Begriffe wie LDAP oder Active Directory.
LDAP ist ein Protokoll, mit dem man auf einen Verzeichnisdienst, wie das Active Directory einer ist, zugreift.
Active Directory ist der Verzeichnisdienst von Microsoft. Es wird seit Windows 2000 in Serverbetriebssystemen eingesetzt.
Ein Verzeichnisdienst ist ein Dienst, der auf eine (LDAP)-Datenbank (dem Verzeichnis) zugreift. In ihr werden im Wesentlichen Benutzer, Gruppen und Computer gespeichert. In Wirklichkeit enthält ein Active Directory aber viel mehr.
Was ist denn - einfach gesagt - der Unterschied zwischen einem
Verzeichnisdienst und einer Mehrbenutzerverwaltung von einem
konventionellen Consumer-OS wie Windows XP oder Windows 7?
In diesen Betriebssystemen werden Benutzer lokal verwaltet. Jeder Rechner hat seine eigene Benutzerdatenbank, die mit der anderer Rechner nicht im Zusammenhang steht. Auf ein Active Directory lässt sich jedoch rechnerübergreifend zugreifen, da dort ein Dienst über das LDAP-Protokoll den netzweiten Zugriff auf die im AD gespeicherten Objekte (Benutzer, Gruppen, Computer, …) ermöglicht. Somit ermöglicht ein AD eine zentrale Benutzerverwaltung. Benutzer melden sich über das Netzwerk am AD an. Über das Kerberos-Protokoll erhalten sie ein Zugriffsticket (ähnlich wie ein Fahrschein der öffentlichen Verkehrsmittel). Wenn sie nun auf irgendwelche Ressourcen im Netzwerk zugreifen wollen (Dateien, Drucker, …) prüft der Rechner, auf dem die Ressource gespeichert ist, anhand des vorgezeigten Tickets, wer der Benutzer ist und ob er über die gewünschten Berechtigungen an der Ressource verfügt. Im Ergebnis dessen wird der Zugriff gewährt oder verweigert.
Das wäre mit lokal verwalteten Benutzern nicht möglich. Es gäbe keine zentrale Benutzerverwaltung. Server mit Ressourcen könnten Benutzer aus dem Netz nicht „kennen“. Also können sie auch nicht über Zugriffe entscheiden.
Im Home-Netzen umgeht man das Problem, indem man auf allen Rechnern Benutzer mit gleichen Kennwörtern einrichtet. Das ist aber im Firmenumfeld mit Hunderten von Benutzern nicht mehr verwaltbar.
Auch bei letzterem können doch von dem Adiminstrator des
Rechners Dateien fregegeben und gesperrt werden.
Richtig. Das ist immer so, egal ob es eine zentrale oder lokale Benutzerverwaltung gibt. Nur wie erkennen die fremdem Rechner, wer der Benutzer, der Zugriff wünscht, eigentlich ist (Authentifizierung)? Gibt es einen zentralen Dienst, können sie den befragen. Gibt es den nicht, hat man ein (fast) unlösbares Problem.
Ist der Unterschied zu einem Verzechnisdienst nur darin zu
sehen, dass diese Mechanismen über ein Netzwerk stattfinden,
statt auf einem pyhsikalischen Rechner?
Die Authentifizierung findet über das Netzwerk statt.
Regelt ein Verzeichnisdienst nur die Rechte der Zugriffe von
Rechner zu Rechner (im Netzwerk), oder bestimmt er auch die
Zugriffsrechte, die ein Benutzer auf dem Rechner hat, auf dem
er sich gerade anmeldet?
Nein, Zugriffsrechte bestimmt immer der Administrator des Rechners, auf dem sich die Ressourcen befinden. Die Frage ist jedoch, *wem* er diese Berechtigungen zuordnet, einem lokalen Konto oder einem aus einem Verzeichnis.
