainPasswordPolicy).MaxPasswordAge.Days
Anschließend können alle Benutzerkonten mit einem abgelaufenen Passwort gesucht und anhand des Zeitpunkts gefiltert werden, zu dem das Passwort zuletzt festgelegt wurde. Dabei wird sichergestellt, dass dieser Zeitpunkt vor dem maximalen Passwortalter plus 30 Tagen liegt (also dem Zeitraum, ab dem wir das Konto als veraltet betrachten).
Der Code sieht in etwa folgendermaßen aus:
Search-AdAccount -PasswordExpired -UsersOnly | Where-Object {((Get-Date) - (Get-AdUser -Filter "samAccountName -eq $_.SamAccountName").PasswordLastSet) -lt ($MaxPasswordAge + 30)}Wenn Sie das nächste Mal AD nach inaktiven Einträgen durchsuchen, empfiehlt es sich, zunächst einen Blick auf „Search-AdAccount“ zu werfen, um zu prüfen, ob das Cmdlet die gewünschte Funktion bereits abdeckt. Dies kann Ihnen eine Menge Zeit ersparen!
Obwohl PowerShell ein leistungsstarkes Tool ist, können Administrator:innen auch das Active Directory Administrative Center (ADAC) oder spezialisierte Drittanbieter-Tools benutzen, um Gruppen und Konten zu visualisieren und zu überprüfen. Diese bieten als GUI-basierte Alternative eine vereinfachte Möglichkeit für bestimmte Bereinigungsaufgaben.
Vorteile einer AD-Bereinigung
Active Directory ist der proprietäre Verzeichnisdienst von Windows, der laut TechRadar schätzungsweise von 90 % aller Organisationen weltweit eingesetzt wird.
Diese Verbreitung kommt nicht von ungefähr: AD ist ein grundlegender Bestandteil unseres täglichen Arbeitslebens und ermöglicht es Unternehmen, festzulegen, wer welche Aktionen im Netzwerk ausführen darf, und gleichzeitig verschiedene Ressourcen, Endpunkte sowie Systeme zu verwalten.
Durch die Bereinigung Ihres AD stellen Sie sicher, dass Ihr Unternehmen die betriebliche Effizienz aufrechterhält, die Datenintegrität stärkt und eine bessere Data Governance praktiziert. Dies ist ein unverzichtbarer Prozess, den alle MSPs, MSSPs und IT-Unternehmen in ihre Wartungsstrategien einbeziehen müssen, um ihren Endbenutzer:innen weiterhin qualitativ hochwertige Dienste bieten zu können.
Best Practices für die Active-Directory-Bereinigung
Neben den bereits erwähnten Maßnahmen zur Identifizierung deaktivierter und inaktiver Konten im Active Directory ist es sinnvoll, weitere Best Practices für die AD-Bereinigung zu besprechen, damit Ihr IT-Netzwerk effizient, sicher und regelkonform bleibt.
Veraltete Gruppenrichtlinien bereinigen
Nicht mehr benötigte Gruppenrichtlinienobjekte (GPOs) können Ihr AD verlangsamen. Es empfiehlt sich daher, diese GPOs regelmäßig zu überprüfen und über PowerShell oder die Gruppenrichtlinien-Verwaltungskonsole zu entfernen.
Benutzeranmeldeskripte optimieren
Fehlerhafte Anmeldeskripte können die Leistung erheblich beeinträchtigen. Um die vollständigen Auswirkungen dieser Skripte zu ermitteln, empfiehlt sich der Einsatz von PowerShell, insbesondere des Cmdlets Get-GPResultantSetOfPolicy. Bei Bedarf können Sie zudem eine erzwungene Aktualisierung der Gruppenrichtlinien per Fernzugriff durchführen.
Sicherheitsgruppen überprüfen
Wie bei allem, was Sie verwalten, ist es ratsam, Ihre Sicherheitsgruppen regelmäßig mithilfe von PowerShell-Befehlen wie Get-ADGroupMember zu überprüfen. Ein vollständiges Skript zur Änderung von Benutzermitgliedschaften finden Sie in diesem NinjaOne-Skript. Bedenken Sie dabei: Leere, inaktive oder nur mit einem einzelnen Benutzer belegte Gruppen erfüllen in der Regel keinen Zweck mehr für Ihr Unternehmen.
Active-Directory-Replikation verwalten
Stellen Sie sicher, dass Sie die Replikationsintervalle feinjustieren und die Topologien optimieren, um die AD-Leistung zu steigern. Ich möchte nochmals betonen, dass die „Bereinigung von Active Directory“ weit mehr umfasst als das bloße Löschen von Konten in der Hoffnung, dass alles gut geht. Vielmehr handelt es sich um einen mehrstufigen Prozess, der von IT-Administrator:innen auch die Neuorganisation von Benutzerkonten und Active Directory-Gruppen erfordert. Ich empfehle die Verwendung dieses NinjaOne-Skripts, um den Zustandsbericht Ihrer Active Directory-Replikation einzusehen.
Verwalten Sie Active Directory-Benutzer:innen mit NinjaOne
NinjaOne bietet ein Active Directory-Verwaltungstool, das direkt in seine bewährte Plattform für Endpunktverwaltung integriert ist. Mit NinjaOne können Sie Konten mühelos deaktivieren, Benutzer:innen entsperren, Passwörter zurücksetzen und vieles mehr, und das alles über eine zentralisierte Benutzeroberfläche.
Sichern Sie sich Ihr kostenloses Angebot, testen Sie 14 Tage gratis oder sehen Sie sich eine Demo an.
Adam Bertram ist Microsoft Windows Cloud and Datacenter Management MVP und hat zahlreiche Schulungskurse entwickelt. Er ist regelmäßiger Autor für diverse Print- und Online-Publikationen und tritt als Referent bei verschiedenen Benutzergruppen und Konferenzen auf. Weitere Informationen finden Sie unter adamtheautomator.com.
